La vigilanza degli organi di controllo non riguarda più soltanto il rispetto formale della legge, dello statuto e delle procedure contabili. Dopo il Dlgs 47/2026, sindaci e altri organi di controllo devono verificare anche l’adeguatezza del sistema di controllo interno, la gestione dei rischi e il coordinamento tra le diverse funzioni aziendali.

La novità interessa anche le società non quotate. Non significa che ogni impresa debba adottare strutture complesse modellate sulle grandi società, ma impone agli amministratori di costruire presidi proporzionati alle dimensioni, all’attività esercitata e ai rischi concretamente affrontati.

Per amministratori e sindaci il passaggio è rilevante: non basta più dimostrare che esistano procedure, deleghe o report. Occorre verificare che il sistema funzioni, che i rischi siano individuati e che le informazioni arrivino tempestivamente a chi deve assumere le decisioni.

Risposta breve

Il Dlgs 27 marzo 2026, n. 47, in vigore dal 29 aprile 2026, ha rafforzato i doveri degli organi di controllo introducendo espressamente la vigilanza sul sistema di controllo interno e di gestione dei rischi e sul coordinamento delle funzioni.

Anche una società non quotata deve quindi valutare quali rischi possano compromettere continuità, patrimonio, affidabilità dei dati e rispetto delle norme. L’organo amministrativo deve organizzare presidi adeguati e motivare le proprie scelte; l’organo di controllo deve verificarne l’adeguatezza e il concreto funzionamento.

Cosa cambia con il Dlgs 47/2026

Il Dlgs 47/2026, emanato in attuazione della delega contenuta nell’articolo 19 della legge 5 marzo 2024, n. 21, ha realizzato una revisione organica delle disposizioni sui mercati dei capitali e sulla governance delle società di capitali.

Il nuovo articolo 2396-quinquies del Codice civile definisce unitariamente i doveri degli organi di controllo nei diversi sistemi di amministrazione e controllo delle società per azioni.

La vigilanza riguarda ora espressamente:

• l’osservanza della legge e dello statuto;
• il rispetto dei principi di corretta amministrazione;
• l’adeguatezza e il concreto funzionamento degli assetti organizzativi, amministrativi e contabili;
• il sistema di controllo interno e di gestione dei rischi;
• il coordinamento tra le funzioni coinvolte nei controlli aziendali.

Il riferimento al concreto funzionamento è decisivo. L’organo di controllo non può limitarsi a prendere atto dell’esistenza di organigrammi, procedure e regolamenti. Deve valutare se tali strumenti siano effettivamente applicati, aggiornati e coerenti con la realtà aziendale.

La gestione dei rischi entra negli assetti organizzativi

L’articolo 2086, secondo comma, del Codice civile impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche per rilevare tempestivamente la crisi e la perdita della continuità aziendale.

Il Dlgs 47/2026 rende ancora più evidente che l’adeguatezza degli assetti comprende anche la capacità di individuare, valutare, gestire e monitorare i principali rischi aziendali.

Non si tratta soltanto del rischio finanziario. In base all’attività esercitata possono assumere rilievo i rischi commerciali, operativi, informatici, fiscali, ambientali, reputazionali, legati alla sicurezza sul lavoro, alla protezione dei dati personali o alla dipendenza da clienti, fornitori e figure chiave.

L’analisi deve essere proporzionata. Una PMI non è tenuta a replicare il sistema di una società quotata, ma deve poter dimostrare di avere individuato i rischi più significativi e definito responsabilità, controlli e flussi informativi coerenti.

Il punto non è la quantità dei documenti prodotti. Un sistema composto da numerosi manuali mai applicati può risultare meno adeguato di un modello essenziale, aggiornato e realmente utilizzato.

I compiti degli amministratori

La gestione dell’impresa e la costruzione degli assetti restano responsabilità dell’organo amministrativo. Sono quindi gli amministratori a dover valutare quali presidi siano necessari, tenendo conto delle caratteristiche della società e delle sue strategie.

Il consiglio di amministrazione dovrebbe almeno poter dimostrare di avere:

• identificato i rischi aziendali maggiormente significativi;
• attribuito chiaramente compiti, responsabilità e poteri;
• definito procedure di controllo proporzionate;
• stabilito flussi informativi periodici e segnalazioni in caso di anomalie;
• verificato nel tempo l’effettiva applicazione delle procedure;
• riesaminato il sistema quando cambiano attività, dimensioni o condizioni di mercato.

Le decisioni devono essere motivate e verbalizzate. Anche la scelta di non istituire una funzione autonoma di risk management o internal audit può essere legittima in una società di dimensioni contenute, purché sia sostenuta da una valutazione ragionevole e siano comunque presenti presidi alternativi adeguati.

La vigilanza dell’organo di controllo deve essere sostanziale

L’organo di controllo non sostituisce gli amministratori nelle decisioni gestionali e non è chiamato a garantire il successo delle strategie aziendali. Deve però verificare che il processo decisionale sia corretto, informato e coerente con i rischi dell’impresa.

La vigilanza deve riguardare sia la struttura formale sia il suo funzionamento concreto. Il sindaco dovrà quindi acquisire informazioni dagli amministratori e dalle funzioni interessate, esaminare i report disponibili, approfondire le anomalie e chiedere interventi correttivi quando emergano carenze significative.

Le Norme di comportamento del collegio sindacale delle società non quotate, aggiornate dal Consiglio nazionale dei dottori commercialisti e degli esperti contabili nel dicembre 2024, considerano adeguato un sistema di controllo interno capace di individuare chiaramente i principali fattori di rischio e di consentirne la corretta gestione e il monitoraggio continuativo.

