La responsabilità 231 nei gruppi di imprese: il caso esaminato a Master Telefisco

Il fenomeno dei gruppi di imprese costituisce una realtà consolidata dell'organizzazione economica contemporanea, senza che a esso corrisponda, sul piano dell'ordinamento e, in particolare, della responsabilità penale, una disciplina unitaria e sistematica.

In tale contesto si inserisce il D.Lgs. n. 231/2001, che mantiene un'impostazione fondata sull'autonomia di ciascun ente: il legislatore, infatti, ha escluso l'introduzione di forme di responsabilità automatica della società capogruppo e non ha previsto un regime di responsabilità concorrente tra le società appartenenti al medesimo gruppo.

Ne consegue che la responsabilità non "risale" né "circola" automaticamente all'interno del gruppo: per ciascun ente devono essere accertati, singolarmente, tutti i criteri di imputazione dell'illecito - il reato presupposto, il rapporto qualificato dell'autore con l'ente, l'interesse o il vantaggio e la colpa di organizzazione.

Le peculiarità del gruppo, però, generano un pericolo concreto di risalita delle responsabilità: la comunanza soggettiva nella governance e quella oggettiva nell'operatività aziendale rendono più permeabili i confini tra le società.

È un rischio da governare nella progettazione del sistema di prevenzione.

Il punto di partenza è l'assenza, in capo alla capogruppo, di una posizione di garanzia. L'attività di direzione e coordinamento si esprime mediante direttive non vincolanti, e gli organi amministrativi delle controllate conservano integra la propria autonomia gestoria e la correlativa responsabilità. Manca, quindi, quel potere impeditivo necessario per configurare una posizione di garanzia ex art. 40, comma 2, c.p. e addebitare alla holding l'illecito della controllata a titolo di culpa in vigilando.

Coerentemente, la giurisprudenza di legittimità esclude ogni automatismo. Salvo una pronuncia rimasta isolata, che si è limitata a richiamare un generico "interesse di gruppo" (Cass. pen., n. 4324/2012), l'orientamento consolidato (Cass. pen., n. 24583/2011;  n. 52316/2016), da ultimo ribadito da Cass. pen., n. 14343/2025, richiede che, perché una società risponda del reato commesso nell'ambito di un'altra del gruppo, un soggetto abbia agito per suo conto e l'illecito sia stato commesso anche nel suo interesse o si sia risolto anche a suo vantaggio, da verificare in concreto quale utilità potenziale o effettiva, non necessariamente patrimoniale.

Il vero nucleo del sistema resta la colpa di organizzazione che sola rende la responsabilità dell'ente compatibile con i principi costituzionali.

Alcuni fattori tipici del gruppo amplificano il rischio di risalita. Il principio di effettività, cui il decreto è ispirato, valorizza infatti chi esercita di fatto, in modo continuativo e significativo, la gestione e il controllo dell'ente, con conseguente rilievo della figura dell'amministratore di fatto.

La frequente presenza della capogruppo nella vita delle controllate - comitati, consigli di amministrazione, accentramento di funzioni chiave - aumenta perciò il rischio moltiplicativo delle responsabilità e impone attenzione alla scelta degli amministratori e alla delimitazione e documentazione dei loro poteri.

Su queste basi si colloca la questione dell'integrazione dei sistemi di compliance.

Le Linee Guida Confindustria diffidano della condivisione o sovrapposizione dei modelli tra società del medesimo gruppo, sino a scorgervi un indice di aprioristica inidoneità.

Gli standard tecnici muovono invece in direzione opposta: la UNI ISO 37301:2021 richiede che l'organizzazione determini i confini e l'applicabilità del proprio sistema di gestione della compliance, tanto più quando essa sia parte di un'entità di dimensioni maggiori, quale è un gruppo.

Depone nello stesso senso la giurisprudenza sull'idoneità del modello. Con la sentenza sul disastro di Viareggio (Cass. pen., sez. IV, n. 32899/2021) la Cassazione ha adottato un approccio sostanzialistico: la mancanza di un modello idoneo è circostanza atta a dimostrare la colpa di organizzazione, ma non coincide con e, soprattutto, non può desumersi dal solo fatto che l'assetto organizzativo sia comune ad altra impresa del gruppo.

Più di recente, Cass. pen., sez. IV, n. 30039/2025 ha chiarito che il modello, per sua natura, non deve scendere nel dettaglio tecnico-operativo, ma delineare principi, procedure generali e flussi informativi, essendo la specificità demandata ai documenti di valutazione dei rischi e alle istruzioni operative; la stessa pronuncia riconosce che un modello conforme o certificato secondo standard internazionali è un elemento che deve essere superato dalla dimostrazione dell'inadeguatezza sostanziale del sistema.

Si consideri un gruppo industriale la cui capogruppo esercita direzione e coordinamento (art. 2497 c.c.) su più consociate operanti nel medesimo settore, con funzioni chiave accentrate e un contratto di servizi intercompany.

