MOG — Modello di Organizzazione, Gestione e Controllo

Riferimento normativo

Il quadro normativo del MOG in materia di sicurezza sul lavoro si articola su due livelli distinti ma complementari:

• D.Lgs. 231/2001 — introduce la responsabilità amministrativa delle persone giuridiche per i reati commessi nel loro interesse o vantaggio da soggetti apicali o sottoposti. Il Modello Organizzativo, se efficacemente adottato e attuato, costituisce la principale esimente di tale responsabilità (artt. 6 e 7).
• Art. 25-septies D.Lgs. 231/2001 — inserito dalla Legge 123/2007, estende la responsabilità degli enti ai reati di omicidio colposo (art. 589 c.p.) e lesioni personali colpose gravi o gravissime (art. 590 c.p.) commessi in violazione delle norme sulla salute e sicurezza sul lavoro, prevedendo sanzioni pecuniarie fino a 1.500 quote e interdittive.
• Art. 30 D.Lgs. 81/2008 — specifica il contenuto minimo del MOG in ambito sicurezza, elencando gli obblighi giuridici che il modello deve presidiare (valutazione rischi, attività di prevenzione e protezione, sorveglianza sanitaria, formazione e informazione dei lavoratori, vigilanza su appalti, gestione delle emergenze, controllo delle attrezzature).

Funzione esimente della responsabilità amministrativa

Ai sensi degli artt. 6 e 7 del D.Lgs. 231/2001, l'ente non risponde del reato se prova che:

• l'organo dirigente ha adottato ed efficacemente attuato, prima della commissione del reato, un modello organizzativo idoneo a prevenire reati della specie di quello verificatosi;
• il compito di vigilare sul funzionamento e l'osservanza del modello è stato affidato a un organismo autonomo dell'ente dotato di poteri di iniziativa e controllo (ODV — Organismo di Vigilanza);
• le persone fisiche che hanno commesso il reato hanno eluso fraudolentemente il modello;
• non vi è stata omessa o insufficiente vigilanza da parte dell'ODV.

L'esimente opera sia per i reati commessi da soggetti apicali (art. 6) sia per quelli commessi da soggetti sottoposti all'altrui direzione (art. 7), con la differenza che per i secondi è sufficiente che l'ente dimostri la violazione degli obblighi di direzione e vigilanza.

Struttura del MOG

Un MOG conforme al D.Lgs. 231/2001 e all'art. 30 D.Lgs. 81/08 si articola nelle seguenti componenti fondamentali:

• Mappatura dei rischi-reato— analisi delle attività aziendali sensibili in cui potrebbero verificarsi reati presupposto, con individuazione dei processi a rischio e valutazione della probabilità e dell'impatto degli illeciti.
• Protocolli di prevenzione — procedure operative, autorizzative e di controllo che regolano le attività a rischio identificate, garantendo tracciabilità delle decisioni e segregazione delle responsabilità.
• Codice Etico e sistema disciplinare— insieme di principi comportamentali e di sanzioni applicabili in caso di violazione del modello, indispensabili per la validità dell'esimente secondo la giurisprudenza.
• Organismo di Vigilanza (ODV)— organo interno o esterno, mono- o collegiale, con requisiti di autonomia, indipendenza, professionalità e continuità d'azione, incaricato di vigilare sull'attuazione e sull'aggiornamento del modello (art. 6, comma 1, lett. b) D.Lgs. 231/2001).
• Flussi informativi verso l'ODV— canali di segnalazione (incluso il whistleblowing) attraverso cui i soggetti aziendali informano l'ODV di anomalie, violazioni o criticità rilevate nel funzionamento del modello.
• Piano di formazione e comunicazione — programma per portare a conoscenza di tutti i destinatari il contenuto del MOG, il Codice Etico e le procedure operative.

Collegamento con il Sistema di Gestione della Sicurezza (SGSL)

L'art. 30, comma 5, D.Lgs. 81/08 stabilisce che un MOG si presume conforme ai requisiti normativi se è adottato e certificato secondo le procedure semplificate previste dalla Commissione consultiva permanente o secondo le norme di buona tecnica elaborate dagli organismi standardizzatori. In particolare:

• ISO 45001:2018(che ha sostituito OHSAS 18001:2007) — standard internazionale per i sistemi di gestione della salute e sicurezza sul lavoro; la sua certificazione accredidata costituisce elemento di presunzione di conformità del MOG relativamente ai profili prevenzionistici dell'art. 30 D.Lgs. 81/08.
• Linee guida UNI-INAIL — pubblicate nel 2001, offrono un riferimento per la costruzione di un SGSL integrato con il MOG, pur non avendo valore certificativo autonomo.

