Organo di controllo e Modello 231: come adeguarsi alle modifiche al Codice civile

Come noto, il D.Lgs. 27 marzo 2026, n. 47, pubblicato nel supplemento ordinario n. 14 alla Gazzetta Ufficiale del 14 aprile 2026, n. 86, ed efficace dal 29 aprile 2026, ha riscritto la sezione VI-bis del codice civile in attuazione della delega di cui all'articolo 19 della L. 21/2024. Meno noto è che l'articolo 2403 ha cessato di essere la sede del dovere di vigilanza: oggi si intitola "Controllo contabile" e dispone soltanto che, "fermo restando quanto previsto dall'articolo 2396-quinquies, il collegio sindacale esercita il controllo contabile nel caso previsto dall'articolo 2409-bis".

Il dovere è stato trasferito nel nuovo articolo 2396-quinquies c.c., collocato tra le disposizioni comuni ai tre sistemi di amministrazione e controllo, e in quel trasferimento ha acquistato un contenuto ulteriore: la vigilanza sull'adeguatezza dell'assetto comprende ora espressamente il sistema di controllo interno e di gestione dei rischi e il coordinamento delle sue funzioni. La medesima formula è stata introdotta, per le società quotate, nell'articolo 149, comma 1, lettera c), TUF.

Pur essendo le disposizioni citate riconducibili alle società per azioni, le novità toccano anche le società a responsabilità limitata, attraverso il rinvio dell'articolo 2477, quarto comma, c.c..

Le norme di riferimento sono di seguito esposte.

Alfa Srl ha superato per due esercizi consecutivi i limiti dell'articolo 2477, secondo comma, lettera c), c.c. e ha nominato un organo di controllo collegiale: il presidente percepisce un compenso annuo di 18.000 euro, i due sindaci effettivi di 12.000 euro ciascuno. La società ha adottato un Modello organizzativo nel 2021 e ha un Organismo di vigilanza di tre componenti, uno dei quali è anche sindaco effettivo; il canale di segnalazione interna è gestito da un ufficio interno dedicato, con personale specificamente formato.

Su questo sfondo si innestano tre vicende:

Si tratta di stabilire che cosa il dovere di coordinamento imponga in concreto, quali informazioni l'organo di controllo debba acquisire e da chi, e fin dove operi il tetto dell'articolo 2407 c.c..

L'articolo 2396-quinquies, primo comma, c.c. dispone che "l'organo di controllo vigila sull'osservanza della legge e dello statuto, sul rispetto dei principi di corretta amministrazione, nonché sull'adeguatezza e sul concreto funzionamento dell'assetto organizzativo, amministrativo e contabile adottato dalla società, ivi compreso il sistema di controllo interno e di gestione dei rischi e il coordinamento delle sue funzioni". L'ultimo inciso rappresenta la novità sostanziale: l'oggetto della vigilanza non è più, infatti, soltanto l'esistenza dei presidi, ma la loro integrazione reciproca.

 Quanto al contenuto del giudizio, soccorre la Norma 3.6 ("Norme di comportamento del Collegio sindacale di società non quotate"), per la quale "un sistema di controllo interno risulta adeguato se permette la chiara e precisa indicazione dei principali fattori di rischio aziendale e ne consente il costante monitoraggio e la corretta gestione".

Per Alfa Srl significa che Modello, Organismo di vigilanza e gestore delle segnalazioni non sono più comparti separati rispetto ai quali il collegio può limitarsi ad acquisire un'informativa riassuntiva.

Dall'Organismo di vigilanza occorre acquisire informazioni sull'attività svolta, il piano di vigilanza, gli aggiornamenti del Modello conseguenti alle modifiche organizzative e normative e, soprattutto, i flussi che riceve e quelli che trasmette all'organo amministrativo. Dal gestore del canale di segnalazione, invece, occorre acquisire informazioni sul funzionamento del canale e l'esito dei test periodici, oltre a verificare i requisiti di autonomia e formazione che l'articolo 4, comma 2, del D.Lgs. 24/2023 esige. Con il revisore legale, da ultimo, lo scambio è già imposto dall'articolo 2409-septies c.c..

Non compete al Collegio sindacale, invece, una vigilanza di merito sull'operato dell'Organismo, dotato di autonomi poteri ispettivi: il dovere ha per oggetto il sistema di gestione dei rischi e il coordinamento delle funzioni, non il giudizio dell'altro presidio. È la soluzione che la Norma 5.5 ("Norme di comportamento del Collegio sindacale di società non quotate") già indicava, escludendo che al collegio competa "una ulteriore vigilanza di merito sull'operato dell'ODV": la contiguità tra i due presidi non genera dunque sovrapposizione, ma distinzione di oggetto.

Una conseguenza ulteriore merita di essere segnalata. Il Modello organizzativo resta formalmente facoltativo, ma il dovere di vigilare sul sistema di controllo interno, letto con l'obbligo di adeguatezza degli assetti dell'articolo 2086, secondo comma, c.c., rende difficilmente sostenibile l'inerzia dell'organo di controllo di fronte alla sua mancata adozione.

La Norma 5.5 ne trae la conseguenza operativa, prevedendo che il collegio solleciti gli amministratori a una riflessione in merito e che, in assenza di valide ragioni, possa farne menzione nella relazione ex articolo 2429 c.c..

Tutto quanto appena premesso, va quindi evidenziato che la segnalazione del 12 settembre 2026 riguarda condotte rilevanti ai sensi del Modello, che per l'articolo 6, comma 2-bis, D.Lgs. 231/2001 deve prevedere "i canali di segnalazione interna, il divieto di ritorsione e il sistema disciplinare". Il canale esiste e il gestore è stato nominato ai sensi dell'articolo 4, comma 2, del D.Lgs. 24/2023; manca la regola che disciplini il passaggio dell'informazione all'Organismo di vigilanza.

