RESPONSABILITÀ PENALE D'IMPRESA Il ruolo della Persona Responsabile del Rispetto della Normativa MDR

 

RESPONSABILITÀ PENALE D'IMPRESA E REGOLAMENTO DISPOSITIVI MEDICI

Il ruolo della Persona Responsabile del Rispetto della Normativa

e l'integrazione del Modello 231

 Luca Martinelli

Pubblicazione del 29.08.2026

 

Destinatari del documento: Persone Responsabili del Rispetto della Normativa, fabbricanti di dispositivi medici, Responsabili del regolatorio, Responsabili qualità, consulenti.

Obiettivo pratico: fornire un quadro generale che aiuti a comprendere l’importanza dell’integrazione tra il sistema di conformità al Regolamento Dispositivi Medici (MDR 2017/745) e la disciplina del D.Lgs. 231/2001 e l’importanza della sinergia tra le funzioni di controllo interno e le figure chiave della compliance regolatoria.

Redazione: Testo redatto secondo i criteri di Plain Language (UNI ISO 24495-1).

Nota metodologica:

1-Le conclusioni espresse non costituiscono un'opinione o un giudizio di merito sulla normativa, ma rappresentano esclusivamente il risultato dell'analisi oggettiva dei testi normativi. Si tratta di una interpretazione coerente con i testi, e con la struttura delle normative, ma non di una motivazione esplicitata dal legislatore.

2-Per la revisione e la migliore formulazione di alcuni contenuti è stato utilizzato il supporto dell'intelligenza artificiale.

1.Premessa

Il Regolamento Europeo sui dispositivi medici (MDR 2017/745), insieme al decreto nazionale attuativo, rappresenta il riferimento normativo per la realizzazione di dispositivi conformi alla legge. L’immissione sul mercato, più o meno inconsapevole, di dispositivi non conformi può, come si è dimostrato nel tempo, portare a conseguenze drammatiche per i pazienti e per gli utilizzatori.

In alcuni casi si tratta di violazioni amministrative ma non infrequentemente anche di violazioni che rappresentano un reato e che quindi comportano una responsabilità penale. Nel 2001 è stato emanato il Decreto legislativo 8 giugno 2001, n. 231 che disciplina la responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300. In altre parole, la condotta non conforme al MDR costituisce, oppure contribuisce a realizzare, uno dei reati espressamente previsti dal D.Lgs. 231/2001. Il ruolo della Persona Responsabile del Rispetto della Normativa (PRRC) diventa fondamentale per impedire che eventuali non conformità si traducano in reati-presupposto secondo la legge 231.

2.Legge 231

Lo scopo della legge è quello di porre a carico direttamente dell’azienda la responsabilità di eventuali reati commessi da un dipendente o un dirigente a favore o nell'interesse dell'azienda, a meno che, naturalmente questa, dimostri di aver fatto tutto il possibile per prevenirlo.

In altre parole, lo scopo della norma è quello di:

-Incentivare la cultura dell'integrità ovvero spingere le società a darsi regole interne rigide (il Modello 231) e a vigilare sul loro rispetto, premiando le realtà organizzate in modo etico.

-Evitare il "vantaggio ingiusto" ovvero impedire alle aziende di arricchirsi o risparmiare sui costi (ad esempio sulla sicurezza sul lavoro o sulla tutela ambientale) con scorciatoie illegali.

-Separare le responsabilità ovvero distinguere la colpa del singolo individuo (che risponde penalmente) dalla colpa dell'organizzazione (che viene punita per non aver controllato).

 

3.Collegamenti con il regolamento dispositivi medici

Le prescrizioni del MDR costituiscono, per le attività del fabbricante, un sistema di obblighi e cautele la cui violazione può concorrere alla realizzazione di determinate fattispecie di reato-presupposto previste dal D.Lgs. 231/2001. Per questo tra il D.Lgs. 231/2001 e il Regolamento MDR 2017/745 (e il relativo decreto nazionale di adeguamento 137/2022) c’è un comprensibile stretto collegamento e questo collegamento può essere molto importante nella costruzione o nell'aggiornamento di un Modello 231 di un fabbricante di dispositivi medici.

