L’argomento sarà oggetto di approfondimento nel corso dell’incontro del Master Telefisco del 2 settembre 2026, il percorso di aggiornamento e approfondimento continuo del Sole 24 Ore.
1. La tematica
Il D.Lgs. 211/2025, entrato in vigore il 24 gennaio 2026 in attuazione della Direttiva (UE) 2024/1226, ha introdotto nel codice penale un nuovo gruppo di fattispecie dedicato alla violazione delle misure restrittive UE e, parallelamente, ha inserito l’art. 25-octies.2 nel D.Lgs. 231/2001.
La vera novità non è soltanto l’ampliamento del catalogo. Per gli illeciti espressamente richiamati dall’art. 25-octies.2, il nuovo art. 10, comma 3-bis, D.Lgs. 231/2001 deroga al sistema ordinario delle quote e collega la sanzione pecuniaria al fatturato globale dell’ente. Per le violazioni più gravi, la sanzione può collocarsi tra l’1% e il 5% del fatturato globale dell’esercizio finanziario rilevante; per le violazioni degli obblighi informativi (art. 275 ter, commi 1 e 2, c.p.), tra lo 0,5% e l’1%. Qualora il fatturato non sia accertabile, sono previste fasce fisse da 3 a 40 milioni di euro e, per le violazioni informative, da 1 a 8 milioni di euro.
Il cambiamento è significativo. Nel sistema ordinario del D.Lgs. 231/2001, il massimo teorico della sanzione pecuniaria è pari a 1.000 quote, con valore massimo della quota di 1.549,37 euro. Per gli illeciti dell’art. 25-octies.2, invece, l’esposizione dipende dalle dimensioni economiche dell’ente e può superare ampiamente quel parametro.
2. Normativa, prassi e giurisprudenza di riferimento
L’assetto europeo ha preso forma attraverso la Decisione (UE) 2022/2332, con la quale il Consiglio ha individuato la violazione delle misure restrittive UE come area di criminalità ai sensi dell’art. 83, paragrafo 1, TFUE. Da quella decisione è scaturita la Direttiva (UE) 2024/1226, che ha imposto agli Stati membri di introdurre definizioni e sanzioni penali minime per le violazioni più gravi dei regimi restrittivi dell’Unione. Il legislatore italiano ha recepito la direttiva con il D.Lgs. 211/2025.
Il decreto ha introdotto nel codice penale gli artt. da 275-bis a 275-decies, all’interno del Capo I-bis del Titolo I del Libro II, dedicato ai delitti contro la politica estera e la sicurezza comune dell’Unione europea. L’art. 275-bis contempla, in particolare, la messa a disposizione diretta o indiretta di fondi o risorse economiche a favore di soggetti designati, l’omesso congelamento di fondi e risorse, alcune operazioni con Stati terzi o enti da questi controllati, l’importazione, l’esportazione, il commercio, il trasferimento o il transito di beni (anche intangibili) e la prestazione di servizi, inclusi quelli finanziari, in violazione di misure restrittive. La disposizione include inoltre condotte elusive, come l’impiego di documenti falsi o non veritieri diretti a ostacolare l’identificazione del titolare effettivo o del beneficiario finale.
L’art. 275-ter sanziona le violazioni di specifici obblighi informativi concernenti fondi e risorse economiche presenti in Italia e riferibili a soggetti designati. L’art. 275-quater riguarda invece le attività, le operazioni o i servizi svolti in difformità dalle prescrizioni di un’autorizzazione richiesta da una misura restrittiva. Il sistema è completato dalle aggravanti, dalle attenuanti per condotte collaborative, dalla confisca obbligatoria, dalla pubblicazione della sentenza di condanna e dalla previsione sulla giurisdizione.
Così brevemente delineata la nuova disciplina penale, in materia di responsabilità amministrativa degli enti è bene evidenziare che l’art. 25-octies.2 D.Lgs. 231/2001 ricomprende gli artt. 275-bis, commi 1, 2 e 5, 275-ter, commi 1 e 2, e 275-quater, comma 1, c.p., nonché i fatti di cui all’art. 12, comma 1, D.Lgs. 286/1998 (T.U. immigrazione) quando ricorrono le circostanze aggravanti introdotte dal comma 1-bis, vale a dire quando l’agevolazione dell’ingresso irregolare si realizzi in violazione delle misure restrittive UE e riguardi persone fisiche designate.
3. Il caso operativo
Si immagini Gamma S.p.A., impresa meccanica con Modello 231 aggiornato nel 2024, prima dell’entrata in vigore della riforma.
