05 Set responsabilità penale delle persone giuridiche

Il tema della responsabilità delle persone giuridiche e, più in generale, degli enti per gli illeciti dipendenti da reato ha assunto negli ultimi anni un’importanza sempre maggiore nell’ambito del diritto penale dell’impresa e della compliance aziendale. Il punto di riferimento fondamentale è rappresentato dal decreto legislativo 8 giugno 2001, n. 231, che ha introdotto nell’ordinamento italiano un sistema di responsabilità degli enti conseguente alla commissione di determinati reati da parte di persone fisiche che operano nell’organizzazione dell’ente. Prima dell’entrata in vigore del D.Lgs. 231/2001, il principio tradizionale espresso dall’art. 27, comma 1, Cost., secondo cui “la responsabilità penale è personale”, veniva interpretato nel senso che la responsabilità per reato potesse essere riferita esclusivamente alla persona fisica autrice della condotta criminosa, mentre l’ente poteva eventualmente subire conseguenze di natura civilistica o amministrativa secondo specifiche disposizioni di legge. Con il D.Lgs. 231/2001 il legislatore ha introdotto un sistema radicalmente più articolato, nel quale la commissione di un reato da parte di una persona fisica può determinare, al ricorrere di determinati presupposti, una distinta responsabilità dell’ente nel cui interesse o vantaggio il reato è stato commesso. La disciplina, pur qualificando formalmente quella dell’ente come responsabilità amministrativa, presenta evidenti caratteristiche di natura sostanzialmente penalistica, tanto che la giurisprudenza di legittimità ha progressivamente parlato di un vero e proprio “tertium genus” di responsabilità, collocato in una posizione intermedia tra responsabilità penale e responsabilità amministrativa. La Corte di Cassazione ha infatti sottolineato come il sistema delineato dal decreto sia compatibile con i principi costituzionali di responsabilità per fatto proprio e di colpevolezza proprio perché l’illecito dell’ente non coincide con quello commesso dalla persona fisica, ma richiede un autonomo accertamento riferito alla struttura organizzativa dell’ente e alla sua capacità di prevenire la commissione dei reati presupposto. Il principio fondamentale è contenuto nell’art. 5 del D.Lgs. 231/2001, secondo cui l’ente è responsabile per i reati commessi nel suo interesse o a suo vantaggio da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale, nonché da persone che, anche di fatto, esercitano la gestione e il controllo dell’ente, oppure da soggetti sottoposti alla direzione o alla vigilanza di uno dei soggetti appena indicati. La disposizione individua dunque due elementi fondamentali: da un lato, la necessaria commissione di uno specifico reato-presupposto; dall’altro, la sussistenza di un collegamento qualificato tra l’autore del reato e l’ente e la realizzazione del fatto nell’interesse o a vantaggio di quest’ultimo. L’interesse e il vantaggio costituiscono criteri distinti ma alternativi di imputazione e la giurisprudenza ha chiarito che essi devono essere valutati secondo prospettive differenti. L’interesse presenta infatti una dimensione prevalentemente soggettiva e teleologica, dovendo essere apprezzato ex ante, cioè verificando se la condotta del soggetto fosse orientata al perseguimento di una utilità per l’ente; il vantaggio, invece, presenta una dimensione essenzialmente oggettiva e deve essere valutato ex post, alla luce dell’utilità concretamente conseguita dall’ente in conseguenza della commissione del reato. Tale distinzione è stata particolarmente valorizzata dalle Sezioni Unite della Corte di Cassazione nella sentenza n. 38343 del 24 aprile 2014, relativa al noto caso ThyssenKrupp, nella quale è stato affrontato in modo approfondito il tema della responsabilità dell’ente per i reati colposi commessi in violazione delle norme in materia di salute e sicurezza sul lavoro. La giurisprudenza ha chiarito che interesse e vantaggio non devono necessariamente essere entrambi presenti, essendo sufficiente, in linea generale, la ricorrenza di uno dei due criteri, purché