Sanità privata, le responsabilità per la mancata attuazione del D.M. 232/2023

Il 16 marzo 2026 è terminato il periodo transitorio di ventiquattro mesi concesso dal D.M. 15 dicembre 2023, n. 232, decreto attuativo dell’art. 10, comma 6, della L. 8 marzo 2017, n. 24 (c.d. Legge Gelli-Bianco) in tema di requisiti minimi delle polizze di assicurazione e misure analoghe all’assicurazione. Da tale data, tutte le strutture sanitarie e sociosanitarie, pubbliche e private, dovrebbero aver concluso l’adeguamento dei contratti assicurativi e/o la implementazione delle misure analoghe all’assicurazione per la copertura del rischio, nonché gli assetti organizzativi interni relativi alla gestione del rischio clinico e dei sinistri.

La prassi rivela, tuttavia, un diffuso ritardo nell’adeguamento, forse dovuto alla erronea convinzione che le disposizioni del decreto siano entrate in vigore solo dopo il 16 marzo nel 2026 anziché dal 16 marzo 2024 come effettivamente avvenuto. In particolare, molte strutture che hanno stipulato polizze con franchigia nel 2025 non sembrano essere in condizione di redigere il bilancio di tale esercizio secondo le nuove disposizioni. E’ opportuno, infatti, evidenziare che le misure previste dal decreto non riguardano soltanto le strutture che operino in regime di totale auto-ritenzione, ossia prive di qualsiasi copertura assicurativa ma devono essere applicate anche da tutte le strutture (sanitarie e sociosanitarie, pubbliche e private) che gestiscano in proprio anche soltanto una quota del rischio, come comunemente avviene quando si stipula una polizza con franchigia (a prescindere dall’importo di quest’ultima). La platea dei soggetti interessati è, dunque, assai ampia.

L’assenza di sanzioni dirette nel decreto non deve trarre in inganno in quanto l’inottemperanza alle prescrizioni del DM 232-2023 può comportare alcune conseguenze derivanti da norme già presenti nell’ordinamento.

L’accreditamento istituzionale, disciplinato dall’art. 8-quater del D.Lgs. 502/1992, attribuisce alla struttura sanitaria la possibilità di operare in convenzione con il SSN e accedere ai finanziamenti pubblici tramite il rimborso delle prestazioni.

Il sistema è fondato sulla verifica periodica dei requisiti, in assenza dei quali le Regioni possono disporre, previa diffida, la revoca dell’accreditamento.

Il D.M. 232/2023 può incidere in vario modo sul sistema di accreditamento.

• L’idonea copertura assicurativa o l’adozione di analoghe misure come requisito di accreditamento

Il D.M. 19 dicembre 2022, ha incluso tra i requisiti generali di accreditamento, nell’ambito «sicurezza», la presenza di una valida ed idonea copertura assicurativa o di altre analoghe misure per la responsabilità civile verso terzi e verso prestatori d’opera.

Fino a oggi, la verifica di tale requisito è stata pressoché meramente formale per via della assenza di indicazioni circa requisiti minimi necessari per poter valutare l’idoneità della copertura assicurativa o auto-assicurativa. Tale lacuna è ora stata colmata dal D.M. 232/2023, che ha stabilito i requisiti minimi per le polizze assicurative e per le analoghe misure, con la conseguenza che il rispetto delle previsioni del decreto deve ritenersi costituire a tutti gli effetti requisito di accreditamento e dovrà essere verificata in tale sede.

• La funzione di risk management come requisito di accreditamento

Il D.M. 2 aprile 2015, n. 70, nel definire gli standard qualitativi, strutturali, tecnologici e quantitativi relativi all’assistenza ospedaliera, ha incluso tra i requisiti organizzativi per l’accreditamento l’istituzione di una funzione aziendale di gestione del rischio clinico (risk management).

La previsione iniziale è stata poi ulteriormente dettagliata dall’articolo 1, comma 539, della legge 28 dicembre 2015, n. 208 e dalla legge Gelli che ha introdotto l’obbligo di relazione consuntiva annuale sugli eventi avversi.

Anche in questo caso, il D.M. 232 interviene su tale requisito di accreditamento prevedendo all’art. 17 ulteriori compiti di identificazione dei principali rischi nonchè la loro valutazione e monitoraggio in ottica attuale e prospettica: ciò si traduce nella tenuta della serie storica dei sinistri e nella redazione di una ulteriore relazione annuale sull’adeguatezza ed efficacia dei processi di valutazione dei rischi.

Ne consegue che, in sede di verifica dei requisiti di accreditamento, la mancata attuazione delle disposizioni del D.M. 232 potrebbe essere valutata dalle autorità regionali come carente implementazione della funzione di risk management.

Il D.M. 232/2023 introduce un duplice ordine di obblighi: da un lato, l’adozione di un sistema strutturato di gestione e monitoraggio del rischio clinico; dall’altro, obblighi contabili specifici relativi ai fondi rischi e alla riserva sinistri. L’inadempimento genera conseguenze distinte sul piano della responsabilità, che coinvolgono una pluralità di soggetti.

• La responsabilità per mancata attuazione della funzione di monitoraggio del rischio

Il D.M. 232 impone alle strutture sanitarie l’adozione di un sistema strutturato di risk management. A ciò si aggiunge la delibera prevista dall’art. 9 del decreto, con cui la struttura è chiamata a formalizzare la propria scelta in ordine alla copertura del rischio che dovrà essere assunta sulla base delle informazioni ricavate dal monitoraggio dei rischi.