Nel 2026 la società vende componenti a un distributore localizzato in un Paese terzo; la controparte è stata costituita da pochi mesi, ha sede presso un indirizzo condiviso con altre entità e richiede una rotta logistica priva di una chiara giustificazione commerciale. I componenti sono potenzialmente destinabili a impieghi dual-use.
Il pagamento proviene da un soggetto diverso dal cliente contrattuale e transita tramite una banca corrispondente situata in un ulteriore Paese terzo.
4. La soluzione
La prima attività richiesta all’organo amministrativo è un risk assessment specifico, da raccordare alla mappatura 231 esistente. L’analisi non deve limitarsi ai flussi di esportazione: occorre considerare approvvigionamenti, vendite, distribuzione, attività di mediazione, servizi, movimentazioni logistiche, tesoreria, incassi, pagamenti, rapporti con banche corrispondenti, operazioni infragruppo, subfornitura e reti di intermediari.
In tale contesto, assume particolare rilievo l’adozione, da parte dell’ente, di un sistema volto ad assicurare un monitoraggio continuativo dell’evoluzione del quadro sanzionatorio relativo ai Paesi terzi, considerato che la configurabilità delle nuove fattispecie di reato è strettamente connessa all’inosservanza della normativa vigente in materia.
Il sistema di prevenzione potrebbe essere quindi organizzato in una policy specialistica raccordata al Modello 231: il Modello deve individuare i reati-presupposto, i processi sensibili, le regole decisionali, le deleghe, i flussi informativi, la formazione e il sistema disciplinare; la policy specialistica dovrebbe invece disciplinare in modo più analitico il controllo delle controparti, la classificazione dei beni, le verifiche su end-user ed end-use (utilizzatore finale e destinazione d’uso), le autorizzazioni, i blocchi, le escalation, i rapporti con gli intermediari e la documentazione da conservare.
Lo screening sul fornitore dovrebbe essere eseguito già nella fase di avvio dei rapporti commerciali e, in base al rischio, esteso a controparte, titolare effettivo, soggetti che esercitano controllo, intermediari, distributori, pagatori, beneficiari e utilizzatori finali.
Il controllo non può però essere confinato al momento dell’avvio del rapporto: deve essere ripetuto secondo una frequenza predefinita e attivato nuovamente quando mutano le liste, la titolarità, la struttura societaria, la destinazione, il bene o servizio, i soggetti coinvolti nei flussi finanziari o emergano anomalie. La verifica deve lasciare evidenze di fonte consultata, data, esito, soggetto che l’ha effettuata, eventuale alert e decisione assunta.
Le red flags (ovvero, gli indicatori di anomalia) devono essere tradotte in regole operative. Società costituite di recente, intestazioni fiduciarie o catene societarie opache, sedi condivise da numerose entità, richieste di consegna in Paesi non coerenti con l’attività dell’acquirente, rotte anomale, pagamenti da terzi, documentazione incompleta o pressioni per accelerare l’operazione devono attivare un percorso di escalation (ovvero di segnalazione ai livelli superiori). La procedura deve indicare chi effettua l’istruttoria rafforzata, chi valuta la disciplina applicabile, chi richiede o verifica l’autorizzazione e chi può autorizzare, sospendere o rifiutare l’operazione.
Per i beni a duplice uso e per quelli potenzialmente destinabili a usi militari o strategici, il certificato di utente finale costituisce uno strumento importante, ma non sufficiente. Deve essere verificato in rapporto alla natura, quantità e possibile impiego del bene, alla capacità industriale dell’utilizzatore, alla localizzazione, alla catena distributiva, ai soggetti intermedi e alla plausibilità della rotta.
In questo ambito i contratti devono affiancare, non sostituire, i controlli. È opportuno prevedere dichiarazioni sullo status della controparte e dei soggetti che la controllano, obblighi di aggiornamento, impegni a non riesportare o trasferire beni e servizi verso destinazioni o soggetti vietati, divieti di subfornitura e sub-licenza non autorizzate, obblighi di collaborazione documentale e rimedi graduati. Le clausole di sospensione e risoluzione dovrebbero essere inoltre costruite su eventi oggettivi: designazione della controparte, impedimento normativo alla prosecuzione dell’operazione, mancata collaborazione alle verifiche o red flags non chiarite in modo soddisfacente.