concretamente accertato. Nei reati colposi, tuttavia, la verifica assume caratteristiche particolari, poiché non può evidentemente sostenersi che l’evento lesivo o mortale sia stato intenzionalmente perseguito nell’interesse dell’ente. In tali ipotesi, secondo l’elaborazione delle Sezioni Unite, l’interesse o il vantaggio possono essere individuati nella condotta posta in essere in violazione delle regole cautelari, quando tale condotta abbia prodotto, ad esempio, un contenimento dei costi, una maggiore velocità produttiva, un risparmio sulle misure di sicurezza o altre utilità economicamente apprezzabili per l’impresa. Il sistema delineato dal decreto è inoltre caratterizzato dal principio di tassatività dei reati-presupposto. L’art. 2 del D.Lgs. 231/2001 stabilisce infatti che l’ente non può essere ritenuto responsabile se non in relazione a un illecito amministrativo espressamente previsto dalla legge, mentre gli artt. 24 e seguenti del decreto individuano progressivamente le categorie di reati che possono determinare la responsabilità dell’ente. L’elenco, originariamente assai più ristretto, è stato progressivamente ampliato dal legislatore e comprende oggi, tra gli altri, reati contro la pubblica amministrazione, reati societari, reati tributari, delitti informatici e relativi al trattamento illecito dei dati, delitti contro l’industria e il commercio, reati in materia di riciclaggio e autoriciclaggio, reati ambientali, delitti in materia di salute e sicurezza sul lavoro, delitti contro la personalità individuale, reati di criminalità organizzata, reati in materia di strumenti di pagamento diversi dai contanti, nonché ulteriori fattispecie introdotte nel corso degli anni. Tra le modifiche più significative deve essere ricordato l’ampliamento della disciplina ai reati tributari, attraverso l’inserimento nel D.Lgs. 231/2001 dell’art. 25-quinquiesdecies, nonché l’evoluzione della disciplina relativa ai reati contro il patrimonio culturale e al riciclaggio di beni culturali, che ha ulteriormente ampliato l’area di rischio per le imprese. Particolare rilievo assume l’art. 25-septies, introdotto dalla legge 3 agosto 2007, n. 123 e successivamente modificato dal D.Lgs. 81/2008, che ha esteso la responsabilità dell’ente ai delitti di omicidio colposo e lesioni personali colpose gravi o gravissime commessi con violazione delle norme sulla tutela della salute e sicurezza sul lavoro. Questa estensione ha rappresentato uno dei passaggi più importanti nell’evoluzione del sistema 231, poiché ha dimostrato come la responsabilità dell’ente possa configurarsi anche in relazione a fattispecie colpose e non esclusivamente in presenza di condotte dolose. Il meccanismo di imputazione varia inoltre in funzione della posizione ricoperta dall’autore del reato. L’art. 6 del D.Lgs. 231/2001 disciplina l’ipotesi in cui il reato sia stato commesso da soggetti che rivestono funzioni di rappresentanza, amministrazione o direzione dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale, nonché da persone che esercitano, anche di fatto, la gestione e il controllo dell’ente. In tale situazione, il legislatore presume una particolare connessione tra l’organizzazione dell’ente e l’attività del soggetto apicale, ma consente all’ente di andare esente da responsabilità dimostrando che l’organo dirigente ha adottato ed efficacemente attuato, prima della commissione del fatto, un modello di organizzazione e gestione idoneo a prevenire reati della specie di quello verificatosi; che il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento è stato affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e controllo; che le persone hanno commesso il reato eludendo fraudolentemente il modello e che non vi è stata omessa o insufficiente vigilanza da parte dell’Organismo di Vigilanza. Diversa è la disciplina prevista dall’art. 7 per i reati commessi da soggetti sottoposti alla direzione o alla vigilanza dei soggetti apicali. In questo caso l’ente è responsabile se la commissione del reato è stata resa possibile dall’inosservanza degli obblighi di direzione o