Sommario
Introduzione
Il tema delle eventuali forme di responsabilità dell’Organismo di Vigilanza (OdV) è costantemente al centro del dibattito giuridico. Come noto, il legislatore – nell’introdurre questo inedito organismo, divenuto, poi, architrave su cui si regge l’intero sistema preventivo della corresponsabilizzazione delle persone giuridiche – ha fornito solo delle generiche coordinate circa i compiti (di vigilare sul funzionamento e l’osservanza del modello, nonché di cooperare con l’organo amministrativoal fine del suo aggiornamento) e il perimetro dei poteri (di iniziativa e di controllo). Nessuna indicazione viene, invece, offerta in relazione ai profili di responsabilità, penale o civile, che potrebbero configurarsi in capo ai componenti dell’OdV.
Il Decreto Legislativo 8 giugno 2001, n. 231 ha introdotto nell’ordinamento italiano il principio della responsabilità penale delle persone giuridiche, apportando una decisiva innovazione al tradizionale brocardo societas delinquere non potest1. L’intera disciplina prevista dal D.Lgs. 231/2001 si basa su tre presupposti fondamentali. Anzitutto, affinché un ente possa essere chiamato a rispondere, è necessario che sia stato commesso un reato presupposto, ovvero uno dei reati espressamente previsti dal Decreto, da parte di un soggetto legato all’organizzazione. Inoltre, la fattispecie delittuosa deve essere stata realizzata nell’interesse o a vantaggio dell’ente, così da stabilire un rapporto funzionale tra l’autore del reato e l’ente, distinguendo tra soggetti in posizione apicale (art. 6) e soggetti sottoposti all’altrui direzione (art. 7).
La sussistenza delle circostanze sopra ricordate non è tuttavia sufficiente affinché l’ente sia ritenuto responsabile. Il D.Lgs. 231/2001 prevede infatti un sistema di esonero dalla responsabilità differenziato in base alla posizione del soggetto che ha commesso il reato. Per i reati commessi da soggetti apicali, l’ente dovrà dimostrare di “aver adottato ed efficacemente attuato un Modello organizzativo” idoneo a prevenire reati della specie di quello verificatosi, di aver istituito un Organismo di Vigilanza dotato di autonomi poteri di iniziativa e controllo, che vi sia stata elusione fraudolenta del modello da parte dell’autore del reato e che non vi sia stata omessa o insufficiente vigilanza da parte dell’OdV (art. 6). Per i reati commessi da soggetti sottoposti, invece, sarà sufficiente dimostrare l’adozione ed efficace attuazione del modello organizzativo (art. 7). In assenza di questi elementi, l’ente sarà ritenuto responsabile e potrà subire le sanzioni pecuniarie e interdittive previste dal Decreto, con tutte le conseguenze che ne derivano in termini economici e reputazionali.
L’OdV rappresenta, quindi, un elemento centrale del sistema di compliance aziendale e gioca un ruolo determinante nel garantire l’esimente prevista dall’art. 6 del D.Lgs. 231/2001. Tuttavia, il legislatore non ha delineato con precisione i confini della sua responsabilità, lasciando aperte numerose questioni interpretative, in particolare sotto il profilo penale, civile e professionale. Il principale nodo giuridico riguarda la possibilità di configurare una responsabilità penale dell’OdV in caso di omessa o insufficiente vigilanza, nonché il ruolo che tale negligenza può avere nella colpa di organizzazione dell’ente.
La giurisprudenza si è più volte pronunciata su questi aspetti, cercando di delimitare i compiti e le responsabilità dell’OdV. Ha, in particolare, escluso che l’OdV possa essere considerato responsabile per la gestione della sicurezza sul lavoro, ribadendo che la sua funzione è meramente di sorveglianza e verifica dell’effettiva attuazione del modello2.
Attraverso un’analisi della dottrina e della giurisprudenza, il presente contributo si propone di esaminare a quali rischi possono essere esposti i componenti dell’OdV, con particolare attenzione ai profili di responsabilità penale, civile e professionale.
La natura giuridica dell'Organismo di Vigilanza
Uno degli aspetti più dibattuti in dottrina riguarda la natura giuridica dell’Organismo di Vigilanza (OdV). Il D.Lgs. 231/2001 non qualifica espressamente l’OdV come un organo societario, né definisce in modo dettagliato la sua collocazione nell’organigramma dell’ente. Questo ha portato a diverse interpretazioni dottrinali, oscillanti tra la configurazione dell’OdV come un organo autonomo dotato di poteri di iniziativa e controllo e la sua qualificazione come un ufficio interno con funzioni meramente consultive e di supervisione.
Secondo l’impostazione prevalente in dottrina3, l’OdV non può essere qualificato come un organo dotato di poteri gestori o decisionali, bensì come una funzione interna all’ente, con compiti di vigilanza e monitoraggio sulla corretta attuazione del modello organizzativo. La sua posizione è orizzontale rispetto agli organi societari, in particolare rispetto all’organo amministrativo, con il quale deve interfacciarsi per segnalare eventuali criticità relative all’attuazione del modello organizzativo4.
Il principio di autonomia e indipendenza dell’OdV è stato più volte ribadito dalla giurisprudenza e dalla prassi applicativa. Tuttavia, l’autonomia funzionale dell’OdV non implica un’assenza di responsabilità, bensì una necessaria delimitazione dei suoi compiti rispetto ad altri organi di controllo interni. A questo proposito, il rapporto tra OdV e collegio sindacale, revisori e comitati di controllo rappresenta un ulteriore profilo critico. L’art. 6, comma 4-bis, del D.Lgs. 231/2001 prevede che, nelle società di minori dimensioni, l’OdV possa essere costituito dal collegio sindacale, dal consiglio di sorveglianza o dal comitato per il controllo sulla gestione. Questa previsione ha suscitato perplessità in dottrina, poiché rischia di compromettere l’indipendenza e l’efficacia dell’attività di vigilanza, creando potenziali sovrapposizioni di ruoli e conflitti di interesse. In ogni caso, anche quando l’OdV è separato dagli altri organi di controllo, è essenziale che vi sia coordinamento tra le diverse funzioni di vigilanza, al fine di garantire un’efficace attuazione del modello 231 e una chiara ripartizione delle responsabilità5.
