1. Premessa
La posizione dei componenti dell’Organismo di vigilanza (OdV) continua a collocarsi in una zona di particolare delicatezza applicativa. Da un lato, il decreto legislativo n. 231 del 2001 attribuisce all’OdV un ruolo essenziale nel sistema di prevenzione dei reati-presupposto; dall’altro, la disciplina non configura l’organismo come un organo gestorio, né gli attribuisce un generale potere di impedire ogni illecito commesso nell’ambito dell’ente.
La questione centrale è dunque stabilire quando l’inosservanza dei compiti di vigilanza possa assumere rilievo penale personale. La risposta non può essere ricavata dalla mera esistenza del reato-presupposto o dalla successiva responsabilità dell’ente: occorre verificare, in concreto, la fonte e il contenuto dell’obbligo, i poteri effettivamente disponibili, la condotta tenuta dal singolo componente, il nesso causale e l’elemento soggettivo richiesto dalla fattispecie contestata.
2. Il ruolo dell’OdV nel decreto 231
L’art. 6, comma 1, lett. b), del d.lgs. n. 231/2001 richiede, per i reati commessi da soggetti in posizione apicale, che il compito di vigilare sul funzionamento e sull’osservanza del modello e di curarne l’aggiornamento sia affidato a un organismo dell’ente dotato di autonomi poteri di iniziativa e controllo. La stessa disposizione collega l’efficacia esimente del modello anche all’assenza di omessa o insufficiente vigilanza da parte dell’OdV. La norma non attribuisce tuttavia all’organismo la gestione dei processi aziendali, né il potere di sostituirsi agli amministratori o ai responsabili delle funzioni operative.
Per i reati commessi da soggetti sottoposti alla direzione o vigilanza altrui, l’art. 7 del decreto considera rilevanti gli obblighi di direzione e vigilanza gravanti sull’ente e valorizza l’adozione e l’efficace attuazione di un modello idoneo a prevenire reati della specie di quello verificatosi. Il sistema delineato dagli artt. 6 e 7 deve essere letto insieme all’art. 5, che individua i soggetti qualificati e richiede che il reato sia commesso nell’interesse o a vantaggio dell’ente.
Ne deriva che la vigilanza dell’OdV ha natura sistemica e preventiva: riguarda l’adeguatezza e l’effettiva applicazione delle regole cautelari inserite nel modello, la permanenza della loro idoneità rispetto ai rischi aziendali e la tempestiva segnalazione delle criticità agli organi competenti. Non coincide, invece, con un controllo autorizzativo su ogni singolo atto degli amministratori o con una supervisione gerarchica sull’attività dei dipendenti.
3. L’autonomia e i limiti funzionali dell’organismo
L’autonomia e l’indipendenza dell’OdV sono funzionali all’effettività del controllo. La giurisprudenza di merito ha sottolineato che l’autonomia dell’iniziativa di controllo deve essere preservata da interferenze o condizionamenti dell’organo dirigente e che non possono essere chiamati a comporre l’organismo soggetti sottoposti al potere gerarchico dei vertici che svolgano compiti direttamente connessi alle aree esposte al rischio-reato, o soggetti esterni titolari di rilevanti funzioni operative nelle medesime aree. In questa prospettiva, l’eventuale carenza di indipendenza incide anzitutto sulla valutazione dell’idoneità del modello e dell’esimente dell’ente, senza determinare automaticamente la nullità della nomina o la responsabilità penale del componente.
Il limite più importante è stato chiarito dalla Cassazione con riferimento ai poteri dell’organismo. In una vicenda relativa a comunicazioni societarie false, la Corte ha escluso che il modello possa imporre un controllo preventivo generalizzato su qualsiasi atto del presidente o dell’amministratore delegato. Un simile assetto trasformerebbe l’OdV in un supervisore dell’attività direttiva, con indebita attribuzione di funzioni gestorie. All’organismo spetta, piuttosto, un controllo continuativo e sistemico sulle regole cautelari predisposte e sul loro rispetto, con il compito di individuare e segnalare le criticità del modello e della sua attuazione, non di amministrare l’ente.