3.1.Un esempio concreto

Immaginiamo un comportamento di questo tipo:

Il fabbricante è consapevole che un proprio dispositivo ha oggettivamente un problema di sicurezza; ciò nonostante, non lo rende conforme e lo immette sul mercato oppure, accortosi di questo fatto, continua a commercializzarlo. Dal punto di vista dell’MDR possono rilevarsi numerose violazioni che, a titolo esemplificativo e non esaustivo, potrebbero essere relative a obblighi di sorveglianza post-commercializzazione (PMS), obblighi di vigilanza, gestione del rischio e del risk management, obblighi relativi alla sicurezza e alle prestazioni del dispositivo, attivazione di eventuali azioni correttive di sicurezza sul mercato (FSCA), obblighi di segnalazione alle autorità competenti, documentazione tecnica incompleta o non aggiornata.

Il D.Lgs. 137/2022 prevede specifiche sanzioni amministrative per determinate violazioni regolatorie. Ma se da quella condotta deriva, per esempio, la lesione o la morte di una persona, la situazione cambia radicalmente. Potremmo trovarci, a seconda delle circostanze concrete, nell'ambito di una condotta aziendale che, violando l’MDR, provoca un evento lesivo, configurando un reato-presupposto e attivando la responsabilità dell'ente ex D.Lgs. 231/2001.

O ancora:

ipotizziamo che un fabbricante sappia che il dispositivo fabbricato non rispetta determinati requisiti, non corrisponde alla documentazione tecnica e magari presenta caratteristiche diverse da quelle che ha dichiarato, e che comunque lo commercializzi marcato CE con la relativa documentazione e informazioni che lo presentano come conforme. A questo punto il problema non è più la sola non conformità in sé del dispositivo, perché essa integra anche una fattispecie penale-presupposto: può infatti venire in considerazione la frode nell'esercizio del commercio (art. 515 c.p.), se ne ricorrono tutti i presupposti.

Un esempio, sempre in via ipotetica e a titolo esemplificativo ma non esaustivo, potrebbe essere quello per cui un'azienda, conosca un rischio del dispositivo, lo sottovaluti intenzionalmente (o non lo valuti per grave carenza organizzativa), non aggiorni il risk management, non effettui adeguatamente le attività di PMS, non intervenga dopo eventuali segnalazioni dal mercato da parte degli utilizzatori professionali o profani, continui la commercializzazione del prodotto e che, a seguito di una o di tutte queste mancanze, un paziente subisca una lesione o muoia. È evidente che l’MDR assume un'importanza enorme nella ricostruzione della condotta organizzativa colposa dell'impresa.

4.Reato nell’interesse dell’azienda

Il D.Lgs. 231/2001 richiede che il reato sia commesso nell'interesse o a vantaggio dell'ente e da soggetti qualificati, cioè soggetti in posizione apicale oppure sottoposti alla direzione e/o vigilanza degli apicali. Questo significa che deve essere dimostrato il collegamento tra il comportamento della persona fisica, l’interesse ovvero il vantaggio dell'impresa e il reato-presupposto.

Se il fabbricante adottasse comportamenti orientati al profitto o al risparmio di costi, come ad esempio:

-Non fermiamo la produzione perché abbiamo il magazzino vuoto e troppi ordini da evadere;

-Non fermiamo la produzione altrimenti perdiamo il contratto;

-Non facciamo il recall perché costa troppo e arreca un danno d’immagine;

-Non aggiorniamo la documentazione: se aspettiamo i tempi dell’Organismo Notificato ritardiamo eccessivamente la commercializzazione;

-Aggiungiamo questo prodotto senza sottoporlo alla valutazione dell’Organismo Notificato,

altrimenti potrebbe negarlo o impiegare troppo tempo a certificarlo;

-Non segnaliamo l'incidente perché rischiamo di perdere il cliente e di subire un danno d'immagine;
queste decisioni risulterebbero estremamente rilevanti in ottica 231, poiché costituiscono la motivazione e la condotta deliberata che sfocia in un reato-presupposto commesso a vantaggio o nell'interesse dell'ente.