vigilanza, fermo restando che tale inosservanza è comunque esclusa quando l’ente abbia adottato ed efficacemente attuato, prima della commissione del reato, un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello verificatosi. Il modello organizzativo costituisce pertanto uno degli strumenti centrali dell’intero sistema 231, ma è importante sottolineare che la sua funzione non può essere ridotta a un mero adempimento burocratico. Il modello deve essere costruito sulla concreta realtà dell’impresa, attraverso una preventiva analisi delle attività maggiormente esposte al rischio di commissione dei reati-presupposto, l’individuazione delle procedure e dei controlli necessari a ridurre tali rischi, la definizione di adeguati flussi informativi, l’istituzione di un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure previste e l’individuazione di un Organismo di Vigilanza dotato dei necessari requisiti di autonomia e indipendenza. L’art. 6, comma 2, individua alcuni contenuti fondamentali del modello, prevedendo che esso debba identificare le attività nel cui ambito possono essere commessi reati, prevedere specifici protocolli diretti a programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire, individuare modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati, prevedere obblighi di informazione nei confronti dell’organismo deputato alla vigilanza e introdurre un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure indicate nel modello. Il modello deve inoltre essere sottoposto a un costante processo di aggiornamento, poiché il sistema dei rischi aziendali non è statico e può mutare in funzione delle modifiche normative, dell’evoluzione dell’attività dell’impresa, dell’introduzione di nuove tecnologie, dell’apertura di nuovi mercati, dell’acquisizione di altre società o rami d’azienda e dell’emersione di nuovi fattori di rischio. In quest’ottica assume particolare importanza il principio dell’effettività: non è sufficiente che il modello sia formalmente adottato, ma occorre che esso venga concretamente applicato e che le procedure previste siano effettivamente rispettate dai destinatari. Proprio su questo punto si è sviluppata una significativa evoluzione della giurisprudenza della Corte di Cassazione, che ha progressivamente individuato nella cosiddetta “colpa di organizzazione” uno degli elementi fondamentali dell’illecito dell’ente. L’ente, infatti, non risponde semplicemente perché una persona fisica appartenente alla sua organizzazione ha commesso un reato. L’illecito amministrativo dell’ente deve essere autonomamente accertato e deve emergere una carenza organizzativa concretamente riferibile all’ente, tale da aver consentito o agevolato la realizzazione del reato-presupposto. La Corte di Cassazione, Sezione IV penale, con la sentenza n. 39615 del 20 ottobre 2022, ha particolarmente valorizzato questo principio, individuando tra gli elementi costitutivi dell’illecito dell’ente il reato-presupposto, la relazione organica e teleologica tra autore del reato ed ente, la colpa di organizzazione e il nesso causale tra il deficit organizzativo e la realizzazione del reato. La stessa impostazione è stata successivamente ribadita dalla Cassazione, Sezione V penale, con la sentenza n. 21640 del 19 maggio 2023, nella quale è stato chiarito che l’addebito di responsabilità all’ente non può fondarsi su una sorta di automatica “trasmissione” della responsabilità dalla persona fisica alla società, ma richiede la dimostrazione di una carenza nell’auto-organizzazione dell’ente rispetto al rischio di commissione del reato. La pronuncia assume particolare rilievo perché evidenzia l’autonomia dell’illecito dell’ente rispetto al reato commesso dalla persona fisica: la società risponde di un proprio illecito, caratterizzato da un proprio elemento soggettivo e da un proprio rimprovero, che la giurisprudenza identifica nella colpa di organizzazione. In questa prospettiva assume rilievo anche il criterio della cosiddetta “prognosi postuma”, attraverso il quale il giudice deve idealmente collocarsi nel momento antecedente alla