Governare l’incertezza: adeguati assetti, continuità operativa e responsabilità dell’impresa

L’articolo ricostruisce gli adeguati assetti societari come dovere di governo dell’incertezza, non soltanto di emersione tempestiva della crisi. Alla luce della riforma del 2026 (d.lgs. 27 marzo 2026, n. 47), esamina il riparto dei compiti tra amministrazione e controllo, il ruolo della continuità operativa e il contributo, non sostitutivo della legge, delle norme UNI e ISO, distinguendo il piano degli obblighi generali da quello degli obblighi settoriali. Propone un giudizio di adeguatezza proporzionato ai rischi conoscibili ex ante e indica le tracce documentali che ne consentono la verifica.

ABSTRACT (ENGLISH)

This article examines adequate corporate arrangements as a duty to govern uncertainty rather than merely detect financial distress. In light of the 2026 corporate governance reform (Legislative Decree no. 47 of 27 March 2026), it considers directors’ duties, oversight, business continuity and the non-binding contribution of UNI and ISO standards, distinguishing general organizational duties from sector-specific obligations. It argues for an ex ante, risk-based and proportionate assessment of organizational adequacy, supported by verifiable documentary evidence.

Parole chiave: adeguati assetti; art. 2086 c.c.; continuità operativa; responsabilità degli amministratori; business judgment rule; d.lgs. 47/2026; art. 2396-quinquies c.c.; UNI/PdR 167:2025; ISO 22301.

Keywords: adequate corporate arrangements; business continuity; directors’ liability; business judgment rule; corporate governance; risk management; ISO 22301; Italian capital markets reform.

1. LA CRISI CHE ARRIVA DA LONTANO

Una strada interrotta può svuotare un magazzino prima ancora che un bilancio registri la perdita. Una protesta per il prezzo del carburante può diventare un problema di approvvigionamento; una rotta marittima insicura può modificare il costo delle materie prime; una violenza urbana può chiudere per giorni un esercizio commerciale. La cronaca delle tensioni sociali, dei blocchi della circolazione e delle interruzioni logistiche restituisce immagini differenti di una medesima vulnerabilità. Non è necessario sovrapporre episodi, luoghi e responsabilità per coglierne il significato economico: l’impresa contemporanea dipende da relazioni che non controlla integralmente.

L’attualità moltiplica questi segnali. Blocchi della circolazione, mobilitazioni sociali, tensioni geopolitiche, oscillazioni energetiche e incidenti digitali possono convergere sulla medesima filiera: il trasporto si ferma, la consegna slitta, il cliente sospende il pagamento, la tesoreria assorbe l’urto. Non è necessario trasformare ogni protesta in una minaccia: il conflitto sociale appartiene alla democrazia. Ma l’impresa deve distinguere le cause, che non governa, dalle vulnerabilità della propria organizzazione, sulle quali può e deve interrogarsi.

L’indagine procede in quattro passaggi. Il primo ricostruisce il dovere organizzativo nell’art. 2086 c.c. e nell’art. 3 del Codice della crisi; il secondo ne verifica la declinazione nella riforma del 2026 e nei regimi settoriali che già assumono la continuità come oggetto di obbligo; il terzo esamina il giudizio sulle scelte organizzative alla luce della giurisprudenza; il quarto valuta il ruolo, e i limiti, delle norme tecniche volontarie. La tesi è che la continuità operativa non costituisca un obbligo certificativo, ma possa divenire componente rilevante del giudizio di adeguatezza quando da essa dipende la sopravvivenza economica dell’impresa.