 

5.Modello organizzativo e Risk assessment 231

5.1.Il modello

La legge 231 prevede l'adozione di un Modello di Organizzazione, Gestione e Controllo (MOG 231). È quel documento strategico ed operativo che definisce l'insieme delle regole, delle procedure, dei protocolli e dei controlli interni che un'azienda deve implementare per prevenire la commissione dei reati previsti dal D.Lgs. 231/2001.

In sintesi, si compone di alcuni elementi essenziali quali:

-La mappatura dei rischi e le procedure: stabiliscono le regole di condotta per ciascun processo aziendale a rischio (es. gestione dei pagamenti, sicurezza sui luoghi di lavoro, rapporti con la Pubblica Amministrazione, conformità di prodotto, ecc.).

-Il Codice Etico: definisce i principi morali e i valori fondamentali a cui tutti i dipendenti e collaboratori devono attenersi nello svolgimento delle proprie mansioni.

-L’Organismo di Vigilanza (OdV): assegna a un organo autonomo e indipendente il compito di controllare costantemente l'efficacia, l'adeguatezza e il rispetto del Modello organizzativo.

-Il sistema sanzionatorio: prevede sanzioni disciplinari interne per chi viola le procedure stabilite, garantendo l'effettività del Modello.

Lo scopo fondamentale del MOG 231 è far sì che l'azienda, quando dimostri di aver adottato ed efficacemente attuato un modello idoneo prima che un eventuale reato venga commesso, ottenga l'esimente penale, venendo quindi sollevata dalle sanzioni amministrative, pecuniarie ed interdittive previste dalla legge.

6.Risk assessment

Il Risk Assessment 231 è l'analisi preliminare che serve all’azienda per individuare e mappare tutti i rischi di commissione, al proprio interno, dei reati previsti dal D.Lgs. 231/2001.

In sintesi, si tratta di un'attività e di un documento di sintesi che analizza:

-Dove si rischia? Individuazione delle aree, dei settori e dei processi aziendali potenzialmente a rischio (es. acquisti, controllo qualità, gestione sicurezza sul lavoro, rapporti con la Pubblica Amministrazione, gestione ambientale, attività regolatorie)

-Quali reati si possono verificare? Incrocio delle attività dell'azienda con l'elenco dei reati-presupposto previsti dalla legge (es. corruzione, truffa ai danni dello Stato, reati ambientali, omicidio o lesioni colpose per violazione delle norme sulla sicurezza sul lavoro, frodi commerciali).

-Quali controlli esistono già? Valutazione dell'adeguatezza delle procedure aziendali esistenti per prevenire tali reati e identificazione di eventuali lacune o aree di miglioramento da colmare.

Il Risk Assessment costituisce il presupposto fondamentale e la base indispensabile per poter poi progettare, adottare o aggiornare un Modello di Organizzazione, Gestione e Controllo (MOG 231) che sia realmente efficace e su misura.

 

6.1. L’MDR nel risk assessment

Alla luce del forte collegamento tra le due normative, all’interno del risk assessment complessivo dell'azienda è opportuno inserire anche un “MDR Compliance Risk Assessment 231” specifico semplificando l'approccio logico.

Es. Di fronte a una non conformità MDR rilevata, si esegue un'analisi della condotta organizzativa e si valuta se si tratta di una mera gestione di tipo tecnico-regolatorio o se la condotta possa integrare una fattispecie penale. Se sì, si verifica se tale reato rientra tra quelli-presupposto del D.Lgs. 231/2001 e se è stato commesso nell'interesse o a vantaggio dell'ente. In caso affermativo, il rischio regolatorio si traduce in un diretto rischio di responsabilità 231 per la società.

Il Modello 231 può quindi diventare uno strumento di presidio sussidiario della compliance MDR, estendendo la sua efficacia oltre le tradizionali aree di rischio. La valutazione si deve concentrare sul comportamento umano e organizzativo: non è infatti la non conformità tecnica all'MDR ad essere in sé necessariamente rilevante per la 231, quanto la decisione o la negligenza organizzativa che l'ha determinata.

