Il contributo analizza gli impatti della nuova normativa sulla violazione delle misure restrittive dell’Unione europea rispetto alla responsabilità degli enti di cui al d.lgs. 231/2001, fornendo alcuni spunti operativi per l’adeguamento dei Modelli organizzativi e dei presidi di controllo degli intermediari bancari.
La normativa di recente introduzione in materia di violazione delle misure restrittive dell’Unione europea (d.lgs. 30 dicembre 2025, n. 211, “d.lgs. 211”), presenta elementi di immediato rilievo per il sistema bancario. Gli intermediari finanziari, infatti, sono strutturalmente coinvolti nell’attuazione dei regimi sanzionatori europei, in quanto operano come snodo essenziale nella gestione dei flussi finanziari, dei servizi di pagamento e dei rapporti economici con controparti potenzialmente esposte a misure restrittive.
L’estensione del perimetro delle condotte penalmente rilevanti e il loro ingresso nel catalogo dei reati‑presupposto della responsabilità da reato degli enti determinano un ampliamento dei rischi legali e di compliance cui le banche sono esposte nello svolgimento delle attività ordinarie.
Per comprendere appieno la portata di tali impatti è necessario soffermarsi sul quadro normativo di riferimento, delineando, sia pure per cenni, le caratteristiche delle misure restrittive dell’Unione europea e le principali innovazioni introdotte dal legislatore nazionale in tema di responsabilità degli enti ai sensi del d.lgs. 231/2001 (“d.lgs. 231”). Successivamente si offriranno alcuni spunti operativi per l’adeguamento dei Modelli organizzativi e dei presidi di controllo degli intermediari bancari.
1. La complessità del quadro normativo
Il d.lgs. 211 estende per gli operatori UE il rischio penale connesso alla violazione delle misure restrittive europee. Le nuove fattispecie (art. 275-bis ss. c.p.) sono costruite mediante un rinvio mobile alla disciplina europea e si configurano se le condotte ivi tipizzate sono realizzate in violazione delle misure restrittive UE.
Formalmente costituiscono misure restrittive i provvedimenti adottati dall’Unione in forza degli artt. 29 TUE e 215 del TFUE. Con l’adozione di queste restrizioni l’Unione persegue obiettivi di politica estera disponendo, in ottica deterrente, l’interruzione o la riduzione di relazioni con uno o più Paesi terzi (sanzionati) mediante prescrizioni volte a colpire persone fisiche o giuridiche, gruppi o entità di tali Stati.
La disciplina è caratterizzata da un marcato problema ricognitivo: i) le misure non sono contenute in un unico testo normativo (i regimi sanzionatori dell’Unione europea sono oggi più di trenta); ii) alcuni Paesi sono interessati da più discipline; iii) sulle norme si sono stratificati plurimi interventi di modifica successivi all’adozione delle regole originarie. In questa sede pertanto il contenuto delle misure può essere ricostruito solo in via esemplificativa: congelamento di fondi o risorse economiche, divieti di import & export, limitazioni alla partecipazione ad affidamenti di contratti pubblici, travel ban.
2. La violazione delle misure restrittive e la “responsabilità 231”
Con riferimento alla responsabilità da reato dell’ente, il d.lgs. 211 introduce nel d.lgs. 231 il nuovo art. 25-octies.2, dedicato ai “Reati in materia di violazione di misure restrittive dell’Unione europea”. Per effetto della disposizione costituiscono reati-presupposto della responsabilità dell’ente alcune delle fattispecie incriminatrici di nuovo conio collocate nel codice penale e nella normativa sull’immigrazione.
Rientrano nel perimetro dell’art. 25-octies.2 d.lgs. 231 i reati di:
- violazione delle misure restrittive ( 275-bis c.p.);
- violazione degli obblighi informativi imposti dalle misure restrittive ( 275-ter c.p.);
- violazione delle condizioni delle autorizzazioni rilasciate per attività soggette a misure restrittive ( 275-quater c.p.);
- agevolazione dell’ingresso nel territorio dello Stato di persone fisiche designate ( 12, co. 1-bis, d.lgs. 286/1998 “T.U. Immigrazione”).