2. DALLA SOCIETÀ LIQUIDA ALLA VULNERABILITÀ DELLE FILIERE

La modernità descritta da Zygmunt Bauman è attraversata dalla difficoltà delle istituzioni e delle biografie a trattenere forme stabili. La metafora della modernità liquida offre qui una chiave di lettura, proposta dall’autore e non direttamente formulata da Bauman in termini di diritto societario, per comprendere perché organizzazioni costruite per condizioni relativamente persistenti incontrino difficoltà quando prezzi, fornitori, tecnologie e aspettative mutano più rapidamente delle loro procedure. Ulrich Beck, nella sua riflessione sulla società del rischio, ha mostrato come la produzione di ricchezza si accompagni alla produzione e alla distribuzione di nuovi rischi. Non tutti nascono nell’impresa; molti vi entrano attraverso l’ambiente sociale e produttivo.

L’economia insegna che ogni investimento di prevenzione incontra un costo opportunità. Una seconda linea di fornitura, una riserva di liquidità, un’infrastruttura ridondante non sono gratuitamente desiderabili. Proprio per questo il governo del rischio non può risolversi nell’invito generico a spendere di più: esige comparazione tra costo delle misure, frequenza plausibile degli eventi, intensità delle conseguenze e capacità di recupero. La questione non è eliminare l’incertezza, ma renderla oggetto di decisione consapevole.

3. L’ADEGUATEZZA COME OBBLIGO DI ORGANIZZAZIONE

Il secondo comma dell’art. 2086 c.c. impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della tempestiva rilevazione della crisi e della perdita della continuità aziendale, e di attivarsi senza indugio mediante gli strumenti previsti dall’ordinamento. L’avverbio «anche» merita attenzione: la rilevazione della crisi è una funzione essenziale dell’assetto, ma non ne esaurisce la ragione organizzativa.

La disciplina va coordinata con gli artt. 2380-bis, 2381-bis, 2381-ter e 2396-quinquies c.c., nel testo risultante dalla riforma del 2026, quanto a organizzazione, deleghe, informazione consiliare e vigilanza dell’organo di controllo, nonché all’art. 2392 c.c. in tema di responsabilità degli amministratori di s.p.a. Per le s.r.l. rilevano l’art. 2475, che attribuisce agli amministratori in via esclusiva l’istituzione degli assetti, l’art. 2476, in tema di responsabilità, e l’art. 2477, per l’organo di controllo. L’adeguatezza è una clausola valutativa che non descrive un organigramma universale. Pretende coerenza tra natura dell’attività, dimensioni, complessità, deleghe, flussi informativi e strumenti di controllo. Il piccolo distributore non è tenuto a replicare la struttura di un gruppo multinazionale; non può tuttavia considerare irrilevante una dipendenza critica soltanto perché opera su scala ridotta.

L’art. 3 del d.lgs. 12 gennaio 2019, n. 14 (Codice della crisi e dell’insolvenza, di seguito CCII), nel testo vigente, precisa che l’imprenditore individuale deve adottare misure idonee, mentre quello collettivo deve istituire assetti adeguati. Richiede, fra l’altro, la capacità di rilevare squilibri patrimoniali o economico-finanziari, verificare la sostenibilità dei debiti e le prospettive di continuità per almeno dodici mesi, nonché ricavare le informazioni necessarie per la lista di controllo particolareggiata e per il test pratico di verifica della ragionevole perseguibilità del risanamento (art. 13 CCII). Lo stesso art. 3 elenca, al quarto comma, segnali di allarme di natura debitoria, che si raccordano con la segnalazione dell’organo di controllo (art. 25-octies CCII) e dei creditori pubblici qualificati (art. 25-novies CCII) e con l’accesso alla composizione negoziata (art. 12 CCII). La norma rende concreto un dovere di conoscenza anticipata, non una promessa di risultati positivi.

Una lettura esclusivamente contabile sarebbe però riduttiva. Se un processo produttivo si arresta perché viene meno un fornitore indispensabile, la futura tensione finanziaria ha una causa operativa. Il dato di tesoreria che registra l’effetto arriva dopo il fatto che lo ha generato. Un assetto può quindi essere ricco di indicatori economici e povero di informazioni sulle dipendenze che minacciano la continuità. Questa constatazione non autorizza a trasformare qualsiasi standard tecnico in legge, ma impone di verificare se il sistema informativo sia davvero appropriato all’attività esercitata.

