Misure restrittive UE e adeguamento del Modello 231

Il contributo, partendo da un’analisi delle modifiche apportate dal Decreto Legislativo 30 dicembre 2025, n. 211 recante “Attuazione della direttiva 2024/1226/UE del Parlamento europeo e del Consiglio, del 24 aprile 2024, relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione e che modifica la direttiva (UE) 2018/1673” alla disciplina della Responsabilità Amministrativa degli Enti ex D.Lgs. 231/2001, si pone l’obiettivo di evidenziare i processi aziendali potenzialmente interessati da tali novità. Vengono inoltre forniti alcuni esempi di presidi di controllo idonei a mitigare il rischio di configurazione dei reati di nuova introduzione.

1. Introduzione: le modifiche al D.Lgs. 231/2001 a seguito dell’entrata in vigore del D.Lgs. 211/2025

Il Decreto Legislativo n. 211/2025, tra le principali novità introdotte a seguito della sua entrata in vigore, ha ampliato il novero dei reati‑presupposto previsti dal D. Lgs. 231/2001 mediante l’inserimento dell’art. 25‑octies.2, recante la disciplina dei reati in materia di violazione delle misure restrittive dell’Unione Europea.

L’inserimento dei reati in materia di violazione di sanzioni disposte dall’Unione Europea comporta una significativa estensione del perimetro applicativo del D.lgs. 231/2001. Si tratta difatti di fattispecie del tutto sui generis, che si distinguono per natura, contenuto e dimensione operativa, rispetto ai reati tradizionalmente inclusi nell’elenco del Decreto 231.

Le peculiarità di tali reati impongono una particolare riflessione in merito ai potenziali impatti sui Modelli di Organizzazione, Gestione e Controllo ex D. Lgs. 231/2001 e sulla necessità di un adeguamento.

Ciò è tanto vero se si considera, inoltre, il nuovo sistema sanzionatorio applicabile agli enti ritenuti colpevoli. Il D.Lgs. 211/2025 introduce un criterio di commisurazione della sanzione pecuniaria ancorato al fatturato dell’impresa rispetto al tradizionale sistema fondato sulle “quote”. La sanzione è parametrata al fatturato globale annuo entro un intervallo (fino al 5%) e, in mancanza di fatturato accertabile, è prevista una sanzione pecuniaria in misura fissa fino a 40 milioni di euro (con importi predeterminati). È altresì prevista l’applicazione delle sanzioni interdittive previste dall’art. 9, comma 2, del D. Lgs. 231/2001.[1]
Il Legislatore ha evidentemente inteso rafforzare l’effetto deterrente della normativa.

Alla luce di quanto sopra, si rende pertanto opportuna un’attenta valutazione dell’esposizione al rischio di configurazione dei reati di nuova introduzione.

2. Lgs. 211/2025 e Modello 231

Le misure restrittive dell’Unione Europea richiamate dal neo-introdotto art. 25-octies.2 – tra cui il congelamento di fondi e risorse economiche, i divieti di ingresso o transito nel territorio di uno Stato membro, le misure economiche e finanziarie settoriali e gli embarghi sulle armi[2] – suggeriscono l’opportunità di perimetrare e valutare, a seconda del settore di operatività, l’ambito di esposizione e i relativi rischi.

Tale valutazione, finalizzata alla necessaria mappatura dei rischi e alla predisposizione di presidi che siano tailor made rispetto all’area di attività e all’organizzazione interna, andrà condotta – a titolo esemplificativo e senza pretesa di esaustività – in funzione di:

• Tipologia di prodotti e servizi. Sarà necessario considerare l’eventuale commercializzazione di beni c.d. dual use o di servizi finanziari che, per loro caratteristiche intrinseche, presentano un’elevata esposizione alle misure restrittive disposte dall’Unione Europea;
• Presenza di rapporti commerciali con controparti estere. L’operatività estera presuppone la necessità di verificare l’area geografica ove sono stabiliti (o si intendono stabilire) canali di business e i soggetti con cui s’intrattengono rapporti di affari;
• Utilizzo di intermediari. L’eventuale presenza di agenti, distributori o trading company, suggerisce una due diligence anche di tali soggetti che, per loro funzione, agiscono come filtro tra l’impresa e i destinatari finali delle transazioni;
• Assetto societario. Strutture societarie articolate con controllate estere, joint venture o partecipazioni in Paesi ad alto rischio, impongono necessariamente una valutazione complessiva, verificando accordi contrattuali e operatività infragruppo.