Resta invece esclusa dal “catalogo 231” la fattispecie di cui all’art. 275-quinquies c.p., relativa alla violazione colposa delle misure restrittive UE.
2.1 Gli elementi centrali per l’addebito nei confronti dell’ente
Per i nuovi reati-presupposto in materia di violazione delle misure restrittive valgono le tradizionali regole contenute nel d.lgs. 231:
- la responsabilità dell’ente può sorgere sia quando le fattispecie richiamate dall’art. 25-2 d.lgs. 231 sono realizzate da soggetti apicali (amministratori, direttori generali, responsabili con poteri di rappresentanza, direzione o controllo), sia quando sono poste in essere da subordinati (dipendenti o collaboratori sottoposti alla direzione o vigilanza degli apicali);
- la responsabilità dell’ente si fonda sull’accertamento della cd. colpa di organizzazione. L’ente non risponde in via automatica per il solo fatto che un proprio amministratore o dipendente abbia commesso un reato in violazione delle misure restrittive UE, ma solo ove il fatto sia riconducibile a specifiche carenze organizzative, che, una volta individuate, fondano la colpevolezza della societas;
- l’ente, in presenza del reato e per andare esente da responsabilità, deve essere in grado di dimostrare i) l’esistenza e l’effettiva attuazione di un Modello di organizzazione e gestione, adeguato alla prevenzione dei reati in materia di misure restrittive; ii) l’affidamento all’Organismo di vigilanza (“OdV”) del compito di verificare l’osservanza, il funzionamento e l’aggiornamento del Modello (cfr. art. 6 d.lgs. 231).
2.2 Il sistema sanzionatorio
Il d.lgs. 211 interviene sull’impianto generale di determinazione della sanzione amministrativa pecuniaria previsto dal d.lgs. 231, superando il riferimento esclusivo al sistema per quote – dal quale discendeva, in via generale, un tetto massimo di esposizione economica pari a € 1.549.000 – e affiancandovi un ulteriore criterio fondato sul fatturato globale totale dell’ente.
- Per i reati di cui agli artt. 275-bisp., 275-quater c.p. e 12, co. 1-bis, T.U. Immigrazione, la sanzione pecuniaria a carico dell’ente è compresa tra l’1% e il 5% del fatturato, con una soglia fissa tra 3 e 40 milioni di euro nel caso di fatturato non determinabile.
- Per il reato di cui all’art. 275-terp. la sanzione pecuniaria a carico dell’ente è compresa tra lo 0,5% e l’1% del fatturato, con un range fisso tra 1 e 8 milioni di euro nel caso di fatturato non determinabile.
Con riferimento alle sanzioni interdittive è superata (analogamente a quanto previsto per i reati di corruzione) la regola generale secondo cui le interdittive devono avere una durata non inferiore a 3 mesi e non superiore a 2 anni (art. 13 d.lgs. 231). Inoltre, il legislatore introduce un innovativo criterio di modulazione temporale della sanzione – differenziato in funzione della qualifica soggettiva dell’autore del reato presupposto – prevedendo:
- una durata non inferiore a 2 anni e non superiore a 6 anni nel caso in cui il reato sia stato commesso da soggetti in posizione apicale;
- una durata non inferiore a 1 anno e non superiore a 3 anni qualora il reato sia stato commesso da soggetti sottoposti.
3. L’adeguamento del Modello 231 nel settore bancario
Le innovazioni apportate con il d.lgs. 211 impongono agli intermediari di procedere a un aggiornamento mirato del Modello 231. In questa prospettiva, un ruolo centrale è rivestito dall’aggiornamento del risk assessment e dalla revisione delle procedure e dei controlli deputati alla gestione dei regimi sanzionatori dell’Unione europea.
