D.Lgs. 47/2026: la vigilanza dell’Organo di Controllo si estende alla mappa dei rischi
Ufficio Marketing e Comunicazione Tutela Legale Spa
Dalla verifica formale ex-post al presidio dinamico del Sistema di Controllo Interno e di Gestione dei Rischi (SCIGR) e del coordinamento tra funzioni. Come la riforma del Codice Civile e la Cassazione ridefiniscono le responsabilità di Sindaci e Amministratori.
L’evoluzione del diritto societario italiano compie un passo decisivo verso una gestione d’impresa più strutturata e consapevole.
Come evidenziato dalle analisi de Il Sole 24 Ore (24 agosto 2026), l’entrata in vigore del Decreto Legislativo 27 marzo 2026, n. 47 (emanato in attuazione dell’articolo 19 della Legge Capitali, L. 21/2024, e pubblicato in Gazzetta Ufficiale n. 74/2026) e gli orientamenti consolidati della Corte di Cassazione (Cass. Civ., Sez. I, n. 24100/2026 e n. 24004/2025) trasformano il perimetro operativo degli organi di controllo.
La tradizionale vigilanza di sola legittimità formale e contabile cede il passo a un presidio di sostanza orientato al rischio (Risk-Based Audit), chiamato a verificare l’adeguatezza dinamica del Sistema di Controllo Interno e di Gestione dei Rischi (SCIGR) e l’efficacia dei flussi informativi aziendali.
VIGILANZA TRADIZIONALE (Ex-Post) | NUOVA VIGILANZA RISK-BASED |
Verifica formale del rispetto di legge e statuto | Valutazione dinamica della mappa dei rischi d’impresa |
Controllo prevalentemente contabile e documentale a consuntivo | Presidio dell’adeguatezza dello SCIGR ex Art. 2086 co. 2 C.C. |
Flussi informativi frazionati o per “silos” settoriali | Monitoraggio del coordinamento tra Organo di Vigilanza, Audit e Amministratori |
Il nuovo quadro normativo nel Codice Civile
Tra le principali novità del D.Lgs. 47/2026 figura la riorganizzazione organica delle regole sull’organo di controllo all’interno del Codice Civile (Artt. da 2396-ter a 2396-novies C.C.), applicabile trasversalmente ai tre sistemi di amministrazione: tradizionale (Collegio Sindacale), monistico (Comitato per il Controllo sulla Gestione) e dualistico (Consiglio di Sorveglianza).
In particolare:
- Articolo 2396-ter C.C. (Doveri generali): codifica l’obbligo di vigilare sull’osservanza della legge, dello statuto e sul rispetto dei principi di corretta amministrazione.
- Articolo 2396-quinquies C.C. (Vigilanza sullo SCIGR e Coordinamento): integra esplicitamente tra i doveri dell’organo di controllo la verifica dell’adeguatezza del sistema di controllo interno e di gestione dei rischi, ponendo un accento vincolante sul monitoraggio del sistema di coordinamento e scambio informativo tra le diverse funzioni aziendali di controllo.
La svolta per le società NON quotate e le PMI
Un principio fondamentale è che l’estensione della vigilanza alla mappa dei rischi non rappresenta una prerogativa delle sole società quotate nei mercati regolamentati.
In combinato disposto con l’Articolo 2086 co. 2 C.C. e con le prescrizioni del Codice della Crisi d’Impresa e dell’Insolvenza (D.Lgs. 142019), anche nelle S.p.A. e S.r.l. non quotate l’organo di controllo è tenuto a valutare se gli assetti organizzativi siano idonei ad anticipare i rischi tipici del settore operativo:
- Rischi tecnologici e cyber: sicurezza informatica, conformità all’European AI Act (Reg. UE 2024/1689) e continuità operativa.
- Sostenibilità e fattori ESG: adempimenti legati alle direttive europee di rendicontazione (Corporate Sustainability Reporting Directive – CSRD).
- Rischio di continuità aziendale: rilevazione tempestiva dei segnali di pre-crisi finanziaria.
La presenza di silos informativi o l’assenza di un flusso di scambio informativo costante tra Consiglio di Amministrazione, Organismo di Vigilanza (D.Lgs. 231/01), Revisore Legale e Compliance costituisce una carenza degli assetti che i sindaci hanno il dovere formale di rilevare e contestare tempestivamente agli amministratori.
Responsabilità civile e dovere di reazione (Warning Signs)
In linea con i principi ribaditi dalla Sezione I della Corte di Cassazione (Sentenze n. 24100/2026 e n. 24004/2025), la responsabilità dei sindaci ex Articolo 2407 C.C. non sorge soltanto a fronte di illeciti palesi commessi dagli amministratori, ma anche per omessa vigilanza o mancata reazione di fronte a segnali d’allarme (“warning signs”) inerenti l’inadeguatezza del sistema dei rischi.
Qualora un danno patrimoniale o il dissesto dell’impresa derivino da un difetto di organizzazione o da un rischio non mitigato che i sindaci avrebbero dovuto rilevare tramite l’esercizio dei propri poteri d’ispezione e sollecitazione, questi ultimi rispondono in solido con gli amministratori nelle azioni di responsabilità promosse da creditori sociali, soci o curatela fallimentare (Artt. 2393, 2394 e 2407 C.C.).
Il ruolo della Tutela Legale per gli Organi Apicali
L’innalzamento degli standard di vigilanza incrementa inevitabilmente l’esposizione al rischio di contenzioso civile, penale e amministrativo per componenti del Collegio Sindacale, Amministratori e Membri dei Comitati di Controllo.
In questo contesto, la presenza di una polizza di Responsabilità Civile Amministratori e Sindaci (D&O) trova il suo completamento naturale ed essenziale nella Tutela Legale:
- Libera scelta del legale: garanzia di poter nominare il proprio avvocato penalista o civilista di fiducia sul territorio, senza conflitti d’interesse con la società o con l’assicuratore D&O.
- Copertura integrale delle Perizie di Parte: finanziamento dei Consulenti Tecnici di Parte (ingegneri, revisori, esperti informatici e legali), la cui ricostruzione è indispensabile per dimostrare la diligenza dell’attività di vigilanza svolta.
- Difesa nei procedimenti per reati societari e fallimentari: copertura delle spese giudiziali per difendersi in sede penale o civile a seguito di contestazioni sulla gestione o sugli assetti d’impresa.
Assicurare l’adeguatezza degli assetti significa anche dotare i professionisti posti a garanzia dell’impresa delle risorse necessarie per difendere con indipendenza il proprio operato.