Lo standard di diligenza dell’amministratore include oggi, per espressa previsione normativa, l’implementazione di tali processi. L’inadempimento si traduce in omissioni che possono far sorgere a carico dell’amministratore responsabilità anche per gli eventi avversi che si verifichino nell’ambito dell’attività sanitaria e che sarebbe stato possibile evitare (o gestire diversamente) ove le nuove disposizioni fossero state attuate. Si pensi, ad esempio, ad un sinistro con modalità che si ripetono periodicamente e che una funzione di risk management correttamente implementata avrebbe potuto evitare adottando azioni di miglioramento sulla base dell’esperienza precedente. Oppure si pensi ad un evento che comporti un risarcimento per un rischio non coperto dalla polizza assicurativa: prima del D.M. 232, sarebbe stato difficile ipotizzare una responsabilità dell’amministratore per aver stipulato la polizza di assicurazione inadeguata. Oggi, gli amministratori potrebbero essere chiamati a dimostrare di aver correttamente attuato la funzione di monitoraggio del rischio e che la stessa, seppur correttamente operante, non aveva individuato il rischio poi verificatosi.

A ciò si aggiunge la possibile responsabilità per sanzioni ex D.Lgs. 231/2001 che si vedrà meglio infra.

• Le conseguenze contabili in condizioni di continuità aziendale

Per le strutture che optino per le misure analoghe, l’art. 14 del D.M. 232 impone un fondo rischi e un fondo riserva sinistri. L’art. 17 disciplina le modalità di calcolo. Tali previsioni si coordinano con gli artt. 2423 e 2423-bis c.c.

In condizioni di continuità, la responsabilità civile degli amministratori si presenta relativamente contenuta. La mancata appostazione del fondo rischi può configurare violazione dell’art. 2392 c.c., fondando l’azione di responsabilità sociale e quella dei creditori sociali. Il danno quantificabile resta circoscritto alla differenza tra gli utili distribuiti e quelli distribuibili con un bilancio corretto. Inoltre, essendo espressamente previsto l’obbligo di certificazione dei fondi, tali responsabilità si estenderebbe solidamente anche ai componenti del collegio sindacale o al revisore che non abbiano rilevato l’irregolarità

La violazione delle disposizioni in tema di formazione del bilancio potrebbe altresì configurare il reato di false comunicazioni sociali.

• Le conseguenze in caso di insolvenza

Lo scenario muta radicalmente qualora un sinistro determini la perdita della continuità aziendale. L’art. 2086, comma 2, c.c. impone assetti adeguati alla rilevazione tempestiva della crisi. L’assenza del fondo rischi ha impedito la corretta rappresentazione patrimoniale, ritardando l’emersione della crisi e configurando una violazione dell’art. 2486 c.c.

La conseguenza è una responsabilità personale e solidale degli amministratori per i danni arrecati alla società, ai soci, ai creditori sociali e ai terzi. Il CCII ha introdotto criteri presuntivi gravosi: differenza dei netti patrimoniali o differenza tra attivo e passivo. Il danno può essere determinato anche in base ai debiti assunti indebitamente dopo il momento in cui l’amministratore avrebbe dovuto procedere alla messa in liquidazione. Il creditore sociale — segnatamente il paziente danneggiato — può agire direttamente contro l’amministratore per il danno derivante dall’insufficienza patrimoniale. Anche in questo scenario, la responsabilità si estende solidalmente al collegio sindacale e al revisore che non abbiano rilevato le carenze e segnalato tempestivamente la perdita della continuità.

Qualora la mancata attuazione del D.M. 232 abbia contribuito alla perdita della continuità aziendale e all’apertura di una procedura concorsuale, il quadro penale si aggrava significativamente con la possibile configurabilità dei reati di bancarotta.

• I profili di responsabilità ex D.Lgs. 231/2001

Il D.Lgs. 8 giugno 2001, n. 231 ha introdotto la responsabilità amministrativa degli enti per illeciti dipendenti da reato commessi da soggetti apicali o subordinati nell’interesse o a vantaggio dell’ente e il rispetto di tale disciplina è ormai richiesto come requisito di accreditamento da molte Regioni, dopo che la Cassazione, con la sentenza n. 28699/2010, ha chiarito che le strutture ospedaliere rientrano nel perimetro della disciplina.

Il D.M. 232 impone processi strutturati di gestione del rischio clinico che sono presidi organizzativi la cui assenza può compromettere l’idoneità del MOG. La mancata integrazione nel MOG dei processi del D.M. 232 ne compromette l’idoneità, impedendo alla struttura di invocare l’esimente.

I reati-presupposto che vengono in considerazione sono quelli societari ex art. 25-ter del D.Lgs. 231 (false comunicazioni sociali e illegale ripartizione degli utili) e potrebbe altresì configurarsi la truffa aggravata per il conseguimento di erogazioni pubbliche (art. 24), nel caso di strutture accreditate che dovessero percepire il rimborso delle prestazioni dal SSN in assenza dei requisiti per l’accreditamento, tra i quali, come detto, può rientrare l’adeguata copertura assicurativa, il sistema di gestione dei rischi e lo stesso MOG.

Va infine osservato che l’amministratore che non si attivi per predisporre o aggiornare il MOG alla luce dei nuovi obblighi introdotti dal D.M. 232 si espone alla responsabilità civile per mala gestio: qualora la struttura subisca una sanzione ex D.Lgs. 231 per un fatto che un MOG adeguato avrebbe potuto prevenire, l’amministratore potrebbe essere chiamato a rispondere personalmente del danno patrimoniale così cagionato alla società.

_______

*Marco Capecchi, Professore di diritto privato nell’Università di Genova – Partner studio FGA