E’ il mondo che cambia, e gli interessati non se ne sono ancora accorti.
Di chi parliamo? Della Gestione Aziendale, degli Amministratori e Datori di Lavoro, dei loro consulenti e
degli Organi di Vigilanza. Sino a pochi anni fa la crisi d’Impresa, generata non importa per quali motivi e
circostanze, dal sovraindebitamento all’infortunio sul lavoro, alla violazione di un reato presupposto per la
norma “231” o anche semplicemente per “scelte sbagliate”, di norma comportava conseguenze solo per la
Società stessa e/o per le quote sociali perse. Bastava evitare la bancarotta.
Ora non più. Negli ultimi anni, tra Direttive Europee, interventi del Legislatore sul Codice Civile,
Regolamenti comunitari e problemi Cyber ed AI, la crisi d’Impresa può coinvolgere pesantemente le figure
di riferimento per la gestione aziendale, ipotizzando un loro coinvolgimento personale di tipo risarcitorio
anche per motivi diversi dal semplice sovraindebitamento, e contestuale coinvolgimento delle figure
responsabili della gestione aziendale.
L’ultima, di una normativa assai recente ed in rapida evoluzione, è la riforma degli Organi di Controllo delle
Aziende, come prevista dal D.Lgs 47/2026: riforma che chiude il cerchio avviato nel 2019 con l’inserimento
del 2° comma all’art. 2086 cod. civile, che ora impone all’Imprenditore l’obbligo di dotarsi di un assetto
amministrativo, organizzativo e contabile adeguato alla natura e alle dimensioni dell’impresa stessa, con
finalità sia di governo dell’attività che di prevenzione e gestione dei relativi rischi.
ADEGUATI ASSETTI, così viene definito lo schema richiesto per tutelare l’Imprenditore ed i suoi referenti,
che resta sempre il capo dell'impresa e da cui dipendono gerarchicamente i suoi collaboratori.
Questo obbligo di “Adeguati Assetti” si inserisce di peso nella ragnatela delle normative di tipo
prevenzionistico vigenti e costantemente aggiornate, basate sulla “Valutazione del Rischio” e conseguente
adozione di misure di mitigazione dei danni e di prevenzione dei rischi.
Ecco, la “Valutazione del Rischio” diventa obbligo anche per la Gestione d’Impresa, ed è imposta da:

I. MOG D.Lgs “231”, e
II. T.U. sulla SSL, D.Lgs 81/08 costantemente aggiornati,
III. Privacy GDPR 679/2016,
IV. Cybersecurity, legge 90/2024 e leggi collegate
V. Direttiva NiS2, D.Lgs 138/2024, e leggi collegate
VI. criteri di buona contabilità attuariale.
VII. D.Lgs 47/2026 di riforma degli Organi di Controllo

In buona sintesi, vi sono e sono chiaramente identificati gli strumenti legali ed operativi di tutela per gli
Imprenditori e delle loro figure di riferimento, ma oggi devono essere individuati “caso per caso” ed
efficacemente applicati alla singola realtà aziendale. Basta vedere cosa comporta la riforma degli Organi di
Controllo aziendale, ove si passa da una storica concezione della vigilanza incentrata sulla verifica della
regolarità formale degli atti – attività burocratica – ad un modello di vigilanza in funzione dell’effettivo
funzionamento della governance nel quadro degli obbiettivi aziendali.
E così i Revisori dei conti, i Sindaci, le funzioni di internal Audit, gli Organismi di Vigilanza e l’Organo di
controllo sono ora chiamati a collaborare attraverso un costante scambio di informazioni, evitando
duplicazioni di attività e favorendo una valutazione complessiva dello stato di salute dell’impresa. In questo
quadro vediamo ora concretizzarsi protocolli con sigle innovative, quale la Scigr (Sistema di Controllo
Interno e Gestione dei Rischi).

