Gli adeguati assetti non sono più un tema “da crisi d’impresa” per addetti ai lavori. Oggi sono un indicatore di buona governance e, sempre più spesso, la linea di demarcazione tra gestione diligente e responsabilità. In questo perimetro entra con forza la cybersecurity (cybersicurezza): non solo una questione tecnica, ma un rischio d’impresa che impatta continuità operativa, valore e reputazione.
L’art. 2086 c.c. chiede che l’imprenditore (e, nelle società, l’organo amministrativo) adotti assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa, anche per intercettare tempestivamente segnali di squilibrio e intervenire in modo tempestivo.
La domanda, per chi amministra, è concreta: l’assetto è davvero in grado di “vedere prima” e reagire bene?
Adeguati assetti: non “carta”, ma capacità di governo
Il punto chiave è che l’adeguatezza non coincide con la presenza di documenti o procedure formali. Conta la sostanza: proporzionalità ed effettività.
- Proporzionalità significa che assetti e controlli devono essere calibrati su dimensione, complessità, settore, struttura dei ricavi, dipendenze critiche (clienti, fornitori, tecnologia).
- Effettività significa che l’assetto deve funzionare in concreto: produrre informazioni affidabili, far emergere segnali d’allarme e consentire decisioni tracciabili.
I tre presìdi che rendono un assetto “difendibile”
Per un imprenditore (e per il cda dell’impresa di famiglia) è utile tradurre l’obbligo in tre presìdi essenziali:
- Reporting e flussi informativi
Non basta il bilancio “a consuntivo”. Serve un cruscotto periodico che metta insieme indicatori economici, finanziari e operativi: liquidità, scadenzario, marginalità, concentrazione clienti, fornitori critici, andamento ordini, tempi di incasso/pagamento, e Kpi specifici del business. - Ruoli, poteri e deleghe (con controllo)
Delegare non significa trasferire la responsabilità. Le deleghe operative sono fisiologiche, ma l’organo amministrativo deve garantire che le informazioni arrivino, che le decisioni siano monitorate e che, se emergono criticità, il vertice si attivi “in modo informato”. - Tracciabilità delle decisioni
Verbali, delibere e motivazioni: non serve un trattato, ma una traccia chiara del ragionamento. In caso di contestazioni, la tracciabilità è spesso ciò che distingue una scelta discutibile ma diligente da una gestione opaca.
Cybersecurity: non è più solo It (e il cda non può ignorarla)
Negli ultimi anni il rischio cyber ha cambiato natura: attacchi ransomware, blocchi operativi, esfiltrazione di dati, interruzioni di servizi essenziali e dipendenza da fornitori digitali rendono la cybersicurezza un tema di continuità aziendale.
Con la disciplina europea Nis2 e il suo recepimento in Italia (D.Lgs. 4 settembre 2024 n. 138), il messaggio regolatorio è chiaro: gli organi di amministrazione/direttivi devono approvare l’impostazione delle misure di gestione del rischio cyber, sovrintendere alla loro attuazione e curare anche la formazione. Al di là delle soglie applicative, è un indicatore di mercato: la cyber è, a tutti gli effetti, parte degli adeguati assetti.
Cosa portare di “cyber” in cda
- Mappa dei rischi cyber e delle dipendenze digitali (servizi, dati, sistemi critici)
- Piano di trattamento dei rischi con priorità, tempi e budget
- Incident response: chi decide, chi comunica, quali tempi, quali fornitori coinvolgere
- Continuità operativa e disaster recovery testati (non solo “sulla carta”)
- Formazione: vertici + personale, con calendario e verifiche
Il punto cieco: fornitori, cloud e outsourcing (supply chain)
Molti incidenti non partono “da dentro”, ma dalla catena dei fornitori: software, gestionali, Msp, cloud, consulenti, terzisti. Qui l’assetto adeguato non è un documento, ma un processo strutturato di gestione dei terzi.
Quali sono i fornitori critici (quelli che, se si fermano, fermano te)? Che cosa prevedono i contratti su sicurezza, audit, notifica incidenti, subfornitori, exit plan? Abbiamo un piano B reale (backup, alternative, procedure manuali, contatti di crisi)?
Questo è un punto dove, spesso, le imprese sono vulnerabili: investono in controlli interni e trascurano il “fuori”, che oggi è parte integrante dell’operatività.
Responsabilità: quando la “business judgment rule” non basta
La discrezionalità gestionale non è un lasciapassare. In caso di danno (crisi non intercettata, dissesto aggravato, incidenti con impatti economici), ciò che viene spesso scrutinato è il processo: l’amministratore ha predisposto assetti ragionevoli? Ha ricevuto informazioni? Ha reagito in modo tempestivo? Ha tracciato le decisioni?
Cosa fare subito: una roadmap in 60 giorni
Settimane 1–2 | Fotografare e assegnare responsabilità
- Mappa rischi (finanza/operativo + cyber) con un owner per rischio
- Verifica deleghe e flussi informativi verso il cda/amministratore unico
Settimane 3–4 | Mettere in piedi un reporting che “avvisa prima”
- Cruscotto mensile con indicatori essenziali e soglie di allarme
- Verbale “tipo” con sezione rischi, azioni e follow-up
Settimane 5–6 | Chiudere il gap cyber
- Risk assessment, piano incidenti, continuità operativa, formazione
- Definizione di Kpi cyber (backup testati, patching, tempi di ripristino, incidenti)
Settimane 7–8 | Supply chain
- Elenco fornitori critici digitali e revisione clausole minime
- Piano di uscita (exit plan) per i fornitori più sensibili
Gli adeguati assetti non sono burocrazia: sono un sistema di governo che protegge continuità e valore dell’impresa e, al tempo stesso, riduce l’esposizione personale di chi amministra.
La cybersicurezza è ormai parte integrante di questo sistema: non è più solo IT, ma gestione del rischio e responsabilità di vertice.
(Articolo scritto in collaborazione con Emma Maresca)
