La vicenda

Con la sentenza n. 31505, depositata il 17 agosto 2026, la Prima Sezione penale della Corte di cassazione è tornata a pronunciarsi sui presupposti per l'ammissione al controllo giudiziario volontario previsto dall'art. 34-bis c. 6 D.Lgs. 159/2011 (Codice Antimafia), offrendo al contempo indicazioni di particolare interesse in ordine alla valutazione dell'adeguatezza del modello di organizzazione, gestione e controllo adottato ai sensi del D.Lgs. 231/2001.

La vicenda trae origine dal rigetto, da parte del Tribunale di primo grado, dell'istanza con la quale una S.r.l. aveva chiesto di essere ammessa al controllo giudiziario volontario. La decisione era stata successivamente confermata dalla Corte di appello, che aveva escluso tanto il carattere occasionale dell'infiltrazione mafiosa quanto la possibilità di formulare una prognosi favorevole circa la bonificabilità dell'impresa. Secondo i giudici di merito, la S.r.l. rappresentava, infatti, una sostanziale trasposizione di altra società già destinataria di interdittiva antimafia e continuava a presentare con quest'ultima significativi elementi di collegamento personale, economico e operativo. La Corte territoriale aveva valorizzato, tra l'altro, la permanenza dei rapporti tra i soggetti coinvolti, la circostanza che l'unico dipendente della S.r.l. fosse il soggetto individuato quale dominus sostanziale dell'impresa e il fatto che tre autocarri utilizzati dalla nuova società le fossero stati concessi gratuitamente dalla società interdetta.

Particolare rilievo assumeva, inoltre, la valutazione del modello organizzativo adottato ai sensi del D.Lgs. 231/2001. Secondo la Corte di appello, quello prodotto dalla società si presentava come un vero e proprio «modulo in bianco», privo di dati, obblighi e prescrizioni sufficientemente precisi, soprattutto con riferimento ai criteri di selezione dei partner commerciali, ai controlli sull'operato dell'amministratore, alle modalità di nomina e ai poteri degli organi di vigilanza e alla stessa effettiva costituzione dell'organismo deputato al controllo.

Avverso il decreto della Corte di appello la società proponeva ricorso per cassazione articolando due motivi, il primo relativo alla violazione dell'art. 34-bis D.Lgs. 159/2011 e il secondo specificamente rivolto alla valutazione del modello organizzativo adottato ai sensi del D.Lgs. 231/2001.

L’occasionalità dell'agevolazione e la possibilità di bonifica

Con il primo motivo la ricorrente contestava, in sostanza, la valutazione compiuta dai giudici di merito circa la non occasionalità dell'infiltrazione e l'assenza di concrete prospettive di bonifica. La società lamentava, in particolare, che la Corte di appello avesse attribuito eccessivo rilievo ai rapporti familiari esistenti tra i soggetti coinvolti e non avesse adeguatamente considerato alcuni elementi sopravvenuti – tra i quali la cessione delle quote della società interdetta e il trasferimento della sede – che, secondo la difesa, avrebbero manifestato la volontà dell'impresa di intraprendere un percorso di effettivo risanamento. La Cassazione rigetta il motivo, ricordando anzitutto che l'ammissione al controllo giudiziario volontario presuppone una valutazione prognostica del giudice circa la possibilità di realizzare un'effettiva «bonifica aziendale». Occorre, in particolare, che l'agevolazione mafiosa presenti carattere occasionale e che sussista una concreta possibilità per l'impresa di riallinearsi a un contesto economico sano, affrancandosi dal condizionamento derivante dalle infiltrazioni.

Nel caso di specie, secondo la Cassazione, la Corte territoriale non si era limitata a valorizzare il mero dato dei rapporti familiari, ma aveva individuato una pluralità di elementi concreti e attuali, quali la continuità dei rapporti economici e operativi tra le due società, la posizione assunta dal soggetto ritenuto dominus dell'impresa, la sua presenza quale unico dipendente e, soprattutto, la disponibilità gratuita dei mezzi operativi provenienti dalla società interdetta. Elementi che, complessivamente considerati, consentivano di ritenere tuttora esistente un potere di influenza sulle scelte operative dell'impresa.

La pronuncia ribadisce così che i rapporti parentali, isolatamente considerati, non sono sufficienti a giustificare il rigetto della richiesta di controllo giudiziario, ma possono assumere rilievo quando siano accompagnati da ulteriori elementi concretamente indicativi della capacità del soggetto pericoloso di incidere sulle scelte e sugli indirizzi dell'impresa. Nel caso esaminato tali elementi erano stati ritenuti sussistenti, con conseguente esclusione dell'occasionalità dell'infiltrazione e rigetto del primo motivo.

Il nodo dell'effettiva adeguatezza del modello 231

È tuttavia il secondo motivo di ricorso a presentare i profili di maggiore interesse sotto il profilo della compliance aziendale.

La società contestava la valutazione negativa espressa dalla Corte territoriale sul modello organizzativo adottato ai sensi del D.Lgs. 231/2001, sostenendo che esso fosse conforme ai canoni normativamente previsti e che contenesse una puntuale individuazione dei poteri e dei requisiti di indipendenza dell'organismo di vigilanza.

La Cassazione ritiene anche tale censura infondata.

