Aggiornato al 28 agosto 2026
In sintesi. La vigilanza sui rischi è ora un compito scritto nella legge per l’organo di controllo delle S.p.A. non quotate. Dal 29 aprile 2026 l’articolo 2396-quinquies del Codice civile, introdotto dal decreto legislativo 27 marzo 2026, n. 47, chiede a sindaci e organi equivalenti di verificare se gli assetti della società, cioè organizzazione interna e contabilità, sono adatti e funzionano davvero. La verifica include i controlli interni, i presìdi contro i rischi e il modo in cui le diverse funzioni si coordinano.
Che cosa dice il nuovo articolo 2396-quinquies
Per organo di controllo si intende, secondo il sistema scelto dalla società, il collegio sindacale, il consiglio di sorveglianza o il comitato di controllo interno al consiglio di amministrazione. La norma gli assegna cinque verifiche: osservanza delle norme di legge e delle clausole statutarie, applicazione dei criteri di buona amministrazione, idoneità della struttura organizzativa, amministrativa e contabile, suo funzionamento effettivo, inclusi i controlli interni e i presìdi sui rischi, e coordinamento delle funzioni di controllo. Restano ferme le diverse regole delle leggi speciali.
La novità sta nell’aver reso esplicito il tema dei rischi. Chi vigila non può fermarsi alla constatazione che esistono organigrammi e procedure: deve capire se vengono applicati. L’organo di controllo riferisce poi sul proprio lavoro, sulle omissioni e sui fatti censurabili all’assemblea che approva il bilancio.
Chi deve organizzare i controlli
L’organizzazione resta compito degli amministratori. L’articolo 2380-bis stabilisce che gestione e organizzazione dell’impresa, compresa la creazione di una struttura organizzativa, amministrativa e contabile, spettano esclusivamente a loro. Il consiglio di amministrazione, sulla base delle informazioni ricevute, valuta se l’assetto è adeguato (articolo 2381-bis). Gli organi delegati lo curano e riferiscono al consiglio e all’organo di controllo, con la cadenza fissata dallo statuto e almeno ogni sei mesi, sull’andamento della gestione, sulla sua prevedibile evoluzione e sulle operazioni di maggior rilievo, anche delle controllate.
L’articolo 2381-ter aggiunge un dovere di fondo: gli amministratori devono agire in modo informato. Il presidente fa arrivare a tutti i consiglieri informazioni adeguate sugli argomenti all’ordine del giorno, e ogni amministratore può chiedere agli organi delegati chiarimenti sulla gestione.
Che cosa può fare l’organo di controllo
L’articolo 2396-sexies dà strumenti concreti per questo lavoro. L’organo di controllo può svolgere in qualsiasi momento ispezioni e verifiche, chiedere agli amministratori notizie sull’andamento delle operazioni o su singoli affari, anche con riferimento alle società controllate, e scambiare informazioni con gli organi di controllo di queste ultime. Può convocare l’assemblea, previa comunicazione al presidente del consiglio, se ravvisa fatti censurabili di rilevante gravità e c’è urgenza di intervenire. Gli accertamenti devono risultare dal libro previsto dall’articolo 2421, primo comma, numero 5.
Che cosa significa in una società di media dimensione
La legge parla dell’assetto adottato dalla società e non impone un modello uguale per tutte. Il controllo riguarda quindi la coerenza tra i rischi dell’impresa e i presìdi che gli amministratori hanno scelto. Un controllore ragionevole chiederà di sapere quali sono i rischi principali, chi ne risponde, con quale frequenza arrivano le informazioni e che cosa succede quando emerge un’anomalia. Le richieste e le risposte vanno annotate nel libro, così da lasciare traccia.
Il coordinamento pesa dove più soggetti si occupano di controlli sugli stessi processi, per esempio il revisore legale, l’organismo istituito ai sensi del decreto legislativo 231/2001 o un responsabile amministrativo. Senza regole sullo scambio di informazioni si rischiano doppioni e, peggio, aree che nessuno considera di propria competenza.
Un esempio numerico
Una S.p.A. non quotata realizza il 70% del fatturato con due soli clienti. Il consiglio non ha mai valutato questo rischio di concentrazione. Gli organi delegati riferiscono a gennaio e a luglio, quindi due volte l’anno, che è il minimo previsto. Nella relazione di luglio non c’è cenno ai ritardi di pagamento di uno dei due clienti. L’organo di controllo, nell’ambito della nuova vigilanza, può chiedere agli amministratori spiegazioni sull’esposizione, verificare quali presìdi esistano e annotare nel libro l’accertamento svolto. L’esempio è inventato e serve solo a mostrare il percorso.
Domande frequenti
Dal quando vale la nuova vigilanza? Il decreto legislativo 47/2026 è entrato in vigore quindici giorni dopo la pubblicazione in Gazzetta Ufficiale, cioè il 29 aprile 2026. La Gazzetta del 14 aprile 2026 ne ha dato notizia.
Il sindaco risponde dell’organizzazione dei rischi? No: l’organizzazione spetta agli amministratori. All’organo di controllo tocca verificare che l’assetto sia adeguato e che funzioni.
Ogni S.p.A. deve avere una funzione di risk management? Il testo di legge non la impone. Chiede una struttura adeguata, con controlli interni e presìdi sui rischi proporzionati alla società. La scelta degli amministratori va motivata e documentata.
Le S.r.l. sono interessate? Le nuove norme sono dettate per le società per azioni. Per le S.r.l. contano le regole proprie e lo statuto, da verificare caso per caso.
Fonti
Decreto legislativo 27 marzo 2026, n. 47, articoli 9 e 11, che modifica il Codice civile con gli articoli 2380-bis, 2381-bis, 2381-ter, 2396-quinquies e 2396-sexies, testo pubblicato su Normattiva e consultato il 3 novembre 2026. Gazzetta Ufficiale, Serie generale n. 86, supplemento ordinario n. 14, del 14 aprile 2026.
Contenuto a carattere informativo: non sostituisce una consulenza sul singolo caso.
