Compliance 231
Due diligence su fornitori e clienti: integrare il rischio sanzionatorio nel Modello 231
La violazione delle misure restrittive internazionali diventa reato presupposto della responsabilità dell'ente. Il Modello 231 non è più adeguato se non presidia il rischio sanzionatorio lungo tutta la catena di fornitori, clienti e intermediari — e non una volta sola, ma nel tempo.
Da adempimento a leva strategica
Per anni la compliance è stata percepita come un costo: un insieme di adempimenti da soddisfare per evitare sanzioni. Il contesto internazionale e i più recenti interventi normativi stanno ribaltando questa lettura. La conformità diventa una leva attiva di gestione e di creazione di valore — uno strumento per tutelare il patrimonio dell'impresa, la sua reputazione e la sua stessa capacità di operare sui mercati internazionali.
Il punto non è più soltanto non essere sanzionati. È mantenere l'accesso ai mercati, la fiducia delle controparti bancarie e la continuità delle relazioni commerciali in uno scenario geopolitico dove una misura restrittiva può ridisegnare da un giorno all'altro la mappa dei partner con cui è lecito operare.
Il nuovo reato presupposto
L'impatto più diretto riguarda il Modello di organizzazione, gestione e controllo ai sensi del Dlgs 231/2001. La violazione delle misure restrittive per gli scambi internazionali entra a far parte dei reati presupposto della responsabilità amministrativa degli enti, con l'introduzione di un nuovo articolo dedicato — l'art. 25-octies.2 (Dlgs 211/2025).
La conseguenza è concreta: un Modello 231 che non contempli il rischio sanzionatorio è, da oggi, un Modello potenzialmente incompleto. Non basta aggiornare l'elenco dei reati. Occorre rivedere i processi aziendali nelle aree più esposte, definire ruoli e responsabilità, dotarsi di controlli efficaci e garantire flussi informativi adeguati verso l'Organismo di Vigilanza.
«La violazione delle sanzioni internazionali non è più solo un rischio economico o reputazionale. È un illecito che può generare responsabilità penale in capo all'ente.»
Le aree esposte
Il rischio non è distribuito in modo uniforme. Si concentra dove l'impresa entra in contatto con l'estero e con controparti di cui conosce poco: l'export, i flussi finanziari e la gestione dei fornitori. Sono le aree in cui una due diligence superficiale — o fatta una volta sola all'inizio del rapporto — lascia scoperto l'ente.
Le imprese sono chiamate ad adottare politiche strutturate di gestione del rischio sanzionatorio: non un controllo occasionale, ma un processo con responsabilità chiare, sistemi di verifica e una reportistica che l'OdV possa consultare e archiviare.
Le misure operative
È qui che la norma diventa operativa. Tra le misure più rilevanti che un Modello 231 aggiornato deve prevedere ci sono, in concreto: lo screening sistematico di fornitori, clienti e intermediari contro le liste sanzionatorie internazionali; l'identificazione del titolare effettivo dei partner commerciali, poiché una società formalmente pulita può essere controllata da soggetti colpiti da misure restrittive; la verifica della destinazione e dell'utilizzatore finale dei prodotti, con particolare attenzione ai beni a duplice uso; e procedure formalizzate di due diligence su tutta la filiera, con clausole contrattuali di salvaguardia e formazione del personale.
Sono misure che condividono una natura: non sono attività da svolgere una tantum in sede di consulenza, ma controlli ricorrenti che richiedono dati aggiornati. Uno screening sanzionatorio vale il giorno in cui è fatto; la titolarità effettiva cambia con le cessioni di quote; le liste vengono aggiornate ogni settimana.
Il monitoraggio continuo
Ed è questo il punto che distingue un adempimento formale da un presidio efficace. La norma richiede espressamente un monitoraggio continuo dell'evoluzione delle politiche sanzionatorie nei confronti dei Paesi terzi.
La differenza è sostanziale. Una due diligence tradizionale è una fotografia: verifica una controparte in un dato momento e produce un documento che, il giorno dopo, comincia a invecchiare. Ma un fornitore in regola a gennaio può finire in una lista sanzionatoria a marzo — e senza un meccanismo che segnali quel cambiamento, l'ente continua a operare con una controparte diventata critica, convinto di aver fatto la propria verifica.
«Il Modello non deve dimostrare di aver verificato una volta. Deve dimostrare di verificare di continuo.»
Trasformare la due diligence da evento isolato a sorveglianza permanente — con alert sulle variazioni e una traccia documentale di ogni controllo — è ciò che consente all'OdV di sostenere che il presidio è realmente attivo, e non solo dichiarato sulla carta.
I PIC e il dual-use
Accanto al Modello 231 assumono particolare importanza i Programmi Interni di Conformità (PIC): un insieme strutturato di politiche e procedure finalizzate a garantire il rispetto, da parte degli esportatori, delle disposizioni del Regolamento europeo 2021/821 in materia di controlli sul commercio dei prodotti a duplice uso (dual-use).
I PIC si fondano su elementi ricorrenti: l'impegno del vertice aziendale, una chiara struttura organizzativa, la formazione del personale, procedure di controllo sulle esportazioni, sistemi di audit e monitoraggio, documentazione adeguata e misure di sicurezza. Sono, in sostanza, l'infrastruttura di controllo che rende verificabile la conformità sui flussi di export più sensibili.
Integrazione tra Modello 231 e PIC
In uno scenario geopolitico in continua evoluzione, le imprese sono esposte alle misure restrittive non solo dell'Unione europea, ma anche di altri attori — Stati Uniti e organizzazioni sovranazionali in primis. Le conseguenze di una violazione non si esauriscono sul piano economico o reputazionale: possono assumere rilevanza penale e incidere direttamente sulla responsabilità dell'ente.
Per questo, come rilevato da Assonime, è opportuno valutare l'integrazione tra Modello 231 e PIC: far dialogare i due sistemi per tradurre i principi normativi in controlli operativi concreti, applicati nelle aree sensibili come i processi di import/export. Due presidi che, tenuti separati, rischiano di duplicarsi o di lasciare zone grigie; integrati, coprono il rischio sanzionatorio in modo coerente.
L'idoneità del modello
C'è un motivo per cui questa integrazione non è un semplice consiglio di buona gestione. Secondo l'orientamento richiamato da Assonime, l'integrazione tra Modello 231 e PIC potrebbe configurarsi come condizione necessaria per sostenere l'idoneità del Modello 231 stesso.
È un cambio di prospettiva rilevante. L'Organismo di Vigilanza non adotta questi strumenti per timore della sanzione, ma per poter dimostrare — in sede di giudizio — che il Modello era idoneo a prevenire il reato. E l'idoneità non si afferma: si prova con le evidenze. Report datati e verificabili, screening documentati, alert archiviati sulle variazioni delle controparti, una catena di controlli che regga davanti a un giudice.
La due diligence su fornitori e clienti non è un accessorio del Modello 231. Con l'ingresso del rischio sanzionatorio tra i reati presupposto, ne è diventata parte strutturale — e la sua efficacia si misura sulla capacità di produrre prova, nel tempo, di ciò che è stato verificato.
Per approfondire il rapporto tra identificazione della controparte, titolarità effettiva e valutazione del rischio, consulta anche Adeguata verifica della clientela: dal KYC al rischio reale .
← Torna alle risorse