I compiti dell'Organismo di Vigilanza
Per valutare al meglio le eventuali responsabilità derivanti da un non corretto adempimento delle funzioni assegnate all’OdV, è necessario comprendere quali compiti spettano effettivamente all’organismo.
L’OdV rappresenta il fulcro del sistema di prevenzione dei reati presupposto, delineato dal D.Lgs. 231/2001, svolgendo una funzione essenziale nell’assicurare che l’ente operi nel rispetto del modello organizzativo e che le misure di prevenzione adottate siano effettivamente efficaci. La norma, tuttavia, pur individuando le sue principali attribuzioni, si limita a tratteggiarne il ruolo senza fornire una definizione dettagliata della sua operatività concreta. Questo ha generato un ampio dibattito dottrinale e giurisprudenziale, soprattutto in merito ai limiti del suo intervento e alla possibilità di configurare una responsabilità in capo ai suoi membri in caso di omessa o insufficiente vigilanza.
Compito principale dell’OdV, delineato dall’art. 6 D.lgs. 231/2001 e necessario al fine di escludere la responsabilità amministrativa dell’ente, è quello di vigilare sul funzionamento e sull’osservanza del modello. Tale attività non comporta, tuttavia, interventi diretti nei confronti dell’operato del management aziendale, ma prevede che l’organismo riporti ogni eventuale criticità o violazione del modello all’organo amministrativo, unico soggetto dotato dei necessari poteri di intervento6.
L’OdV è chiamato a monitorare che le procedure interne siano osservate e che i meccanismi di prevenzione dei reati presupposto risultino adeguati rispetto ai rischi specifici connessi all’attività dell’ente. Tale funzione non si esaurisce in un controllo meramente formale, ma implica un’attività di supervisione sostanziale, volta a individuare eventuali criticità e a proporre adeguamenti e miglioramenti del modello. In quest’ottica, l’OdV deve essere in grado di acquisire informazioni dettagliate sull’operatività aziendale, di verificare il rispetto delle procedure adottate e di interagire con le diverse strutture interne dell’ente per comprendere l’efficacia delle misure di prevenzione.
In secondo luogo, l’OdV deve farsi carico dell’attività di carattere informativo e formativo, in collaborazione con le eventuali funzioni aziendali a ciò preposte. All’organismo spetta, quindi, il compito di assicurare un’adeguata conoscenza e comprensione del sistema 231. Da ultimo, l’art. 6 della normativa citata assegna all’OdV anche l’onere di curare l’aggiornamento del modello. Tale compito, tuttavia, non si traduce in un potere di intervento diretto sullo stesso, ma nel dovere di accertarsi dell’effettiva adeguatezza del modello. In caso di necessità, spetterà, poi, al vertice aziendale ricevere eventuali segnalazioni ed indicazioni dell’organismo ed intervenire sulla struttura del modello7.
Un aspetto cruciale riguarda il rapporto tra l’OdV e gli organi amministrativi e gestionali della società. La giurisprudenza ha chiarito che l’OdV non è un organismo con poteri di gestione, né può sostituirsi agli organi societari nell’adozione di decisioni strategiche o operative. L’OdV non ha il compito di esercitare un controllo preventivo sugli atti del presidente o dell’amministratore delegato, poiché ciò lo porterebbe ad assumere un ruolo che esula dalla sua funzione di vigilanza8. Questa impostazione conferma che l’OdV non è un organo di garanzia generale dell’ente, ma ha una funzione interna con una specifica competenza di monitoraggio.
Il ruolo dell’OdV emerge dalla costruzione normativa dell’esimente di responsabilità a favore dell’ente. Come già enunciato, l’art. 6 del Decreto prevede un duplice onere probatorio relativo, da un lato, all’adozione del Modello da parte dell’Ente e, dall’altro, all’istituzione di un Organismo ad hoc, caratterizzato da autonomi poteri di iniziativa e di controllo e con il compito di vigilare sul funzionamento e l’osservanza dei modelli9.
Alla luce di queste considerazioni, appare evidente che il ruolo dell’OdV non può ridursi a un mero adempimento formale. Se l’attività di vigilanza si limita a verifiche superficiali e a una registrazione passiva delle informazioni ricevute, si svuota di significato l’intero sistema di prevenzione previsto dal D.Lgs. 231/2001. Per evitare questa deriva, l’OdV deve operare in stretta sinergia con gli altri organi di controllo interno, come il collegio sindacale e il revisore legale, sviluppando meccanismi di collaborazione che consentano un’effettiva supervisione del funzionamento del modello organizzativo. Inoltre, è fondamentale che l’OdV sia dotato di strumenti adeguati per svolgere la propria funzione, sia in termini di accesso alle informazioni sia per quanto riguarda l’autonomia operativa rispetto ai vertici aziendali.
In presenza di un puntuale svolgimento di queste attività, non potrà, quindi, essere contestato all’OdV alcun inadempimento dei propri obblighi.
La violazione del modello e il ruolo dell'OdV
Sia l’art. 6 che l’art. 7 del D.lgs. 231/2001 prevedono espressamente che il modello sia dotato di un sistema disciplinare, in grado di sanzionare il mancato rispetto dei suoi contenuti di carattere preventivo e, come tale, idoneo a presidiarne l’efficace attuazione10.
Pur essendo necessario che il sistema disciplinare sia concretamente attuato, al fine di garantire l’effettività del modello, è, tuttavia, il solo organo gestorio, in qualità di datore di lavoro e di soggetto responsabile per l’attuazione del sistema 231, a poter esercitare il potere sanzionatorio (quantomeno con riferimento ai dipendenti)11.
All’Organismo di Vigilanza spetta, invece, il compito – ricevuta la segnalazione su una violazione del modello o comunque rilevata un’infrazione – di informare l’organo dirigente, fungendo, così, da vero e proprio promotore dell’azione disciplinare12.