4. LA RIFORMA DEL 2026: GOVERNANCE, INFORMAZIONE E CONTROLLO

La cosiddetta legge Capitali richiede una precisazione preliminare: la legge delegante è la l. 5 marzo 2024, n. 21 (art. 19); il provvedimento attuativo è il d.lgs. 27 marzo 2026, n. 47, pubblicato nella G.U. n. 86 del 14 aprile 2026 (S.O. n. 14) ed entrato in vigore il 29 aprile. Il decreto incide in larga parte sul TUF; l’art. 9 interviene invece sulla disciplina civilistica della società per azioni, ridenominando i sistemi di amministrazione e controllo in funzione dell’organo di controllo (con collegio sindacale, con consiglio di sorveglianza, con comitato per il controllo sulla gestione) e dettando per quest’ultimo una disciplina comune. Non si tratta di un generico richiamo alla buona governance: il legislatore ridisegna l’articolazione dei poteri e la circolazione delle informazioni. L’analisi che segue si fonda sul testo pubblicato in Gazzetta Ufficiale ; manca ancora una giurisprudenza applicativa, sicché le letture proposte vanno intese come ricostruzioni sistematiche.

L’art. 2380-bis c.c., nella formulazione riscritta dalla riforma, attribuisce esclusivamente agli amministratori la gestione e l’organizzazione dell’impresa, compresa l’istituzione dell’assetto organizzativo, amministrativo e contabile. L’art. 2381 è ora limitato alla disciplina del presidente, mentre l’art. 2381-bis regola deleghe e organi delegati: distingue la cura degli assetti, affidata agli organi delegati, dalla valutazione della loro adeguatezza, rimessa al consiglio sulla base delle informazioni ricevute, e sottrae alla delega le decisioni sull’accesso agli strumenti di regolazione della crisi, in coerenza con il dovere di attivarsi senza indugio previsto dall’art. 2086, secondo comma. Gli organi delegati riferiscono al consiglio e all’organo di controllo, con la periodicità fissata dallo statuto e comunque almeno semestralmente, sull’andamento e sulla prevedibile evoluzione della gestione. L’art. 2381-ter esplicita il dovere di agire informati e disciplina la richiesta di informazioni e il ragionevole affidamento dei consiglieri non delegati, che non costituisce tuttavia un’esenzione incondizionata e può essere superato da elementi anomali. La responsabilità organizzativa si legge così attraverso competenze, flussi e verifiche, non attraverso l’astratta esistenza di un organigramma.

Ancora più eloquente è il nuovo art. 2396-quinquies c.c., che raccoglie i doveri dell’organo di controllo in tutti i sistemi di amministrazione: la vigilanza riguarda l’osservanza della legge e dello statuto, il rispetto dei principi di corretta amministrazione e l’adeguatezza e il concreto funzionamento degli assetti, incluso il sistema di controllo interno e di gestione dei rischi e il coordinamento delle relative funzioni. Nella lettura sistematica qui proposta, la vigilanza non può ridursi al riscontro a consuntivo di ciò che è accaduto, ma richiede flussi informativi tempestivi e interventi correttivi. Qui il collegamento con la continuità operativa diviene particolarmente persuasivo sul piano interpretativo. Se un rischio di interruzione è significativo per la specifica impresa, la sua identificazione, l’attribuzione delle responsabilità e il monitoraggio possono concorrere alla valutazione degli assetti. La riforma, tuttavia, non introduce un obbligo generalizzato di certificazione ISO 22301, né rende ogni interruzione prova di cattiva amministrazione. Il giudizio resta concreto, proporzionato ed ex ante.

