Commento al Documento della Commissione di studio «Compliance e modelli organizzativi d.lgs. 231» del CNDCEC, maggio 2026
Introduzione
A maggio 2026 il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC), attraverso la propria Commissione di studio «Compliance e modelli organizzativi d.lgs. 231», ha pubblicato un documento — di seguito «il Documento» — dedicato all’integrazione tra sicurezza informatica e Modello di organizzazione, gestione e controllo ex d.lgs. n. 231/2001. L’iniziativa si inserisce in un contesto normativo in rapida evoluzione, caratterizzato dall’entrata a regime della Direttiva NIS2 e del relativo decreto di recepimento (d.lgs. n. 138/2024), dall’applicazione progressiva del Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act) e dal recente intervento organico del legislatore italiano in materia di AI (l. n. 132/2025), oltre che dai più recenti approdi giurisprudenziali sulla «colpa di organizzazione».
Il Documento si propone come strumento di analisi sistematica per i professionisti della compliance — commercialisti, avvocati, componenti degli Organismi di Vigilanza (OdV) — e la sua struttura merita un esame ragionato, sia per i contributi che apporta sia per le questioni che lascia aperte o che suggerisce di approfondire ulteriormente.
L’impostazione metodologica: dalla «colpa di organizzazione» al rischio cyber
Il nucleo concettuale del Documento è la riconduzione del rischio informatico nell’ambito della categoria della «colpa di organizzazione» che fonda la responsabilità dell’ente ai sensi degli artt. 5, 6 e 7 d.lgs. 231/2001. Sul punto, il Documento offre una declinazione sistematica e aggiornata che tiene conto dell’evoluzione sia normativa sia giurisprudenziale.
Il principio cardine è quello della «prevenzione mediante organizzazione»: la responsabilità dell’ente per reati informatici sorge non già per il fatto in sé, bensì in quanto il fatto rivela un deficit organizzativo, ossia la mancata adozione o l’inefficace attuazione di un sistema di presidi preventivi adeguato. Il Documento richiama in modo pertinente la giurisprudenza di legittimità che ha chiarito come il giudizio di adeguatezza del Modello debba essere condotto valutando la razionalità e la proporzionalità delle misure adottate rispetto ai rischi concretamente individuabili al momento della loro predisposizione — e non ex post, sulla base del reato che si è poi effettivamente verificato.
Di particolare interesse è l’osservazione secondo cui l’inserimento della cybersecurity nel «perimetro 231» non è più frutto di una scelta discrezionale dell’ente, ma costituisce una necessità sistematicamente imposta dall’evoluzione normativa. Da un lato, il catalogo dei reati presupposto si è progressivamente ampliato e la l. n. 90/2024 ha sensibilmente inasprito le sanzioni pecuniarie a carico dell’ente per i reati ex art. 24-bis d.lgs. 231/2001 (introdotto dalla l. n. 48/2008, di ratifica della Convenzione di Budapest sul cybercrime), portando la cornice edittale da 100-200 a 500-700 quote e introducendo la nuova fattispecie di estorsione informatica (art. 629, comma 3, c.p.) con sanzione fino a 800 quote e misure interdittive non inferiori a due anni. Dall’altro lato, normative settoriali di rango europeo — GDPR, NIS2, DORA, AI Act — impongono all’impresa misure organizzative e tecniche adeguate che si sovrappongono funzionalmente ai presidi richiesti dal Modello 231.
Secondo il Documento, infatti, la sicurezza informatica non è un adempimento ulteriore che si somma al Modello 231, ma una componente organica di esso, che ne condivide le fondamenta metodologiche — risk assessment, mappatura delle aree sensibili, protocolli preventivi, flussi informativi verso l’OdV, sistema disciplinare — nell’ottica della c.d. compliance integrata.
