Programma Interno di Conformità e Modello 231, come organizzare le responsabilità nelle imprese esportatrici

La crescente complessità della normativa europea sul controllo delle esportazioni ha progressivamente trasformato la compliance commerciale internazionale in una funzione sempre più rilevante nell'organizzazione delle imprese. La verifica della natura dei prodotti esportati, delle destinazioni commerciali, degli utilizzatori finali e delle eventuali restrizioni applicabili non può più essere considerata una semplice attività amministrativa connessa alla spedizione delle merci, ma richiede procedure interne capaci di individuare e prevenire i rischi di violazione della normativa.

In questo contesto si inserisce il Programma Interno di Conformità (PIC), conosciuto anche come Internal Compliance Programme (ICP), disciplinato dalla normativa europea sui prodotti a duplice uso. Il suo progressivo consolidamento nel sistema italiano solleva tuttavia una questione organizzativa di particolare interesse per le imprese che hanno già adottato un Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001: “quale rapporto deve intercorrere tra i due strumenti e, soprattutto, a chi devono essere attribuite le relative responsabilità?”. 

Il tema ha acquisito ulteriore rilevanza nel corso del 2026, a seguito dell'estensione della responsabilità amministrativa degli enti a determinate violazioni delle misure restrittive dell'Unione europea. Le principali novità introdotte dal D.Lgs. 211/2025, comprese le relative conseguenze sanzionatorie, sono già state esaminate dall'Avv. Dario Gorji Varnosfaderani nell'articolo «Sanzioni economiche Ue, le violazioni costano molto caro», pubblicato il 21 gennaio 2026 su Il Sole 24 Ore. 
L'aspetto che merita ora un approfondimento autonomo riguarda invece il coordinamento tra i sistemi di controllo, con specifico riferimento alla ripartizione delle responsabilità tra il soggetto incaricato della gestione del PIC, le funzioni interne preposte alla compliance 231 e l’Organismo di Vigilanza (OdV). 

Si tratta di individuare un assetto organizzativo che consenta di integrare efficacemente i rispettivi presidi di conformità, mantenendo al contempo una chiara distinzione tra le responsabilità operative e le funzioni di vigilanza, così da preservare l’autonomia dei controlli ed evitare sovrapposizioni suscettibili di comprometterne l’efficacia.

Il PIC nell'ordinamento italiano e l'individuazione delle responsabilità aziendali

Il riferimento normativo principale è costituito, come noto, dal Regolamento (UE) 2021/821, che disciplina il controllo delle esportazioni, dell'intermediazione, dell'assistenza tecnica, del transito e del trasferimento dei prodotti a duplice uso.

L'art. 2, punto 21, definisce il PIC come un “insieme di politiche e procedure efficaci, adeguate e proporzionate, adottate dagli esportatori per assicurare la conformità alle disposizioni europee e alle condizioni delle autorizzazioni, comprese le attività di dovuta diligenza relative ai rischi connessi agli utilizzatori e agli usi finali dei prodotti”.

Si tratta di un vero e proprio sistema di controlli che deve trovare concreta applicazione nei processi aziendali. Il suo impiego assume particolare rilevanza nell'ambito delle autorizzazioni globali all'esportazione, per le quali l'art. 12, paragrafo 4, del suddetto regolamento prevede l'attuazione di un programma interno di conformità (o ICP). 

Sul piano nazionale, l'UAMA, autorità competente presso il Ministero degli Affari Esteri e della Cooperazione Internazionale, ha fornito specifiche indicazioni applicative attraverso il Comunicato del 15 luglio 2022, prevedendo la presentazione del PIC e del relativo documento riepilogativo nell'ambito delle richieste di autorizzazione globale all’esportazione. 

Particolarmente significativa, sotto il profilo organizzativo, è la Raccomandazione (UE) 2019/1318, che individua gli elementi essenziali dei programmi interni di conformità. La Commissione europea richiede infatti che l'impresa definisca chiaramente le funzioni incaricate dell'export control, attribuisca responsabilità specifiche ed assicuri la disponibilità di personale competente e di risorse adeguate. 

Ne deriva che il PIC deve essere sorretto da responsabilità chiaramente individuate, e la configurazione della funzione del responsabile dipende dalle dimensioni dell'impresa, dalla complessità delle operazioni e dall'effettiva esposizione ai rischi di export control.

Responsabile PIC e Organismo di Vigilanza, la distinzione tra gestione e controllo

La questione diventa più articolata quando l'impresa dispone già di un Modello organizzativo ai sensi del D.Lgs. 231/2001.

L'art. 6 del D.Lgs. 231/2001 attribuisce all'Organismo di Vigilanza (OdV) il compito di vigilare sul funzionamento e sull'osservanza del Modello e di curarne l'aggiornamento, richiedendo che esso disponga di autonomi poteri di iniziativa e controllo. 

Il responsabile PIC, dal canto suo, interviene nell'organizzazione e nell'attuazione dei controlli sulle operazioni commerciali. Può essere chiamato, ad esempio, a verificare la classificazione dei prodotti, la necessità di autorizzazioni, l'identità delle controparti, le destinazioni delle merci e la presenza di eventuali restrizioni. Si tratta di attività che incidono direttamente sui processi decisionali e operativi dell'impresa.

L'Organismo di Vigilanza, diversamente, non è incaricato dalla legge di autorizzare le esportazioni o di sostituirsi alle funzioni aziendali competenti. La sua attività riguarda la vigilanza sull'adeguatezza e sull'effettiva osservanza del Modello 231, anche attraverso la verifica dei protocolli preventivi e dei flussi informativi.