Due precisazioni di coordinamento sono opportune. La prima riguarda la denuncia al tribunale: gli artt. 2408 e 2409 sono stati abrogati e sostituiti dagli artt. 2396-ter e 2396-quater, di applicazione trasversale, sicché le decisioni anteriori che richiamano l’art. 2409, come quella del Tribunale di Cagliari esaminata più avanti, vanno lette come riferite alla disciplina previgente; l’art. 2403, a sua volta, resta circoscritto al controllo contabile. La seconda riguarda le s.r.l., forma largamente prevalente tra le imprese minori: l’art. 9 riscrive la disciplina della s.p.a., ma l’art. 2475, primo comma, continua ad attribuire in via esclusiva agli amministratori l’istituzione degli assetti, mentre il rinvio dell’art. 2477 alle norme sul collegio sindacale e il rinvio dell’art. 2476 alla denuncia al tribunale richiedono un coordinamento con la nuova numerazione. Un’estensione automatica alle s.r.l. delle regole su deleghe e informazione consiliare sarebbe dunque prematura.

5. LA CONTINUITÀ PRIMA DELLA CRISI

Occorre distinguere la continuità aziendale come prospettiva economico-contabile, decisiva per la valutazione della capacità dell’impresa di proseguire la propria attività, dalla continuità operativa come capacità organizzata di erogare prodotti e servizi entro livelli e tempi accettabili dopo un’interruzione. Le due nozioni si incontrano, ma non coincidono. Una temporanea indisponibilità informatica può non compromettere immediatamente il presupposto della continuità contabile; può nondimeno produrre perdite contrattuali, reputazionali e commerciali destinate a deteriorare quella stessa prospettiva.

La letteratura tecnica sulla continuità operativa insiste, con diversi livelli di approfondimento, sull’analisi dell’impatto sull’attività, sulla distinzione fra risposta immediata e ripristino, sulla definizione delle responsabilità e sull’esercizio dei piani (ISO 22301:2019, capitolo 8; ISO 22313:2020; ISO/TS 22317:2021). La natura stessa del settore cambia il contenuto delle dipendenze da presidiare: nel trasporto pubblico il servizio dipende da mezzi, personale, infrastrutture, comunicazioni e soggetti esterni; nei sistemi informatici il ripristino dipende da procedure, copie dei dati e infrastrutture alternative. In ogni caso un piano non provato rischia di essere un adempimento di carta. Si tratta di documenti tecnici di supporto, non di fonti normative; la loro utilità risiede nella descrizione dei processi da rendere effettivi.

6. GIUDIZIO SULL’ASSETTO E DISCREZIONALITÀ DEGLI AMMINISTRATORI

La giurisprudenza offre un terreno di confronto che impedisce tanto la deresponsabilizzazione quanto il giudizio retrospettivo fondato sul solo insuccesso. Cass. civ., sez. I, 31 agosto 2016, n. 17441, si colloca nella ricostruzione della responsabilità contrattuale degli amministratori verso la società: la società attrice deve allegare specificamente gli inadempimenti contestati e provare il danno e il relativo nesso causale, mentre agli amministratori compete dimostrare, rispetto agli addebiti formulati, l’osservanza dei doveri loro imposti. Per gli amministratori privi di deleghe, in particolare, la responsabilità non può fondarsi sul solo mancato impedimento dell’evento pregiudizievole, ma richiede l’accertamento della violazione del dovere di agire informati, anche in rapporto alle informazioni acquisibili di propria iniziativa. Cass., sez. I, 22 giugno 2017, n. 15470, che applica ratione temporis il testo dell’art. 2392 anteriore alla riforma del 2003, valorizza le cautele, le verifiche e le informazioni preventive normalmente richieste per la scelta compiuta. Più di recente Cass. civ., sez. I, ord. 27 agosto 2025, n. 23963, in tema di responsabilità dell’amministratore di s.r.l. ai sensi dell’art. 2476, primo comma, ha ribadito che la business judgment rule non esclude la responsabilità quando la scelta appare irragionevole, imprudente o arbitraria e che, ferma l’allegazione dell’inadempimento da parte della società, spetta all’amministratore dimostrare di aver agito con la diligenza professionale richiesta dalla situazione concreta. La pronuncia del 2025 riguardava pagamenti a favore di un soggetto debitore della società, rispetto ai quali poteva venire in rilievo la compensazione: costituisce pertanto un riferimento ai principi generali della diligenza gestoria, non un precedente specifico sull’omessa istituzione degli assetti. Non si giudica con il senno del poi ciò che era conoscibile prima.