Esempio di non conformità esclusivamente regolatoria:

Il dispositivo evidenzia una non conformità formale perché un operatore commette accidentalmente un errore materiale di compilazione. Si tratta di una violazione MDR con possibile sanzione amministrativa ex D.Lgs. 137/2022, ma non vi è alcun automatismo con la 231 in quanto manca l'elemento del dolo o della colpa organizzativa finalizzati a procurare un interesse o vantaggio all'ente.

Esempio di rischio 231 elevato:

Il responsabile qualità, o la Persona Responsabile del Rispetto della Normativa (PRRC), scopre che un lotto di prodotti è gravemente non conforme. Una volta comunicato il problema alla Direzione aziendale, questa ordina deliberatamente di alterare i documenti di collaudo e di commercializzare comunque i dispositivi, al fine di evitare una perdita economica di 2 milioni di euro legata al ritiro o al blocco della produzione. In questa ipotesi, la violazione dell'MDR è sorretta da un comportamento intenzionale finalizzato a un vantaggio patrimoniale immediato per la società, configurando un rischio 231 estremamente elevato per reati quali la frode in commercio o, in caso di danni alla salute, lesioni o omicidio colposo.

Un altro scenario ricorrente riguarda la modifica non autorizzata dei processi o dei materiali:
Il dispositivo "X" è stato validato e certificato utilizzando un materiale "A" e un determinato processo produttivo. Il reparto acquisti decide di sostituire il materiale "A" con un materiale "B" surrogato che costa il 30% in meno. Il dipartimento Quality/Regulatory rileva la variazione non autorizzata e informa la Direzione, la quale decide comunque di proseguire la produzione e la vendita senza effettuare la necessaria e obbligatoria rivalutazione clinica e la notifica all'Organismo Notificato. Questo comportamento genera un'evidente frode nell'esercizio del commercio (commercializzazione di un prodotto con caratteristiche diverse da quelle dichiarate) e un potenziale rischio per la sicurezza, commesso per ottenere un risparmio economico diretto (vantaggio dell'ente).

Analoghe considerazioni si applicano alle omissioni dolose o colpose nell'ambito della sorveglianza post-market (PMS), della gestione tempestiva dei reclami, della mancata o ritardata segnalazione di incidenti gravi (vigilanza) o del blocco dei recall/FSCA. Nel condurre il Risk Assessment, è pertanto di fondamentale importanza mappare queste specifiche aree regolatorie e coinvolgere attivamente il personale regolatorio e la PRRC nella definizione dei presidi.

7. L’Organismo di Vigilanza (OdV)

Vediamo cos’è l’Organismo di Vigilanza. È l'organo che, nell'ambito del sistema previsto dal D.Lgs. 231/2001, ha il compito di verificare costantemente che il Modello di Organizzazione, Gestione e Controllo sia applicato in modo effettivo e funzioni adeguatamente come strumento di prevenzione dei reati. L'art. 6 richiede che tale organo sia dotato di autonomi poteri di iniziativa e controllo.

I compiti essenziali dell'OdV prevedono:

-Vigilare sul funzionamento del Modello: controllare che le procedure, le istruzioni e i protocolli previsti dal MOG siano effettivamente applicati nei processi quotidiani e verificare la tenuta dei relativi controlli.

-Vigilare sull'osservanza del Modello: verificare che amministratori, dirigenti, dipendenti e collaboratori esterni rispettino le regole di condotta stabilite, provvedendo a rilevare anomalie o violazioni.

-Promuovere l'aggiornamento del Modello: segnalare tempestivamente all'organo dirigente la necessità di adeguare o modificare il Modello in relazione a mutamenti normativi, riorganizzazioni aziendali o all'emergere di nuovi rischi.

-Effettuare verifiche e controlli ispettivi: accedere liberamente alle informazioni e alla documentazione aziendale sensibile, condurre audit interni periodici e richiedere chiarimenti scritti o verbali alle funzioni operative.

-Riferire periodicamente ai vertici aziendali: comunicare formalmente le criticità e le carenze riscontrate al Consiglio di Amministrazione e al Collegio Sindacale, segnalando immediatamente le violazioni di rilevanza penale.