Anche sotto questo profilo, non potrà, quindi, essere mosso alcun rilievo all’organismo per l’erroneo esercizio del potere disciplinare o per la mancanza di un intervento da parte del datore di lavoro, seppur sollecitato dall’OdV.
La responsabilità penale dell'Organismo di Vigilanza
Assenza di reati propri dei componenti dell'OdV
Attualmente, nell’ordinamento giuridico italiano, non esistono fattispecie di reato specificamente configurate in capo ai componenti dell’Organismo di Vigilanza (OdV). Tuttavia, questa situazione è il risultato di un’evoluzione normativa, poiché fino al 5 luglio 2017, prima dell’entrata in vigore del D.Lgs. 90/2017, l’OdV era soggetto a specifici obblighi di comunicazione in materia di antiriciclaggio, la cui violazione poteva comportare responsabilità penale13.
Prima della riforma, infatti, il D.Lgs. 231/2007 prevedeva espressamente che l’OdV rientrasse tra i soggetti obbligati a effettuare segnalazioni di operazioni sospette all’Unità di Informazione Finanziaria (UIF). Il combinato disposto degli artt. 55, comma 5, e 52, comma 2, del D.Lgs. 231/2007 configurava un’ipotesi di reato per l’omessa comunicazione all’UIF, attribuendo così una responsabilità penale autonoma ai membri dell’OdV per la violazione di tali obblighi14.
La riforma introdotta con il D.Lgs. 90/2017 ha radicalmente modificato questo quadro, escludendo espressamente l’OdV dall’elenco dei soggetti obbligati alla disciplina antiriciclaggio. Di conseguenza, l’eliminazione dell’art. 52 del D.Lgs. 231/2007 ha determinato il venir meno dell’unica ipotesi di responsabilità penale diretta dell’OdV, riportando la sua funzione nell’alveo della vigilanza interna all’ente e circoscrivendo le eventuali conseguenze di un suo inadempimento all’ambito della responsabilità contrattuale nei confronti della società15.
Configurabilità di un concorso omissivo nel reato altrui
Uno degli aspetti più controversi relativi all’Organismo di Vigilanza riguarda la possibile configurabilità di una responsabilità penale in capo ai suoi componenti nel caso in cui un reato-presupposto, espressamente previsto dal D.Lgs. 231/2001, venga commesso all’interno dell’ente sotto la loro vigilanza. La questione è strettamente legata alla possibilità di attribuire all’OdV una posizione di garanzia, ai sensi dell’art. 40, comma 2, c.p., secondo cui “non impedire un evento che si ha l’obbligo giuridico di impedire equivale a cagionarlo“. In assenza di un obbligo giuridico specifico che imponga all’OdV di impedire la commissione di reati, la dottrina e la giurisprudenza maggioritaria tendono ad escludere la configurabilità di una responsabilità omissiva a suo carico.
Al di fuori delle ipotesi di concorso nel reato ai sensi dell’art. 110 c.p., si potrebbe ipotizzare astrattamente una responsabilità di tipo penale in capo ai membri dell’OdV per omessa o insufficiente vigilanza da parte degli stessi, qualora fosse possibile riconoscere in capo all’OdV una posizione di garanzia ai sensi dell’art. 40, c. 2 c.p., caratterizzata dall’obbligo giuridico di impedire la commissione dei reati presupposto di cui al D.lgs. 231/2001 da parte di soggetti apicali o sottoposti dell’ente di riferimento16.
L’esistenza di una posizione di garanzia presuppone, da un lato, l’obbligo giuridico di impedire l’evento e, dall’altro, il riconoscimento di poteri impeditivi. Il D.lgs. 231/2001, e specificatamente gli artt. 6 e 7, non sembrano, tuttavia, riconoscere in capo all’OdV un obbligo di tipo impeditivo, che difficilmente potrebbe trovare fondamento in una fonte contrattuale (come l’incarico attribuito ai membri dell’OdV), non ritenendo possibile la creazione, in via contrattuale, di nuovi obblighi penalmente sanzionabili, ma solo l’eventuale trasferimento di obblighi e responsabilità connesse a una specifica posizione di garanzia17.
Sul punto la giurisprudenza ha evidenziato come non sia possibile attribuire all’OdV una responsabilità penale per il solo fatto di non aver segnalato al Consiglio di Amministrazione eventuali manchevolezze o criticità organizzative18. La Corte ha osservato che il compito dell’OdV è limitato alla vigilanza sul modello organizzativo e alla segnalazione di irregolarità, senza che ciò possa tradursi in un obbligo di intervento attivo o di adozione di misure correttive. Tale interpretazione appare coerente con la struttura del D.Lgs. 231/2001, il quale prevede che l’OdV sia dotato di poteri di iniziativa e controllo, ma non gli conferisce alcuna funzione di direzione o gestione dell’ente.
Circa l’esistenza di poteri impeditivi, si evidenzia come all’OdV siano stati normativamente attribuiti esclusivamente i poteri di iniziativa e controllo previsti dall’art. 6 D.lgs. 231/2001, che si estrinsecano nel dovere di verifica del rispetto delle procedure di cui l’ente si è dotato e nel dovere di segnalare eventuali violazioni o aree di rischio all’organo amministrativo o ad altri soggetti individuati dal modello adottato dall’ente19.
Compito dell’OdV è, infatti, quello di assicurare l’effettività e l’osservanza dei modelli organizzativi adottati, attraverso meccanismi di segnalazione interna. Non gli sono attribuiti – né potrebbero tanto meno essere facilmente attribuibili dal punto di vista giuridico – poteri sanzionatori o disciplinari nei confronti dei destinatari del Modello o, comunque, poteri di intervento diretto (anche attraverso attività di segnalazione all’esterno) volti ad impedire la commissione di reati20.
Autoria commissiva e concorso commissivo
Un aspetto centrale della discussione sulla responsabilità penale dell’Organismo di Vigilanza riguarda la possibilità che i suoi componenti rispondano a titolo di concorso nel reato, ai sensi dell’art. 110 c.p. Se, da un lato, la giurisprudenza esclude che l’OdV possa essere chiamato a rispondere penalmente per il solo fatto di non aver impedito un reato, dall’altro si apre la questione della sua eventuale compartecipazione attiva alla realizzazione dell’illecito.