La normativa vigente non prevede, invero, un obbligo di coincidenza tra responsabile PIC e Organismo di Vigilanza, né stabilisce un divieto generale di cumulo degli incarichi. Tuttavia, la loro eventuale sovrapposizione deve essere valutata alla luce dell'autonomia richiesta dall'art. 6 del D.Lgs. 231/2001.

L'attribuzione al medesimo soggetto di responsabilità operative e compiti di vigilanza sulle stesse attività potrebbe infatti determinare – ad avviso di chi scrive – una situazione di autocontrollo, nella quale chi è chiamato a verificare l'efficacia delle procedure partecipa direttamente alla loro attuazione. Non si tratta di un'incompatibilità espressamente prevista in termini assoluti dal legislatore, ma di una criticità organizzativa che può incidere sull'effettività del sistema di vigilanza.

Differente è l'ipotesi in cui il responsabile PIC coincida con una funzione interna di compliance 231 distinta dall'OdV. In questo caso, il cumulo può risultare compatibile con l'assetto normativo, purché il soggetto incaricato disponga delle necessarie competenze e risorse e siano chiaramente definite le rispettive attribuzioni.

La distinzione deve inoltre essere letta tenendo conto delle particolarità previste dallo stesso art. 6, che consente, negli enti di piccole dimensioni, lo svolgimento dei compiti di vigilanza direttamente da parte dell'organo dirigente e, nelle società di capitali, l'attribuzione delle funzioni dell'OdV a determinati organi societari di controllo. Anche per questa ragione non sarebbe corretto sostenere l'esistenza di un divieto normativo assoluto di sovrapposizione delle funzioni.

L'integrazione del PIC nel Modello 231 senza duplicare i controlli

La distinzione delle responsabilità non comporta che PIC e Modello 231 debbano operare come sistemi separati e privi di collegamenti.

L'art. 6, comma 2, del D.Lgs. 231/2001 richiede che il Modello individui le attività esposte al rischio di commissione dei reati presupposto, preveda specifici protocolli preventivi e stabilisca obblighi di informazione nei confronti dell'Organismo di Vigilanza. 

Le procedure adottate nell'ambito del PIC possono contribuire a soddisfare tali esigenze, nella misura in cui presidino attività rilevanti anche ai fini della responsabilità dell'ente. Si pensi alla verifica delle controparti commerciali, all'identificazione dell'utilizzatore finale (c.d. End User), al controllo delle autorizzazioni necessarie o alla gestione delle operazioni che presentino elementi di anomalia.

L'integrazione non deve tuttavia essere automatica. La normativa sui prodotti a duplice uso e quella relativa alle misure restrittive dell'Unione europea presentano ambiti applicativi differenti, pur potendo incidere sulle medesime operazioni. Un Programma Interno di Conformità predisposto esclusivamente per assicurare la conformità al Regolamento (UE) 2021/821 potrebbe, pertanto, non essere sufficiente a presidiare tutti i rischi rilevanti ai fini del Modello 231, in particolare quelli connessi ai divieti di natura finanziaria o soggettiva previsti dai regimi sanzionatori europei.

Il coordinamento dovrebbe quindi partire dalla mappatura dei rischi aziendali, individuando quali procedure del PIC possano essere richiamate nel Modello 231 e quali ulteriori controlli risultino necessari.

Un ruolo centrale assume, in questa prospettiva, la disciplina dei flussi informativi. Le criticità rilevate nell'ambito delle verifiche sulle esportazioni, le eventuali violazioni riscontrate e le misure correttive adottate dovrebbero essere comunicate all'Organismo di Vigilanza secondo criteri e modalità previamente definiti, quando rilevanti rispetto ai rischi contemplati dal Modello.

In questo modo, l'OdV può esercitare le proprie funzioni di vigilanza sulla base di informazioni provenienti dai responsabili operativi, senza essere coinvolto direttamente nella gestione delle singole transazioni commerciali.

Un'organizzazione integrata, ma con responsabilità chiaramente definite

L'evoluzione della normativa europea sull'export control e il suo progressivo coordinamento con il sistema italiano della responsabilità degli enti pongono le imprese di fronte ad un'esigenza organizzativa precisa, ossia evitare che la moltiplicazione degli strumenti di compliance determini sovrapposizioni di competenze, duplicazioni procedurali o, al contrario, aree di rischio prive di un responsabile chiaramente individuato.

La soluzione non consiste necessariamente nella creazione di nuovi organismi aziendali, né nell'attribuzione indistinta di tutte le funzioni di conformità ad un unico soggetto. Occorre, piuttosto, costruire un assetto proporzionato alle caratteristiche dell'impresa, nel quale le responsabilità operative siano definite e i controlli di vigilanza conservino la propria autonomia.

Il PIC può dunque essere integrato nel più ampio sistema di prevenzione aziendale, contribuendo all'efficacia dei protocolli previsti dal Modello 231. La sua gestione, tuttavia, deve rimanere riconducibile a funzioni dotate delle necessarie competenze in materia di export control, mentre all'Organismo di Vigilanza spetta verificare, nell'ambito delle proprie attribuzioni, l'effettività dei presidi rilevanti ai fini della responsabilità dell'ente.

Il punto non è quindi stabilire se il responsabile PIC debba coincidere con il responsabile della compliance 231, ma assicurare che le due discipline siano coordinate senza confondere chi gestisce il rischio con chi è chiamato a vigilare sull'efficacia dei controlli.

Per le imprese esportatrici, questa distinzione costituisce uno degli elementi fondamentali di un sistema di conformità capace di coniugare l'efficienza operativa con la prevenzione delle responsabilità aziendali.

Enrico Ruggeri
Studio Legale de Capoa