Il problema si complica quando non è in discussione una singola operazione, ma la struttura attraverso la quale si decide. L’ordinanza del Tribunale di Roma, sezione specializzata in materia di impresa, dell’8 aprile 2020, resa in sede cautelare (sequestro conservativo nei confronti degli amministratori di una s.r.l.), ha affermato che la predisposizione degli assetti rientra nella gestione e che la scelta, se razionale, non imprudente fin dall’origine e accompagnata dalle verifiche richieste dalla diligenza dell’incarico, resta sottratta al sindacato di merito. Oggetto di un documentato dibattito dottrinale, la decisione ha aperto la questione dell’applicabilità della business judgment rule anche alle determinazioni sugli assetti; trattandosi di un provvedimento cautelare, il suo valore di precedente va misurato con prudenza. La nota di A. Briguglio, pubblicata nella Rivista di diritto societario nel 2021 (n. 2, pp. 279-303), riconduce le determinazioni sugli assetti al metodo della gestione e ne esclude tendenzialmente l’assoggettamento alla business judgment rule, pur ammettendo temperamenti del sindacato quando organizzazione e merito gestorio si intrecciano. È un dissenso significativo: una cosa è scegliere, con informazioni adeguate, fra due strategie; altra cosa è omettere stabilmente gli strumenti necessari a scegliere in modo informato.

Il Tribunale di Cagliari, sezione specializzata per le imprese, con decreto del 19 gennaio 2022, nel procedimento di denuncia di gravi irregolarità ex art. 2409 c.c. (nel testo allora vigente, oggi sostituito dall’art. 2396-quater), ha riconosciuto la rilevanza della mancata predisposizione di adeguati assetti anche in una società non ancora in crisi, ritenendo la violazione più grave proprio perché in quella fase l’impresa dispone delle risorse per attuare misure organizzative, amministrative e contabili efficaci. Il Tribunale ha ordinato l’adozione di assetti adeguati sotto il controllo di un amministratore giudiziario, valorizzando la funzione preventiva dell’organizzazione anche in una società non ancora in crisi. La pronuncia non istituisce un catalogo obbligatorio di certificazioni. Conferma, piuttosto, che l’inerzia organizzativa può costituire un problema giuridico autonomo rispetto alla manifestazione dell’insolvenza.

Ne deriva una proposta interpretativa, da tenere distinta dalle massime delle decisioni citate. La verifica dovrebbe articolarsi in tre momenti: accertare quali rischi fossero ragionevolmente conoscibili in relazione al settore e alle dipendenze dell’impresa; verificare quali processi informativi e decisionali fossero concretamente disponibili; valutare se le misure prescelte fossero motivate, proporzionate e periodicamente riesaminate. Il giudice non dovrebbe scegliere al posto dell’imprenditore la soluzione economicamente preferibile. Può però interrogarsi sulla serietà del percorso attraverso il quale la soluzione è stata adottata.

Il prospetto che segue riassume il percorso e le tracce documentali che più verosimilmente consentono di dimostrarlo.

7. LA UNI/PdR 167:2025: L’ASSETTO COME PROCESSO VERIFICABILE

La prassi di riferimento UNI/PdR 167:2025 («Adeguato assetto organizzativo, amministrativo e contabile delle PMI. Requisiti e indirizzi operativi per la valutazione di conformità»), pubblicata il 17 aprile 2025 e corretta il 18 settembre successivo, è particolarmente utile perché traduce la categoria dell’adeguatezza in requisiti e indirizzi operativi destinati alle PMI. La prassi, sviluppata con il contributo dell’Ordine dei dottori commercialisti e degli esperti contabili di Milano, dichiara espressamente di non essere una norma nazionale. La sua natura non va attenuata né enfatizzata: è un documento tecnico volontario, non una fonte primaria dell’obbligazione societaria.