Non è una disfunzione dell'Organismo, che non può ricevere ciò che non gli è trasmesso, né del gestore, che ha operato nel perimetro assegnatogli: è una carenza del Modello, e si riverbera su due piani. Sul piano civilistico l'organo di controllo deve rilevarla e segnalarla per iscritto all'organo amministrativo, dandone evidenza nel verbale e verificando il riscontro alla riunione successiva, che l'articolo 2396-octies colloca a non più di novanta giorni. Sul piano della responsabilità dell'ente il profilo è più grave: l'esimente dell'articolo 6, comma 1, lettera d), esige la prova che non vi sia stata omessa o insufficiente vigilanza dell'Organismo, e un Organismo cui le segnalazioni non arrivano non può fornirla.

Va però ricordato che il contenuto di quel flusso non è libero: l'articolo 12 del D.Lgs. 24/2023 impone la riservatezza sull'identità del segnalante e su ogni informazione da cui essa possa essere ricavata, anche indirettamente, salvo consenso dell'interessato. All'Organismo può dunque essere trasmesso il fatto segnalato, non l'identità di chi lo ha segnalato; e il verbale dell'organo di controllo dà conto della carenza, non del contenuto protetto.

Con riferimento, invece, ai profili di responsabilità, va rimarcato che l'articolo 2407, secondo comma, c.c. dispone che, "al di fuori delle ipotesi in cui hanno agito con dolo", i sindaci che violano i propri doveri rispondono "nei limiti di un multiplo del compenso annuo percepito": quindici volte fino a 10.000 euro, dodici volte da 10.000 a 50.000 euro, dieci volte oltre i 50.000 euro.

Per il presidente del collegio sindacale di Alfa Srl, con 18.000 euro di compenso, il limite è di 216.000 euro; per ciascun sindaco effettivo, con 12.000 euro, di 144.000 euro. La società non è quotata né negozia azioni in sistemi multilaterali, per cui il nuovo articolo 151.2 TUF non si applica e il tetto resta operativo.

Diverso è il profilo del sindaco che siede anche nell'Organismo di vigilanza. Il tetto è previsto per i sindaci che violano "i propri doveri", vale a dire quelli inerenti alla funzione sindacale, e l'attività svolta come componente dell'Organismo riposa su un titolo distinto: non pare quindi attratta dal limite.

Da qui l'esigenza di tenere separati verbali e carte di lavoro. Va precisato che la Norma 5.5 raccomanda la separata evidenza documentale per l'ipotesi, diversa, in cui la funzione di Organismo sia attribuita al collegio ai sensi dell'articolo 6, comma 4-bis: nel caso di Alfa, dove un sindaco siede in un Organismo collegiale, i verbali sono già distinti, ma resta decisivo che da essi risulti in quale veste il componente ha agito.

Il primo errore consiste nell'indicare ancora l'articolo 2403 c.c. come sede del dovere di vigilanza e nell'adoperare modelli di verbale che rinviano agli articoli 2406, secondo comma, 2408 e 2409 c.c., che sono ormai riferimenti abrogati.

Il secondo errore consiste nel leggere il coordinamento delle funzioni come un controllo di merito sull'operato dell'Organismo di vigilanza: oggetto del dovere sono l'esistenza e il funzionamento dei flussi, non la valutazione del giudizio altrui.

Il terzo errore consiste nel ritenere che l'esistenza del canale di segnalazione esaurisca l'adempimento: un canale che non comunichi con l'Organismo di vigilanza lascia il Modello privo degli obblighi di informazione della lettera d) del comma 2.

Il quarto errore consiste nel considerare il tetto dell'articolo 2407 un limite generale dell'esposizione del professionista. Non opera per le quotate, cade in presenza di dolo e non copre funzioni diverse da quella sindacale.

Il D.Lgs. 47/2026 non ha aggiunto un ulteriore adempimento, ma ha inciso sulla stessa dimensione dell’obbligo di vigilanza, spostandone il baricentro dalla verifica dei singoli presidi di controllo alla valutazione della loro effettiva integrazione e del coordinamento dei rispettivi flussi informativi.

In questa prospettiva, il coordinamento tra le diverse funzioni di controllo, già valorizzato dalle Norme di comportamento, assume una rilevanza giuridica diversa: ciò che, fino al 28 aprile 2026, costituiva una buona prassi organizzativa, diviene oggi un elemento rilevante ai fini della valutazione dell'adeguatezza dell'assetto organizzativo e del sistema dei controlli interni. La sua eventuale carenza rientra, pertanto, nel perimetro della vigilanza dell'organo di controllo, con possibili riflessi sul piano della responsabilità ai sensi dell'art. 2407 c.c., ove ne ricorrano i presupposti.

Il giudizio sull'adeguatezza del sistema dei controlli non può quindi esaurirsi nell'esame di informative autonome, trasmesse dai singoli presidi in momenti differenti. L'oggetto della verifica deve estendersi all'effettiva circolazione delle informazioni, alla coerenza delle valutazioni e alla capacità dei diversi presidi di intercettare e gestire congiuntamente i rischi. Non è dunque sufficiente accertare, e verbalizzare, che ciascun presidio abbia assolto ai propri compiti: occorre verificare, e dare evidenza documentale, che il sistema dei controlli operi in modo integrato e non come mera sommatoria di funzioni autonome.