 

7.1. Componenti l’OdV

Le Linee Guida di riferimento sottolineano l'importanza dei requisiti di autonomia, indipendenza, professionalità e continuità d'azione dell'OdV. Per questo motivo, soprattutto nelle realtà aziendali di medie e grandi dimensioni, è prassi consolidata costituire un organo collegiale composto prevalentemente da professionisti esterni qualificati, affiancati da figure interne con funzioni di supporto operativo. Tuttavia, la legge consente anche la nomina di un OdV monocratico o l'attribuzione delle funzioni a soggetti interni all'ente, purché sia garantita la totale assenza di condizionamenti e la piena autonomia decisionale.

8. Ruolo e responsabilità della Persona Responsabile del Rispetto della Normativa (PRRC)

Veniamo quindi alla Persona Responsabile del Rispetto della Normativa (PRRC). Istituita dall'articolo 15 del Regolamento (UE) 2017/745 (MDR), rappresenta una figura di importanza centrale per garantire che l'organizzazione del fabbricante operi in totale conformità con i severi requisiti di sicurezza e qualità imposti a livello europeo. La PRRC agisce come un vero e proprio custode della conformità regolatoria, e la sua operatività deve essere strettamente integrata con il Modello 231 dell'impresa.

Ai sensi del Regolamento MDR, la PRRC è specificamente incaricata di vigilare e garantire che:
1. La conformità dei dispositivi medici sia adeguatamente controllata, in conformità al sistema di gestione della qualità dell'azienda, prima che un lotto di prodotti venga immesso sul mercato o rilasciato;
2. La documentazione tecnica e la dichiarazione di conformità UE siano costantemente redatte, aggiornate e conservate a disposizione delle autorità;

3. Siano soddisfatti tutti gli obblighi relativi alla sorveglianza post-commercializzazione (PMS), raccogliendo e analizzando attivamente i dati sull'esperienza d'uso;

4. Siano rispettati gli obblighi di segnalazione nell'ambito della vigilanza (incidenti gravi, reclami e azioni correttive di sicurezza come le FSCA).

In ottica D.Lgs. 231/2001, il ruolo della PRRC assume una valenza preventiva fondamentale. Poiché le violazioni delle attività poste sotto la sua diretta responsabilità (es. commercializzazione cosciente di lotti non conformi, omissione o ritardo di segnalazioni di incidenti, alterazione della documentazione tecnica) possono integrare reati-presupposto gravissimi come la frode in commercio o l'omicidio colposo e le lesioni colpose, la PRRC deve essere inserita all'interno dei protocolli di controllo del MOG. In particolare, devono essere previsti flussi informativi strutturati e periodici tra la PRRC e l'Organismo di Vigilanza (OdV), atti a segnalare eventuali rilievi critici degli Organismi Notificati, andamenti (trend) anomali di reclami o incidenti, ed eventuali conflitti irrisolti con la Direzione in merito al rilascio di lotti di prodotto dubbi.

9. Il Whistleblowing (Segnalazione di illeciti)

Il Whistleblowing rappresenta l'istituto finalizzato a consentire ai dipendenti, ai collaboratori e a soggetti terzi di segnalare in modo sicuro, riservato ed eventualmente anonimo, violazioni di leggi o regolamenti nazionali ed europei, nonché violazioni del Modello 231 o del Codice Etico dell'azienda, riscontrate nell'ambito del contesto lavorativo all’Organismo di Vigilanza.

L'introduzione delle normative europee e nazionali di recepimento della Direttiva (UE) 2019/1937, obbliga le aziende che adottano un Modello 231 a implementare canali di segnalazione interni. Questi canali devono garantire la massima tutela della riservatezza e dell'identità del segnalante, delle persone che sono coinvolte e del contenuto della segnalazione, vietando assolutamente, inoltre, qualsiasi forma di ritorsione, discriminazione o penalizzazione, sia diretta sia indiretta, nei confronti di colui che segnala.