Il suo impianto supera la rappresentazione dell’assetto come raccolta di moduli. Integrazione, specificità, coinvolgimento, dinamicità, flussi informativi, flessibilità e miglioramento continuo descrivono un’organizzazione che deve funzionare mentre l’ambiente cambia. La sezione dedicata all’approccio basato sul rischio richiede che l’identificazione e la valutazione non restino un’appendice separata, ma alimentino le decisioni strategiche, e rinvia per i contenuti di dettaglio alla UNI ISO 31000:2018 e alla UNI 11865:2022. Gli strumenti di rilevazione e la reportistica prospettica rendono conoscibili gli scostamenti e le vulnerabilità. Il documento non richiama espressamente la ISO 22301, pur indicando la business continuity tra i criteri di riferimento dell’assetto: il raccordo con i sistemi di gestione della continuità operativa è quindi una lettura sistematica di questo studio, non un rinvio contenuto nella prassi.

Particolarmente significativa è la previsione di un percorso di valutazione di terza parte, mediante organismi accreditati secondo la UNI CEI EN ISO/IEC 17065:2012. È un meccanismo tecnico di verifica della conformità al documento di riferimento. Non equivale a una sentenza preventiva sull’adempimento dell’art. 2086 c.c., né crea automaticamente una presunzione legale di correttezza. Proprio la correzione del settembre 2025 ha eliminato un paragrafo sulla presunzione di conformità, concetto che la prassi mutuava da altri ambiti regolatori. Confondere il piano della valutazione tecnica con quello della responsabilità civile significherebbe impoverire entrambi.

8. ISO 22301 E ISO 31000: DALLA MAPPA AL PIANO

La ISO 31000:2018 (UNI ISO 31000:2018) propone linee guida per integrare la gestione del rischio nella governance, nella strategia e nelle attività dell’organizzazione. Il rischio vi è considerato in rapporto agli obiettivi e può comprendere minacce e opportunità. Non è uno standard destinato alla certificazione. La ISO 22301:2019 (UNI EN ISO 22301:2019), integrata dall’emendamento del 2024 (Amd 1:2024) relativo alla considerazione del cambiamento climatico, definisce invece requisiti per un sistema di gestione della continuità operativa, certificabile da organismi accreditati. Le due prospettive sono complementari: la prima orienta il processo di decisione sul rischio; la seconda disciplina un sistema volto a preparare, rispondere e recuperare rispetto a interruzioni significative.

Il punto operativo iniziale è la business impact analysis (ISO 22301, punto 8.2.2): identificare attività prioritarie, dipendenze, risorse indispensabili, conseguenze dell’interruzione e tempi accettabili. Seguono valutazione dei rischi (8.2.3), strategie di continuità (8.3), piani e procedure (8.4), esercitazioni (8.5), oltre a ruoli, comunicazione e riesame. La norma attribuisce inoltre alla direzione compiti di leadership e di impegno (punto 5.1), tratto che si raccorda con la responsabilità consiliare in tema di assetti. Nei sistemi informatici diventano rilevanti, tra gli altri, gli obiettivi temporali di ripristino (RTO) e di recupero dei dati (RPO); nell’industria possono assumere rilievo il fornitore alternativo, la disponibilità energetica e il trasporto; nei servizi essenziali la sostituibilità delle persone e delle infrastrutture.

L’analisi economica deve entrare nella scelta. Non tutte le attività richiedono la stessa rapidità di ripristino; non tutte le perdite giustificano una ridondanza costosa. La prevenzione razionale combina soglie di tolleranza, priorità e disponibilità di risorse. Le polizze per danni materiali, eventi sociopolitici o interruzione dell’attività possono contribuire al trasferimento del rischio nei limiti di condizioni, esclusioni, franchigie e presupposti di operatività. Non sostituiscono la capacità di reagire: il denaro indennizzato dopo mesi non ripristina automaticamente clienti, competenze o reputazione.