commissione del reato e verificare se l’adozione e l’effettiva applicazione di un modello organizzativo adeguato avrebbero potuto prevenire o ridurre il rischio di commissione del reato verificatosi. La verifica non deve dunque limitarsi a constatare che il reato è stato commesso e che il modello era assente, incompleto o inadeguato, ma deve individuare concretamente quale specifica carenza organizzativa abbia reso possibile il fatto e quale relazione causale sussista tra tale carenza e il reato-presupposto. La stessa impostazione è stata ribadita dalla Cassazione, Sezione IV penale, con la sentenza n. 18413 del 10 maggio 2022, secondo la quale la colpa di organizzazione costituisce un elemento costitutivo dell’illecito dell’ente e non può essere confusa o sovrapposta alla colpevolezza della persona fisica che ha commesso il reato. Questo principio è particolarmente importante nei procedimenti relativi agli infortuni sul lavoro, nei quali è frequente che l’amministratore, il datore di lavoro o altro soggetto apicale sia chiamato a rispondere personalmente del reato di omicidio colposo o lesioni personali colpose e, contemporaneamente, la società sia chiamata a rispondere dell’illecito previsto dall’art. 25-septies del D.Lgs. 231/2001. I due accertamenti devono tuttavia rimanere distinti: la responsabilità della persona fisica deriva dalla violazione delle specifiche norme cautelari applicabili alla sua posizione, mentre quella dell’ente richiede l’accertamento di un deficit organizzativo colpevole, causalmente collegato alla realizzazione del reato. La Cassazione, con la sentenza n. 570 dell’11 gennaio 2023, ha proprio censurato una decisione nella quale i profili di responsabilità dell’amministratore erano stati sostanzialmente sovrapposti a quelli dell’ente, ribadendo che la mera assenza del modello organizzativo non determina automaticamente la responsabilità della società. Anche la successiva giurisprudenza ha confermato questa impostazione. Con la sentenza n. 4210 del 31 gennaio 2024, la Cassazione ha evidenziato che l’assenza, l’inidoneità o l’inefficace attuazione del modello non costituiscono, da sole, elementi sufficienti a fondare automaticamente la responsabilità dell’ente, dovendo essere individuata e provata una specifica colpa di organizzazione e il relativo collegamento causale con il reato. Ciò non significa, naturalmente, che l’adozione del modello sia irrilevante. Al contrario, un modello effettivamente adeguato e concretamente attuato rappresenta uno dei principali strumenti attraverso i quali l’ente può prevenire la commissione dei reati e, nei casi previsti dagli artt. 6 e 7 del decreto, dimostrare di aver adottato un sistema organizzativo idoneo a prevenire il rischio-reato. Il tema dell’efficace attuazione è quindi centrale: un modello meramente “cartolare”, privo di procedure realmente applicate, di formazione, di controlli, di flussi informativi e di un’attività effettiva dell’Organismo di Vigilanza difficilmente potrà svolgere la funzione esimente attribuitagli dal legislatore. La compliance 231 deve pertanto essere concepita come un processo permanente e non come la redazione una tantum di un documento. In tale prospettiva, assume particolare importanza anche l’Organismo di Vigilanza previsto dall’art. 6, comma 1, lett. b), del decreto, al quale è affidato il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento. L’Organismo di Vigilanza deve poter operare con autonomia e con effettivi poteri di iniziativa e controllo e deve ricevere informazioni adeguate sulle attività aziendali rilevanti ai fini della prevenzione dei reati. L’adeguatezza del sistema di controllo interno deve inoltre essere valutata tenendo conto della dimensione, della complessità e della struttura dell’impresa, evitando sia modelli eccessivamente generici sia sistemi di controllo sproporzionati e privi di effettiva funzionalità. Un ulteriore elemento caratterizzante della disciplina è rappresentato dal sistema sanzionatorio. Gli artt. 9 e seguenti del D.Lgs. 231/2001 prevedono, infatti, sanzioni pecuniarie, sanzioni interdittive, la