Affinché si configuri una responsabilità a titolo di concorso, è necessario che i componenti dell’OdV abbiano scientemente omesso di segnalare condotte illecite pur avendone piena consapevolezza, contribuendo, così, causalmente alla realizzazione del reato. In altre parole, l’elemento decisivo ai fini della punibilità è la volontà di agevolare il comportamento criminoso di altri soggetti, con un’omissione che vada oltre una mera negligenza e assuma i caratteri di una condotta dolosa o colposa aggravata da una particolare intensità del coefficiente psicologico.
Oltre alla questione del concorso omissivo, si possono individuare due ipotesi in cui il singolo membro dell’OdV può incorrere in una responsabilità penale autonoma, quantomeno in astratto:
Autoria commissiva: si verifica quando il componente dell’OdV commette direttamente un reato-presupposto nell’ambito della sua attività. In tal caso, la sua posizione all’interno dell’organismo non esclude né attenua la responsabilità penale individuale.
Concorso commissivo: si verifica quando un componente dell’OdV fornisce un contributo materiale o rafforza il proposito criminoso di un soggetto apicale o di un dipendente dell’ente, che successivamente si renda autore di un reato-presupposto. In questa ipotesi, il contributo del membro dell’OdV non si limita a una mera omissione, ma si sostanzia in un’azione consapevole di sostegno, istigazione o agevolazione dell’illecito.
Un’ulteriore situazione in cui il singolo componente dell’OdV potrebbe essere chiamato a rispondere penalmente si verifica nel caso in cui lo stesso rivesta contemporaneamente un’altra qualifica che lo ponga in una posizione di garanzia, con conseguenti obblighi di impedire la commissione di reati. Questa circostanza può concretizzarsi in applicazione dei commi 4 e 4-bis dell’art. 6 del D.Lgs. 231/2001, che consentono, rispettivamente, che l’OdV coincida con il consiglio di amministrazione negli enti di piccole dimensioni o con il collegio sindacale.
In questi casi, l’appartenenza all’OdV di soggetti già titolari di obblighi di controllo particolarmente stringenti può alterare l’operatività dell’organismo, determinando un ampliamento della responsabilità penale in capo al singolo componente. Il problema si pone, ad esempio, nel caso in cui un amministratore o un sindaco – soggetti generalmente ritenuti garanti ex lege – facciano parte dell’OdV, organo che, di per sé, non è portatore di un obbligo impeditivo generale. L’effetto di questa sovrapposizione di funzioni è che il componente dell’OdV il quale rivesta anche un’altra carica dotata di poteri di controllo, potrebbe trovarsi gravato da obblighi impeditivi più stringenti rispetto a quelli ordinariamente attribuiti ai membri dell’OdV.
Si pensi, ad esempio, al caso dell’amministratore non esecutivo che sia anche membro dell’OdV: sebbene l’OdV non abbia poteri di gestione, l’amministratore potrebbe essere chiamato ad attivarsi rispetto alle condotte del soggetto delegato, in forza dei doveri di vigilanza a lui imposti. Analogamente, un sindaco che faccia parte dell’OdV potrebbe essere ritenuto responsabile se omettesse di esercitare pressioni affinché l’organismo adottasse misure preventive in presenza di verifiche che rivelino possibili inosservanze penalmente rilevanti21.
Un’ulteriore ipotesi è quella in cui tra i membri dell’OdV sia presente un soggetto già obbligato ex lege alla comunicazione di operazioni sospette (ad esempio, un revisore o un responsabile della funzione di compliance). In tal caso, il soggetto non potrebbe ritenersi esonerato dai propri obblighi di segnalazione solo per il fatto di far parte di un organo – l’OdV – che non è espressamente tenuto a trasmettere comunicazioni di operazioni sospette22.
La sussistenza di un obbligo impeditivo in capo all’Organismo di Vigilanza: evoluzione giurisprudenziale
La questione relativa alla possibile attribuzione di un dovere impeditivo all’Organismo di Vigilanza è da tempo oggetto di un acceso dibattito, caratterizzato da posizioni contrastanti in dottrina e da un’evoluzione giurisprudenziale non sempre lineare. Sebbene gli interventi della giurisprudenza di legittimità e di merito sul tema non siano frequenti, le pronunce più rilevanti hanno avuto un forte impatto interpretativo, specialmente in relazione a vicende di grande rilevanza economica e istituzionale.
Un primo orientamento, ha delineato un modello di OdV caratterizzato da poteri di intervento incisivi, tali da renderlo partecipe dei processi decisionali della società. Secondo questa impostazione, l’omesso esercizio di tali poteri avrebbe potuto tradursi nell’omesso impedimento di un reato, con conseguente impossibilità per l’ente di avvalersi dell’esimente prevista dall’art. 6 del D.Lgs. 231/200123. La Corte, in questa prima fase, sembrava, dunque, attribuire all’OdV un ruolo attivo nella prevenzione dei reati, ipotizzando una responsabilità derivante da un’inerzia colpevole.
Tale prospettiva è stata ripresa anche dalla giurisprudenza di legittimità, secondo cui l’OdV deve assumere un ruolo attivo nella prevenzione dei reati-presupposto, intervenendo per segnalare eventuali irregolarità e, in ultima istanza, per ostacolare decisioni aziendali potenzialmente illecite24.
Un ulteriore contributo giurisprudenziale alla discussione ha affrontato il tema del dovere impeditivo dell’OdV, evidenziando la mancanza di reali poteri di intervento in capo all’organismo25. La decisione ha sottolineato che, nel caso concreto, l’OdV avrebbe potuto unicamente segnalare le anomalie agli stessi soggetti controllati, senza possibilità di adottare misure effettivamente interdittive. Tale situazione ha messo in luce i limiti strutturali dell’OdV e la difficoltà di attribuirgli un obbligo impeditivo effettivo.