2.1 Mappatura dei rischi e principali “attività sensibili”

Il compendio informativo acquisito all’esito delle valutazioni che precedono consente, entrando maggiormente nel dettaglio, di procedere alla mappatura dei rischi, individuando i processi che, in ragione della tipologia di attività svolta e dei soggetti coinvolti, risultano maggiormente esposti al rischio di applicazione delle misure restrittive dell’Unione Europea.

In particolare:

• Processo commerciale /export;
• Procurement;
• Gestione dei pagamenti;
• Gestione degli intermediari.

Per ciascun processo “sensibile” individuato si fornisce – senza presunzione di esaustività – un’illustrazione delle criticità ivi riscontrabili.

2.1.1 Processo commerciale /export

Il Processo commerciale/export potrebbe rivelare elementi di attenzione dal punto di vista dei beni oggetto di commercializzazione (elementi oggettivi) e dei soggetti – persone fisiche e persone giuridiche – con cui vengono stipulati accordi e/o relazioni d’affari (elementi soggettivi).

In primis è necessario considerare che alcune categorie di beni – es. beni dual-use – sono soggette a divieti o restrizioni specifiche per l’area geografica di provenienza o per la loro particolare natura.

Diviene imprescindibile, pertanto, una classificazione doganale e una verifica approfondita sulla tipologia di merce.

A tal proposito – aspetto su cui si tornerà nel proseguo – non si potrà non attingere alle liste stilate dal Legislatore Europeo ove vengono individuate specifiche categorie merceologiche da attenzionare.[3]

Ulteriore profilo di rilievo è rappresentato dalla destinazione del bene o della merce. Non può infatti escludersi che attività volte a dissimulare l’effettiva sede di consegna ovvero il reale soggetto beneficiario possano tradursi in condotte suscettibili di integrare le fattispecie di reato di cui all’art. 25-octies.2 del D. Lgs. 231/2001. A titolo esemplificativo, il bene potrebbe essere esportato in transito verso un Paese terzo non sanzionato, per poi essere re‑esportato verso una destinazione finale vietata; ovvero commercializzato in favore di soggetti formalmente non sanzionati, ma collegati — per proprietà o controllo — a soggetti destinatari di misure restrittive disposte dall’Unione Europea.

2.1.2 Procurement

Le catene di subfornitura, soprattutto quando si articolano in un contesto internazionale, possono presentare vulnerabilità strutturali idonee a esporre l’impresa a profili di rischio rilevanti.

In tal caso, i rischi si annidano in:

• Fornitori indirettamente controllati, ovvero fornitori formalmente indipendenti ma di fatto controllati – per proprietà o influenza determinante – da soggetti sottoposti a misure restrittive UE;
• Catene di subfornitura non trasparenti, ovvero filiere produttive multilevel in cui i sub-fornitori di secondo e terzo livello, non essendo soggetti ad alcuna verifica di compliance, potrebbero prestare il fianco a punti ciechi nei controlli;
• Assenza di due diligence strutturata, ovvero processi di qualifica del fornitore basati esclusivamente su criteri commerciali e qualitativi, privi di sistemi di verifica integrata con le liste dei soggetti sanzionati.

2.1.3 Gestione dei pagamenti

La gestione dei pagamenti può annoverarsi tra i processi maggiormente esposti a profili di rischio, in quanto nell’ambito di tale processo operativo potrebbe astrattamente realizzarsi una delle condotte penalmente rilevanti introdotte dalla recente normativa, segnatamente la messa a disposizione di fondi o risorse economiche in favore di soggetti destinatari di misure restrittive disposte dall’Unione Europea (art. 275‑bis c.p.).[4] Nell’ambito della gestione dei pagamenti, specifiche aree di criticità possono individuarsi nei soggetti beneficiari delle somme erogate (ad es. fornitori) ovvero, con riferimento ai servizi di natura finanziaria, nei soggetti destinatari degli stessi (ad es. clienti).

Di seguito si riportano, a titolo esemplificativo, alcune casistiche nelle quali possono manifestarsi profili di rischio nella gestione di tale processo:

• Rapporti con soggetti iscritti in black list. Un soggetto non sanzionato al momento dell’avvio dell’operazione può essere inserito nelle liste durante il rapporto: i sistemi di controllo devono pertanto prevedere l’impostazione di verifiche nel continuo e non solo in fase di onboarding;
• Mancato aggiornamento delle liste. L’utilizzo di database non aggiornati o con frequenza di aggiornamento inadeguata esporrebbe l’impresa al pericolo di interfacciarsi con soggetti raggiunti da misure restrittive UE;
• Assenza di blocchi automatici. La mancanza di meccanismi di blocco automatico dei pagamenti in presenza di alert nei sistemi di screening può rappresentare una vulnerabilità critica nel sistema di controllo interno.

