Il principio “dalla compliance sulla carta alla compliance effettiva” espresso dalla Cassazione con riferimento alla compliance bancaria antiriciclaggio. Applicabilità ai modelli ex D.lgs. n. 231/2001: una ipotesi

La Cassazione civile, sez. III con la sentenza n. 13945 del 13 maggio 2026 ha affrontato un tema di particolare rilievo per la governance antiriciclaggio degli intermediari bancari e finanziari: il rapporto tra l’adozione di un modello organizzativo formalmente conforme alla disciplina Anti Money Laundering (in sigla A.M.L.) la sua concreta capacità di intercettare, approfondire e gestire operazioni anomale protratte nel tempo.

Una precisazione preliminare è d’obbligo: la decisione non afferma, allo stato, la responsabilità risarcitoria della banca giacchè la Corte regolatrice ha accolto il ricorso per motivazione apparente, cassando la sentenza della Corte d’appello di Napoli e rinviando per un nuovo esame.

Ciononostante, è stato espresso un principio di grande interesse per la compliance bancaria: l’esistenza di procedure, manuali e modelli organizzativi antiriciclaggio non è sufficiente, da sola, a dimostrare il corretto adempimento degli obblighi dell’intermediario.

Occorre verificare se quei presidi siano stati concretamente applicati e se abbiano funzionato rispetto all’operatività effettivamente svolta dalla clientela.

Inoltre, cosa di ulteriore rilievo, l’azione è stata promossa da una curatela  fallimentare la quale ha eccepito che erano state poste in essere operazioni caratterizzate, tra l’altro, da raccolta di risparmio mediante emissione di obbligazioni per importi molto superiori al capitale sociale, movimentazione di ingenti somme sui conti personali dei soci,     trasferimento di una parte delle somme sul conto della società e soprattutto la tardività o esiguità delle segnalazioni effettuate dalla banca rispetto alla dimensione complessiva del fenomeno.

La Corte regolatrice ha, pertanto, censurato il ragionamento del Giudice di merito perché quest’ultimo aveva valorizzato essenzialmente due elementi: l’adozione da parte della banca di un modello organizzativo antiriciclaggio ritenuto idoneo e l’assenza di rilievi degli organi di vigilanza.

Secondo la Cassazione, tali circostanze non consentivano di eludere l’esame del concreto funzionamento del sistema.

Il passaggio centrale è quello in cui la Corte afferma che la compliance non può rimanere “una mera analisi sulla carta”, ma deve dimostrarsi capace di contrastare concretamente il riciclaggio nelle forme effettivamente assunte dalle operazioni esaminate.

La verifica giudiziale da parte del Giudice di merito avrebbe dovuto quindi riguardare non soltanto la presenza del modello, ma anche la concreta attività svolta dalla banca: identificazione, profilatura, aggiornamento delle informazioni, monitoraggio, escalation interna, valutazione della provenienza dei fondi, eventuale segnalazione e decisione sulla prosecuzione dei rapporti.

Questo perché benchè la disciplina antiriciclaggio abbia natura prevalentemente pubblicistica, perché tutela l’integrità del sistema finanziario e la prevenzione del riciclaggio e del finanziamento del terrorismo, ciononostante ha una rilevanza anche nei rapporti privatistici.

La Suprema Corte ha quindi stabilito che gli obblighi antiriciclaggio possono concorrere a definire il contenuto concreto della prestazione bancaria e integrarsi con i doveri di correttezza, buona fede e protezione riconducibili agli artt. 1175, 1375 e 1218 c.c.

In altri termini, la violazione non produce automaticamente il danno risarcibile, ma può diventare rilevante quando, alla luce delle circostanze concrete, la banca abbia ignorato una pluralità di segnali significativi e persistenti, proseguendo senza adeguata giustificazione un rapporto che esponeva il cliente, il mercato o terzi a un rischio illecito o dannoso.