Ma la prevenzione delle situazioni di rischio, a partire dall’analisi per arrivare alle valutazioni, richiede
competenze specifiche che non possono essere improvvisate, restano collegate alle specifiche attività
presupposto, e poi assume particolare rilievo quello dell’indipendenza dell’Organo di controllo, che non
può essere ridotta alla semplice assenza di cause di incompatibilità o di rapporti economici con la società,
ma deve tradursi nella concreta capacità di esercitare un giudizio autonomo, imparziale e libero da
condizionamenti.
Solo un organo realmente autonomo può formulare valutazioni obiettive sull’operato degli amministratori,
segnalare tempestivamente eventuali criticità organizzative e promuovere l’adozione delle misure
correttive necessarie, e fornire pertanto valutazioni credibili erga omnes.
L’organo di controllo vede così un nuovo profilo dei suoi compiti, e accanto a quelli tradizionali di verifica
dell’osservanza della legge, dello statuto e dei principi di corretta amministrazione, si aggiungono le
valutazioni concernenti gli adeguati assetti organizzativi, amministrativi e contabili, l’efficacia dei flussi
informativi e, soprattutto, la corretta applicazione dei criteri previsti dall’Azienda per il Scigr.
Il nucleo operativo dello Scigr diventa prevalente, fermo restando che l’attività di vigilanza non investe
direttamente le scelte imprenditoriali, riservate esclusivamente agli amministratori, ma valorizza la verifica
dell’esistenza di un processo decisionale capace di effettuare un’efficace “Valutazione dei Rischi”; il
controllo si concentra quindi sulla qualità dei processi di risk management piuttosto che sull’esito
economico delle singole decisioni.
La logica delle norme di Prevenzione basate sulla “Valutazione dei Rischi”, da attività specialistica connessa
ad ambiti specifici, Radioprotezione, SSL, Privacy, ecc. diventa così un parametro generale di gestione delle
Aziende, e strumento operativo per ogni Imprenditore, con rischi e responsabilità a suo carico in caso di
“Assetti” inadeguati.

Il MOG “231” cresce ulteriormente di importanza, era nato nel 2001 con 2 reati presupposto, ora siamo a
20, e non è pensabile che una attività aziendale anche piccola possa ritenersi esclusa. E il Whistleblowing,
se pertinente, è stato organizzato e comunicato agli stakeholders? Ma il MOG “231” con il suo Organismo di
Vigilanza autonomo e qualificato, se efficacemente applicato fornisce tutela legale all’Impresa, credibilità ai
suoi organi di gestione, ed immagine di qualità per un’Azienda che guarda al futuro.
Impattano anche la governance, formazione e profili penali dell’Intelligenza Artificiale, con la prevista
introduzione del nuovo art. 437-bis c.p., che sanzionerà l’omessa adozione di misure di sicurezza nei sistemi
di Intelligenza Artificiale ad alto rischio e l’alterazione illecita dei medesimi sistemi, e l’inserimento nel testo
del D.Lgs. 231/2001 dell’art. 25-vicies, relativo ai reati commessi con l’uso di sistemi di AI.
Facciamo grazia della SSL, con il suo RSPP chiamato ad effettuare la “Valutazione dei Rischi” per conto
dell’Imprenditore, obbligo non delegabile, e attività connesse, elaborare le misure preventive e protettive e
i sistemi di controllo, e conseguente redazione del Documento con le misure minime di prevenzione. Per
non parlare poi della “Privacy” con la sua DPIA valutata sul Registro dei trattamenti Dati.
Come siamo poi messi con la NIS2 e la Cybersecurity? L’attività aziendale rientra nella classificazione dei
Soggetti essenziali e/o in quella dei Soggetti importanti magari anche solo come loro fornitore di un servizio
essenziale? E in caso affermativo è stata eseguita la dovuta segnalazione all’Autorità nazionale competente
NIS, con quanto ne consegue in tema di misure di prevenzione?
Ciascuno di questi argomenti merita approfondimenti importanti, i punti fermi sono a) la responsabilità,
oggi anche personale e risarcitoria dell’Imprenditore e/o del CdA aziendale, e, b) l’inesistenza della figura
del “tuttologo” in grado di affrontare la materia a 360 gradi.
Ecco i motivi del nostro “Progetto PAC” visionabile sul nostro sito web https://studiolegalecarozzi.it/ .

——————————–

Per chi vuole approfondire.

Webinar gratuito

Prospettive alla luce delle novità normative
Cosa cambia per Aziende e Imprenditori

I accept the terms and conditions

Email Address*

FIRSTNAME

LASTNAME