La Cassazione penale, Sez. VI, sentenza n. 23401 del 2022 ha inoltre precisato che non è ragionevolmente esigibile un controllo preventivo sugli atti meramente comunicativi adottati dai vertici nell’esercizio di poteri loro legittimamente conferiti. La decisione è particolarmente rilevante perché impedisce di desumere la responsabilità dell’OdV dalla sola circostanza che il reato sia stato commesso da un apicale attraverso un atto formalmente rientrante nelle sue competenze.
4. La possibile responsabilità penale: concorso omissivo e concorso commissivo
Il componente dell’OdV può essere chiamato a rispondere penalmente non in quanto membro dell’organismo, ma soltanto se la sua condotta integra una specifica fattispecie di reato. Le ipotesi astrattamente configurabili sono, in termini generali, il concorso commissivo nel reato-presupposto, il concorso omissivo improprio e, in presenza dei relativi presupposti, autonome fattispecie omissive previste dalla legge.
Per il concorso omissivo improprio viene in rilievo l’art. 40, comma 2, c.p., secondo cui non impedire un evento che si ha l’obbligo giuridico di impedire equivale a cagionarlo. La disposizione non consente però di fondare la responsabilità sulla sola attribuzione formale di un incarico di controllo. Occorre individuare una posizione di garanzia, una fonte giuridica sufficientemente determinata dell’obbligo di intervento e un potere concreto di impedire l’evento.
La Cassazione penale, Sez. IV, sentenza n. 17598 del 2010 ha affermato, in termini generali, che la posizione di garanzia richiede sia una fonte dell’obbligo costituita da una norma extrapenale o da un contratto sufficientemente determinati, sia un potere giuridico e materiale di intervento. Il principio è particolarmente significativo per l’OdV: l’organismo dispone normalmente di poteri di iniziativa, accesso alle informazioni, verifica e segnalazione, ma non necessariamente di poteri impeditivi, sanzionatori o sostitutivi rispetto agli organi gestori.
La giurisprudenza più recente ribadisce che la posizione di garanzia non può essere affermata sulla base di una qualifica formale e che devono essere ricostruite le mansioni effettive, le competenze attribuite e la concreta possibilità di intervento. La Cassazione penale, Sez. IV, sentenza n. 46087 del 2022 ha escluso che la titolarità di compiti di vigilanza comporti automaticamente responsabilità per l’evento, richiedendo l’accertamento della regola cautelare violata, della prevedibilità ed evitabilità dell’evento e del nesso causale secondo un giudizio di alta probabilità logica.
5. Il rapporto tra obblighi di vigilanza e responsabilità personale
L’obbligo dell’OdV di vigilare sul modello non equivale all’obbligo di impedire direttamente ogni reato commesso nell’ente. La funzione dell’organismo si realizza attraverso attività di controllo, acquisizione di informazioni, esame dei flussi informativi, verifiche periodiche, individuazione delle anomalie e comunicazione delle criticità agli organi titolari dei poteri decisionali.
La mancata segnalazione di una violazione può assumere rilievo penale solo quando, in relazione al concreto assetto organizzativo, la segnalazione costituisca la condotta doverosa idonea ad attivare un potere impeditivo effettivo e quando sia dimostrato che l’intervento omesso avrebbe evitato l’evento. Non è sufficiente affermare che una segnalazione avrebbe offerto all’ente una possibilità astratta di intervenire. Occorre verificare quale organo avrebbe dovuto agire, quali poteri avrebbe avuto, in quale momento e con quale ragionevole efficacia causale.
In questa prospettiva, la responsabilità del componente non può essere costruita per automatismo dal rapporto tra reato e mancata vigilanza. La Cassazione penale, Sez. VI, sentenza n. 30604 del 2025 ha escluso, con riferimento a un diverso organo di controllo, che le funzioni di vigilanza, consultive o autorizzatorie siano di per sé sufficienti a fondare una posizione di garanzia ai sensi dell’art. 40, comma 2, c.p. La Corte ha ribadito che, in assenza di un obbligo giuridico di impedire l’evento, la responsabilità deve essere ricondotta alle regole ordinarie del concorso di persone, con la prova di un contributo causale e della relativa componente soggettiva.
