28 Maggio 2026

D.Lgs. 231: cos’è, a chi si applica e perché molte aziende sottovalutano il proprio rischio

Il Decreto Legislativo 231/2001 introduce la responsabilità amministrativa degli enti per i reati commessi nel loro interesse. Molte aziende ritengono di non essere coinvolte — e si sbagliano. In questa guida spieghiamo cos’è, come funziona, a chi si applica davvero e cosa rischia chi non si è ancora adeguato.

Cos’è il D.Lgs. 231/2001

Il Decreto Legislativo 8 giugno 2001, n. 231 ha introdotto nell’ordinamento italiano la responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica. Prima di questa norma, il principio cardine del diritto penale italiano era che solo le persone fisiche potessero essere ritenute responsabili di un reato. Il D.Lgs. 231 ha cambiato questo schema: oggi, se un reato viene commesso nell’interesse o a vantaggio di un ente — da un suo amministratore, dirigente o dipendente — l’ente stesso può essere chiamato a rispondere, con sanzioni che possono essere sia pecuniarie sia interdittive.

Le sanzioni interdittive previste dalla norma sono particolarmente severe: interdizione dall’esercizio dell’attività, sospensione o revoca di autorizzazioni e licenze, esclusione da agevolazioni o finanziamenti pubblici, divieto di contrattare con la Pubblica Amministrazione. In alcuni casi, è prevista anche la pubblicazione della sentenza di condanna.

La norma si applica a una platea molto ampia di soggetti: società di capitali, società di persone, associazioni, fondazioni e, in generale, qualsiasi ente collettivo — pubblico o privato — che svolga un’attività economica. Sono escluse soltanto le società dello Stato e degli enti pubblici territoriali.

L’esimente: il Modello Organizzativo 231 (MOG)

La norma prevede una via per evitare la responsabilità dell’ente: dimostrare di aver adottato ed efficacemente attuato, prima della commissione del reato, un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire i reati della specie di quello verificatosi.

Il Modello Organizzativo 231 non è un semplice documento. È un sistema articolato che comprende:

Un’analisi del rischio-reato: la mappatura delle attività aziendali che espongono l’ente a potenziali illeciti e la valutazione della loro probabilità e impatto.
Un Codice Etico: i principi di comportamento che l’ente adotta e impone a chi opera al suo interno.
Protocolli e procedure specifiche: le regole operative per le aree di attività a rischio.
Un sistema disciplinare: le sanzioni interne per chi viola le regole del modello.
L’Organismo di Vigilanza (OdV): un organo indipendente con il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento.

Il modello deve essere non solo formalmente adottato, ma concretamente attuato e aggiornato. La giurisprudenza ha più volte sanzionato enti che disponevano di un MOG sulla carta, ma non lo avevano integrato nella cultura e nei processi aziendali. La Cassazione, con sentenza n. 30039 del 1° settembre 2025, ha ribadito che l’idoneità del modello deve essere valutata in concreto, con riferimento all’effettiva capacità di prevenire i reati verificatisi.

I reati presupposto: molto più ampi di quanto si pensi

Il catalogo dei reati per i quali può scattare la responsabilità dell’ente è definito direttamente dalla norma — e si è espanso notevolmente negli anni, attraverso continui interventi legislativi. Questa è probabilmente la ragione principale per cui molte aziende sottovalutano il proprio profilo di rischio: ritengono di non svolgere attività esposte, senza conoscere l’estensione reale del catalogo.

Le principali categorie di reati presupposto comprendono:

Reati contro la Pubblica Amministrazione

Corruzione, concussione, malversazione, induzione indebita a dare o promettere utilità, falsità in dichiarazioni e bilanci rivolti alla PA. Interessa qualsiasi azienda che interagisca con enti pubblici, partecipi a gare d’appalto o benefici di finanziamenti pubblici.

Reati ambientali

L’art. 25-undecies del D.Lgs. 231/2001 è stato significativamente rafforzato dalla Legge n. 147 del 2025, che ha inasprito le sanzioni e ampliato il perimetro, includendo nuovi reati previsti dal Testo Unico Ambientale: abbandono di rifiuti pericolosi (art. 255-bis e 255-ter), gestione abusiva di rifiuti in forme aggravate (art. 256). I reati ambientali interessano potenzialmente qualsiasi azienda che produca rifiuti, utilizzi risorse naturali o abbia impatti sull’ambiente nel ciclo produttivo.

Reati informatici e cybersicurezza

La Legge n. 90/2024, entrata in vigore il 17 luglio 2024, ha ampliato significativamente il catalogo dei reati informatici rilevanti ai fini del 231, aggiungendo tra l’altro l’estorsione informatica e la detenzione abusiva di strumenti per danneggiare sistemi informatici. La Legge n. 132/2025 sull’intelligenza artificiale ha inoltre introdotto nuove fattispecie — tra cui il deepfake a fini illeciti — che possono rilevare ai fini della responsabilità 231 in combinato con reati informatici già esistenti. Questi reati interessano qualsiasi azienda che tratti dati digitali o utilizzi sistemi informatici, indipendentemente dalle dimensioni.