confisca e la pubblicazione della sentenza di condanna. Le sanzioni interdittive possono assumere particolare gravità, potendo consistere nell’interdizione dall’esercizio dell’attività, nella sospensione o revoca di autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito, nel divieto di contrattare con la pubblica amministrazione, nell’esclusione da agevolazioni, finanziamenti, contributi o sussidi e nell’eventuale revoca di quelli già concessi, nonché nel divieto di pubblicizzare beni o servizi. La sanzione pecuniaria viene determinata attraverso il sistema delle quote previsto dagli artt. 10 e 11 del decreto, che consente di modulare l’entità della sanzione tenendo conto della gravità dell’illecito e delle condizioni economiche e patrimoniali dell’ente. Particolarmente significativa è inoltre la disciplina delle misure cautelari, poiché l’ente può essere sottoposto, nel corso del procedimento, a misure interdittive quando ricorrano i presupposti previsti dall’art. 45 del D.Lgs. 231/2001. Ne deriva che un procedimento 231 può produrre effetti rilevanti sull’operatività dell’impresa anche prima della definizione definitiva del giudizio. Proprio per questa ragione, la prevenzione del rischio 231 non può essere considerata esclusivamente una questione di natura penalistica, ma deve essere integrata nella complessiva governance aziendale. Il modello organizzativo dovrebbe dialogare con il sistema dei controlli interni, con le procedure contabili e finanziarie, con il sistema disciplinare, con la gestione delle risorse umane, con la sicurezza sul lavoro, con le procedure ambientali, con i sistemi di gestione dei rapporti con la pubblica amministrazione, con la gestione degli appalti e dei fornitori e, più in generale, con tutte le aree nelle quali l’attività aziendale presenta rischi di commissione dei reati-presupposto. Di particolare interesse è anche l’art. 12 del D.Lgs. 231/2001, che disciplina i casi di riduzione della sanzione pecuniaria, mentre l’art. 17 prevede condizioni specifiche per evitare l’applicazione delle sanzioni interdittive, tra le quali l’integrale risarcimento del danno, l’eliminazione delle conseguenze dannose o pericolose del reato e l’eliminazione delle carenze organizzative mediante l’adozione e l’attuazione di un modello idoneo a prevenire reati della specie di quello verificatosi. La disciplina conferma quindi la funzione prevalentemente preventiva del sistema 231: l’obiettivo non è soltanto punire l’ente per il reato commesso, ma incentivarlo ad adottare strutture organizzative e sistemi di controllo capaci di ridurre il rischio di commissione di illeciti. In questo senso, la responsabilità 231 rappresenta uno degli strumenti attraverso i quali il legislatore ha progressivamente trasformato la cultura della prevenzione all’interno delle imprese, spostando l’attenzione dalla sola responsabilità individuale dei manager e degli amministratori verso la qualità complessiva dell’organizzazione aziendale. La più recente giurisprudenza di legittimità ha ulteriormente consolidato questa impostazione. La sentenza della Corte di Cassazione, Sezione IV penale, n. 8397 del 28 gennaio 2026, depositata il 4 marzo 2026, ha ribadito che la responsabilità dell’ente non può essere fondata automaticamente sulla semplice mancanza, inidoneità o inefficace attuazione del modello organizzativo. La Corte ha nuovamente posto al centro dell’accertamento la “colpa di organizzazione”, chiarendo che l’accusa deve individuare e dimostrare la concreta violazione di regole organizzative e preventive e il collegamento di tale deficit con la commissione del reato. La pronuncia assume particolare rilievo perché conferma l’orientamento secondo cui la responsabilità dell’ente deve essere costruita attraverso un autonomo giudizio sulla sua organizzazione e non mediante una semplice responsabilità “di rimbalzo” rispetto a quella della persona fisica. La giurisprudenza più recente si muove dunque verso una concezione sempre più rigorosa della responsabilità 231, nella quale l’interesse o vantaggio dell’ente, il reato-presupposto, la