2.1.4 Gestione intermediari

Per “intermediari” si intendono, a titolo esemplificativo, soggetti quali intermediari occasionali, agenti stabili, trading company e analoghe figure operanti quali controparti nelle operazioni commerciali. Tale processo, fondandosi su rapporti con soggetti terzi, presenta profili di rischio che possono in parte sovrapporsi a quelli già evidenziati con riferimento al processo di gestione dei pagamenti.

Le attività di due diligence dovranno pertanto essere calibrate in funzione della tipologia di intermediario coinvolto e, in particolare, del ruolo dallo stesso svolto nell’ambito di operazioni aventi rilevanza internazionale. In base alle categorie di soggetti sopra individuate, possono ipotizzarsi le seguenti principali aree di criticità:

• Intermediario occasionale. Soggetto che, in funzione del suo coinvolgimento per un’operazione spot e privo, pertanto, di un rapporto continuativo con il mandante, può richiedere una due diligence focalizzata sull’operazione specifica richiesta e sulla giurisdizione – extra UE o UE – coinvolta;
• Agente stabile. Soggetto con cui si instaura un rapporto continuativo e che, pertanto, può esigere una due diligence inizialmente di dettaglio e un aggiornamento continuo nel corso del rapporto;
• Trading company. Impresa commerciale che opera acquistando e rivendendo beni per proprio conto, prevalentemente in contesti internazionali. Le peculiarità connesse alla sua natura e alle modalità operative possono rendere particolarmente complessa l’implementazione e la gestione dei controlli necessari. Tali fattispecie impongono, pertanto, un livello di attenzione rafforzato con riferimento all’origine e alla destinazione della merce, alla trading company in quanto tale e ai soggetti che operano al suo interno o per suo conto.

3. Presidi di controllo: quali misure adottare per mitigare i rischi

Un’adeguata struttura di presidi di controllo non può prescindere dai seguenti elementi chiave:

• Sistema di deleghe coerente. Definizione di un sistema di deleghe interne idoneo a riflettere le responsabilità effettive in materia di sanctions compliance, con attribuzioni chiare e poteri proporzionati al livello di rischio da presidiare;
• Policy Trade Compliance. Adozione di una policy dedicata alla Trade Compliance volta a disciplinare in modo organico obiettivi, responsabilità, processi operativi e strumenti di verifica;
• Sistema disciplinare. Predisposizione di un sistema disciplinare che individui puntualmente le violazioni delle procedure in materia di sanzioni, assicurando il rispetto dei principi di proporzionalità ed effettività;
• Formazione specifica e tracciata. Pianificazione di programmi formativi dedicati al personale operante nelle aree a rischio, con sistemi di tracciabilità della partecipazione e di verifica della comprensione dei contenuti;
• Flussi informativi a beneficio dell’Organismo di Vigilanza. Implementazione di meccanismi strutturati di reporting periodico all’Organismo di Vigilanza in relazione alle attività di screening, agli alert rilevati e alle eventuali azioni correttive adottate o da adottare.

Ciò premesso, e in considerazione degli specifici “processi a rischio” riportati al paragrafo n. 2 e ss. del presente contributo, di seguito si riportano alcuni presidi di controllo funzionali alla mitigazione dei rischi potenzialmente configurabili.

3.1 Screening delle controparti

La verifica delle controparti — clienti, intermediari e partner commerciali — deve essere effettuata non solo nella fase di instaurazione del rapporto, ma anche in corso di rapporto, mediante controlli periodici o attivati al ricorrere di specifici alert. Ciò consente di intercettare tempestivamente l’insorgenza di eventuali criticità e di adottare le opportune azioni correttive.

In ottica di controllo, l’attività di verifica deve necessariamente includere la consultazione della c.d. “EU Sanctions Map” [5], piattaforma ufficiale dell’Unione Europea che raccoglie le misure restrittive per Paese, settore, autorità di provenienza e tipologia di soggetti sanzionati, ferma restando la necessità di procedere alla puntuale verifica degli atti normativi e dei relativi allegati di riferimento.

Lo strumento, adeguatamente integrato in un sistema di screening aziendale, rappresenta un valido supporto per verificare divieti di esportazione, restrizioni finanziarie, blocchi di beni e obblighi informativi, nonché liste di soggetti sanzionati (persone fisiche e giuridiche) e beni sottoposti ad asset freeze.