3.1 Valutazione dei rischi
Posto che per valutare nel concreto i rischi di commissione dei reati di cui agli artt. 275-bis ss. c.p. e i correlati rischi 231, occorrerebbe un’approfondita analisi che combini la complessa cornice normativa vigente (esegesi della norma penale, selezione e esame della disciplina UE rilevante) con la concreta operatività dell’operatore economico, ragionando in termini generali e astratti, rispetto all’attività bancaria possono essere individuati tra i principali macro-processi a rischio i seguenti:
- onboarding e gestione della clientela (area in cui si collocano le verifiche sullo status sanzionatorio di clienti, controparti e beneficiari effettivi);
- esecuzione di operazioni (area in cui si collocano pagamenti, trade finance, operazioni in titoli, finanziamenti, concessione di prestiti);
- gestione dei servizi di pagamento (servizi di cripto-attività, emissione di strumenti di pagamento e di moneta elettronica);
- gestione dei rapporti con le autorità competenti (area relativa alle segnalazioni di operazioni alle autorità).
3.2 Procedure e controlli (integrati)
Individuati (tutti) i processi e le aree esposte a rischio, è necessario procedere a una valutazione puntuale, riferita al singolo ente, che tenga conto delle concrete modalità di svolgimento delle attività, dei meccanismi decisionali e autorizzativi, dell’esistenza e dell’effettività dei presidi di controllo già adottati dalla società (quali, ad esempio, filtri automatici, meccanismi di blocco e verifiche manuali). Tale analisi dovrà condurre alla determinazione del livello di rischio residuo di commissione dei reati presupposto di cui all’art. 25‑octies.2 del d.lgs. 231 e ai suggerimenti di miglioramento per la riduzione dello stesso.
Per le banche un profilo di particolare rilevanza è rappresentato dall’integrazione tra il Modello 231 e i sistemi di compliance già operanti all’interno delle stesse. Per effetto della stratificazione normativa, anche internazionale, gli intermediari infatti normalmente dispongono di presidi orientati al rispetto della normativa antiriciclaggio e antiterrorismo o degli stessi regimi sanzionatori (UE o extra-UE). Tali presidi potrebbero essere potenzialmente idonei, almeno in parte, anche per le verifiche funzionalmente rilevanti ai fini della prevenzione dei nuovi reati presupposto in esame.
Se questo è vero allora l’aggiornamento del Modello delle società bancarie post entrata in vigore del d.lgs. 211 non avrà l’obiettivo di introdurre meccanismi di controllo duplicativi, bensì di salvaguardare e valorizzare le procedure già esistenti, rileggendole, ove necessario, in un’ottica di compliance integrata, e di aggiungere, laddove indispensabile, presidi ulteriori in considerazione dell’ampliamento del rischio 231.
3.3 Ulteriori spunti
Accanto all’aggiornamento del risk assessment e dei presidi procedurali, un’effettiva compliance alla disciplina in materia di misure restrittive richiede anche ulteriori interventi.
In tal senso assume rilievo il potenziamento dei flussi informativi verso l’Organismo di Vigilanza, chiamato a monitorare costantemente le attività sensibili e gli eventuali profili di criticità connessi all’applicazione delle misure restrittive.
Un ruolo centrale è inoltre svolto dalla formazione, che dovrebbe essere rivolta alle funzioni maggiormente esposte, nonché dall’aggiornamento del Codice Etico, mediante l’introduzione di principi e obblighi specificamente orientati al rispetto dei regimi sanzionatori UE. A questi presidi si affiancano il rafforzamento delle attività di due diligence sulle controparti e l’inserimento di clausole contrattuali nei negozi giuridici.
Infine, l’adozione o l’aggiornamento di un Sanctions Compliance Program, coordinato con il Modello 231, può certamente costituire un utile presidio per la prevenzione dei nuovi reati presupposto.
