Dalla conformità normativa alla governance del rischio: la rivoluzione del D.Lgs. 47/2026
L’evoluzione del diritto societario italiano sta vivendo una delle più profonde trasformazioni degli ultimi decenni. Se, per oltre vent’anni, il sistema dei controlli societari è stato costruito prevalentemente sulla verifica della conformità dell’azione amministrativa alla legge, allo statuto e ai principi di corretta amministrazione, oggi il legislatore ha scelto di spostare il baricentro della corporate governance verso un modello fondato sulla gestione preventiva del rischio.
La crisi finanziaria del 2008, la pandemia da Covid-19, le tensioni geopolitiche internazionali, la transizione digitale, l’affermazione della sostenibilità ESG, la crescente esposizione ai rischi informatici e, soprattutto, l’avvento dell’intelligenza artificiale hanno modificato radicalmente il contesto operativo delle imprese. Il rispetto delle norme non è più sufficiente: diventa imprescindibile la capacità dell’organizzazione di prevedere, monitorare e governare i rischi che possono compromettere la continuità aziendale.
In questo scenario si inserisce il D.Lgs. 47/2026, attuativo della Legge Capitali (L. 5 marzo 2024, n. 21), che introduce nel Codice civile il nuovo art. 2396-quinquies c.c., destinato a incidere profondamente sul ruolo degli amministratori e del collegio sindacale.
La nuova disposizione amplia infatti il contenuto della vigilanza sull’adeguatezza degli assetti organizzativi, amministrativi e contabili, includendo espressamente il Sistema di Controllo Interno e Gestione dei Rischi (SCIGR) e il coordinamento delle relative funzioni.
Non si tratta di una semplice modifica terminologica, bensì dell’introduzione di un nuovo paradigma culturale della governance societaria.
L’art. 2086 c.c.: il fondamento degli assetti organizzativi adeguati
La riforma trova il proprio punto di partenza nella modifica dell’art. 2086 c.c., introdotta dal Codice della crisi d’impresa e dell’insolvenza.
Per la prima volta il legislatore ha imposto all’imprenditore che operi in forma societaria o collettiva l’obbligo di adottare assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa, anche al fine della tempestiva rilevazione della crisi e della perdita della continuità aziendale.
Nel tempo la giurisprudenza e la prassi professionale hanno progressivamente ampliato il contenuto di tale obbligo.
Gli assetti adeguati oggi comprendono:
- sistemi decisionali strutturati;
- deleghe e procure coerenti;
- controlli interni;
- pianificazione economico-finanziaria;
- sistemi di reporting;
- monitoraggio della continuità aziendale;
- gestione integrata dei rischi.
Con il nuovo art. 2396-quinquies c.c., tale evoluzione riceve una definitiva consacrazione normativa.
La convergenza delle riforme europee: nasce una nuova categoria di rischio
Il nuovo art. 2396-quinquies c.c. non costituisce un intervento isolato.
Esso rappresenta il punto di incontro di numerose riforme europee che hanno progressivamente ridefinito le responsabilità degli organi societari.
Tra le principali si ricordano:
- la Corporate Sustainability Reporting Directive (CSRD);
- gli standard ESRS;
- il Regolamento DORA sulla resilienza operativa digitale;
- la Direttiva NIS2 sulla cybersicurezza;
- l’AI Act;
- la disciplina europea sulla Supply Chain Due Diligence.
Tutte queste normative condividono un principio comune: gli amministratori devono essere in grado di identificare, valutare, monitorare e governare rischi sempre più complessi, tra cui:
- rischio climatico;
- rischio reputazionale;
- rischio cyber;
- rischio tecnologico;
- rischio ESG;
- rischio derivante dall’utilizzo dell’intelligenza artificiale;
- rischio di violazione dei diritti umani lungo la catena del valore.
La governance moderna non può più limitarsi alla mera conformità normativa, ma deve assicurare una gestione dinamica del rischio.
L’AI Act e la governance dell’intelligenza artificiale
Particolare rilievo assume l’entrata in vigore dell’AI Act europeo, che disciplina l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale.
Per i sistemi classificati ad alto rischio, il regolamento impone obblighi estremamente articolati, tra cui:
- documentazione tecnica;
- registrazione dei log;
- supervisione umana;
- gestione del rischio;
- qualità dei dati;
- monitoraggio continuo;
- accountability.
Tali obblighi non rappresentano meri adempimenti tecnici, ma diventano parte integrante degli assetti organizzativi richiesti dall’art. 2086 c.c. e del nuovo sistema di controllo previsto dall’art. 2396-quinquies.
Anche il riformato art. 123-bis TUF impone alle società quotate di descrivere nella relazione sul governo societario:
- le politiche di utilizzo dell’intelligenza artificiale;
- le modalità di monitoraggio dei sistemi AI;
- le strategie di gestione del rischio cyber;
- l’integrazione delle nuove tecnologie negli assetti amministrativi e organizzativi.
Il nuovo ruolo del collegio sindacale
La vera innovazione del nuovo art. 2396-quinquies consiste nell’ampliamento della funzione di vigilanza del collegio sindacale.
Il controllo non riguarda più soltanto l’esistenza formale delle procedure aziendali.
Occorre verificare che il Sistema di Controllo Interno e Gestione dei Rischi sia effettivamente funzionante.
In altre parole, il quesito non è più:
“Gli assetti organizzativi esistono?”
Bensì:
“Gli assetti organizzativi funzionano realmente?”
E ancora:
“Sono in grado di governare i rischi derivanti dall’intelligenza artificiale?”