L’evoluzione della giurisprudenza ha, poi, segnato una svolta significativa con il secondo caso Impregilo26. In tale pronuncia la Cassazione ha delimitato con maggiore precisione il perimetro dei poteri e dei doveri dell’OdV, escludendo la possibilità che l’organismo possa assumere un ruolo assimilabile a quello di un organo autorizzatore o gestionale. La Corte ha osservato che un modello organizzativo che prevedesse un controllo preventivo obbligatorio su ogni decisione dell’organo amministrativo sarebbe incompatibile con i principi di autonomia gestionale riconosciuti dall’ordinamento societario. Secondo la Cassazione, un’interpretazione estensiva del ruolo dell’OdV finirebbe per trasformarlo in una sorta di supervisore della governance societaria, in contrasto con la funzione puramente vigilante e consultiva attribuitagli dal D.Lgs. 231/2001. La sentenza ha, inoltre, evidenziato che esula dai compiti dell’OdV l’esercizio di un controllo preventivo sugli atti del presidente o dell’amministratore delegato, salvo che ciò non sia espressamente previsto dal modello adottato dall’ente.
Alla luce di queste pronunce, emerge un principio chiaro: non è configurabile una responsabilità penale dell’OdV per il solo fatto di non aver impedito un reato, in assenza di una condotta omissiva dolosa o di un concorso consapevole nell’illecito. Tuttavia, una vigilanza meramente formale o inefficace può aggravare la responsabilità amministrativa dell’ente, rafforzando il profilo della colpa di organizzazione delineato dall’art. 6 del D.Lgs. 231/2001.
Ciò implica che il vero discrimine nella valutazione della responsabilità dell’OdV risiede nell’effettività della sua attività di controllo. Se l’OdV opera con diligenza, segnalando tempestivamente le irregolarità e documentando adeguatamente la propria attività di vigilanza, sarà difficile configurare qualsiasi responsabilità in capo ai suoi componenti. Al contrario, un OdV che si limiti a un controllo meramente formale, privo di incisività e di effettiva capacità di monitoraggio, rischia di trasformarsi in un organo sprovvisto di reale incidenza sulla compliance aziendale. Questo scenario non solo può compromettere la funzione di prevenzione dei reati, ma può anche aumentare il rischio di contestazioni nei confronti dell’ente e dei suoi organi di controllo.
Il ruolo dell'OdV nell' impedimento di reati
Ad oggi, possiamo in sintesi affermare che che l’Organismo di Vigilanza non dispone di un potere impeditivo diretto rispetto alla commissione di reati in seno all’ente. Tuttavia, ha un dovere di controllo sistematico, finalizzato a garantire l’effettiva applicazione del modello organizzativo e gestionale. Sebbene tale attività di vigilanza non si traduca in un obbligo di ostacolare direttamente l’assunzione di decisioni illecite, essa deve comunque risultare idonea a prevenire la commissione di condotte potenzialmente criminose attraverso un monitoraggio costante dell’efficacia dei protocolli adottati27.
In questa prospettiva, l’OdV adempie correttamente ai propri compiti non intervenendo ex post per impedire la realizzazione di uno specifico illecito, ma piuttosto operando ex ante per creare un sistema di controllo interno capace di ridurre il rischio di violazioni. La sua attività si esplica, quindi, attraverso iniziative di prevenzione e sensibilizzazione, tra cui programmi di formazione, audit periodici e verifiche ispettive a sorpresa, volte a valutare:
l’adeguatezza e l’efficacia dei protocolli preventivi adottati dall’ente;
l’eventuale violazione delle procedure interne, nonché l’emersione di indicatori di rischio che potrebbero suggerire la necessità di un aggiornamento o di un rafforzamento del modello organizzativo28.
In relazione alle attività di vigilanza svolte, l’OdV è tenuto a formalizzare e documentare il proprio operato mediante la redazione di verbali e report interni, che non solo costituiscono una garanzia per l’ente in un’eventuale fase difensiva, ma servono anche a tutelare i singoli componenti dell’OdV da possibili contestazioni di negligenza o omissione. Qualora emergano criticità, l’OdV ha inoltre l’onere di segnalare tempestivamente agli organi competenti le disfunzioni riscontrate, affinché possano essere adottate misure correttive idonee a rafforzare l’efficacia del sistema di prevenzione.
La responsabilità civile dell'Organismo di Vigilanza
Accanto alla problematica della responsabilità penale, un ulteriore aspetto di rilievo concerne la responsabilità civile dell’Organismo di Vigilanza (OdV), che può sorgere qualora l’ente subisca un danno economico a causa di un’omessa o insufficiente vigilanza. In assenza di una disciplina normativa specifica, la responsabilità dell’OdV viene generalmente ricondotta all’ambito della responsabilità contrattuale, sulla base del rapporto giuridico che si instaura tra l’organismo e l’ente al momento della sua nomina.
Natura contrattuale della responsabilità dell’OdV
L’ipotesi di responsabilità civile dell’OdV si configura principalmente in caso di inadempimento dell’incarico conferito, qualora venga accertato il mancato rispetto dei compiti assegnati dal D.Lgs. 231/2001, dal Modello di organizzazione, gestione e controllo adottato dall’ente o dal contratto di nomina dell’OdV. Tale responsabilità può emergere, ad esempio, qualora l’OdV:
ometta di eseguire le verifiche programmate sui protocolli aziendali;
non accerti il rispetto delle procedure interne e dei flussi informativi;
non comunichi all’organo amministrativo eventuali violazioni o anomalie;
trascuri di segnalare carenze del modello organizzativo, come il mancato aggiornamento delle misure preventive o la scarsa valutazione dei rischi.
La qualificazione della responsabilità come contrattuale implica che l’ente, per ottenere un risarcimento, debba dimostrare tre elementi essenziali:
l’inadempimento dell’OdV rispetto agli obblighi assunti;
la sussistenza di un danno effettivo subito dall’ente;
il nesso di causalità tra l’inadempimento dell’OdV e il danno arrecato.