Reati in materia di salute e sicurezza sul lavoro

Omicidio colposo e lesioni gravi commesse con violazione delle norme sulla tutela della salute e sicurezza nei luoghi di lavoro. Interessano qualsiasi organizzazione con dipendenti, senza eccezioni di settore o dimensione.

Reati societari e tributari

False comunicazioni sociali, ostacolo all’esercizio delle funzioni delle autorità di vigilanza, reati fiscali — tra cui l’indebita compensazione, modificata dal D.Lgs. 87/2024. Dal 2025, il bilancio di sostenibilità redatto ai sensi della CSRD rientra tra le comunicazioni sociali rilevanti ai fini del reato di false comunicazioni societarie (art. 2621 c.c.): un’azienda che pubblica dati ESG non veritieri rischia di incorrere in responsabilità ai sensi del D.Lgs. 231.

Nuovi reati introdotti nel 2025-2026

Il catalogo è in continua espansione. Tra le novità più recenti: reati in materia di violazione delle misure restrittive dell’Unione Europea (art. 25-octies.2, introdotto dal D.Lgs. n. 211 del 30 dicembre 2025), delitti contro gli animali (art. 25-undevicies, introdotto dalla L. 82/2025), reati legati al contrabbando e nuove fattispecie connesse all’uso illecito dell’intelligenza artificiale.

Nota: il catalogo dei reati presupposto è in costante aggiornamento. Si raccomanda di verificare periodicamente le modifiche normative e di aggiornare il Modello Organizzativo 231 in modo tempestivo. La mancata revisione del MOG a fronte di nuovi reati presupposto può ridurne l’efficacia esimente.

A chi si applica davvero il D.Lgs. 231

Uno degli errori più comuni è ritenere che il D.Lgs. 231 riguardi solo le grandi imprese o le aziende che operano in settori ad alto rischio. La norma si applica in realtà a tutti gli enti che svolgono un’attività economica, indipendentemente dalle dimensioni.

Le PMI sono esposte al 231 esattamente come le grandi aziende, ma spesso non hanno adottato un Modello Organizzativo adeguato. Questo le espone a rischi significativi: le sanzioni previste dalla norma si applicano anche in assenza di qualsiasi intento fraudolento da parte dell’ente, se non viene dimostrata l’adozione di un MOG idoneo.

Vale la pena ricordare che la proposta di riforma del D.Lgs. 231, attualmente in discussione al tavolo tecnico del Ministero della Giustizia, punta a introdurre un principio di proporzionalità — adattando gli obblighi di prevenzione alla dimensione aziendale — e a equiparare i sistemi certificati di gestione (ISO, standard ESG) ai fini dell’esonero da responsabilità. Un segnale che la direzione del legislatore è verso una maggiore integrazione tra compliance e sostenibilità.

Il MOG 231 nella pratica: cosa fare

Adottare o aggiornare un Modello Organizzativo 231 efficace richiede un percorso strutturato:

Analisi del rischio-reato: mappare le attività dell’azienda rispetto ai reati presupposto rilevanti per il settore e aggiornare la mappatura ogni volta che cambiano le normative o le attività aziendali.
Redazione o aggiornamento del MOG: un modello datato — che non recepisce le modifiche degli ultimi anni al catalogo dei reati — è un modello che non protegge.
Istituzione dell’Organismo di Vigilanza: l’OdV deve essere indipendente, autonomo e dotato di poteri effettivi. Deve inoltre essere adeguatamente formato — anche sui temi ESG, sempre più rilevanti per il profilo di rischio aziendale.
Formazione continua: il personale deve conoscere il Codice Etico e le procedure del MOG. Un modello che esiste sulla carta ma non è interiorizzato dalle persone non ha efficacia esimente.
Monitoraggio e aggiornamento: il MOG deve essere revisionato almeno ogni volta che cambiano le norme, l’organizzazione aziendale o emergono nuove aree di rischio.

GlobalAcademy forma professionisti e team aziendali sul D.Lgs. 231.

Dai corsi di base per comprendere la norma e i reati presupposto, ai percorsi avanzati per l’Organismo di Vigilanza e per l’integrazione del MOG con la strategia ESG. Formazione online e in presenza, materiali aggiornati alle ultime normative. Contattaci per costruire il percorso più adatto alla tua organizzazione.

Fonti

D.Lgs. 8 giugno 2001, n. 231 — testo vigente (ultimo aggiornamento: D.Lgs. n. 211/2025)

reatipresupposto231.it — Catalogo aggiornato dei reati presupposto (aggiornamento maggio 2026)

90/2024 — Disposizioni in materia di rafforzamento della cybersicurezza
147/2025 — Modifiche all’art. 25-undecies D.Lgs. 231/2001 (reati ambientali)

D.Lgs. 211/2025 — Introduzione art. 25-octies.2 (misure restrittive UE)

132/2025 — Disposizioni in materia di Intelligenza Artificiale

Corte di Cassazione, sentenza n. 30039 del 1° settembre 2025

Ministero della Giustizia — Tavolo tecnico per la riforma del D.Lgs. 231/2001