L’ampliamento del perimetro: reati informatici, AI e reati agevolati dal «fattore digitale»
Uno dei contributi più rilevanti del Documento è la distinzione tra reati informatici in senso stretto — quelli che richiedono necessariamente l’utilizzo di tecnologie informatiche per la loro consumazione — e fattispecie che, pur non essendo intrinsecamente informatiche, trovano nel dominio digitale un «terreno fertile» di commissione. L’art. 24-bis, si osserva correttamente, non esaurisce la propria portata ai soli reati informatici, abbracciando condotte che si collocano nell’intersezione tra digitale e altri ambiti del catalogo 231: il riciclaggio via criptovalute, le frodi fiscali facilitate da sistemi ERP manipolati, la corruzione mediata da pagamenti occulti in ambienti digitali, il market abuse attraverso accesso abusivo a sistemi informatici.
Questa lettura «espansiva» del rischio informatico in chiave 231 — che il Documento sintetizza con l’osservazione che molti reati informatici sono «propedeutici alla commissione di altri illeciti del catalogo» — ha ricadute importanti sulla mappatura: un’area è sensibile sotto il profilo cyber non soltanto quando vi si svolge un’attività che potrebbe dar luogo a un reato informatico presupposto, ma anche quando i sistemi informativi che vi insistono potrebbero essere strumentalizzati per la commissione di reati presupposto di diversa natura.
Degna di particolare attenzione è la sezione dedicata ai rischi connessi all’intelligenza artificiale, che il Documento articola lungo tre direttrici: rischi di commissione di reati informatici tramite sistemi AI (con amplificazione di efficacia e scalabilità delle condotte illecite); rischi connessi a reati contro la PA, societari e finanziari (bias algoritmici, manipolazioni dei dati di input, falsa trasparenza decisionale); rischi in materia di protezione dei dati personali. Particolarmente perspicuo è il richiamo alla c.d. «black box» come fattore che può compromettere la ricostruibilità ex post dei processi decisionali e, conseguentemente, la capacità dell’ente di dimostrare l’efficace attuazione del Modello — aspetto di evidente rilievo processuale.
Tra i presidi indicati, il Documento menziona la mappatura dei sistemi AI secondo i livelli di rischio dell’AI Act, l’implementazione di un sistema di gestione del rischio AI coerente con l’art. 9 del medesimo Regolamento, la definizione di policy sulla qualità dei dati e la supervisione umana delle decisioni algoritmiche, e l’introduzione di meccanismi di auditabilità e logging. Si tratta di presidi il cui coordinamento con le strutture già esistenti del Modello 231 — in termini di responsabilità, flussi informativi e sistema disciplinare — rappresenta un terreno operativo ancora in buona parte da esplorare e che il Documento indica senza sviluppare compiutamente, anche in ragione dell’evoluzione ancora in corso della normativa delegata.
La mappatura delle aree sensibili e la dimensione «forward-looking»
La sezione dedicata all’analisi dei rischi e alla mappatura delle aree sensibili è tra le più elaborate del Documento e offre indicazioni metodologiche di immediata utilità pratica.
Il punto di partenza — l’inventario degli asset informatici e informativi — è descritto con una profondità che va oltre la mera elencazione dei sistemi hardware e software: vi rientrano i dati nella loro dimensione strategica (clienti, fornitori, know-how, segreti industriali) e gli asset immateriali — la reputazione, il brand, il capitale relazionale — che nella maggior parte dei casi non risultano né iscritti né valorizzati in bilancio, determinando uno scollamento strutturale tra rappresentazione contabile e valore economico effettivo dell’impresa. L’osservazione è puntuale e segnala un profilo spesso trascurato nelle valutazioni di rischio: la sottrazione o la compromissione di questi asset può generare danni ben superiori a quelli immediatamente patrimoniali, senza che il sistema contabile offra una base informativa adeguata per la valutazione ex ante dell’esposizione.
Condivisibile è anche l’approccio «forward-looking» che il Documento propone per la compliance cyber. Il rischio informatico è per sua natura prospettico — le minacce del futuro sono spesso diverse da quelle passate — e un sistema di presidio calibrato esclusivamente sull’analisi storica dei fattori di rischio è strutturalmente inadeguato. Questa osservazione ha implicazioni significative per il giudizio di adeguatezza del Modello: la Corte di Cassazione ha già chiarito che tale giudizio deve essere condotto ex ante, ma ciò non significa che il Modello possa essere statico; al contrario, l’aggiornamento periodico — che il Documento traduce nell’obbligo di riesaminare la mappa dei rischi informatici almeno annualmente — è condizione necessaria per l’efficacia esimente.
