Quando il modello 231 è obbligatorio: guida pratica

IN BREVE

Il D.Lgs. 231/2001 non prevede un obbligo generalizzato di adozione del modello per tutte le imprese. Il modello diventa obbligatorio per legge in specifici settori e contesti (appalti, regolazione finanziaria, normativa regionale). In assenza di obbligo formale, il modello è l'unica esimente dalla responsabilità amministrativa dell'ente. Dal 2025 al 2026 il catalogo dei reati presupposto si è ampliato con due interventi normativi rilevanti. Un DDL di riforma organica del decreto è in iter parlamentare (approvato in CdM il 4 agosto 2026): la norma vigente non cambia fino al voto delle Camere.

---

IL PUNTO NORMATIVO

 

Il decreto individua un catalogo di reati presupposto: solo i reati elencati possono far scattare la responsabilità dell'impresa. Questo catalogo non è statico. Tra luglio 2025 e gennaio 2026 ha subito due ampliamenti rilevanti: la L. 6 giugno 2025, n. 86 ha introdotto nuove fattispecie in materia ambientale, tra cui abbandono illecito di rifiuti, gestione non autorizzata e combustione illecita; il D.Lgs. 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026, ha aggiunto i reati di violazione delle misure restrittive dell'Unione Europea, come la messa a disposizione di fondi a soggetti sanzionati o la conclusione di operazioni con Stati o entità sotto embargo.

L'esimente: perché il modello esiste

L'adozione di un MOG 231 idoneo è la sola esimente dalla responsabilità amministrativa dell'ente. Il decreto stabilisce che l'ente non risponde se dimostra di aver adottato ed efficacemente attuato un modello organizzativo prima della commissione del reato, e se ha istituito un Organismo di Vigilanza (OdV) con poteri autonomi di iniziativa e controllo incaricato di vigilarne l'applicazione. L'onere della prova è invertito: spetta all'azienda dimostrare che il modello era adeguato e che il reato è stato commesso eludendo fraudolentemente le misure di prevenzione.

Questo meccanismo è il motore dell'intera disciplina. Non adottare il modello non è un'infrazione diretta, ma significa rinunciare all'unico strumento di difesa disponibile in caso di contestazione.

---

QUANDO SCATTA L'OBBLIGO

L'obbligatorietà del MOG 231 si articola su tre livelli: obbligo di legge (nazionale o regionale), obbligo sostanziale legato al profilo di rischio dell'ente, necessità operativa legata ai mercati in cui l'azienda opera.

Contesto	Perché il 231 è richiesto	Livello di obbligo
Appalti pubblici (D.Lgs. 36/2023)	Requisito spesso richiesto o premiale in gara. L'assenza può portare all'esclusione.	De facto obbligatorio
Settore bancario e finanziario	Banca d'Italia, CONSOB e IVASS richiedono sistemi di gestione del rischio conformi al 231.	Sostanzialmente obbligatorio
PNRR e fondi europei	Requisito esplicito in numerosi bandi. L'assenza preclude l'accesso o riduce il punteggio.	Obbligatorio nei bandi che lo prevedono
Aziende con infortuni gravi (reati ex art. 25-septies)	Il 231 è l'unica esimente in caso di omicidio o lesioni colpose da violazione SSL.	Obbligatorio di fatto per ridurre il rischio
Rating di legalità AGCM	Il MOG 231 è uno dei criteri per ottenere il punteggio massimo.	Necessario per le stellette aggiuntive
Filiere strutturate e grandi committenti	Sempre più spesso richiesto nei capitolati di fornitura privati.	Condizione contrattuale crescente
Normativa regionale (es. Lombardia, Calabria)	In specifici settori (formazione accreditata, convenzioni PA) l'obbligo è esplicito per legge.	Obbligatorio nei contesti indicati

Appalti pubblici: il caso più frequente

Il Codice dei contratti pubblici (D.Lgs. 36/2023) ha rafforzato il collegamento tra compliance 231 e partecipazione alle gare. Le stazioni appaltanti possono richiedere la dimostrazione dell'adozione di un MOG idoneo come elemento di qualificazione, e in alcune procedure l'assenza del modello costituisce causa di esclusione. Il rating di legalità AGCM valorizza esplicitamente la presenza del modello per l'attribuzione delle stellette aggiuntive, con effetti concreti sull'accesso al credito e sul punteggio nelle gare d'appalto.