Il principio è trasferibile, con la necessaria cautela, alla posizione dell’OdV: se l’organismo non dispone di poteri di gestione o di veto, la sua omissione non può essere equiparata automaticamente alla causazione dell’evento. Potrà rilevare, invece, una condotta consapevole di agevolazione, un’omessa segnalazione di anomalie macroscopiche già conosciute, la falsificazione o alterazione dei flussi di controllo, ovvero un accordo con gli autori del reato.
6. Il nesso causale e l’elemento soggettivo
Anche quando sia individuata una posizione di garanzia, la responsabilità richiede la prova del nesso causale tra l’omissione e l’evento. Il giudice deve formulare un giudizio controfattuale concreto: occorre stabilire se la condotta doverosa — ad esempio una segnalazione tempestiva, una richiesta di verifica o l’attivazione di una procedura prevista dal modello — avrebbe impedito il reato o l’evento lesivo con elevata probabilità logica.
La sola possibilità che l’intervento dell’OdV avrebbe potuto ridurre il rischio non è sufficiente. La Cassazione penale, Sez. V, sentenza n. 37078 del 2022 ha riaffermato che il nesso causale nell’omissione impropria non può essere fondato sul solo coefficiente di probabilità statistica, ma richiede un giudizio di alta probabilità logica, costruito sulla concreta dinamica del fatto e sui fattori alternativi intervenuti.
Sul piano soggettivo, la mera negligenza organizzativa dell’ente non coincide con la colpa personale del componente dell’OdV. La colpa di organizzazione è elemento della responsabilità dell’ente e deve essere tenuta distinta dalla colpevolezza della persona fisica. La Cassazione penale, Sez. III, sentenza n. 24402 del 2026 ha ribadito che la responsabilità dell’ente non è una responsabilità “di rimbalzo” rispetto a quella dell’autore del reato e che la colpa di organizzazione deve essere oggetto di autonomo accertamento. La stessa esigenza di autonomia vale, sul versante personale, per l’accertamento della colpa o del dolo del componente dell’OdV.
7. L’OdV nei reati colposi in materia di sicurezza sul lavoro
Il tema assume particolare rilievo nei procedimenti per omicidio o lesioni colpose commessi con violazione della normativa antinfortunistica, nei quali l’ente può rispondere ai sensi dell’art. 25-septies del d.lgs. n. 231/2001. In tali casi, il modello deve prevedere procedure adeguate ai rischi specifici e un monitoraggio effettivo delle misure prevenzionistiche.
La responsabilità dell’ente, tuttavia, non implica automaticamente quella dei componenti dell’OdV. La Cassazione penale, Sez. IV, sentenza n. 21704 del 2023 ha distinto la colpa di organizzazione dell’ente dalla colpa degli autori del reato presupposto, precisando che l’accusa deve individuare i canali concreti attraverso i quali la condotta della persona fisica si collega teleologicamente all’interesse dell’ente. Questo accertamento non può essere sostituito dalla generica constatazione che l’OdV non abbia rilevato o impedito la violazione.
In concreto, può assumere rilievo la prova che l’OdV fosse stato informato di carenze specifiche e persistenti, che disponesse degli strumenti per segnalarle o sottoporle agli organi competenti, che avesse omesso ogni iniziativa nonostante la chiara percezione del rischio e che l’intervento omesso avrebbe potuto evitare l’evento. Anche in tale ipotesi, dovranno essere provati il nesso causale e l’elemento soggettivo personale. Non è sufficiente il rilievo ex post secondo cui il modello non aveva impedito l’infortunio.
La più recente giurisprudenza insiste infatti sulla necessità di un accertamento specifico dell’interesse o vantaggio dell’ente e della colpa di organizzazione. La Cassazione penale, Sez. III, sentenza n. 4210 del 2024 ha chiarito che, nei reati colposi di evento, interesse e vantaggio sono criteri alternativi e che la colpa di organizzazione, il reato presupposto e il nesso causale tra i due costituiscono elementi del fatto tipico dell’illecito dell’ente. La Cassazione penale, Sez. IV, sentenza n. 26293 del 2024 ha inoltre precisato che anche una violazione isolata può essere rilevante per l’ente, ma solo quando siano individuati elementi concreti del collegamento finalistico con l’utilità aziendale.