Questo, pertanto, il principio espresso dalla sentenza: la violazione della disciplina A.M.L. non determina automaticamente la responsabilità civile della banca, ma può rilevare quando la condotta dell’intermediario, omettendo controlli, approfondimenti o segnalazioni dovuti in presenza di anomalie significative, si traduca in una violazione dei doveri di correttezza, buona fede e protezione inerenti al rapporto bancario.

Tanto perché il profilo più rilevante per la compliance bancaria riguarda il principio di effettività. Dunque, la banca non può limitarsi a dimostrare l’esistenza di un manuale antiriciclaggio,    l’approvazione di procedure interne, la presenza di un organigramma A.M.L., l’esistenza di un sistema informatico di transaction monitoring, l’adozione di un modello organizzativo, l’assenza di rilievi ispettivi formalizzati,  la trasmissione di alcune segnalazioni.

Occorre dimostrare anche che il sistema sia stato concretamente utilizzato e che abbia prodotto una risposta proporzionata al rischio rilevato.

La disciplina vigente del D.Lvo. n. 231/2007 costruisce infatti gli obblighi della banca secondo un modello dinamico e risk based approch.

L’art. 17 impone che le misure di adeguata verifica siano proporzionate al rischio e che il soggetto obbligato sia in grado di dimostrare alle autorità la loro adeguatezza rispetto al rischio rilevato e alle informazioni aggiornate.

La stessa disposizione richiede di considerare, tra gli altri elementi, la natura giuridica del cliente, l’attività svolta, l’ammontare, la frequenza e il volume delle operazioni, la durata del rapporto e la ragionevolezza dell’operatività rispetto alle risorse economiche del cliente.

Un sistema astrattamente adeguato può quindi risultare concretamente inefficace se, a fronte di segnali ripetuti, non produce alcuna rivalutazione del profilo del cliente o non attiva un adeguato processo di escalation.

Ebbene, la sentenza della Cassazione in commento contiene un principio potenzialmente estensibile alla valutazione della concreta efficacia dei modelli 231: l’esistenza formale del modello non esaurisce il giudizio sulla sua idoneità e sulla sua effettiva attuazione.

È chiaro che l’estensione deve essere operata rispettando la struttura propria della responsabilità da reato dell’ente, che richiede ulteriori elementi: un reato presupposto, il rapporto qualificato dell’autore con l’ente, l’interesse o vantaggio dell’ente e una specifica colpa di organizzazione causalmente collegata alla commissione del reato.

Il principio trasferibile, però, è quello della “compliance sulla carta alla compliance effettiva”.

La Suprema Corte nella sentenza n. 13945/2026, non ha affermato la responsabilità della banca, ma ha cassato la decisione di merito perché questa aveva attribuito rilievo pressoché assorbente all’esistenza di un modello antiriciclaggio astrattamente idoneo e all’assenza di rilievi degli organi di vigilanza, senza verificare se il sistema avesse funzionato rispetto alle operazioni concretamente svolte.

La Corte ha rilevato che la compliance: “non deve rimanere una mera analisi sulla carta” e che il giudice deve verificare se il sistema di prevenzione si sia dimostrato concretamente efficace rispetto alle operazioni effettivamente poste in essere.

Il medesimo criterio è pienamente coerente con gli artt. 6 e 7 D.Lvo. n. 231/2001.

L’art. 6 non richiede soltanto che l’ente abbia adottato un modello prima della commissione del reato, ma che lo abbia anche efficacemente attuato; inoltre, il modello deve essere sottoposto alla vigilanza dell’Organismo di Vigilanza e deve risultare assente una vigilanza omessa o insufficiente.

Per i soggetti sottoposti all’altrui direzione, l’art. 7 stabilisce parimenti che l’ente è esente da responsabilità quando abbia adottato ed efficacemente attuato, prima del fatto, un modello idoneo a prevenire reati della specie di quello verificatosi.

La disposizione aggiunge che il modello deve contenere misure adeguate alla natura, alle dimensioni e all’attività dell’organizzazione, dirette sia a garantire lo svolgimento dell’attività nel rispetto della legge, sia a scoprire ed eliminare tempestivamente situazioni di rischio.