Reati in materia di salute e sicurezza sul lavoro

L'art. 25-septies del decreto prevede la responsabilità dell'ente per omicidio colposo e lesioni gravi commesse con violazione delle norme sulla sicurezza sul lavoro. In questo caso il modello non è formalmente obbligatorio, ma è l'unica difesa disponibile. La Cassazione (Sez. IV, n. 30039 del 1° settembre 2025) ha ribadito la distinzione netta tra DVR e MOG 231: sono strumenti complementari, non sovrapponibili. Avere il DVR senza il modello 231 lascia l'ente privo di esimenti nel caso di un infortunio grave imputabile a carenze organizzative.

---

Aggiornamento Normativo - Agosto 2026 Il 4 agosto 2026 il Consiglio dei ministri ha approvato un Disegno di Legge di riforma organica del D.Lgs. 231/2001. Il testo deve completare l'iter parlamentare: la norma vigente non cambia fino al voto delle Camere. La direzione della riforma, tuttavia, è chiara: il MOG 231 tende a diventare elemento centrale dell'accertamento della responsabilità, non solo strumento difensivo. Le aziende che avviano oggi l'adozione o l'aggiornamento del modello si troveranno in una posizione più solida rispetto all'eventuale entrata in vigore della nuova disciplina.

---

PROFILO DI RISCHIO

 

Il catalogo dei reati presupposto del D.Lgs. 231/2001 copre oggi oltre cinquanta famiglie di reati. L'esposizione di un'azienda dipende meno dalla sua dimensione e più dai processi che gestisce. Alcune caratteristiche organizzative aumentano strutturalmente il profilo di rischio:

Rapporti frequenti con la pubblica amministrazione.
Ogni interazione con enti pubblici — dalla partecipazione a gare all'ottenimento di licenze e autorizzazioni — è un'area sensibile per i reati di corruzione e concussione previsti dagli artt. 24 e 25 del decreto.

Gestione di dati personali e sistemi informatici.
I reati informatici (art. 24-bis) e i reati in materia di protezione dei dati espongono le aziende digitali e quelle con processi ad alta intensità di dati a un profilo di rischio crescente.

Operatività internazionale con paesi sanzionati.
Con l'entrata in vigore del D.Lgs. 211/2025, le aziende che operano in contesti internazionali devono valutare il rischio di violazione delle misure restrittive UE come nuova area presidiata dal decreto.

Organizzazione plurisede o con catene di fornitura articolate.
La distanza tra chi decide e chi opera rende i controlli meno immediati e aumenta il rischio che comportamenti illeciti passino inosservati.

Settori regolamentati.
Bancario, finanziario, energetico, sanitario, trasporti: in questi ambiti la conformità al 231 è parte integrante dei requisiti imposti dalle autorità di vigilanza di settore.

---

Il parere dell'esperto

"La domanda 'il modello 231 è obbligatorio per noi?' è spesso la domanda sbagliata.

Quella giusta è: 'quali processi della nostra organizzazione espongono l'ente a responsabilità amministrativa, e cosa succede se uno di quei processi produce un reato senza che l'azienda abbia presidi documentati?'

Il modello non è un documento da produrre per una gara: è la risposta organizzativa a questa domanda."

Ilaria Diego
Legal Assistant | Giurista d'Impresa

---

COSA FARE

La valutazione dell'opportunità o necessità di adottare il MOG 231 segue una sequenza logica precisa, che non inizia dalla dimensione aziendale ma dal profilo di rischio concreto.

1. Mappare i reati presupposto rilevanti.
Non tutti i cinquanta reati presupposto hanno la stessa rilevanza per ogni azienda. Il punto di partenza è identificare quali famiglie di reato sono concretamente praticabili nell'attività dell'ente, in ragione del settore, dei clienti, dei fornitori e dei processi interni.

2. Verificare i vincoli contrattuali e di mercato.
Prima di valutare l'opportunità interna, è necessario accertare se l'azienda partecipa a gare pubbliche, lavora con grandi committenti privati che richiedono il modello nei capitolati, o opera in settori regolati da autorità che lo presuppongono.