Altri elementi che possono efficientare tale tipologia di controllo possono essere:

• Screening del Beneficiario Effettivo: estensione delle attività di sanctions screening anche ai beneficiari effettivi e a coloro che, in caso la controparte commerciale fosse una persona giuridica, detengano una percentuale rilevante del capitale sociale;
• Database aggiornati: utilizzo di strumenti di screening che si aggiornano in tempo reale con le liste ufficiali UE;
• Conservazione delle evidenze: archiviazione sistematica di ogni verifica effettuata, con indicazione della data, della fonte e dell’esito;
• Frequenza adeguata: definizione di trigger per l’avvio di verifiche straordinarie in caso di eventi rilevanti;
• Impostazione di procedure “di blocco”: predisposizione di procedure interne che, al sussistere di determinati alert preventivamente impostati, impongano una valutazione oggettiva della posizione, eventuali step autorizzativi e, ove necessario, il blocco dell’operazione.

3.2 Clausole contrattuali

La fase di contrattualizzazione con le controparti deve essere gestita tenendo adeguatamente conto sia dell’area geografica di riferimento sia del profilo soggettivo delle parti contraenti. In tale contesto, le clausole contrattuali, se correttamente strutturate, possono costituire non solo un efficace strumento di presidio, ma anche un significativo elemento probatorio dell’attenzione dell’impresa al rischio sanzionatorio.

A titolo esemplificativo e senza pretesa di esaustività, dette clausole potrebbero essere strutturate prevedendo, tra l’altro:

• Dichiarazioni di conformità, mediante le quali la controparte attesta e garantisce di non essere soggetto destinatario di misure restrittive e di non operare per conto di soggetti sanzionati;
• Obblighi informativi, che impongano alla controparte di comunicare tempestivamente all’impresa l’eventuale inserimento in black list ovvero modifiche della struttura proprietaria o di controllo rilevanti ai fini sanzionatori;
• Clausole di risoluzione espressa, volte a riconoscere all’impresa il diritto di risolvere il contratto con effetto immediato al ricorrere di eventi idonei a determinare una violazione, anche solo potenziale, della normativa in materia di sanzioni.

3.3 Verifiche sui beni materiali oggetto dell’operazione

Nei paragrafi che precedono è stato evidenziato come talune misure restrittive siano adottate con riferimento a specifiche tipologie di beni. Ciò rende necessaria l’implementazione di controlli ad hoc volti a verificare la natura, l’origine e la destinazione dei beni, al fine di garantire la piena conformità alla normativa in materia di sanzioni. In tale prospettiva, e senza alcuna pretesa di esaustività, i presidi di controllo possono articolarsi, tra l’altro, nei seguenti ambiti:

• Classificazione e natura dei beni, ossia verifiche sulla corretta classificazione doganale e sulle caratteristiche specifiche dei beni (ad es. beni dual use, prodotti militari), finalizzate all’individuazione di eventuali restrizioni all’utilizzo, all’importazione o all’esportazione;
• Documentazione e certificazioni, ossia la richiesta e conservazione di idonea documentazione di supporto — quali, inter alia, licenze di esportazione, certificati di uso finale e dichiarazioni di conformità — atta a comprovare la legittimità della transazione, dell’origine e/o del destinatario finale;
• Tracciabilità anche della catena di fornitura, mediante l’implementazione di sistemi idonei a garantire il tracciamento del percorso dei beni dal produttore al consumatore finale, inclusi i Paesi di origine, transito e destinazione, al fine di mitigare il rischio di deviazioni verso soggetti o Paesi destinatari di misure restrittive.

4. Whistleblowing

Il D. Lgs. 211/2025, pur lasciandone immutata la disciplina generale, ha ampliato sensibilmente il perimetro operativo del sistema whistleblowing.

Difatti, a seguito dell’entrata in vigore della norma in commento, le violazioni delle sanzioni UE rientrano a pieno titolo tra gli illeciti che devono poter essere segnalati attraverso i canali di whistleblowing, qualora riguardino comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’ente.

Alla luce di ciò sarà pertanto necessaria anche una valutazione sull’opportunità di aggiornare la procedura whistleblowing, al fine di garantire che la stessa possa rispondere alla funzione di presidio di legalità, prevenzione e gestione dei rischi ad essa attribuita.

5. Conclusioni

Il D. Lgs. 211/2025, con l’introduzione dell’art. 25-octies.2 del D. Lgs. n. 231/2001, conferisce al Modello di Organizzazione, Gestione e Controllo un significato e una funzione più profondi, imponendo agli enti un ripensamento delle proprie strategie di prevenzione del rischio-reato.