I flussi finanziari meritano poi un presidio autonomo. Pagamenti provenienti da soggetti diversi dal cliente contrattuale, richieste di pagamento a favore di soggetti diversi dal fornitore validato, utilizzo di banche corrispondenti o conti in Paesi diversi da quelli attesi, triangolazioni e incoerenze fra contratto, fattura, ordinante e beneficiario devono attivare controlli e autorizzazioni documentate.
Le eccezioni fisiologiche (come, ad esempio, il factoring, la cessione del credito, il cash pooling o i pagamenti infragruppo) devono essere disciplinate, non ignorate: identificazione del soggetto, verifica del rapporto giuridico, screening, valutazione della coerenza economica ed escalation alla funzione competente rappresentano elementi essenziali del presidio.
Quando una misura restrittiva preveda un’autorizzazione, la società deve disporre di un registro che indichi oggetto, autorità competente, condizioni, prescrizioni, durata, scadenze, responsabili e verifiche effettuate. L’acquisizione dell’autorizzazione non esaurisce il controllo: l’art. 275-quater c.p. colpisce infatti le operazioni eseguite in difformità dalle condizioni autorizzative.
L’aggiornamento del Modello deve essere proporzionato alla struttura dell’ente; in ogni caso, occorre aggiornare l’elenco dei reati-presupposto, le procedure rilevanti, la formazione, il sistema disciplinare e la procedura whistleblowing, poiché il D.Lgs. 211/2025 estende l’ambito di tutela del D.Lgs. 24/2023 alle segnalazioni concernenti le violazioni delle misure restrittive UE.
L’OdV deve ricevere flussi informativi proporzionati, verificare a campione il funzionamento del presidio, esaminare anomalie significative, controlli confermati, operazioni sospese, deroghe, carenze organizzative e azioni correttive, e riferire agli organi sociali sulle criticità rilevanti.
5. Gli errori da evitare
6. La check list di verifica
- Perimetro di rischio: l’ente ha valutato vendite, acquisti, servizi, software, licenze, logistica, tesoreria, pagamenti, incassi, rapporti infragruppo e catene di subfornitura?
- Monitoraggio normativo: l’ente si è dotato di un sistema volto ad assicurare un monitoraggio continuativo dell’evoluzione del quadro sanzionatorio relativo ai Paesi terzi?
- Classificazione dei beni: sono identificati beni militari, dual-use, tecnologie e servizi potenzialmente soggetti a restrizioni o autorizzazioni, senza utilizzare il solo valore economico dell’operazione come criterio di esclusione?
- Controparti e UBO (Ultimate Beneficial Owner, ovvero titolare effettivo): esistono regole di accreditamento della controparte contrattuale, identificazione del titolare effettivo, screening, aggiornamento e re-screening delle controparti e dei soggetti che esercitano controllo?
- End-user ed end-use: per operazioni sensibili sono raccolte e valutate informazioni su utilizzatore finale, destinazione, uso previsto, catena distributiva e coerenza economico-industriale dell’operazione?
- Gestione delle anomalie: la policy individua red flags, soglie di escalation, funzioni coinvolte, poteri decisionali, tempi dell’istruttoria e regole per sospensione o rifiuto dell’operazione?
- Pagamenti: sono disciplinati i pagamenti da terzi, i pagamenti verso soggetti diversi dal fornitore validato, i rapporti con banche corrispondenti, factoring, cessioni di credito e cash pooling?
- Autorizzazioni: esiste un presidio documentato delle autorizzazioni, delle condizioni, delle scadenze e della conformità dell’operazione effettivamente eseguita?
- Contratti: le clausole disciplinano il regime sanzionatorio, aggiornamenti, divieti di trasferimento o riesportazione, subfornitura, sub-licenza, cooperazione documentale, controlli e rimedi contrattuali?
- Modello e flussi: il MOG, la policy specialistica, la formazione, il sistema disciplinare e la procedura whistleblowing sono stati aggiornati, e i flussi verso l’OdV sono previsti in misura e con frequenza adeguata?
7. Conclusioni
Per gli illeciti ricompresi nell’art. 25-octies.2, il rischio pecuniario non è più misurato sul tetto proprio del sistema delle quote, ma su percentuali del fatturato globale dell’ente; a ciò si aggiungono confisca, pubblicazione della sentenza e un rilevante rischio interdittivo.
La risposta non consiste nell’aggiungere una clausola standard ai contratti o nell’introdurre uno screening formale delle liste sanzionatorie. Occorre costruire un sistema integrato, proporzionato al rischio e capace di governare la filiera commerciale, finanziaria e tecnologica.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