Il gruppo deve dotarsi dei Modelli di organizzazione, gestione e controllo ex d.lgs. 231/2001, o aggiornarli, e si interroga sull'assetto più efficace.

Tre sono le domande ricorrenti.

Primo: è legittimo adottare un Modello 231 "di gruppo", con parti comuni condivise tra le consociate, oppure la condivisione costituisce un indice di inidoneità?

Secondo: l'adozione di un modello comune, unita all'accentramento delle funzioni, espone la capogruppo alla risalita della responsabilità per l'illecito commesso in una consociata?

Terzo: come strutturare il modello perché risulti idoneo?

Sulla prima domanda la risposta è positiva. È legittimo condividere un Codice etico di gruppo, nonché alcuni contenuti della Parte generale (come, ad esempio, l'analisi del contesto) e, previo effettivo vaglio di adeguatezza, anche specifiche misure organizzative della Parte speciale, soprattutto tra società dello stesso settore con i medesimi rischi elettivi.

In tale ambito va ricordato che l'abbondanza di regole non è sinonimo di maggiore efficacia: pochi principi chiari e uniformi, attuati con procedure di dettaglio calibrate sulla singola società, sono preferibili a una moltitudine di norme che, stratificandosi, rischiano di contraddirsi.

Sulla seconda domanda il timore di risalita va fortemente ridimensionato.

In assenza di una posizione di garanzia della holding e stante la necessità di accertare in concreto un interesse o vantaggio proprio, il modello comune non genera automatismi.

Anzi, un Modello di gruppo che assicuri una buona governance dei rischi di reato anche presso le consociate depone a favore dell'ente: lo stesso legislatore contempla la possibilità che si verifichino violazioni delle prescrizioni (art. 7, comma 3; art. 6, comma 2, lett. e; art. 7, ultimo comma) e manda esente l'ente che le scopra ed elimini tempestivamente, ne sanzioni l'autore e, se del caso, modifichi il modello.

Sulla terza domanda (come strutturare il modello perché risulti idoneo?), l'idoneità si costruisce lungo una struttura documentale ordinata. La Parte generale inquadra il gruppo e il suo contesto, le parti interessate e i principali rischi di compliance. Segue l'analisi e valutazione dei rischi, da estendere ai processi esternalizzati e alle terze parti, profilo oggi tanto più rilevante alla luce della contestazione del concorso della committente nel reato del fornitore.

La Parte speciale valorizza i controlli già presenti in altri ambiti di compliance e si articola in protocolli per processo.

A presidio del sistema si colloca una gerarchia dei controlli su tre livelli: controlli di linea, controlli di strutture indipendenti e controlli di terzo livello. Chiude il ciclo la gestione documentata delle non conformità, con un registro che tracci la reazione all'evento, le cause, le azioni correttive e le eventuali modifiche del modello.

Il primo errore è presumere una risalita automatica della responsabilità alla capogruppo. Senza un interesse o vantaggio proprio, verificato in concreto, e senza una colpa di organizzazione della holding, non vi è responsabilità: manca, in radice, una posizione di garanzia ex art. 40, comma 2, c.p.

Il secondo è inseguire una "compartimentazione stagna" tra i modelli delle consociate. Modelli totalmente separati collidono con l'accentramento fisiologico delle funzioni e non eliminano il rischio: è preferibile governarlo in modo coerente.

Il terzo è confondere la quantità con l'idoneità. Moltiplicare regole e documenti, spesso duplicati, non rende il modello più idoneo; contano la qualità dei principi e la loro effettiva attuazione.

Il quarto è trascurare terze parti e processi esternalizzati nel risk assessment: la possibile contestazione del concorso della committente nel reato del fornitore impone di valutare i rischi anche a monte della filiera.

Il quinto riguarda la governance degli organi. La partecipazione della capogruppo agli organi delle controllate va delimitata e accuratamente documentata, per non ampliare le occasioni di risalita.

La griglia seguente riassume i controlli essenziali per impostare un Modello 231 di gruppo idoneo ed efficacemente attuato. La presenza anche di un solo elemento nella colonna di destra impone un supplemento di analisi prima di procedere.

Nel contesto dei gruppi societari, la responsabilità da reato degli enti continua a essere disciplinata secondo il principio dell'autonomia di ciascuna società. Ne consegue che la commissione di un illecito da parte di una società del gruppo non determina, di per sé, l'estensione della responsabilità alla capogruppo, pur permanendo profili di rischio che richiedono un'attenta valutazione.

Un Modello 231 con parti comuni condivise e dettaglio calibrato sulla singola società, una gerarchia dei controlli effettiva e una gestione documentata delle non conformità, non solo è compatibile con il giudizio di idoneità, ma migliora la governance complessiva dei rischi di reato.