Nota a Cass., Sez. IV pen., 4 marzo 2026, n. 8397
La sentenza che si commenta si presta a una doppia lettura. Sul piano strettamente giuridico, essa rinsalda l’ormai consolidato orientamento della Sezione IV in materia di responsabilità da reato dell’ente per infortuni sul lavoro, ricomponendo il rapporto fra criteri di imputazione oggettiva, “colpa di organizzazione” e meccanismi premiali di cui all’art. 12, D.lgs. 231/2001. Sul piano gestionale, però, la pronuncia parla in modo molto diretto a chi governa l’impresa: la responsabilità dell’ente non è un accidente esterno, bensì la proiezione patrimoniale e reputazionale di scelte – o non-scelte – di governance. Il rischio infortunistico, in altri termini, smette di essere una variabile tecnica delegata alla funzione HSE per diventare un elemento strutturale della valutazione del rischio d’impresa, di pertinenza dell’organo amministrativo e dei suoi comitati.
Letta in questa chiave, la sentenza è un caso di scuola sulle conseguenze, anche economiche, di un disallineamento fra modello organizzativo formalmente adottato e prassi operative effettivamente in essere. Il “bypass” dei dispositivi di sicurezza, la formazione non erogata, la continuità produttiva preservata a scapito delle cautele: sono tutte voci che, sommate, producono un “vantaggio” per l’ente nel senso dell’art. 5, ma che – sul piano della governance – segnalano un fallimento del sistema di controllo interno. Da qui il filo conduttore di questa nota: leggere la pronuncia non solo come arresto giurisprudenziale, ma come strumento di benchmarking dei propri presìdi 231 e, più in generale, dell’architettura di risk management aziendale.
1 Premessa
La pronuncia in epigrafe si inserisce nel consolidato orientamento in tema di responsabilità da reato degli enti per reati colposi di evento in tema di salute e sicurezza sul lavoro, che muove dai criteri di imputazione oggettiva di cui all’art. 5, D.lgs. 231/2001 (interesse o vantaggio) e dalla nozione di colpa di organizzazione (Sez. Un., 24 aprile 2014, n. 38343, ThyssenKrupp), in quanto rimprovero fondato sull’inosservanza di cautele organizzative idonee a prevenire reati della specie di quello verificatosi.
L’architrave concettuale, ormai sedimentato nella giurisprudenza di legittimità, va però letto in chiave d’impresa: la “colpa di organizzazione” non è un mero requisito ascrittivo, bensì la traduzione, sul terreno sanzionatorio, della qualità complessiva del sistema di governo del rischio. In una prospettiva strategica, ciò significa che la mappatura dei rischi-reato, l’assetto delle deleghe, la formazione e il flusso informativo verso l’Organismo di Vigilanza non sono adempimenti documentali ma componenti del sistema di controllo interno di cui l’organo amministrativo risponde anche ai sensi dell’art. 2086, comma 2, c.c.
Nel medesimo solco, la Corte ribadisce i presupposti e il perimetro applicativo delle riduzioni della sanzione pecuniaria ex art. 12, con particolare riguardo all’ipotesi di concorso delle condizioni di cui al comma 2 (risarcimento integrale del danno e adozione/operatività del MOG prima dell’apertura del dibattimento), che impone la riduzione dalla metà ai due terzi ex comma 3.
In parallelo, il Collegio si pone in linea con gli arresti più recenti della Sezione IV, che distinguono con nettezza tra interesse (proiezione finalistica ex ante) e vantaggio (esito oggettivo ex post), includendo, tra i profili vantaggiosi, sia il risparmio di spesa (ad es., in tema di formazione non erogata, si veda Cass., Sez. IV pen., 5 giugno 2024, n. 22586) sia la continuità del ciclo produttivo (Cass., Sez. IV pen., 10 febbraio 2026, n. 5357).
Il messaggio, per chi governa l’impresa, è chiaro: ogni scelta che incide – anche solo di riflesso – sul ritmo produttivo o sui costi della prevenzione genera una traccia oggettiva, suscettibile di essere riletta ex post in chiave di “vantaggio” dell’ente. Non si tratta, dunque, di evitare risparmi, bensì di documentare, a monte, che le scelte allocative sono state assunte nel rispetto del perimetro cautelare.
2 Il fatto
La vicenda origina dall’infortunio occorso a un tirocinante addetto a una linea per la produzione di vassoi in plastica: nel tentativo di rimuovere una velina inceppata, l’operatore apriva la barriera di protezione e veniva ferito dalla lama che, invece di bloccarsi, riprendeva a tagliare i fogli.
Gli accertamenti della ASL evidenziavano carenze formative e informative sul sistema di sicurezza, oltre alla rimozione dei dispositivi di sicurezza dalla macchina. Infatti, i microinterruttori di sicurezza risultavano neutralizzati dalla presenza di un selettore a bordo macchina, consentendo la marcia a ripari aperti.