La verifica non può quindi risolversi in una dichiarazione generica inserita nel verbale periodico. È necessario che le attività svolte, le informazioni ricevute, le criticità riscontrate e le eventuali richieste rivolte agli amministratori risultino documentate.

Il coordinamento tra le funzioni di controllo

Nelle imprese possono operare diversi soggetti con compiti di controllo: organo di controllo, revisore legale, Organismo di vigilanza previsto dal Dlgs 231/2001, responsabile amministrativo, internal audit, responsabile della protezione dei dati, funzioni antiriciclaggio, sicurezza e compliance.

Queste funzioni hanno finalità e responsabilità differenti, ma spesso esaminano gli stessi processi o intercettano rischi collegati. In assenza di coordinamento possono verificarsi sovrapposizioni, richieste ripetute, informazioni frammentarie e, soprattutto, aree che nessuno ritiene di propria competenza.

Il coordinamento richiede la definizione di regole e flussi informativi che consentano alle funzioni di:

• conoscere le rispettive competenze;
• condividere tempestivamente le informazioni rilevanti;
• evitare duplicazioni non necessarie;
• individuare eventuali vuoti di controllo;
• riferire in modo coerente agli organi sociali;
• seguire l’attuazione degli interventi correttivi.

L’organo di controllo deve vigilare anche su questo sistema di relazioni. Non è sufficiente che le singole funzioni esistano: occorre verificare che comunichino e che le segnalazioni confluiscano verso chi può adottare le decisioni necessarie.

Cosa devono fare concretamente le società non quotate

Per le società non quotate il primo intervento utile è una ricognizione dell’organizzazione esistente. Occorre individuare processi sensibili, rischi rilevanti, responsabilità assegnate, procedure applicate e informazioni periodicamente prodotte.

Una mappatura essenziale dovrebbe collegare ciascun rischio al relativo presidio, alla funzione responsabile, alla frequenza del controllo e al destinatario delle segnalazioni.

Particolare attenzione deve essere dedicata ai rischi che possono incidere sulla continuità aziendale: tensioni di liquidità, dipendenza da pochi clienti, marginalità insufficiente, scadenza di finanziamenti, contenziosi rilevanti, perdita di autorizzazioni, indisponibilità di persone chiave o vulnerabilità dei sistemi informatici.

Successivamente, il consiglio di amministrazione dovrebbe approvare o aggiornare il sistema, definire i flussi informativi e programmare una verifica periodica. L’organo di controllo dovrà esaminare il processo e documentare le proprie valutazioni.

La giurisprudenza richiede controlli attivi, ma non introduce una responsabilità automatica

La giurisprudenza più recente conferma che il controllo deve essere effettivo e non meramente cartolare.

Con la sentenza n. 24100 del 27 luglio 2026, relativa a una società quotata, la Corte di cassazione ha ribadito che i poteri attribuiti ai sindaci costituiscono strumenti da utilizzare per adempiere al dovere di vigilanza. Pur riguardando la disciplina delle quotate, il principio conferma la necessità di un comportamento attivo quando emergano anomalie o informazioni meritevoli di approfondimento.

L’ordinanza della Cassazione n. 24004 del 27 agosto 2025 ha però precisato un altro punto essenziale: il sindaco non risponde automaticamente per ogni danno verificatosi durante il mandato. La responsabilità richiede che sia individuato uno specifico comportamento omissivo e che venga dimostrato che un’attivazione diligente avrebbe potuto evitare o limitare il danno.

Non esiste, quindi, una responsabilità oggettiva dell’organo di controllo. Aumenta tuttavia il rischio di responsabilità quando l’organo rimane inattivo, non approfondisce segnali significativi o non documenta le iniziative intraprese.

Professionalità e composizione dell’organo di controllo

L’ampliamento della vigilanza richiede competenze che non possono essere soltanto contabili. La conoscenza del bilancio resta essenziale, ma deve essere accompagnata dalla capacità di comprendere organizzazione, processi, rischi operativi, sistemi informativi e obblighi di compliance.

L’articolo 2397 del Codice civile disciplina i requisiti professionali dei componenti del collegio sindacale. La sola presenza dei requisiti formali, tuttavia, non garantisce che l’organo possieda competenze coerenti con le peculiarità dell’impresa.

Nella scelta dei componenti diventa quindi opportuno considerare il settore, le dimensioni, la struttura proprietaria, l’esposizione internazionale e i rischi specifici della società. Anche lo statuto può prevedere requisiti professionali più elevati rispetto al minimo legale.

In sintesi

Il Dlgs 47/2026 amplia e rende più esplicito il perimetro della vigilanza degli organi di controllo. Il sistema di controllo interno, la gestione dei rischi e il coordinamento delle funzioni entrano stabilmente tra gli aspetti da verificare anche nelle società non quotate.

Gli amministratori devono costruire presidi proporzionati, motivare le proprie scelte e verificarne il funzionamento. Sindaci e organi di controllo devono acquisire informazioni, approfondire le anomalie e documentare puntualmente l’attività svolta.

Prima della prossima verifica periodica o del rinnovo dell’organo di controllo, è opportuno riesaminare mappa dei rischi, responsabilità e flussi informativi. Lo Studio può assistere amministratori e organi sociali nella valutazione degli assetti e nella predisposizione di un sistema di controllo coerente con le caratteristiche dell’impresa.