9. REGIMI SETTORIALI: QUANDO LA CONTINUITÀ DIVENTA OBBLIGO SPECIFICO

Il quadro generale degli assetti non esaurisce le fonti che toccano la continuità. In alcuni settori il legislatore ha già reso la capacità di proseguire l’attività dopo un’interruzione il contenuto di un obbligo specifico. Il d.lgs. 4 settembre 2024, n. 138, di recepimento della direttiva (UE) 2022/2555 (NIS 2), include tra le misure di gestione dei rischi per la sicurezza informatica la continuità operativa, comprensiva della gestione dei backup, del ripristino in caso di disastro e della gestione delle crisi (art. 24), e attribuisce agli organi di amministrazione e direttivi compiti di approvazione, sovrintendenza e formazione (art. 23). Il regolamento (UE) 2022/2554 (DORA) impone alle entità finanziarie politiche di continuità operativa dei sistemi informatici e procedure di backup e ripristino (artt. 11 e 12). Il d.lgs. 4 settembre 2024, n. 134, in materia di resilienza dei soggetti critici, attua la direttiva (UE) 2022/2557 e richiede misure di resilienza proporzionate ai rischi.

Si tratta di fonti speciali, che vincolano soltanto i soggetti compresi nel rispettivo ambito. La loro presenza è tuttavia rilevante per la tesi qui sostenuta per due ragioni: mostra che l’ordinamento considera già la continuità un oggetto di organizzazione dovuta quando l’interruzione produce effetti rilevanti; offre, per le imprese non incluse, un termine di confronto per valutare la ragionevolezza dell’istruttoria, senza trasformarsi in obbligo generale. Analoga funzione di raccordo svolge il d.lgs. 8 giugno 2001, n. 231: l’adozione del modello organizzativo non è obbligatoria, ma ne condiziona l’esonero dell’ente (artt. 6 e 7), e il coordinamento tra organismo di vigilanza e organo di controllo evita sovrapposizioni di compiti e vuoti di presidio nel governo dei rischi di interruzione.

10. CERTIFICAZIONE, PROVA E RESPONSABILITÀ

Nel rapporto tra diritto cogente e normazione volontaria si annida un equivoco ricorrente. Il legislatore stabilisce il dovere di predisporre assetti adeguati; la tecnica propone metodologie, requisiti o criteri per affrontare problemi organizzativi; la certificazione, quando prevista, attesta la conformità a un determinato schema entro un perimetro e a una data. Nessuno dei tre livelli assorbe gli altri. L’assenza di una certificazione non costituisce, da sola, violazione dell’art. 2086 c.c.; la sua presenza non garantisce l’assenza di responsabilità.

Il valore giuridico degli standard può emergere su un piano diverso: quello degli elementi conoscitivi utilizzabili per ricostruire, con prudenza, le pratiche organizzative disponibili e il percorso decisionale concretamente seguito. In un settore nel quale una determinata interruzione sia frequente e altamente dannosa, l’esistenza di metodologie consolidate può concorrere a valutare la ragionevolezza dell’istruttoria. Occorre però evitare il ragionamento circolare per cui, essendo uno standard tecnicamente apprezzabile, la sua mancata applicazione sarebbe automaticamente illecita. Il giudizio rimane concreto, contestuale e proporzionato.

Neppure la documentazione può diventare un alibi. Un verbale di consiglio che approva una matrice dei rischi non dimostra che i rischi siano stati compresi; un audit positivo non prova che le criticità successive fossero inconoscibili; un esercizio mai svolto non diventa efficace perché descritto in un manuale. La prova della diligenza organizzativa richiede tracce di decisioni, responsabilità, risorse, aggiornamenti e reazioni. La sostanza non può essere sostituita dall’eleganza della procedura.