A tale riguardo, trova applicazione l’art. 1218 c.c., secondo cui “Il debitore che non esegue esattamente la prestazione dovuta è tenuto al risarcimento del danno, se non prova che l’inadempimento o il ritardo è stato determinato da impossibilità della prestazione derivante da causa a lui non imputabile”. Di conseguenza, per escludere la propria responsabilità, l’OdV dovrà dimostrare di aver adempiuto diligentemente ai propri compiti o di trovarsi in una condizione oggettiva di impossibilità ad esercitare una vigilanza efficace.
Va, tuttavia, chiarito che la commissione di un reato-presupposto da parte dell’ente non comporta automaticamente la responsabilità civile dell’OdV. La società che intenda agire contro l’organismo dovrà dimostrare non solo il danno subito, ma anche che l’OdV sia stato effettivamente messo nelle condizioni di svolgere i propri compiti e che il mancato intervento abbia avuto un’incidenza diretta sulla realizzazione dell’illecito.
Obbligazioni di mezzi e standard di diligenza
La dottrina ha evidenziato che le obbligazioni assunte dall’OdV devono essere qualificate come obbligazioni di mezzi e non di risultato29. A tal fine, trova applicazione l’art. 1176, comma 2, c.c., secondo cui nelle obbligazioni inerenti all’esercizio di un’attività professionale, la diligenza deve essere valutata con riferimento alla natura dell’attività esercitata. Nel caso dell’OdV, trattandosi di una funzione di controllo altamente specialistica, il livello di attenzione richiesto è particolarmente elevato. L’inadempimento dell’OdV dovrà, quindi, essere valutato in base agli standard di diligenza professionale, tenendo conto della complessità dell’incarico e della necessità di adottare tutte le misure ragionevolmente esigibili per un’adeguata vigilanza.
Esclusione della responsabilità extracontrattuale dell’OdV
Diversa è la questione della possibile responsabilità extracontrattuale dell’OdV nei confronti di soggetti terzi che abbiano subito un danno derivante dalla commissione di un reato-presupposto da parte dell’ente.
La giurisprudenza esclude in linea generale tale ipotesi, ritenendo che l’OdV:
sia una funzione interna all’ente, senza autonomia operativa nei confronti dei terzi;
non assuma una posizione di garanzia rispetto a soggetti estranei all’organizzazione;
non possa essere considerato direttamente responsabile per danni arrecati a terzi a seguito della commissione di un reato da parte dell’ente.
Se è vero che in ambito civilistico l’obbligo di impedire un evento dannoso può derivare da norme di legge, da clausole contrattuali o da particolari situazioni di fatto, nel caso dell’OdV manca un obbligo giuridico diretto nei confronti di soggetti esterni. Ne consegue che un terzo danneggiato dalla commissione di un reato-presupposto non potrà agire direttamente nei confronti dell’OdV, ma dovrà rivolgersi all’ente, il quale, a sua volta, potrà eventualmente agire nei confronti dell’OdV in via di regresso.
Strumenti di tutela dell’OdV: clausole contrattuali e copertura assicurativa
Un ulteriore aspetto di rilievo riguarda le possibili forme di tutela dell’OdV contro eventuali richieste risarcitorie. In particolare, è prassi diffusa che gli enti prevedano nei contratti di nomina dell’OdV:
clausole di esonero o limitazione di responsabilità, volte a ridurre il rischio di controversie;
polizze assicurative per la responsabilità civile professionale, al fine di garantire una protezione patrimoniale ai componenti dell’OdV.
Tuttavia, la validità di tali strumenti è subordinata al rispetto dei principi generali in materia di responsabilità contrattuale e non potrebbe mai estendersi fino ad escludere la responsabilità per dolo o colpa grave.
Responsabilità in caso di infortuni sul lavoro
In materia di salute e sicurezza sul lavoro, il D.lgs. 81/2008 ha introdotto l’art. 30, che prevede come il modello di organizzazione e di gestione idoneo ad avere efficacia esimente della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica di cui al decreto legislativo 8 giugno 2001, n. 231, debba essere adottato ed efficacemente attuato, assicurando un sistema aziendale per l’adempimento di tutti gli obblighi giuridici relativi alla sicurezza30.
In questo contesto, l’OdV è chiamato a vigilare sul funzionamento e sull’osservanza del modello anche in relazione agli aspetti di salute e sicurezza. Tuttavia, è importante sottolineare che l’OdV non si sostituisce alle figure previste dalla normativa in materia di sicurezza (datore di lavoro, RSPP, medico competente, etc.) e non assume su di sé i relativi obblighi di garanzia31.
La giurisprudenza ha chiarito che l’OdV non può essere ritenuto responsabile per gli infortuni sul lavoro in quanto non è titolare di una posizione di garanzia in materia di sicurezza. Il suo ruolo è limitato alla vigilanza sull’adeguatezza e sull’effettiva applicazione del modello organizzativo, senza alcun potere di intervento diretto sulle misure di sicurezza32.
Questo principio è stato recentemente ribadito dalla Suprema Corte33, secondo cui, “in caso d’infortunio occorso a un lavoratore addetto ad un macchinario sprovvisto delle necessarie dotazioni di sicurezza, è da escludere l’attribuzione di compiti inerenti alla gestione della sicurezza del macchinario all’Organismo di vigilanza, chiamato a sorvegliare e verificare la funzionalità e l’osservanza dei modelli organizzativi“.
Responsabilità in materia di whistleblowing
La legge 30 novembre 2017, n. 179 ha introdotto nel d.lgs. 231/2001 specifiche disposizioni in materia di whistleblowing, prevedendo che i modelli organizzativi debbano contemplare canali che consentano ai soggetti apicali e ai sottoposti di presentare segnalazioni circostanziate di condotte illecite o di violazioni del modello, garantendo la riservatezza dell’identità del segnalante34.
In questo contesto, l’OdV è spesso individuato come destinatario delle segnalazioni, assumendo così un ruolo centrale nella gestione del sistema di whistleblowing. Ciò comporta ulteriori responsabilità per l’OdV, che deve garantire la riservatezza dell’identità del segnalante e gestire adeguatamente le segnalazioni ricevute35.
