The paper deals with a twofold question: is the Criminal Compliance Program provided for by corporate criminal law (Legislative Decree no. 231/2001 in Italy, Article 31 bis Código Penal in Spain) mandatory for the corporation itself and its directors? Although the criminal legislation appears to configure the Compliance program as not mandatory, it seems difficult to deny the existence of a duty of self-regulation on both the legal person as a whole and on its management also covering crime risks. Acknowledging this (dual) self-regulatory duty, it must however be recognised that it implies a significant discretion for the corporation – primarily responsible under criminal law – and for its directors – responsible under private law: both the (crime) risk assessment phase and – above all – the (crime) risk management phase involve discretionary choices that are not extraneous to the economic dimension and that must be considered intangible at their core, subject to the modal obligations of information, consistency and rationality; Il contributo si occupa di un duplice interrogativo: il Modello organizzativo di contrasto al rischioreato previsto dalle norme fondative della responsabilità penale degli enti collettivi (D.lgs. n. 231/2001 in Italia;art. 31 bis Código Penal in Spagna) è obbligatorio per l’ente stesso e per i suoi amministratori? Sebbene la normativa penale appaia configurare il Modello organizzativo come un onere e non come un obbligo, sembra difficile negare l’esistenza di un dovere di autoregolazione involgente anche il rischio-reato e gravante sia sulla persona giuridica nel suo complesso sia sugli organi gestori di quest’ultima. Riconosciuto tale (duplice) dovere autoregolativo, bisogna però riconoscere anche che esso implica un significato spazio di discrezionalità per l’ente – responsabile anzitutto sul piano penalistico – e per i suoi amministratori – responsabili sul piano privatistico:sia la fase di (crime) risk assessment sia – soprattutto – quella di (crime) risk management comportano scelte discrezionali che non sono estranee alla dimensione economica e che devono ritenersi intangibili nel loro nucleo, salvi gli obblighi modali di informazione, coerenza e razionalità