8. Le condotte che possono esporre concretamente il componente
In termini operativi, il rischio penale del componente dell’OdV tende a concentrarsi non sulla mancata prevenzione assoluta del reato, ma su condotte personali ulteriori e qualificabili. Possono rilevare, a seconda del caso concreto:
- la partecipazione consapevole alla predisposizione di un modello meramente apparente o inidoneo rispetto a rischi conosciuti;
- la falsificazione dei verbali, delle relazioni o dei flussi informativi;
- la rappresentazione non veritiera agli organi sociali o all’autorità giudiziaria dell’attività di vigilanza svolta;
- l’omessa segnalazione di violazioni specifiche, gravi e reiterate, nonostante la conoscenza effettiva e la disponibilità di poteri di iniziativa;
- l’accordo o la connivenza con gli autori del reato-presupposto;
- l’intervento in attività operative o gestorie incompatibili con la funzione di controllo, seguito da una condotta causalmente collegata all’illecito.
Al contrario, non è sufficiente, di regola, dimostrare che l’OdV non abbia previsto ogni possibile modalità di commissione del reato, che non abbia controllato preventivamente ogni decisione aziendale o che il modello sia stato eluso fraudolentemente dagli apicali. Proprio in tema di elusione fraudolenta, la Cassazione penale, Sez. VI, sentenza n. 23401 del 2022 ha ricordato che il modello non può annullare l’autonomia funzionale degli organi direttivi e che l’OdV non può essere trasformato in un organo di cogestione.
9. Profili di responsabilità civile e organizzativa
L’assenza di responsabilità penale non esclude, in astratto, possibili profili civilistici derivanti dall’inadempimento dell’incarico o dalla violazione dei doveri contrattuali assunti nei confronti dell’ente. La giurisprudenza di merito ha riconosciuto che l’autonomia, la stabilità dell’incarico e la corretta disciplina della revoca costituiscono condizioni funzionali all’indipendenza dell’organismo. La Corte d’appello civile di Palermo, sentenza n. 1500 del 2024 ha distinto il modello organizzativo dal regolamento dell’OdV, valorizzando le regole di nomina, durata, revoca e rinnovo dell’incarico.
Questi profili non comportano, tuttavia, un’estensione della responsabilità penale. La stabilità dell’incarico serve a proteggere l’autonomia del controllo, ma non trasforma il componente in un garante universale dell’attività dell’ente. La responsabilità penale resta ancorata ai principi di legalità, colpevolezza, causalità e personalità della responsabilità.
10. Conclusioni
La responsabilità penale dei componenti dell’OdV non può essere costruita sulla sola constatazione che un reato-presupposto sia stato commesso nonostante l’esistenza del modello. Il decreto 231 attribuisce all’organismo una funzione di vigilanza sul funzionamento e sull’osservanza del modello, non una funzione di amministrazione, gestione o controllo impeditivo generalizzato dell’intera attività d’impresa.
Per fondare un addebito personale occorre dimostrare, con riferimento al singolo componente e al concreto assetto dell’ente, una specifica fonte dell’obbligo, l’effettiva disponibilità di poteri di intervento, la violazione di una regola cautelare, il nesso causale tra omissione ed evento e l’elemento soggettivo richiesto. In alternativa, la responsabilità può derivare da un contributo commissivo o omissivo consapevole al reato altrui, ma anche in questo caso la mera inerzia o la vigilanza imperfetta non sono sufficienti senza la prova degli elementi costitutivi del concorso.
La linea interpretativa più recente impone quindi di separare tre piani: la responsabilità dell’ente per colpa di organizzazione; l’eventuale responsabilità degli organi gestori e dei responsabili operativi per il reato-presupposto; la responsabilità personale dei componenti dell’OdV. Solo una ricostruzione analitica dei compiti, dei poteri, delle informazioni ricevute e delle iniziative concretamente esigibili consente di stabilire se l’inerzia dell’OdV abbia rilievo penalmente tipico oppure costituisca soltanto una carenza organizzativa imputabile all’ente o, eventualmente, un inadempimento di natura civilistica.