Dall’analisi condotta emergono alcuni punti fermi. In primo luogo, la mappatura dei rischi deve essere condotta con un approccio granulare, che tenga conto non solo della tipologia di beni e servizi commercializzati, ma anche della complessità delle catene di fornitura, della geografia delle controparti e del ruolo degli intermediari. In secondo luogo, i presidi di controllo – dallo screening continuo delle controparti alla predisposizione di clausole contrattuali dedicate, dalla tracciabilità dei beni alla verifica documentale – devono essere concepiti come un sistema integrato e non come misure isolate. In terzo luogo, l’efficacia del Modello presuppone un investimento costante nella formazione del personale delle aree a rischio e nella strutturazione di flussi informativi adeguati a beneficio dell’Organismo di Vigilanza.

Il nuovo regime sanzionatorio – con pene pecuniarie commisurate al fatturato e sanzioni interdittive – rende il costo dell’inerzia organizzativa significativamente superiore a quello dell’adeguamento. L’aggiornamento del Modello Organizzativo non va pertanto inteso come mero adempimento formale, bensì come un’opportunità di rafforzamento della cultura della compliance e della resilienza organizzativa dell’impresa.

[1] Art. 9 comma 2 D. Lgs. 231/2001 “Le sanzioni interdittive sono: a) l’interdizione dall’esercizio dell’attività; b) la sospensione o la revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell’illecito; c) il divieto di contrattare con la pubblica amministrazione, salvo che per ottenere le prestazioni di un pubblico servizio; d) l’esclusione da agevolazioni, finanziamenti, contributi o sussidi e l’eventuale revoca di quelli già concessi; e) il divieto di pubblicizzare beni o servizi.

[2] Ai fini della direttiva e della normativa nazionale di attuazione, per misure restrittive dell’Unione si intendono quelle misure – tra cui, il congelamento di fondi e risorse economiche, i divieti di ingresso o transito nel territorio di uno Stato membro, le misure economiche e finanziarie settoriali e gli embarghi sulle armi – adottate dall’Unione sulla base dell’articolo 29 TUE o dell’articolo 215 TFUE e dalla stessa stabilite per la promozione degli obiettivi della politica estera e di sicurezza comune (PESC). Ai sensi dell’articolo 21 TUE tali obiettivi mirano a tutelare i valori fondamentali, la sicurezza e l’integrità dell’UE, nonché a promuovere la democrazia, lo Stato di diritto e i diritti umani, il mantenimento della pace ed il rafforzamento della sicurezza internazionale, in linea con la Carta delle Nazioni Unite.

[3] Regolamento (UE) 2025/1494 del Consiglio, del 18 luglio 2025, che modifica il regolamento (UE) n. 833/2014, concernente misure restrittive in considerazione delle azioni della Russia che destabilizzano la situazione in Ucraina.

[4] Art. 275-bis c.p. recante “Violazione delle misure restrittive dell’Unione europea” che prevede “È punito con la reclusione da due a sei anni e con la multa da euro 25.000 a euro 250.000 chiunque, in violazione di un divieto, di un obbligo o di una restrizione imposti da una misura restrittiva dell’Unione europea o da disposizioni di legge nazionale che attuano una misura restrittiva dell’Unione europea: a) mette direttamente o indirettamente a disposizione di una persona, entità, organismo o gruppo designati, o stanzia a vantaggio dei medesimi fondi o risorse economiche; b) omette di adottare misure di congelamento su fondi o risorse economiche appartenenti a una persona, a una entità, a un organismo o gruppo designati, o da questi posseduti, detenuti o controllati; c) conclude a qualsiasi titolo operazioni economiche, commerciali o finanziarie, ivi compresi l’affidamento o la prosecuzione dell’esecuzione di contratti di appalto pubblico o di concessione, con uno Stato terzo o con suoi organismi o con entità od organismi direttamente posseduti o controllati dal medesimo Stato terzo o dai suoi organismi; d) importa, esporta, commercia, vende, acquista, trasferisce, fa transitare, trasporta beni, anche in forma intangibile, ovvero presta servizi di intermediazione, di assistenza tecnica o altri servizi concernenti i medesimi beni; e) presta servizi di qualsiasi natura, ivi compresi servizi finanziari, o svolge operazioni finanziarie” (…) Quando, nei casi indicati dal primo comma e dal secondo comma, i fondi, le risorse economiche, i beni, i servizi, le operazioni o le attività hanno, al momento del fatto, un valore inferiore a euro 10.000, si applica soltanto la sanzione amministrativa del pagamento di una somma di denaro da euro 15.000 a euro 90.000 (..).

[5] https://www.sanctionsmap.eu/#/main