L’efficace attuazione richiede, inoltre, verifiche periodiche, aggiornamento in presenza di violazioni significative o mutamenti organizzativi e un sistema disciplinare effettivo. Art. 7 D.Lvo. n. 231/2001.

Ne deriva, pertanto, che il passaggio argomentativo della sentenza civile potrebbe essere formulato, nel contesto del D.Lvo 231/2001 nei seguenti termini: non basta dimostrare che il modello esistesse; occorre dimostrare che fosse progettato sul rischio concreto, applicato nei processi aziendali, conosciuto dai destinatari, vigilato dall’Organismo di vigilanza, aggiornato e capace di intercettare il rischio-reato effettivamente manifestatosi.

Certamente la sentenza n. 13945/2026 ha riguardato la possibile responsabilità civile della banca per la violazione di obblighi antiriciclaggio mentre la responsabilità ex D.Lvo. n. 231/2001 ha invece una struttura diversa.

Non deriva dalla semplice inosservanza di una regola organizzativa, né dalla sola esistenza di un modello inadeguato.

Occorre dimostrare la commissione di uno specifico reato presupposto, la riferibilità del reato a un soggetto apicale o sottoposto, l’interesse o il vantaggio dell’ente, secondo l’art. 5, una carenza organizzativa specifica ed anche il collegamento causale tra tale carenza e la commissione del reato.

Inoltre, deve dirsi che la Cassazione penale ha chiarito che la colpa di organizzazione costituisce elemento costitutivo dell’illecito dell’ente, distinto dalla colpa della persona fisica autrice del reato: non è sufficiente accertare il reato del dipendente o dell’amministratore e, automaticamente, trasferirne la responsabilità all’ente.

Occorre individuare il deficit organizzativo proprio dell’impresa e dimostrarne l’incidenza causale sul reato presupposto. (così, Cass. pen., Sez. IV, sentenza n. 39615 del 20 ottobre 2022)

Ancora la Corte regolatrice in sede penale ha escluso che la mera assenza, inidoneità o inefficace attuazione del modello costituiscano automaticamente gli elementi tipici dell’illecito.

Tali circostanze possono costituire indici della colpa organizzativa, ma l’accusa deve comunque dimostrare in modo positivo e specifico quali cautele organizzative siano mancate e come tale mancanza abbia favorito il reato. (così, Cass. pen., Sez. IV, sentenza n. 570 del 11 gennaio 2023)

In conclusione.

La sentenza n. 13945/2026 può essere richiamata come espressione di un principio generale di effettività della compliance, applicabile anche alla valutazione dei modelli ex D.Lvo. n. 231/2001

Certamente non può però essere utilizzata per trasformare la mera inefficacia apparente del modello o la semplice commissione del reato in prova automatica della responsabilità dell’ente.

Ciononostante, è possibile affermare, in virtù del principio espresso dalla   Suprema Corte Civile con la sentenza n. 13945/2026 che nel giudizio  sulla responsabilità dell’ente ex D.Lvo. n. 231/2001, la mera adozione formale di un modello organizzativo non è sufficiente.

Il modello deve essere valutato, secondo una prognosi postuma[1] riferita al momento del fatto, in rapporto al rischio-reato concretamente prevedibile e verificando, altresì, la sua effettiva attuazione, la concreta operatività dei protocolli, la qualità dei flussi informativi, l’attività dell’Organismo di vigilanza, l’aggiornamento del sistema e l’incidenza causale degli eventuali deficit organizzativi sulla commissione del reato presupposto.

________________________________________________________________

[1] La formula è stata impiegata, tra l’altro, dalla Cassazione penale, Sez. VI, sentenza n. 23401 del 15 giugno 2022, secondo cui il giudice deve collocarsi idealmente nel momento in cui il reato è stato commesso e verificare se, adottando un modello organizzativo virtuoso, il reato sarebbe stato prevedibile ed evitabile. La stessa espressione è stata ribadita dalla Cassazione penale, Sez. II, sentenza n. 41030 del 19 dicembre 2025.