Controllo dei rischi in azienda: cosa cambia per le Srl dal 2026

D.Lgs. 47/2026: dal 29 aprile il sistema di controllo interno e di gestione dei rischi è un dovere civilistico. Anche per la Srl con dieci dipendenti.

C’è una domanda che, fino a ieri, in una piccola Srl nessuno si poneva ad alta voce: chi, in questa azienda, guarda i rischi? Non “chi li subisce” — quello lo sappiamo tutti, li subisce l’imprenditore. Chi li osserva, con quale procedura, con quali dati, e chi ne riferisce al consiglio. Dal 29 aprile 2026 quella domanda ha smesso di essere una buona pratica manageriale ed è diventata una previsione del Codice civile: il sistema di controllo interno e di gestione dei rischi entra a pieno titolo negli assetti che gli amministratori hanno il dovere di istituire.

A introdurlo è il D.Lgs. 27 marzo 2026, n. 47, il decreto che attua la delega contenuta nella cosiddetta Legge Capitali (L. 5 marzo 2024, n. 21), pubblicato in Gazzetta Ufficiale il 14 aprile 2026 ed entrato in vigore il 29 aprile 2026. Una precisazione utile, perché la si legge spesso male: la “Legge Capitali” è la legge delega del 2024; il D.Lgs. 47/2026 è il decreto che la mette a terra riscrivendo pezzi del TUF e del Codice civile.

E qui sta il punto che riguarda direttamente chi legge questo blog: le modifiche al Codice civile toccano le società di capitali a prescindere dalle loro dimensioni.

Cosa dice davvero il nuovo art. 2380-bis c.c.

Il nuovo art. 2380-bis c.c. non parla più soltanto di “gestione dell’impresa”. Attribuisce agli amministratori, in via esclusiva, la gestione e l’organizzazione dell’impresa, compresa l’istituzione dell’assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, secondo il parametro dell’art. 2086, comma 2.

Sembra una sfumatura lessicale. Non lo è. Prima, il collegamento tra gestione e organizzazione passava per un rinvio; oggi l’organizzazione è materia gestoria, e come tale rientra tra i doveri propri dell’organo amministrativo. Nelle S.r.l. il raccordo passa dall’art. 2475 c.c., ed è per questo che i primi modelli di verbale che circolano tra i professionisti richiamano insieme gli artt. 2475, 2380-bis, 2381-bis e 2381-ter c.c.

La riforma riscrive anche il vecchio art. 2381: deleghe e flussi informativi trovano ora una disciplina autonoma negli artt. 2381-bis (organi delegati: contenuto, limiti e modalità della delega; cura degli assetti; obbligo di riferire al consiglio e all’organo di controllo almeno ogni sei mesi) e 2381-ter (dovere di agire informati: il presidente deve garantire che tutti i consiglieri ricevano informazioni adeguate sulle materie all’ordine del giorno).

Prima la domanda era: la decisione era giusta? Oggi la domanda è: la decisione era informata, e si può dimostrare?

La novità che pesa di più: il sistema di controllo interno e di gestione dei rischi

Il passaggio decisivo arriva per via indiretta, dal nuovo art. 2396-quinquies c.c., dedicato ai doveri dell’organo di controllo (norma che sostituisce, dal 29 aprile 2026, il presidio del vecchio art. 2403 c.c.). L’organo di controllo vigila sull’osservanza della legge e dello statuto, sul rispetto dei principi di corretta amministrazione e sull’adeguatezza e sul concreto funzionamento dell’assetto organizzativo, amministrativo e contabile — «ivi compreso il sistema di controllo interno e di gestione dei rischi e il coordinamento delle sue funzioni».

Se l’organo di controllo deve vigilare su un sistema, quel sistema qualcuno deve averlo istituito. E quel qualcuno sono gli amministratori.

È qui che cambia la natura dell’obbligo. Il sistema di controllo interno e di gestione dei rischi non è un concetto nuovo: la dottrina aziendalistica lo conosce da decenni, e la check-list operativa sugli adeguati assetti pubblicata dalla Fondazione Nazionale dei Commercialisti il 25 luglio 2023 lo includeva già tra gli elementi da verificare. Ma era, appunto, un elemento di valutazione: la sua assenza non precludeva necessariamente un giudizio di adeguatezza, se gli altri presidi reggevano.