11. IL COSTO SOCIALE DELL’IMPREVIDENZA

L’impresa non è un’isola patrimoniale separata dalla società che la circonda. L’autonomia giuridica e la libertà di iniziativa economica, riconosciuta dall’art. 41 Cost., convivono con limiti e interessi che impongono di guardare agli effetti dell’attività produttiva oltre il perimetro dei soci: l’iniziativa economica privata, secondo il secondo comma dell’art. 41 Cost. come modificato dalla l. cost. 11 febbraio 2022, n. 1, non può svolgersi in contrasto con l’utilità sociale né recare danno alla salute, all’ambiente, alla sicurezza, alla libertà e alla dignità umana. Una crisi può distruggere redditi, compromettere prestazioni essenziali, interrompere pagamenti e scaricare sul territorio costi che nessun bilancio individuale aveva registrato in anticipo.

Qui la lettura personalista e solidaristica del diritto privato (artt. 2 e 41 Cost.) incontra una considerazione economica elementare: le conseguenze di una decisione organizzativa possono essere esterne rispetto a chi ne ha percepito i benefici. Non ne discende un dovere generale dell’impresa di neutralizzare ogni danno sociale, né un’illimitata estensione della responsabilità degli amministratori verso chiunque sia coinvolto. Ne discende, più sobriamente, la necessità di leggere i doveri esistenti in un contesto di interdipendenze effettive e di evitare che la tutela degli interessi venga ridotta alla sola distribuzione successiva delle perdite.

12. VERSO UNA CULTURA DELLA CONTINUITÀ

La proposta interpretativa può ora essere formulata con precisione. L’art. 2086 c.c. e l’art. 3 del Codice della crisi non impongono indistintamente un sistema certificato di continuità operativa. Impongono, secondo i rispettivi ambiti, misure e assetti adeguati, capaci di favorire la rilevazione tempestiva della crisi e l’assunzione di iniziative appropriate, e la riforma del 2026 ripartisce tra amministratori, organi delegati e organo di controllo i compiti di istituzione, cura, valutazione e vigilanza. Quando l’attività dipende da processi la cui interruzione può ragionevolmente compromettere la continuità economica, la conoscenza e la valutazione di tali dipendenze possono diventare componenti rilevanti del giudizio di adeguatezza. Obblighi settoriali specifici, come quelli in materia di sicurezza informatica e di resilienza operativa, restano soggetti al proprio regime. Questa è una proposta di lettura sistematica, non la descrizione di un obbligo di certificazione già sancito dal legislatore.

Sul piano del diritto vigente occorre preservare il giudizio ex ante, la discrezionalità delle scelte gestorie informate e la necessità di provare i presupposti della responsabilità. La diligenza organizzativa si dimostra con tracce coerenti con le tre fasi del giudizio descritte nel § 6. Sul piano tecnico gli standard volontari offrono strumenti per documentare e migliorare l’istruttoria organizzativa. Sul piano delle prospettive legislative sarebbe utile promuovere, senza imporre modelli uniformi, una più chiara considerazione delle dipendenze operative critiche nella cultura degli adeguati assetti e negli strumenti di accompagnamento delle imprese minori.

La vera novità non consiste nel chiedere agli amministratori di prevedere il futuro. Consiste nel riconoscere che governare un’impresa significa organizzare la conoscenza del possibile, prima che il possibile diventi danno. La prevenzione non assicura l’immortalità delle aziende; rende però più responsabile la loro esposizione al mondo. Il rischio non è soltanto ciò che minaccia di distruggere valore: quando è conosciuto, discusso e governato, può indicare dove innovare, diversificare e crescere.

In una società che chiama emergenza ciò che spesso ha rinunciato a studiare, la continuità operativa restituisce al diritto una domanda antica e severa: non se l’impresa sia stata fortunata, ma se sia stata governata con la diligenza che la sua attività esigeva.