Si tratta, sul piano del risk management, di una dinamica esemplare: la coesistenza di un “bypass” tecnico stabilizzato e dell’impiego operativo di un soggetto in posizione strutturalmente debole (il tirocinante) costituisce un classico segnale di allarme che un sistema di controllo interno maturo dovrebbe intercettare ben prima dell’evento, attraverso audit di prima e seconda linea, near-miss reporting e verifiche periodiche dell’OdV sui flussi informativi provenienti dal RSPP e dalla funzione HSE.
Il Tribunale, ritenendo sussistente l’illecito ex art. 25‑septies, c. 3, D.lgs. 231/2001 (art. 590 c.p.), irrogava alla società una sanzione pecuniaria per € 13.000 e sanzioni interdittive per la durata di tre mesi. La Corte d’appello riduceva l’importo della sanzione pecuniaria a € 8.666, facendo applicazione del comma 2 dell’art. 12. La società proponeva ricorso per Cassazione.
3 Il ragionamento della Cassazione
3.1. Quadro normativo e principi applicabili
Il Supremo Collegio riafferma che la responsabilità dell’ente ex D.lgs. 231/2001 configura un tertium genus, distinto tanto dalla responsabilità penale della persona fisica quanto da quella amministrativa in senso classico, e che il suo fondamento è da rinvenire nei criteri di imputazione di cui all’art. 5 (alternativi e concorrenti) e nella “colpa di organizzazione” quale requisito tipico dell’illecito dell’ente. Il difetto di presìdi (mappatura dei rischi, procedure, formazione, vigilanza) deve emergere normativamente – ovvero quale violazione di una regola cautelare/organizzativa imposta dall’ordinamento – e non in termini meramente formali.
La precisazione è dirimente nella prospettiva del board: non basta poter esibire un MOG e un OdV per sterilizzare il rischio 231. Il giudizio sulla colpa di organizzazione si svolge sul piano sostanziale, misurando l’aderenza dei presìdi alla regola cautelare e alla concreta operatività dell’ente. Ne discende che la qualità del modello dipende, in ultima analisi, dalla profondità della gap analysis sottostante e dalla capacità del sistema di controllo interno di aggiornarsi rispetto ai cambiamenti organizzativi, tecnologici e di processo.
Quanto ai criteri di imputazione, viene ribadito a) la distinzione concettuale e temporale tra interesse (ex ante, teleologico) e vantaggio (ex post, oggettivo); b) la piena compatibilità dei medesimi con reati colposi antinfortunistici; c) la riconducibilità del risparmio di spesa (formazione omessa, elusione del fermo macchina) e della continuità produttiva al vantaggio dell’ente.
3.2. Interesse, vantaggio e “colpa di organizzazione” nel caso concreto
La Corte ritiene non illogica la motivazione che ha ravvisato un vantaggio concreto: la disattivazione dei dispositivi di sicurezza e la mancata formazione del tirocinante hanno prodotto un risparmio economico e assicurato continuità al ciclo, con significatività rapportata alle dimensioni dell’impresa; non è necessaria una quantificazione analitica ove il compendio probatorio consenta un giudizio qualitativo di concretezza e incidenza. Il quadro integra, pertanto, la “colpa di organizzazione”, quale deficit di governo del rischio prevenibile e prevenuto dalla disciplina cautelare.
Quest’ultimo passaggio merita di essere isolato per il suo peso operativo: la rinuncia a una quantificazione analitica del “vantaggio” sposta l’attenzione dal terreno – tipicamente difensivo – della contestazione delle stime economiche al terreno – ben più esigente per l’impresa – della ricostruzione qualitativa della governance del rischio. In sede di internal audit, ciò significa che la difesa dell’ente si gioca sulla capacità di dimostrare che ogni scelta allocativa è stata assunta entro un perimetro cautelare presidiato e tracciato, non sulla disputa contabile circa l’entità dei risparmi conseguiti. Diventa centrale, di conseguenza, la qualità della documentazione di processo: verbali del CdA, deliberazioni in materia di investimenti HSE, flussi informativi verso l’OdV, evidenze formative.
3.3. Nesso causale e imputazione all’ente
La Corte richiama la prospettiva dell’immedesimazione organica “rafforzata”: l’azione del soggetto inserito nella struttura organizzativa, funzionalmente rivolta a soddisfare istanze dell’ente (evitare fermi macchina, comprimere costi), consente l’imputazione all’ente medesimo, senza scivolare nella responsabilità oggettiva, purché siano accertati reato presupposto, criteri di imputazione e deficit organizzativo.
In una lettura gestionale, l’“immedesimazione rafforzata” impone di rileggere con attenzione la coerenza fra obiettivi assegnati alle linee operative e perimetro cautelare. Sistemi premiali tarati esclusivamente su KPI di output (rese di linea, tempi di set-up, contenimento dei fermi), in assenza di KPI presidiati di natura HSE e di compliance, costituiscono un fattore latente di esposizione ex art. 5, perché orientano comportamenti che il giudice penale può poi ricondurre, ex post, all’interesse o al vantaggio dell’ente. Il disegno dei sistemi MBO e degli incentivi di linea diventa, così, un terreno di rilievo 231 a tutti gli effetti.