Il whistleblowing costituisce uno strumento operativo particolarmente efficace per intercettare violazioni gravi dell'MDR prima che queste possano tradursi in illeciti penali. Quando la catena gerarchica, e le pressioni commerciali, spingono affinché si evadano immediatamente degli ordini a scapito dei controlli di sicurezza (ad esempio ordinando di immettere sul mercato un lotto non conforme o di modificare la documentazione di controllo e/o rilascio del lotto), un canale di segnalazione protetto e indipendente, gestito dall'Organismo di Vigilanza, permette alla produzione o a chi si occupa di qualità e/o regolatorio, di segnalare l'abuso in totale sicurezza. La tempestiva ricezione della segnalazione consente all'OdV e di attivare così verifiche urgenti per indurre i vertici aziendali a rimediare alla non conformità (bloccando le spedizioni o avviando un'azione correttiva). Questo salvaguarda sia la salute dei pazienti sia l'esimente di responsabilità dell'ente ex D.Lgs. 231/2001.

10. Tabella di consultazione rapida

La tabella sottostante fornisce una panoramica sinottica delle principali aree operative disciplinate dal Regolamento MDR 2017/745, associando a ciascun adempimento le sanzioni amministrative pecuniarie previste dal D.Lgs. 137/2022, la corrispondente condotta organizzativa a rischio, e l'esatta fattispecie di reato-presupposto del catalogo 231 che può configurarsi, con indicazione del livello di rischio associato per la responsabilità amministrativa dell'ente.