3. Valutare l'assetto organizzativo esistente.
Un'azienda dotata di procedure interne strutturate, sistemi di deleghe formalizzati e codice etico è già parzialmente attrezzata. Il passaggio a un MOG 231 completo richiede di sistematizzare quanto esiste, colmare i gap identificati e istituire l'OdV.

4. Considerare il rapporto tra costo e rischio.
Il costo di adozione di un modello proporzionato alle dimensioni aziendali va confrontato con il costo potenziale di una sanzione 231: le sanzioni pecuniarie arrivano fino a 1.549.370 euro per le fattispecie più gravi, cui si aggiungono le sanzioni interdittive che possono bloccare l'operatività dell'ente.

---

IN SINTESI

Il D.Lgs. 231/2001 non impone un obbligo generalizzato di adozione del modello organizzativo. Impone però che, in caso di reato, l'azienda dimostri di aver fatto tutto il necessario per prevenirlo. In assenza del modello, questa dimostrazione è impossibile.

Nei contesti operativi più comuni — appalti pubblici, settori regolati, filiere strutturate, accesso ai fondi PNRR — l'assenza del MOG 231 non è un'opzione neutrale: è una scelta che riduce la competitività, aumenta l'esposizione al rischio e, in caso di contestazione, priva l'ente dell'unico strumento di difesa disponibile.

La domanda non è se il modello è obbligatorio in astratto. È se l'azienda può permettersi di operare senza di esso nel contesto concreto in cui lavora.

---

---

FAQ - DOMANDE FREQUENTI

Il modello 231 è obbligatorio per le PMI?

Il D.Lgs. 231/2001 si applica a tutte le società, indipendentemente dalla dimensione. Non esiste un limite dimensionale che escluda le PMI. La norma prevede però che il modello sia proporzionato alle dimensioni e alla complessità dell'organizzazione: per le realtà più piccole è possibile adottare un modello semplificato, purché presidî efficacemente i rischi concreti dell'ente.

L'Organismo di Vigilanza è obbligatorio?

L'istituzione dell'OdV è un elemento necessario del modello 231: senza un organismo che vigili sull'attuazione del modello, l'esimente non opera. Nelle società di piccole dimensioni, le funzioni dell'OdV possono essere attribuite al collegio sindacale, se esistente, o a un organo monocratico esterno.

Ogni quanto va aggiornato il modello 231?

Il modello va aggiornato ogni volta che cambia in modo significativo l'organizzazione aziendale, i processi, le deleghe o il quadro normativo. L'ampliamento del catalogo dei reati presupposto con il D.Lgs. 211/2025 e la L. 86/2025 ha reso necessario un aggiornamento per tutte le aziende già dotate di modello, con particolare attenzione ai presidi in materia ambientale e alle operazioni con soggetti internazionali sanzionati.

DVR e modello 231 sono la stessa cosa?

No. Sono strumenti distinti con finalità diverse. Il DVR valuta i rischi per la salute e la sicurezza dei lavoratori ed è uno strumento tecnico-operativo. Il MOG 231 presidia il rischio di commissione di reati da parte di chi opera nell'ente ed è uno strumento di governance organizzativa. La Cassazione (n. 30039/2025) ha ribadito espressamente questa distinzione: avere il DVR non sostituisce il modello 231 ai fini dell'esimente.

Cosa cambia con la riforma 231 in iter parlamentare?

Il Consiglio dei ministri ha approvato il 4 agosto 2026 un DDL di riforma organica del D.Lgs. 231/2001. Fino al completamento dell'iter parlamentare, la norma vigente si applica nella formulazione attuale e nessun modello esistente va riscritto oggi. La direzione della riforma indica un rafforzamento del ruolo del MOG come elemento centrale dell'accertamento della responsabilità: le aziende che avviano l'adozione o l'aggiornamento del modello in questa fase si troveranno avvantaggiate rispetto all'eventuale entrata in vigore della nuova disciplina.

---

APPROFONDIMENTO TEMATICO

Consulenza Legal Risk Management ERSG 

Sicurezza sul lavoro e D.Lgs. 81/08 

Formazione obbligatoria aziendale