3.4. Trattamento sanzionatorio e art. 12, D.lgs. 231/2001
Il nucleo decisorio è rappresentato dalla disapplicazione del comma 2 dell’art. 12, a fronte del concorso di entrambe le condizioni riduttive (risarcimento integrale e adozione/operatività di un MOG idoneo prima dell’apertura del dibattimento), che rende doverosa la riduzione dalla metà ai due terzi ex comma 3. Accertata in appello la volontà di attestarsi al minimo, la Cassazione procede alla rideterminazione della pecuniaria ex art. 620 c.p.p., quantificandola in € 6.500. La decisione chiarisce, anche sul piano operativo, che il momento temporale e la effettività del MOG sono indice decisivo per l’accesso al comma 3.
Sotto il profilo della governance, questo è il passaggio della pronuncia con il maggiore impatto pratico. La disciplina premiale ex art. 12 non si attiva con la mera adozione di un modello, ma con la sua effettiva operatività prima dell’apertura del dibattimento: due requisiti distinti, entrambi necessari, entrambi da documentare. Ne deriva che il timing delle decisioni post-evento – istruttoria interna, eventuale aggiornamento del MOG, definizione delle posizioni risarcitorie – diventa una variabile sanzionatoria a tutti gli effetti, e come tale deve essere governata dal vertice con la stessa attenzione riservata alle altre decisioni di rilievo. Un MOG “cartolare”, adottato in fretta dopo il fatto e privo di evidenze di operatività (audit, formazione, flussi informativi, riunioni dell’OdV, tracciamento delle non conformità), non consente di accedere al beneficio del comma 3 e produce, in concreto, un costo sanzionatorio incrementale rispetto a un modello effettivo.
4 Considerazioni conclusive e implicazioni operative
La sentenza in commento si colloca nel solco di un orientamento ormai consolidato che attribuisce centralità all’assetto organizzativo dell’ente e alla gestione preventiva dei rischi ai fini della responsabilità ex D.lgs. 231/2001, valorizzando i criteri di imputazione oggettivi (interesse e vantaggio) e la nozione di “colpa di organizzazione” delineata dalle Sezioni Unite.
La pronuncia ribadisce che la sicurezza sul lavoro non può essere affidata alla sola diligenza individuale, ma richiede un modello organizzativo effettivo: valutazione dei rischi, formazione mirata («mancata assunzione di costi per la formazione del lavoratore peraltro mero tirocinante»), istruzioni chiare, controlli e presidi tecnici attivi (con monitoraggio di eventuali override o bypass). Il caso di specie – in cui alla disattivazione delle misure di sicurezza concorrevano le carenze formative – rende evidente come il deficit di governance si traduca in vantaggio per l’ente (risparmio di costi/tempi e continuità produttiva), criterio idoneo a fondare l’imputazione ex art. 5, D.lgs. 231/2001.
Sul piano della compliance, la Corte offre un chiarimento operativo di rilievo: quando l’ente, prima dell’apertura del dibattimento, risarcisce integralmente e adotta/rende operativo un MOG idoneo, la riduzione della sanzione pecuniaria deve collocarsi nel range del comma 3 dell’art. 12 (dalla metà ai due terzi), non nel solo intervallo del comma 2.
Ne discende, in prospettiva applicativa, un doppio messaggio: da un lato, l’ente risponde quando il fatto si inscrive in un rischio organizzativo non governato (colpa di organizzazione); dall’altro, il legislatore incentiva azioni riparatorie e di risanamento realmente anticipatorie del rischio (MOG attuato, non meramente cartolare), che incidono concretamente sulla misura sanzionatoria. L’asse prevenzione–modello organizzativo–responsabilità dell’impresa ne esce ulteriormente rafforzato, in continuità con i principi affermati dalla giurisprudenza più autorevole.
In una prospettiva di governance, la pronuncia consente di estrarre alcune indicazioni di metodo che parlano direttamente all’organo amministrativo. In primo luogo, la valutazione del rischio 231 deve essere integrata, e non sovrapposta, al sistema di Enterprise Risk Management: i rischi di reato presupposto vanno mappati assieme ai rischi operativi, finanziari e reputazionali, perché è la loro intersezione – come dimostra il caso – a generare il “vantaggio” per l’ente. In secondo luogo, l’effettività del MOG si misura sui flussi informativi e sulla tracciabilità delle decisioni, non sull’aggiornamento formale del documento; di qui la centralità del rapporto fra OdV, internal audit e funzione HSE, che richiede protocolli di scambio strutturati e periodici. In terzo luogo, le decisioni post-evento – risarcimento, aggiornamento del modello, riassetto delle deleghe – vanno inquadrate sin da subito come leve sanzionatorie, da gestire con tempistiche compatibili con l’art. 12, comma 3.
In definitiva, la sentenza n. 8397/2026 ribadisce che, nel sistema 231, la qualità della governance non è una variabile esterna alla disciplina sanzionatoria, ma ne costituisce parte integrante: presidiarla in modo effettivo non è solo un dovere giuridico, ma una scelta razionale di tutela del valore dell’impresa.
Dott. Giuseppe Monteleone
Adamo Brunetti – CEO CO.DE.