Il MOG non si sostituisce al SGSL, ma lo incorpora e lo completa con gli elementi tipici del D.Lgs. 231/2001 (mappa dei rischi-reato, ODV, sistema sanzionatorio), creando un sistema integrato di gestione e controllo in materia di salute e sicurezza.

MOG certificato e MOG non certificato

La distinzione tra MOG certificato e non certificato rileva sotto il profilo della presunzione di conformità e dell'onere della prova in giudizio:

• MOG non certificato— può comunque costituire esimente valida se è concretamente idoneo ed efficacemente attuato. Tuttavia, in caso di processo l'ente dovrà fornire prova della sua idoneità ed effettività senza potersi avvalere di presunzioni normative.
• MOG certificato da ente accreditato ACCREDIA— la certificazione del SGSL secondo ISO 45001 da parte di un organismo di certificazione accreditato da ACCREDIA (l'ente nazionale italiano di accreditamento riconosciuto dal D.Lgs. 274/2007 e dal Regolamento CE 765/2008) fa sorgere una presunzione relativa di conformità dell'assetto prevenzionistico del MOG alle prescrizioni dell'art. 30 D.Lgs. 81/08. Tale presunzione è superabile dalla prova contraria offerta dall'accusa.

La scelta tra MOG certificato e non certificato dipende dalla dimensione aziendale, dalla tipologia dei rischi presenti e dalla strategia di gestione del rischio penale adottata dall'ente.

Chi deve adottare il MOG

Il D.Lgs. 231/2001 si applica agli enti forniti di personalità giuridica, alle società e associazioni anche prive di personalità giuridica (art. 1), con alcune esclusioni (Stato, enti pubblici territoriali, enti pubblici non economici che svolgono funzioni di rilievo costituzionale). In materia di sicurezza sul lavoro, l'art. 30 D.Lgs. 81/08 riguarda in via generale i datori di lavoro soggetti al Testo Unico, senza soglie dimensionali esplicite.

Tuttavia, in considerazione dei costi di implementazione e della complessità organizzativa, il MOG strutturato secondo il D.Lgs. 231/2001 è concretamente adottato soprattutto da:

• imprese con più di 5 lavoratori soggette agli obblighi del D.Lgs. 81/08;
• aziende operanti in settori ad elevata esposizione al rischio infortunistico (edilizia, industria manifatturiera, chimica, logistica);
• società che partecipano ad appalti pubblici o che richiede certificazione SOA, nelle quali la conformità al D.Lgs. 231 è spesso richiesta dalla stazione appaltante o dal committente.

Per le microimprese e le imprese individuali, l'adozione del MOG rimane facoltativa ma può essere valutata in funzione del profilo di rischio specifico dell'attività svolta.

Effetti in sede penale: l'esimente per i reati ex art. 25-septies

L'art. 25-septies D.Lgs. 231/2001 prevede la responsabilità dell'ente per i delitti di omicidio colposo (art. 589 c.p.) e lesioni colpose gravi o gravissime (art. 590 c.p.) commessi con violazione delle norme antinfortunistiche. Le sanzioni applicabili all'ente includono:

• per l'omicidio colposo: sanzione pecuniaria da 1.000 a 1.500 quote (con quota variabile da 258 a 1.549 euro) e sanzioni interdittive da tre mesi a un anno;
• per le lesioni gravi: sanzione pecuniaria da 500 a 1.000 quote e sanzioni interdittive fino a sei mesi;
• per le lesioni gravissime: sanzione pecuniaria da 500 a 1.500 quote e sanzioni interdittive fino a un anno.

L'adozione ed efficace attuazione di un MOG adeguato, prima della commissione del fatto, costituisce esimente che esclude la responsabilità dell'ente ai sensi dell'art. 6 D.Lgs. 231/2001. La giurisprudenza ha chiarito che il modello deve essere non solo formalmente adottato, ma concretamente implementato e periodicamente aggiornato in relazione all'evoluzione dei rischi aziendali.