FAQ — MOG 231 e Sicurezza sul Lavoro: responsabilità dell'ente e modello esimente

Il Modello Organizzativo e di Gestione (MOG) è lo strumento previsto dal D.Lgs. 231/2001 che consente agli enti (società, associazioni, enti pubblici economici) di dotarsi di un sistema interno di prevenzione dei reati e di esonero dalla responsabilità amministrativa dipendente da reato. L'estensione alla sicurezza sul lavoro è avvenuta con la legge n. 123/2007, poi confluita nell'art. 30 del D.Lgs. 81/08 e nell'art. 25-septies del D.Lgs. 231/2001: se un lavoratore muore o subisce lesioni gravi a causa di una violazione delle norme antinfortunistiche, l'ente può essere chiamato a rispondere con sanzioni pecuniarie e interdittive (es. sospensione dell'attività, esclusione da gare pubbliche), a meno che non abbia adottato ed efficacemente attuato un MOG idoneo.

L'art. 25-septies del D.Lgs. 231/2001 individua due fattispecie: omicidio colposo commesso con violazione delle norme sulla tutela della salute e sicurezza sul lavoro (art. 589, comma 2, c.p.) e lesioni personali colpose gravi o gravissime commesse con le medesime violazioni (art. 590, comma 3, c.p.). Per l'omicidio colposo è prevista una sanzione pecuniaria da 1.000 a 2.000 quote, nonché sanzioni interdittive fino a un anno; per le lesioni gravi la sanzione pecuniaria va da 500 a 1.000 quote. Il valore di ciascuna quota varia da 258 a 1.549 euro, portando le sanzioni pecuniarie a cifre potenzialmente milionarie. La responsabilità dell'ente prescinde dall'accertamento della responsabilità penale della persona fisica e può cumularsi con essa.

No, il MOG 231 è formalmente facoltativo: nessuna norma impone alle imprese di adottarlo. Tuttavia, l'adozione è fortemente consigliata perché costituisce l'unica esimente dalla responsabilità amministrativa dell'ente prevista dall'art. 6 del D.Lgs. 231/2001. In sua assenza, se l'ente beneficia economicamente (anche indirettamente) di un reato commesso da soggetti in posizione apicale o subordinata, risponde automaticamente. Per le grandi imprese con elevata esposizione al rischio infortunistico (settori costruzioni, manifattura, logistica, chimica) la valutazione costi-benefici pende nettamente verso l'adozione. Per le PMI l'obbligo morale diventa stringente in presenza di commesse pubbliche o di contratti con grandi gruppi che richiedono la conformità 231.

L'art. 6 del D.Lgs. 231/2001, combinato con l'art. 30 del D.Lgs. 81/08, richiede che il MOG: (1) individui le attività nel cui ambito possono essere commessi i reati-presupposto; (2) preveda specifici protocolli diretti a programmare la formazione e l'attuazione delle decisioni dell'ente in relazione ai reati da prevenire; (3) individui modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati; (4) preveda obblighi di informazione nei confronti dell'Organismo di Vigilanza; (5) introduca un sistema disciplinare idoneo a sanzionare il mancato rispetto del modello. Ai fini della sicurezza sul lavoro l'art. 30 D.Lgs. 81/08 elenca specificamente le aree che il MOG deve presidiare: valutazione dei rischi, acquisto di attrezzature e DPI, sorveglianza sanitaria, attività di informazione e formazione, appalti, emergenze. Deve inoltre essere efficacemente attuato, non solo formalmente redatto.

L'Organismo di Vigilanza è il soggetto interno all'ente — collegiale o, per le PMI, monocratico — cui è affidato il compito di vigilare sul funzionamento, sull'osservanza e sull'aggiornamento del MOG. L'art. 6 D.Lgs. 231/2001 richiede che l'OdV abbia autonomia, indipendenza, professionalità e continuità d'azione. Non può coincidere con organi con poteri decisionali sull'attività d'impresa (es. CdA, AD). Può essere composto da soggetti interni (es. internal auditor, responsabile legale) o da professionisti esterni (avvocati, commercialisti, esperti di sicurezza), oppure da un mix. Nelle società di capitali medio-grandi è prassi consolidata affidare le funzioni di OdV al Collegio Sindacale (art. 6, comma 4-bis D.Lgs. 231/2001). L'OdV deve ricevere flussi informativi periodici, analizzare le segnalazioni (whistleblowing) e relazionare annualmente all'organo dirigente.