La violazione degli obblighi di riservatezza potrebbe configurare una responsabilità civile dell’OdV nei confronti del segnalante, qualora da tale violazione derivino danni (ad esempio, ritorsioni o discriminazioni). Inoltre, l’omessa o inadeguata gestione delle segnalazioni potrebbe configurare un inadempimento degli obblighi contrattuali dell’OdV nei confronti dell’ente36.
Il D.lgs. 24/2023, che ha recepito la Direttiva UE 2019/1937 in materia di protezione dei segnalanti, ha introdotto nuove regole sulla gestione delle segnalazioni di illeciti all’interno degli enti. L’OdV è, spesso, individuato come soggetto competente a ricevere e analizzare le segnalazioni di whistleblowing, il che accresce ulteriormente le sue responsabilità sotto il profilo professionale. Un’errata gestione delle segnalazioni – ad esempio per omessa verifica, ritardo nella trasmissione delle informazioni agli organi competenti o violazione della riservatezza del segnalante – potrebbe esporre i componenti dell’OdV a contestazioni di negligenza professionale e, nei casi più gravi, a responsabilità disciplinare da parte degli ordini professionali di appartenenza.
Responsabilità in ambito antiriciclaggio
Come già accennato, fino al 5 luglio 2017, l’OdV era incluso tra i soggetti tenuti agli obblighi di comunicazione in tema di disciplina antiriciclaggio. Con il d.lgs. 90/2017, tale obbligo è stato rimosso, eliminando così l’unica ipotesi di responsabilità penale specifica dell’OdV prevista dalla normativa37.
Tuttavia, è importante sottolineare che l’OdV mantiene comunque un ruolo di vigilanza sul rispetto delle procedure antiriciclaggio previste dal modello organizzativo. L’inadempimento di tale obbligo di vigilanza potrebbe configurare una responsabilità civile dell’OdV nei confronti dell’ente, qualora da tale inadempimento derivi un danno (ad esempio, sanzioni amministrative o penali per violazione della normativa antiriciclaggio)38.
Il superamento dell'art. 52 D.lgs. 231/2007 e le implicazioni per l'Organismo di Vigilanza
Un ulteriore elemento di riflessione sulla funzione e sui limiti della responsabilità dell’Organismo di Vigilanza riguarda la soppressione dell’art. 52 del D.lgs. 231/200739. La sua eliminazione ha avuto un impatto significativo sul sistema dei controlli interni delle imprese soggette alla disciplina del D.lgs. 231/2001. In particolare, il nuovo art. 46 del D.lgs. 231/2007 ha attribuito le funzioni di vigilanza in materia di antiriciclaggio ai collegi sindacali, ai consigli di sorveglianza e ai comitati per il controllo sulla gestione, escludendo esplicitamente l’OdV da tali obblighi40.
L’eliminazione dell’art. 52 ha, inoltre, consolidato la distinzione tra OdV e altri organi di controllo interni, evidenziando che il sistema di vigilanza previsto dal D.lgs. 231/2001 non può sovrapporsi ai controlli previsti da altre normative settoriali, come quelle in materia di antiriciclaggio e trasparenza finanziaria. In tal senso, è stato ribadito che l’OdV non ha poteri ispettivi autonomi, né può sostituirsi agli organi societari deputati alla gestione del rischio finanziario e alla prevenzione di fenomeni illeciti in ambito contabile e bancario.
Nonostante la soppressione dell’art. 52, resta, comunque, aperto il tema della cooperazione tra l’OdV e gli altri organi di controllo dell’ente, soprattutto alla luce del crescente rilievo dei reati tributari nel catalogo dei reati-presupposto che possono configurare una responsabilità ex D.lgs. 231/2001. Se, da un lato, l’OdV non può essere ritenuto responsabile per violazioni di natura finanziaria o fiscale, dall’altro, ha il dovere di monitorare che il modello organizzativo preveda adeguati protocolli di prevenzione per il rischio di evasione fiscale, frode contabile e riciclaggio.
Alla luce di queste considerazioni, l’abolizione dell’art. 52 ha senza dubbio contribuito a delimitare i confini della responsabilità dell’OdV, confermando che il suo ruolo non può estendersi fino a ricomprendere obblighi di segnalazione di operazioni sospette o di controllo diretto sugli atti di gestione dell’ente. Tuttavia, il rafforzamento delle sinergie con gli organi di vigilanza interna e l’integrazione delle misure di compliance 231 con le prescrizioni normative in materia finanziaria e tributaria restano elementi fondamentali per garantire un’efficace prevenzione dei rischi aziendali.
Profili di responsabilità professionale dell'Organismo di Vigilanza
Requisiti di professionalità dei membri dell'OdV
Come noto, non sono infrequenti i casi in cui la giurisprudenza ha ritenuto inidoneo il modello, facendo discendere tale conclusione dalla sola inadeguatezza – in termini di composizione e funzionamento – dell’OdV41.
Sempre i giudici, peraltro, hanno oramai delineato in numerose pronunce alcune ipotesi, dove determinate caratteristiche soggettive del singolo membro, potrebbero inficiare addirittura il requisito di indipendenza dell’intero organo collegiale42.
Il già citato art. 6 D.lgs. 231/2001 attribuisce all’organo dirigente il potere-dovere di adottare ed attuare efficacemente il modello organizzativo dell’ente: alla luce di questa investitura, anche la competenza della nomina dei membri dell’OdV viene attribuita all’organo gestorio. Tale interpretazione risulta coerente con il principio generale della responsabilità gestoria degli amministratori ex art. 2364, comma 1, n. 5, c.c., nell’ambito della quale gli stessi curano l’assetto organizzativo della società e controllano la relativa adeguatezza ex art. 2381 c.c. Per tali ragioni, pur rimanendo in capo al singolo membro dell’OdV la possibilità di segnalare – al vertice aziendale – la propria inidoneità a ricoprire tale ruolo, non paiono sussistere margini per poter contestare allo stesso il mancato rilievo di tali criticità43.