Efficace è la metafora utilizzata per descrivere la dinamicità richiesta alla mappatura cyber: non uno «scatto fotografico» ma un «film in movimento». L’immagine cattura bene la differenza tra la compliance formale — adeguata per il momento della sua predisposizione — e quella sostanziale, che richiede un sistema capace di adattarsi all’evoluzione del panorama delle minacce in tempo pressoché reale.
Il ruolo dell’OdV tra vigilanza cyber, strumenti di AI e canali di segnalazione
La sezione dedicata al ruolo dell’Organismo di Vigilanza è probabilmente quella di maggiore interesse per i professionisti che siedono in tali organi o ne curano il supporto.
Il Documento delinea un OdV chiamato a operare su un piano duplice: vigilare sui rischi che l’AI genera per l’ente (rischi diretti e indiretti) e, nel contempo, avvalersi degli strumenti di AI per migliorare la qualità e l’efficacia della propria vigilanza. Il concetto di «osservazione aumentata» — la capacità di processare automaticamente grandi volumi di informazioni non strutturate, di classificarle per area di rischio 231, di rilevare pattern anomali — è descritto con chiarezza e costituisce una delle indicazioni più innovative del Documento.
Su questo punto vale tuttavia soffermarsi su un aspetto critico che il Documento stesso non omette di segnalare: il rischio di deresponsabilizzazione. L’OdV non può «nascondersi dietro l’algoritmo»: la valutazione finale su gravità, priorità e adeguatezza delle misure correttive rimane di sua esclusiva competenza. Un Modello che delegasse acriticamente all’intelligenza artificiale il giudizio di adeguatezza potrebbe essere considerato inidoneo, con le conseguenze che ne derivano ai fini dell’esclusione della responsabilità dell’ente. Il richiamo è opportuno e costituisce un importante elemento di cautela per i componenti degli OdV che si accingano a integrare strumenti di AI nelle proprie attività di vigilanza.
Il Documento si preoccupa anche del coordinamento tra l’attività dell’OdV e i nuovi obblighi derivanti da NIS2, DORA e AI Act, delineando un quadro di audit critici per il 2026. La NIS2 richiede all’OdV di verificare l’adozione di misure di gestione del rischio informatico adeguate, le procedure di notifica degli incidenti e le misure di sicurezza della supply chain, in raccordo con i presidi già previsti dal Modello per la gestione dei fornitori terzi. DORA — applicabile agli enti del settore finanziario — impone verifiche sulla coerenza tra i requisiti di resilienza operativa digitale e i presidi cyber del Modello. L’AI Act, infine, richiede che l’OdV verifichi che i sistemi classificati ad alto rischio soddisfino i requisiti di governance, qualità dei dati, trasparenza e supervisione umana, e che la loro integrazione nei processi aziendali non generi nuove aree di rischio non presidiate.
Merita infine una riflessione il tema del coordinamento tra il canale whistleblowing e i flussi informativi in materia cyber. Il Documento segnala correttamente che le procedure ex d.lgs. n. 24/2023 dovrebbero prevedere espressamente la possibilità di segnalare condotte od omissioni in materia di sicurezza informatica, e che l’assenza di tale previsione può costituire una lacuna del sistema di controllo. Si tratta di un’indicazione particolarmente rilevante per i professionisti impegnati nell’aggiornamento dei modelli di whistleblowing, che dovranno verificare se i propri sistemi di segnalazione siano adeguatamente configurati per ricevere e gestire anche questo tipo di segnalazioni.
Considerazioni conclusive
Il Documento CNDCEC di maggio 2026 rappresenta un punto di riferimento significativo per chiunque operi nel campo della compliance 231 e si trovi ad affrontare la crescente intersezione tra rischio informatico e responsabilità dell’ente. La sua impostazione metodologica — che riconduce la cybersecurity alla logica del risk assessment strutturato e della «prevenzione mediante organizzazione» — è corretta e sistematicamente coerente. Le indicazioni operative, dalla mappatura degli asset alla struttura dei piani formativi, dagli audit NIS2/DORA/AI Act ai flussi informativi verso l’OdV, offrono un quadro di riferimento concreto e aggiornato.