Il collegio sindacale è quindi chiamato ad accertare:
- l’identificazione dei rischi;
- la loro attribuzione ai responsabili competenti;
- il monitoraggio costante;
- la qualità dei flussi informativi;
- il reporting verso il Consiglio di Amministrazione;
- la concreta efficacia dei controlli.
La governance dell’AI: una struttura multilivello
Le migliori prassi internazionali suggeriscono un modello organizzativo articolato su tre livelli.
1. AI Committee
Comitato operativo multidisciplinare composto da:
- IT;
- Legal;
- Compliance;
- Business;
- Data Scientist.
Ha il compito di presidiare quotidianamente l’utilizzo dei sistemi AI.
2. Executive AI Committee
Composto dal top management aziendale.
Valuta:
- rischi;
- impatti strategici;
- investimenti;
- conformità normativa.
3. Board Oversight
Il Consiglio di Amministrazione:
- definisce il risk appetite;
- approva la strategia AI;
- riceve i report periodici;
- supervisiona l’intero sistema.
Il collegio sindacale dovrà verificare che tale architettura sia realmente operativa, documentata e costantemente aggiornata.
I flussi informativi verso il Consiglio di Amministrazione
L’art. 2381 c.c. impone agli amministratori delegati di fornire al Consiglio informazioni complete, tempestive e comprensibili.
Nel contesto dell’AI, ogni consigliere dovrebbe essere posto nelle condizioni di conoscere:
- quali sistemi AI utilizza la società;
- quali dati alimentano gli algoritmi;
- il livello di rischio;
- la classificazione AI Act;
- i sistemi di controllo;
- le responsabilità decisionali;
- gli incidenti verificatisi;
- i meccanismi di monitoraggio continuo.
Il collegio sindacale dovrà vigilare anche sulla qualità e completezza di tali flussi informativi.
Human Oversight: il principio cardine della governance AI
Elemento centrale dell’AI Act è il principio della Human Oversight, ossia della supervisione umana effettiva.
Essa si fonda su tre pilastri:
- Human Oversight, quale controllo umano reale sulle decisioni algoritmiche;
- Explainability, ossia la possibilità di comprendere e spiegare le decisioni dell’algoritmo;
- Accountability, consistente nella chiara attribuzione delle responsabilità.
L’essere umano non può limitarsi a ratificare automaticamente le decisioni della macchina.
Il modello Human-in-the-Loop richiede che il soggetto incaricato:
- sia competente;
- disponga delle informazioni necessarie;
- abbia potere decisionale;
- possa modificare o bloccare l’output dell’algoritmo;
- risponda delle decisioni assunte.
È proprio questo presidio organizzativo che consente agli amministratori di dimostrare di avere mantenuto il controllo sul rischio tecnologico.
Una nuova cultura della responsabilità societaria
Il nuovo art. 2396-quinquies c.c. segna il definitivo superamento di una concezione meramente documentale della governance.
La responsabilità degli organi sociali non sarà più valutata esclusivamente sulla presenza di regolamenti, procedure o policy.
Diventerà centrale la dimostrazione dell’effettivo funzionamento del sistema organizzativo.
Gli assetti dovranno essere:
- dinamici;
- verificabili;
- misurabili;
- aggiornati;
- proporzionati ai rischi dell’impresa.
In questa prospettiva, il Sistema di Controllo Interno e Gestione dei Rischi assume un ruolo strategico nell’assicurare resilienza, continuità aziendale e tutela degli stakeholder.
Conclusioni
L’introduzione del nuovo art. 2396-quinquies c.c. rappresenta una delle più rilevanti innovazioni del diritto societario italiano degli ultimi anni.
La corporate governance evolve da un modello incentrato sulla mera conformità normativa a un sistema orientato alla gestione integrata del rischio, nel quale amministratori e collegio sindacale assumono un ruolo sempre più proattivo nella prevenzione delle criticità organizzative, tecnologiche e reputazionali.
L’intelligenza artificiale costituisce oggi il banco di prova di questa nuova cultura della responsabilità: non è sufficiente adottare strumenti innovativi, ma occorre dimostrare di governarne consapevolmente i rischi, mantenendo la supervisione umana al centro dei processi decisionali.
Il futuro della governance societaria sarà quindi misurato non dalla quantità delle procedure adottate, bensì dalla loro concreta capacità di garantire trasparenza, accountability, resilienza e sostenibilità dell’impresa.
Le competenze dello Studio Legale Bonanni Saraceno
Lo Studio Legale Bonanni Saraceno offre assistenza altamente specializzata in materia di diritto societario, corporate governance, compliance normativa e responsabilità degli organi sociali, affiancando imprese, amministratori, collegi sindacali e organi di controllo nell’adeguamento ai nuovi obblighi introdotti dal Codice civile, dal Codice della crisi d’impresa, dalla Legge Capitali e dalla normativa europea.
Lo Studio presta consulenza nella progettazione e nell’implementazione degli assetti organizzativi, amministrativi e contabili adeguati ex art. 2086 c.c., nella predisposizione dei Sistemi di Controllo Interno e Gestione dei Rischi (SCIGR), nella definizione di modelli di AI Governance, nell’adeguamento all’AI Act, alla Direttiva NIS2, al Regolamento DORA, alla CSRD e agli obblighi ESG, nonché nella valutazione della responsabilità civile degli amministratori e dei sindaci.
Grazie a un approccio interdisciplinare che integra competenze giuridiche, organizzative e tecnologiche, lo Studio assiste le imprese nella costruzione di modelli di governance moderni, resilienti e conformi ai più elevati standard nazionali ed europei, trasformando la compliance in un autentico strumento di competitività e di creazione di valore.