Oggi la previsione sta in una disposizione civilistica, e quindi ha valenza prescrittiva. Non è più un fattore che migliora il giudizio: è un dovere organizzativo, con le responsabilità che ne discendono in caso di omissione o di attuazione inadeguata. Un adempimento che, fino al 28 aprile 2026, viveva sostanzialmente nel perimetro dell’art. 149 del TUF — cioè tra le società quotate — è sceso lungo tutta la filiera delle società di capitali.

Non è una norma nuova che arriva. È una buona pratica che smette di essere facoltativa.

Proporzionalità: cosa NON è richiesto a una piccola Srl

Qui serve chiarezza, perché la lettura allarmistica è dietro l’angolo e non aiuta nessuno.

Il principio di proporzionalità resta pienamente in vigore: l’art. 2086 c.c. richiede assetti adeguati alla natura e alle dimensioni dell’impresa. Una piccola S.r.l. non è tenuta a dotarsi di una funzione autonoma di risk management, né di un ufficio di internal audit, né di manuali da centinaia di pagine. La dottrina che ha commentato la riforma è concorde su questo punto, e le stesse indicazioni della Fondazione Nazionale dei Commercialisti invitano a costruire, nelle realtà minori, protocolli organizzativi anche semplici e ridotti alle funzioni più elementari, purché adeguati alle caratteristiche dell’impresa.

Ciò che invece è richiesto — e non è negoziabile — è che l’impresa sia in grado di rispondere a tre domande:

•   Chi presidia i principali rischi aziendali? Un nome, un ruolo, una responsabilità assegnata. Non un organigramma teorico.

•   Con quali procedure e con quali flussi informativi? Come le informazioni risalgono dall’operatività all’organo amministrativo, e con quale cadenza.

•   Su quali dati? Un set minimo, ma affidabile e tempestivo: controllo di gestione, monitoraggio della tesoreria, clienti e fornitori scaduti, debiti fiscali e previdenziali, esposizioni bancarie, contenziosi in essere, concentrazione su clienti o fornitori rilevanti.

È esattamente il perimetro su cui lavoriamo nel controllo di gestione integrato: non aggiungere burocrazia, ma rendere leggibile e tracciabile quello che l’imprenditore già sa — spesso a memoria, e quindi in modo non dimostrabile.

Scelte insindacabili, processi sindacabili

C’è un equivoco che vale la pena sciogliere, perché è la ragione per cui molti imprenditori sottovalutano il tema.

La Business Judgement Rule non è stata abolita. La scelta imprenditoriale resta libera e, in linea di principio, insindacabile nel merito: nessun giudice può dire all’imprenditore che avrebbe dovuto aprire in Germania anziché in Spagna. Ma la BJR protegge la decisione a condizione che il processo che l’ha generata sia razionale, informato e fondato su dati disponibili al momento in cui è stata presa.

Tradotto: il risultato non è sindacabile, il percorso sì. E dopo il D.Lgs. 47/2026 quel percorso ha un nome tecnico e un fondamento normativo più esplicito di prima.

È la stessa logica che abbiamo visto emergere dalla Circolare 5/E dell’Agenzia delle Entrate, che valuta l’amministratore non sul mare che ha trovato ma su come lo ha affrontato. Due fonti diverse — una fiscale, una civilistica — che nello stesso 2026 convergono sul medesimo punto: la qualità documentata del processo decisionale.

L’assetto adeguato non è una polizza contro la crisi. È il diario di bordo che dimostra come si è navigato.

Cosa mettere all’ordine del giorno del primo consiglio d’autunno

Il rientro di settembre è il momento naturale per il primo passaggio formale. Non serve un progetto da sei mesi: serve un punto di partenza documentato.

1.  Convocare un CDA (o, in caso di amministratore unico, un’assemblea) con un ordine del giorno esplicito — «Deliberazioni inerenti e conseguenti ai sensi degli artt. 2475, 2380-bis, 2381-bis e 2381-ter c.c.». La forma qui è sostanza: è la prova che il tema è stato affrontato, e quando.

2.  Fotografare la dimensione dell’impresa a verbale — fatturato medio del triennio, numero di addetti, struttura amministrativa interna, servizi affidati all’esterno. È il presupposto su cui si misura la proporzionalità: senza, l’adeguatezza non è valutabile.