PROCESSO / AREA	MDR 2017/745	D.LGS. 137/2022	CONDOTTA A RISCHIO	POSSIBILE REATO-PRESUPPOSTO D.LGS. 231/2001	RISCHIO
Immissione sul mercato	Art. 5	Art. 27	Immettere sul mercato dispositivo non conforme	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Marcatura CE	Art. 20	Art. 27	Apporre/utilizzare indebitamente la marcatura CE	Vendita di prodotti industriali con segni mendaci (Art. 517 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Valutazione conformità	Art. 52	Art. 27	Commercializzare senza procedura di valutazione prevista	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Dispositivo falsificato	Artt. 10 e 27	Art. 27	Fabbricare/commercializzare dispositivo falsificato	Fabbricazione e commercio di beni usurpando titoli di proprietà industriale (Art. 517-ter c.p.) o Ricettazione (Art. 648 c.p.) [Art. 25-bis.1 / Art. 25-octies D.Lgs. 231/2001]	Molto alto
Documentazione tecnica	Art. 10(4), All. II	Art. 27	Alterare o costruire documentazione non corrispondente al dispositivo	Falsità materiale o ideologica o Truffa ai danni dello Stato (se presentata a enti pubblici) [Art. 24 D.Lgs. 231/2001]	Alto
Dichiarazione UE di conformità	Art. 19	Art. 27	Dichiarare conformità non realmente verificata	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
GSPR	Allegato I	Art. 27	Dichiarare conformità a requisiti non rispettati	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Produzione	Art. 10(9)	Art. 27	Produrre dispositivi diversi da quelli sottoposti a valutazione	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Molto alto
Modifica del prodotto	Art. 10(9)	Art. 27	Modificare materiali/processi senza rivalutazione	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
QMS	Art. 10(9)	Sanzioni collegate agli obblighi MDR	QMS formalmente esistente ma non effettivamente applicato	Frode in commercio (Art. 515 c.p.) o Omicidio/Lesioni colpose per violazione norme sicurezza sul lavoro (Art. 25-septies, qualora impatti lavoratori interni o utilizzatori equiparati)	Alto
PMS	Artt. 83-86	Art. 27	Non effettuare o falsificare attività PMS	Omicidio colposo o lesioni colpose gravi/gravissime (Art. 25-septies, se l'omissione espone a rischio i lavoratori) o Frode in commercio per dolosa omissione di rischi noti	Alto
Vigilanza	Artt. 87-92	Art. 10 + Art. 27	Omessa/ritardata segnalazione di incidente	Omicidio colposo o lesioni colpose (Art. 25-septies, ove riferibile a lavoratori/operatori) o Delitti contro la salute pubblica o Truffa	Molto alto
Incidenti	Art. 87	Art. 10	Mancata gestione/segnalazione dell'incidente	Omicidio colposo o lesioni colpose gravi/gravissime (Art. 25-septies, se coinvolti operatori) o Frode in commercio (Art. 515 c.p.)	Molto alto
FSCA / recall	Art. 89	Art. 10 e sistema sanzionatorio	Non adottare azioni correttive necessarie	Omicidio colposo o lesioni colpose (Art. 25-septies) o Frode nell'esercizio del commercio (Art. 515 c.p.) per deliberata omissione di richiamo	Molto alto
Reclami	Art. 83	Art. 10	Occultare sistematicamente reclami rilevanti	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
UDI	Art. 27	Disposizioni nazionali	Alterare dati di identificazione/tracciabilità	Ricettazione (Art. 648 c.p.) o Contraffazione di marchi (Art. 473 c.p.) [Art. 25-octies / Art. 25-bis D.Lgs. 231/2001]	Medio/alto
Tracciabilità	Artt. 25-27	D.Lgs. 137/2022	Impedire intenzionalmente la tracciabilità	Delitti contro l'industria e il commercio [Art. 25-bis.1] o Ricettazione [Art. 25-octies D.Lgs. 231/2001]	Medio/alto
Etichettatura	Allegato I §23	Art. 27	Informazioni false sul dispositivo	Frode in commercio (Art. 515 c.p.) e Vendita di prodotti con segni mendaci (Art. 517 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
IFU	Allegato I §23	Art. 27	Istruzioni false/incomplete con rilevanza sulla sicurezza	Frode in commercio (Art. 515 c.p.) o Omicidio/Lesioni colpose (Art. 25-septies, se coinvolge operatori sanitari/utilizzatori interni)	Alto
Claims / marketing	Art. 7	Art. 27	Attribuire prestazioni non possedute	Frode nell'esercizio del commercio (Art. 515 c.p.) [Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Clinical evaluation	Art. 61	Disposizioni sanzionatorie MDR	Alterare/occultare dati clinici	Frode in commercio (Art. 515 c.p.) o Truffa aggravata per il conseguimento di erogazioni pubbliche (Art. 640-bis c.p. se finalizzata a rimborsi SSN) [Art. 24 D.Lgs. 231/2001]	Alto
Indagini cliniche	Artt. 62 ss.	Art. 27	Effettuere indagini in violazione delle prescrizioni	Lesioni personali colpose (Art. 25-septies, se su sperimentatori/operatori) o Falsità ideologica	Alto
Rapporti con ON	Artt. 52 ss.	Art. 27	Occultare modifiche/non conformità all'ON	Frode in commercio (Art. 515 c.p.) o Truffa (Art. 640 c.p. se l'ON agisce con funzioni pubblicistiche) [Art. 24 / Art. 25-bis.1 D.Lgs. 231/2001]	Alto
Rapporti con Ministero	Art. 10(14)	Art. 10	Fornire informazioni false/incomplete	Truffa ai danni dello Stato (Art. 640, comma 2 c.p.) o Falsità ideologica commessa dal privato in atto pubblico (Art. 483 c.p.) [Art. 24 D.Lgs. 231/2001]	Alto
Fornitura alla Pubblica Aministrazione	MDR + contratto	—	Consegnare dispositivo diverso da quello previsto	Frode nelle pubbliche forniture (Art. 356 c.p.) [Art. 24 D.Lgs. 231/2001]	Molto alto
Gare pubbliche	MDR + gara	—	Utilizzare documentazione/certificazioni non veritiere	Truffa ai danni dello Stato (Art. 640, comma 2 c.p.) o Turbata libertà degli incanti (Art. 353 c.p.) [Art. 24 D.Lgs. 231/2001]	Molto alto
Rapporti con funzionari pubblici	Obblighi MDR	—	Corrompere per ottenere/evitare controlli	Corruzione per l'esercizio della funzione o per atto contrario ai doveri d'ufficio (Artt. 318-319 c.p.) [Art. 25 D.Lgs. 231/2001]	Molto alto

11. Conclusioni

L'analisi svolta evidenzia come il reale successo del modello integrato di conformità non si limiti a un mero accostamento di adempimenti tecnici e protocolli legali. Il vero perno di questa convergenza risiede infatti nella figura della Persona Responsabile del Rispetto della Normativa.

La PRRC non è più unicamente un organo di controllo tecnico-regolatorio ma assume anche la veste di attore primario della prevenzione dei reati societari ex D.Lgs. 231/2001. L'efficace integrazione operativa della PRRC nei meccanismi del Modello Organizzativo determina l'esimente dell'azienda e protegge il fabbricante dalle gravissime conseguenze penali ed economiche derivanti dalle non conformità di prodotto.