Il contributo si legge utilmente in parallelo con l’evoluzione giurisprudenziale più recente — inclusa la Cass. n. 30039/2025 richiamata nel testo a proposito dei controlli non effettivamente implementati — e con i documenti di prassi già elaborati da Confindustria e dallo stesso CNDCEC negli anni precedenti. La compliance cyber non si sovrappone alla compliance 231, ma ne costituisce ormai una componente organica e inscindibile: ignorarla, nell’attuale contesto normativo e giurisprudenziale, espone l’ente a rischi che difficilmente troverebbero copertura in un Modello rimasto ancorato a categorie pre-digitali.
In sintesi
Riepilogando, nel presente articolo si sono affrontati i seguenti aspetti:
- il Documento CNDCEC di maggio 2026 riconduce il rischio informatico alla «colpa di organizzazione» ex artt. 5, 6 e 7 d.lgs. 231/2001, facendo della cybersecurity una componente organica del Modello e non un adempimento aggiuntivo;
- il perimetro del rischio cyber eccede i reati informatici in senso stretto ex art. 24-bis: i sistemi informativi possono essere strumento di reati presupposto di diversa natura, e i rischi da intelligenza artificiale richiedono presidi coordinati con l’AI Act;
- la mappatura delle aree sensibili deve essere «forward-looking» e aggiornata almeno annualmente, quale condizione di efficacia esimente del Modello;
- l’OdV è chiamato a vigilare sui rischi generati dall’AI e, al contempo, può avvalersene («osservazione aumentata»), senza però delegare all’algoritmo la valutazione finale; i canali whistleblowing ex d.lgs. n. 24/2023 devono poter ricevere anche segnalazioni in materia di sicurezza informatica.
Domande frequenti
La cybersecurity è obbligatoria nel Modello 231? Non esiste un obbligo formale espresso, ma secondo il Documento CNDCEC l’inserimento del rischio cyber nel perimetro 231 non è più una scelta discrezionale: l’ampliamento del catalogo dei reati presupposto, l’inasprimento sanzionatorio della l. n. 90/2024 e gli obblighi settoriali (GDPR, NIS2, DORA, AI Act) lo rendono una necessità sistematica. Un Modello privo di presidi cyber rischia il giudizio di inidoneità.
Cosa cambia con la l. n. 90/2024 per la responsabilità dell’ente? La legge ha inasprito le sanzioni pecuniarie per i reati informatici ex art. 24-bis d.lgs. 231/2001 e ha introdotto la fattispecie di estorsione informatica (art. 629, comma 3, c.p.), con sanzioni fino a 800 quote e misure interdittive non inferiori a due anni.
L’OdV può usare strumenti di intelligenza artificiale per la propria vigilanza? Sì: il Documento valorizza la c.d. «osservazione aumentata» (analisi automatica di grandi volumi di dati, classificazione per aree di rischio, rilevazione di pattern anomali). La valutazione finale su gravità e misure correttive resta però di esclusiva competenza dell’OdV: una delega acritica all’algoritmo potrebbe rendere il Modello inidoneo.
Che rapporto c’è tra NIS2 e Modello 231? La NIS2 (d.lgs. n. 138/2024) impone misure di gestione del rischio informatico, procedure di notifica degli incidenti e sicurezza della supply chain. Tali presidi si sovrappongono funzionalmente a quelli del Modello 231: il Documento raccomanda un raccordo esplicito, con audit dedicati e flussi informativi verso l’OdV.
Il canale whistleblowing deve coprire anche le segnalazioni cyber? Sì: le procedure ex d.lgs. n. 24/2023 dovrebbero prevedere espressamente la possibilità di segnalare condotte od omissioni in materia di sicurezza informatica; l’assenza di tale previsione può costituire una lacuna del sistema di controllo.
Avv. Adamo Brunetti