3.  Mappare i rischi rilevanti e assegnarne il presidio — rischio finanziario e di liquidità, rischio di credito e concentrazione clienti, rischio patrimoniale (art. 2482-bis c.c. per le S.r.l., 2446 per le S.p.A.), rischio fiscale e contributivo, sicurezza sul lavoro, contenziosi. Per ciascuno: chi lo monitora, con quale dato, con quale frequenza.

4.  Verificare deleghe e flussi informativi — se ci sono organi delegati, la delega indica poteri, limiti, materie riservate e obblighi di rendicontazione? L’informativa al consiglio e all’organo di controllo rispetta la periodicità di statuto e comunque il semestre?

5.  Collegare il tutto alla pianificazione prospettica — la stima dell’evoluzione di cassa a dodici mesi non è un documento per la banca: è uno dei dati su cui il sistema di controllo interno lavora. Ne abbiamo parlato in budget di cassa e adeguati assetti.

6.  Fissare la cadenza — statutaria o deliberata, ma scritta. Un sistema che produce informazioni una volta l’anno non è un sistema: è un adempimento.

Perché questo capitolo appartiene al Triangolo della Crescita

Il D.Lgs. 47/2026 non introduce un nuovo adempimento isolato. Chiude un cerchio che si stava disegnando da anni: art. 2086 e Codice della Crisi sul versante della continuità, Linee guida EBA e criteri prospettici sul versante del credito, Circolare 5/E sul versante del creditore pubblico, e ora la riforma societaria sul versante della governance. Quattro pressioni indipendenti che chiedono la stessa cosa: un’impresa che sappia dimostrare come si governa.

È la ragione per cui, nel metodo del Triangolo della Crescita, la continuità aziendale non viene trattata come un adempimento a sé. Un sistema di controllo interno costruito in tre giorni perché “è arrivata la norma” non regge alla prova dei fatti — esattamente come non regge un budget di cassa assemblato la settimana prima di una richiesta di affidamento. Regge quello che produce dati ogni mese, e li porta a chi decide.

Uno skipper non installa il radar quando vede la nebbia. Lo installa prima, lo accende ogni volta che esce, e sa chi lo sta guardando mentre lui tiene il timone.

Domande frequenti

Il D.Lgs. 47/2026 si applica anche alle piccole Srl?

Sì. Le modifiche al Codice civile introdotte dal D.Lgs. 47/2026 riguardano le società di capitali a prescindere dalle dimensioni. Ciò che cambia in funzione della dimensione non è l’applicabilità dell’obbligo, ma il suo contenuto concreto, in forza del principio di proporzionalità dell’art. 2086, comma 2, c.c.

Una Srl deve creare una funzione di risk management?

No. Una piccola S.r.l. non è tenuta a istituire una funzione autonoma di risk management o di internal audit. Deve però essere in grado di indicare chi presidia i principali rischi aziendali, con quali procedure e con quali flussi informativi, e disporre di un set minimo di dati affidabili e tempestivi portati regolarmente all’attenzione degli amministratori e dell’organo di controllo.

Da quando è in vigore l’obbligo?

Il D.Lgs. 27 marzo 2026, n. 47, è stato pubblicato in Gazzetta Ufficiale il 14 aprile 2026 ed è entrato in vigore il 29 aprile 2026. Le nuove disposizioni civilistiche, tra cui gli artt. 2380-bis, 2381-bis, 2381-ter e 2396-quinquies c.c., si applicano da quella data.

Gli assetti adeguati mettono l’amministratore al riparo da responsabilità?

Non garantiscono l’esito della gestione. Rendono però dimostrabile che il processo decisionale è stato razionale e informato, che è il presupposto su cui opera la Business Judgement Rule: la scelta imprenditoriale resta insindacabile nel merito, ma il percorso che l’ha prodotta può essere valutato. Assetti documentati rendono quel percorso oggettivo e verificabile.

Cosa deve fare concretamente un imprenditore a settembre?

Portare il tema in un consiglio (o in assemblea, se amministratore unico) con un ordine del giorno esplicito ai sensi degli artt. 2475, 2380-bis, 2381-bis e 2381-ter c.c., verbalizzare la dimensione dell’impresa, mappare i rischi rilevanti assegnandone il presidio, verificare deleghe e flussi informativi e fissare una cadenza periodica di riesame.

Nota di trasparenza — Questo contenuto è stato redatto con il supporto di strumenti di intelligenza artificiale ed è stato sottoposto a revisione umana sostanziale. La responsabilità editoriale del testo è di Cristiano Nonelli, Dottore Commercialista, Studio Nonelli.