Non dimentichiamo che l’impianto regolatorio dei dispositivi medici è molto ampio e molto complesso. Chi non ha le conoscenze e le competenze di una persona esperta di regolatorio difficilmente riesce a individuare le conseguenze che potrebbero derivare da un prodotto non conforme o difettoso.

Per garantire l'efficacia di questa sinergia, l'azienda deve quindi strutturare il proprio Modello 231 attorno ad alcuni pilastri operativi che vedono la PRRC protagonista:

-Flussi informativi bidirezionali e costanti tra PRRC e OdV: l'Organismo di Vigilanza non possiede le competenze tecniche per valutare la gravità di una non conformità clinica o di una deviazione produttiva. Spetta alla PRRC tradurre queste criticità regolatorie in segnali d'allarme comprensibili per l'OdV, notificando immediatamente qualsiasi situazione di stallo decisionale o di conflitto con il vertice aziendale.

-Indipendenza e tutela della figura della PRRC: per svolgere appieno il ruolo di guardiano, la PRRC deve essere protetta da pressioni commerciali o gerarchiche mirate ad accelerare l’immissione sul mercato a discapito della sicurezza. Il Modello 231, integrato con robusti canali di Whistleblowing, deve fungere da "scudo legale" per la PRRC, assicurandole l'autonomia necessaria per sospendere il rilascio di un lotto dubbio senza temere ritorsioni.

-MDR Compliance Risk Assessment 231 dinamico: la mappatura dei rischi 231 non può essere un documento statico. Essa deve essere aggiornata costantemente sotto la guida tecnica della PRRC, che monitora l'evoluzione dei processi aziendali (come la validazione dei fornitori, la vigilanza post-market e le modifiche ai materiali) intercettando sul nascere i comportamenti volti al risparmio illecito di costi o al profitto speculativo.

In ultima analisi, la PRRC rappresenta la chiave di volta per trasformare la conformità regolatoria da obbligo burocratico ad asset strategico di governance aziendale. Investire nel ruolo, nella formazione e nella tutela organizzativa di questa figura non significa solo rispettare l'Articolo 15 del Regolamento MDR, ma dotare la società del più potente presidio per mitigare la responsabilità penale d'impresa, salvaguardando la salute pubblica, la sicurezza dei pazienti e la continuità del business aziendale."

12. Bibliografia

1-DECRETO LEGISLATIVO 8 giugno 2001, n. 231 - Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300;

2-LEGGE 29 settembre 2000, n. 300 - Ratifica ed esecuzione degli Atti internazionali in materia di lotta alla corruzione e tutela degli interessi finanziari dell'UE. Delega al Governo per la disciplina della responsabilità amministrativa delle persone giuridiche e degli enti privi di personalità giuridica;

3-Regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio, del 5 aprile 2017, relativo ai dispositivi medici (MDR);

4-DECRETO LEGISLATIVO 5 agosto 2022, n. 137 - Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2017/745;

5-REGIO DECRETO 19 ottobre 1930, n. 1398 - Approvazione del testo definitivo del Codice Penale;

6-Confindustria Dispositivi Medici - Linee guida per l'adozione del Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 e Codice Etico comportamentale; 

7-Johnson & Johnson Medical S.p.A. - Modello di organizzazione, gestione e controllo D.Lgs. 231/01 (aggiornato a febbraio 2025);

8-Making Pharma Industry - "Il ruolo della PRRC (Person Responsible for Regulatory Compliance)" - Deloitte Legal (Paola Gribaldo, Marianna Regillo);

9-Enovis - LimaCorporate S.p.A. - Modello di organizzazione, gestione e controllo ai sensi del D.Lgs. 231/2001 (aggiornato a gennaio 2025);

10-Roche Diabetes Care Italy S.p.A. - Modello di organizzazione, gestione e controllo ex D.Lgs. n. 231/2001;

11-Amplifon S.p.A. - Modello di organizzazione, gestione e controllo ex D.Lgs. 231/2001 (estratto parte generale, approvato a ottobre 2022).