Il SGSL (es. conforme a ISO 45001 o alla linea guida INAIL-UNI) è un sistema di gestione operativo focalizzato sulla prevenzione degli infortuni e sulla tutela della salute: definisce politiche, obiettivi, processi e risorse per eliminare o ridurre i rischi. Il MOG 231 ha invece una finalità giuridico-esimente: serve a dimostrare che l'ente ha adottato misure organizzative idonee a prevenire i reati-presupposto, escludendo così la propria responsabilità amministrativa. L'art. 30 D.Lgs. 81/08 stabilisce che i modelli di organizzazione aziendale definiti conformemente alle Linee Guida UNI-INAIL 2001 o alla BS OHSAS 18001 (oggi ISO 45001) si presumono conformi ai requisiti del MOG ai fini esimenti. In pratica: un SGSL certificato ISO 45001, integrato con la parte 231 (OdV, sistema disciplinare, flussi informativi, mappatura reati), costituisce la soluzione più robusta e difendibile in sede processuale.

L'art. 51 del D.Lgs. 81/08 prevede che gli organismi paritetici (costituiti da associazioni di categoria datoriali e sindacati) possano asseverare i modelli di organizzazione e gestione adottati dalle imprese, rilasciando attestati che le ASL e gli organi di vigilanza devono tenere in considerazione. L'asseverazione non è una certificazione di conformità né garantisce automaticamente l'esimente 231: è uno strumento volontario che rafforza la presunzione di idoneità del modello, ma il giudice conserva la facoltà di valutare nel merito se il MOG fosse concretamente adeguato e attuato. Ha quindi valore probatorio in sede processuale, riducendo il rischio di condanna dell'ente, ma non sostituisce la valutazione giudiziaria. Per le PMI rappresenta un percorso più accessibile rispetto alla certificazione ISO 45001.

I costi variano significativamente in funzione delle dimensioni aziendali, della complessità del ciclo produttivo e del punto di partenza (presenza o meno di un SGSL preesistente). Per una PMI manifatturiera con 20-50 dipendenti si può stimare: redazione del modello e mappatura dei rischi reato da parte di consulenti specializzati, 3.000-8.000 euro; adozione del Codice Etico e del sistema disciplinare, 500-1.500 euro; nomina e compenso annuale dell'OdV (monocratico esterno), 2.000-5.000 euro/anno; formazione del personale, 500-2.000 euro; aggiornamenti periodici, 1.000-3.000 euro/anno. Il totale del primo anno si colloca indicativamente tra 6.000 e 18.000 euro. A fronte di sanzioni 231 che possono superare il milione di euro (senza contare i danni reputazionali e le sanzioni interdittive), il costo dell'investimento è spesso inferiore al solo massimale assicurativo della RC verso terzi.

Il Documento di Valutazione dei Rischi (DVR) ex art. 28 D.Lgs. 81/08 e il MOG 231 ex art. 30 D.Lgs. 81/08 sono strumenti complementari e devono essere coerenti tra loro. Il DVR identifica i rischi lavorativi e le misure di prevenzione e protezione; il MOG 231 verifica che i processi decisionali e organizzativi inerenti alla sicurezza (acquisto DPI, nomina figure, gestione appalti, formazione) siano presidiati da protocolli idonei a prevenire i reati-presupposto. In pratica: la mappatura dei rischi-reato del MOG si alimenta anche dalle risultanze del DVR; le procedure del MOG formalizzano le responsabilità per l'attuazione delle misure individuate nel DVR; l'OdV verifica che il DVR sia aggiornato e che le misure siano effettivamente applicate. I due documenti devono essere aggiornati in modo coordinato, soprattutto in occasione di modifiche organizzative, introduzione di nuove lavorazioni o variazioni del ciclo produttivo.

Un infortunio grave o mortale è un segnale che il modello potrebbe non aver funzionato efficacemente: l'OdV deve essere immediatamente informato e deve aprire un'istruttoria interna per verificare se il reato-presupposto (art. 25-septies) sia configurabile e se i protocolli del MOG siano stati rispettati. L'aggiornamento del MOG va effettuato: (1) analizzando le cause dell'evento tramite root cause analysis, coinvolgendo RSPP, medico competente e, ove necessario, consulenti legali; (2) identificando le lacune nei protocolli esistenti (formazione, sorveglianza, appalti, manutenzione); (3) revisionando la mappatura dei rischi-reato e le procedure di controllo; (4) documentando tutte le modifiche e portandole all'approvazione dell'organo dirigente; (5) comunicando le variazioni ai soggetti coinvolti e verificandone l'attuazione. È fondamentale che l'aggiornamento sia tempestivo e documentato, poiché in sede processuale il giudice valuterà se l'ente ha reagito all'evento con misure correttive adeguate.