Oltre agli aspetti di responsabilità penale e civile, l’Organismo di Vigilanza può essere chiamato a rispondere anche sotto il profilo professionale, in relazione agli obblighi di diligenza e competenza che derivano dall’incarico conferito. La questione assume particolare rilievo nei casi in cui i componenti dell’OdV siano professionisti esterni all’ente, come avvocati, commercialisti o esperti in compliance aziendale, il cui operato è soggetto agli standard richiesti dalle rispettive categorie professionali.
L’OdV è, infatti, chiamato a svolgere una funzione altamente specialistica, che implica un costante aggiornamento normativo e un approccio metodologico rigoroso nella valutazione dell’efficacia del modello organizzativo. L’art. 1176, comma 2, c.c. stabilisce che, nelle obbligazioni che richiedono una specifica competenza tecnica, la diligenza dell’obbligato deve essere valutata secondo il parametro della diligenza del buon professionista. In tal senso, ai componenti dell’OdV è richiesto un elevato livello di preparazione, che impone loro di svolgere l’attività di vigilanza con particolare attenzione e prudenza.
Sul punto la giurisprudenza ha chiarito che la violazione di tali obblighi può dar luogo a responsabilità professionale nei confronti dell’ente, qualora si dimostri che una condotta negligente dell’OdV abbia compromesso l’efficacia del modello organizzativo, favorendo la commissione di reati o impedendo il riconoscimento dell’esimente prevista dall’art. 6 del D.lgs. 231/200144.
Sanzioni "disciplinari" applicabili all'OdV
‘Organismo di Vigilanza può essere considerato un destinatario del Modello ed è, pertanto, opportuno prevedere una parte del sistema disciplinare dedicato allo stesso45.
Nei confronti dei membri interni46 dell’OdV troveranno applicazione le sanzioni e i principi previsti nel contratto nazionale collettivo applicabile; nei confronti dei membri esterni dell’OdV sarà necessario prevedere specifiche “sanzioni” a livello contrattuale, che potranno consistere, ad esempio, nella diffida, nella sospensione o nella revoca dell’incarico47. È importante sottolineare che tali sanzioni non hanno natura penale, ma contrattuale, e sono finalizzate a garantire il corretto adempimento48 degli obblighi assunti dai membri dell’OdV49.
Conclusioni
L’analisi condotta ha evidenziato come, ad oggi, non esistano reati propri dei componenti dell’Organismo di Vigilanza. La responsabilità penale dell’OdV potrebbe configurarsi solo in ipotesi particolari, quali l’autoria commissiva, il concorso commissivo o il caso in cui il membro dell’OdV sia anche titolare di altre qualifiche che comportano una posizione di garanzia50.
La giurisprudenza più recente ha chiarito che l’OdV non ha un potere di impedire la commissione di reati in seno all’ente, ma ha un potere – e un conseguente dovere – di condurre un’attività di controllo sistematico, che, pur non traducendosi nell’obbligo di ostacolare l’assunzione di decisioni illecite, sia idonea a prevenirle51.
Sul piano civile, potrebbe configurarsi una responsabilità contrattuale dell’OdV nei confronti dell’ente per inadempimento degli obblighi assunti, mentre appare difficilmente configurabile una responsabilità extracontrattuale nei confronti dei terzi lesi dal reato presupposto52.
In settori specifici, quali la salute e sicurezza sul lavoro, il whistleblowing e l’antiriciclaggio, l’OdV assume ulteriori responsabilità, che devono essere attentamente valutate e gestite53.
Infine, è importante sottolineare l’importanza dei requisiti di professionalità dei membri dell’OdV e la necessità di prevedere specifiche sanzioni “disciplinari” in caso di inadempimento degli obblighi assunti54.
In conclusione, pur in assenza di specifiche previsioni normative sulla responsabilità dell’OdV, è fondamentale che i suoi componenti operino con la massima diligenza e professionalità, documentando adeguatamente la propria attività e segnalando tempestivamente eventuali criticità, al fine di minimizzare i rischi di responsabilità personale e di contribuire efficacemente al sistema di prevenzione dei reati all’interno dell’ente55.
Il dibattito sulla responsabilità dell’OdV potrebbe essere influenzato da nuove evoluzioni normative, in particolare in relazione all’ampliamento del catalogo dei reati-presupposto e al crescente peso delle tematiche di corporate governance e sostenibilità. L’integrazione tra il modello 231 e i sistemi di gestione del rischio ESG (Environmental, Social and Governance) potrebbe aprire nuovi scenari, richiedendo un ripensamento delle funzioni di vigilanza e dei criteri di responsabilità dell’OdV.
Affinché l’OdV possa svolgere diligentemente il proprio ruolo, è necessario che esso operi in un contesto di chiarezza normativa e autonomia gestionale, con strumenti adeguati per esercitare la sua funzione di vigilanza. Il rischio maggiore è che l’OdV venga percepito come un organo puramente formale, privo di reale incidenza sulla governance dell’ente. Per scongiurare tale deriva, è essenziale rafforzare il coordinamento tra l’OdV e gli altri organi di controllo, promuovendo una cultura della compliance che valorizzi il ruolo della prevenzione nella gestione del rischio d’impresa.
Da ultimo, affinché l’OdV possa operare in modo realmente efficace, è indispensabile una costante interlocuzione con l’organo amministrativo. La società deve garantire un flusso informativo continuo, aggiornando tempestivamente l’OdV su cambiamenti strutturali, modifiche organizzative e ogni evento rilevante che possa incidere sulle aree di rischio individuate nel modello di gestione. Solo attraverso questo scambio sistematico di informazioni, l’OdV potrà esercitare il proprio compito in modo concreto. In mancanza di tale interazione, eventuali omissioni nella prevenzione dei reati non potranno essergli imputate, purché sia in grado di dimostrare di aver adottato tutte le misure ragionevolmente esigibili per adempiere ai propri doveri con diligenza.
Il testo dell’articolo è pubblicato su Bilancio, vigilanza e controlli (Euroconference), n. 6/2025, pagg. 52-70.
Autore