posizione qualificata dell’autore, la colpa di organizzazione e il nesso causale devono essere oggetto di un accertamento specifico e motivato. Particolarmente significativa, in questa direzione, è anche la sentenza della Corte di Cassazione, Sezione III penale, n. 24402 del 10 aprile 2026, depositata il 2 luglio 2026, che ha ribadito l’autonomia della responsabilità dell’ente e ha fornito ulteriori indicazioni metodologiche sull’accertamento della colpa di organizzazione e dei requisiti dell’interesse o vantaggio. Ne emerge un quadro nel quale il D.Lgs. 231/2001 non può più essere considerato una disciplina meramente settoriale o destinata alle grandi società, ma costituisce ormai una componente strutturale della gestione del rischio d’impresa. Sebbene l’adozione del modello organizzativo non sia, in via generale, obbligatoria per tutte le imprese, la scelta di non dotarsi di un sistema 231 deve essere valutata con attenzione alla luce della concreta esposizione dell’impresa ai reati-presupposto, della sua struttura organizzativa, dei rapporti con la pubblica amministrazione, della gestione delle risorse finanziarie, delle attività produttive, dei rischi in materia di sicurezza sul lavoro, della dimensione internazionale dell’attività e delle caratteristiche della catena di fornitura. L’adozione di un modello adeguato non costituisce, infatti, una garanzia assoluta di esenzione da responsabilità, ma rappresenta uno strumento fondamentale di prevenzione e di gestione del rischio e, soprattutto, consente all’impresa di dimostrare di essersi dotata di un sistema organizzativo concretamente orientato alla prevenzione dei reati. La corretta implementazione della disciplina 231 richiede pertanto un’attenta attività di risk assessment, la mappatura delle aree sensibili, l’analisi dei processi decisionali e finanziari, la predisposizione di protocolli e procedure proporzionati ai rischi effettivi, la formazione dei dipendenti e dei soggetti interessati, l’istituzione di adeguati flussi informativi verso l’Organismo di Vigilanza, l’introduzione di un sistema disciplinare effettivo e l’aggiornamento periodico del modello in relazione alle modifiche normative e organizzative. In definitiva, il sistema previsto dal D.Lgs. 231/2001 determina un significativo mutamento di prospettiva nella responsabilità d’impresa: l’attenzione non è più rivolta esclusivamente alla condotta del singolo autore del reato, ma anche alla capacità dell’organizzazione di prevenire, intercettare e contrastare i comportamenti illeciti. La società, in altre parole, non viene chiamata a rispondere semplicemente perché al suo interno è stato commesso un reato, ma perché, ricorrendo gli ulteriori presupposti previsti dalla legge, quel reato può essere ricondotto a una carenza organizzativa propria dell’ente. È proprio nella distinzione tra responsabilità della persona fisica e responsabilità dell’organizzazione che si trova uno dei principi fondamentali dell’intero sistema 231: il reato commesso dal singolo costituisce il presupposto necessario dell’illecito dell’ente, ma non ne esaurisce il contenuto. L’accertamento della responsabilità della società richiede un autonomo esame dell’organizzazione, delle procedure, dei controlli, delle decisioni aziendali e delle misure preventive adottate, nonché della loro effettiva capacità di incidere sul rischio di commissione del reato. Da questa impostazione deriva la crescente importanza della compliance aziendale e della costruzione di modelli organizzativi realmente integrati nella struttura dell’impresa, non predisposti esclusivamente per esigenze documentali, ma concepiti come strumenti dinamici di prevenzione e gestione del rischio penale. Il D.Lgs. 231/2001, pertanto, non rappresenta soltanto un sistema sanzionatorio, ma costituisce oggi un vero e proprio modello di governance del rischio-reato, nel quale organizzazione, controllo e prevenzione assumono un ruolo centrale nella tutela dell’impresa, dei suoi amministratori, dei dipendenti, dei collaboratori e, più in generale, della continuità dell’attività economica.