Il passaggio centrale della pronuncia risiede nella distinzione, sia pure non espressa in questi termini, tra conformità formale del modello e sua adeguatezza sostanziale.

Non è sufficiente, cioè, che il documento riproduca i principi generali stabiliti dal D.Lgs. 231/2001, richiami gli strumenti di controllo previsti dalla disciplina o descriva in termini astratti requisiti e funzioni dell'organismo di vigilanza. Ciò che assume rilievo è la concreta traduzione di tali principi nell'organizzazione della specifica impresa ed è proprio sotto questo profilo che il modello della società ricorrente non supera il vaglio giudiziale.

La Cassazione osserva che il documento conteneva i principi generali e una generica indicazione degli strumenti di controllo richiesti dalla disciplina sulla responsabilità degli enti, ma risultava privo di una concreta declinazione dei protocolli e delle procedure destinate a prevenire la commissione dei reati. Tali presidi, sottolinea la Corte, devono invece essere costruiti tenendo conto delle «caratteristiche necessarie per il tipo di società e i suoi rischi». Analoga carenza riguardava i criteri e le procedure di costituzione e funzionamento degli organismi di controllo: indipendenza e autonomia rispetto agli amministratori devono essere assicurate in concreto, non potendo essere considerate sufficienti generiche affermazioni contenute nel documento organizzativo.

La conclusione assume un significato che trascende la specifica vicenda processuale. Il modello 231 non può ridursi a un documento ricognitivo della disciplina normativa né a un insieme di clausole standard astrattamente corrette; ai fini dell’adeguatezza, esso deve piuttosto essere il risultato di un processo di analisi e organizzazione costruito sulla realtà della singola impresa.

La decisione in commento consente allora di sviluppare una considerazione più generale sul significato contemporaneo dell'adeguatezza del modello organizzativo.

L'espressione utilizzata nel giudizio di merito – «modulo in bianco» – è particolarmente efficace perché individua uno dei principali rischi della compliance meramente documentale, vale a dire la predisposizione di un modello formalmente completo nella struttura, ma sostanzialmente incapace di governare i rischi propri dell'organizzazione alla quale dovrebbe applicarsi.

La logica del D.Lgs. 231/2001 è necessariamente risk based: il modello è realmente significativo solo se muove dall'individuazione dei rischi propri dell'attività dell'ente e costruisce, rispetto a essi, presidi organizzativi concretamente idonei a prevenirli. In questa prospettiva si colloca anche la Cassazione, laddove richiede che protocolli e procedure siano coerenti con «il tipo di società e i suoi rischi».

L'adeguatezza del modello non può quindi essere valutata in astratto, in quanto ciò che può risultare sufficiente per un'impresa può non esserlo per un'altra, in ragione delle differenze nella struttura, nell'attività svolta, nei processi decisionali, nei rapporti con i terzi e nell'esposizione ai rischi-reato. La personalizzazione del modello costituisce, pertanto, una componente essenziale della sua funzione preventiva.

Muovendo dalle indicazioni della pronuncia, un modello idoneo a superare una verifica non meramente formale dovrebbe anzitutto fondarsi su una effettiva analisi del rischio, capace di individuare attività sensibili, soggetti coinvolti e presidi esistenti, senza ridursi a un mero elenco dei reati contemplati dal decreto.

A tale analisi devono seguire protocolli specifici e concretamente applicabili, che individuino responsabilità, modalità operative, autorizzazioni, controlli e sistemi di tracciabilità. Proprio la mancata concretizzazione di procedure e protocolli costituisce uno dei principali profili censurati nella sentenza.

Analoga concretezza deve caratterizzare la selezione e il controllo delle controparti, attraverso criteri di scelta, verifiche preventive e periodiche e meccanismi di gestione delle anomalie. Nella vicenda esaminata assume particolare rilievo, infatti, proprio l'assenza di criteri puntuali per evitare rapporti con società interessate da provvedimenti inibitori.

Il modello deve inoltre riflettere l'effettiva distribuzione dei poteri decisionali e dei controlli, disciplinando in modo coerente deleghe, procure, autorizzazioni, separazione delle funzioni e flussi informativi.

Particolare attenzione deve essere riservata all'Organismo di Vigilanza, la cui autonomia e indipendenza non possono essere soltanto dichiarate, ma devono trovare concreta espressione nella composizione dell'organo, nelle modalità di nomina, nei poteri, nelle risorse e nell'accesso alle informazioni.

Completano il sistema adeguati flussi informativi, strumenti di segnalazione, un apparato disciplinare effettivo, formazione e meccanismi di aggiornamento periodico. L'adeguatezza del modello dipende, in definitiva, non dalla sua completezza formale, ma dalla capacità delle sue regole di mostrare come l'impresa abbia concretamente scelto di prevenire e governare i propri rischi.

Nella prospettiva descritta, la sentenza conferma che l’adeguatezza del modello 231 non dipende dalla sua formale adozione o dalla conformità a formule standard, ma dalla sua concreta capacità di riflettere i rischi e l’organizzazione della specifica impresa, traducendosi in presidi effettivi: un modello generico e sostanzialmente intercambiabile è, proprio per questo, un modello inadeguato.

Fonte: Cass. pen. 31505/2026