Il 18 maggio 2026 il Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili (CNDCEC) ha pubblicato il documento “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa”, elaborato nell’ambito della Commissione di Studio “Compliance e modelli organizzativi d.lgs. 231”.
La pubblicazione si inserisce in un momento storico particolarmente delicato per il sistema della compliance aziendale. La progressiva digitalizzazione dei processi produttivi, l’estensione del lavoro da remoto, l’impiego sempre più diffuso di infrastrutture cloud e sistemi automatizzati, nonché l’utilizzo crescente dell’intelligenza artificiale nei processi decisionali e gestionali, hanno infatti trasformato profondamente la natura del rischio d’impresa. In questo nuovo contesto, la sicurezza informatica non può più essere considerata una questione meramente tecnica, rimessa esclusivamente alle funzioni IT, ma diviene una componente strutturale della governance societaria e dell’adeguatezza organizzativa dell’ente.
Il documento del CNDCEC coglie ed evidenzia con enfasi questa trasformazione culturale e sistematica. La cybersecurity viene interpretata non soltanto quale insieme di strumenti di protezione tecnologica, ma come elemento centrale del sistema di prevenzione dei rischi aziendali e, conseguentemente, anche della responsabilità amministrativa degli enti ai sensi del d.lgs. 231/2001.
La necessità di integrare la gestione del rischio cyber all’interno dei sistemi di compliance e dei modelli organizzativi non risponde, del resto, a mere esigenze teoriche o prospettiche. Lo stesso documento del CNDCEC (nel prosieguo, il documento) richiama i dati del Rapporto Clusit 2026, che evidenziano un incremento degli incidenti informatici del 48,7% rispetto all’anno precedente, con oltre cinquemila eventi censiti e una percentuale particolarmente elevata di attacchi ad alto impatto. Il fenomeno interessa ormai trasversalmente tanto le pubbliche amministrazioni quanto i principali comparti produttivi e dei servizi. Infrastrutture strategiche, industria manifatturiera, sanità, servizi professionali e attività finanziarie risultano sempre più frequentemente esposti a ransomware, malware, attacchi DDoS, phishing e compromissione dei sistemi cloud (ossia forme di aggressione informatica che possono comportare il blocco dei sistemi, il furto di credenziali e dati, l’interruzione dei servizi digitali o l’accesso abusivo alle infrastrutture informatiche).
La crescente rilevanza empirica del rischio cyber non è rimasta priva di riflessi sul piano regolatorio. Al contrario, alla diffusione e all’intensificazione delle minacce informatiche si è accompagnata una rapida evoluzione del quadro normativo europeo e nazionale. L’entrata in vigore della Direttiva NIS2, del Regolamento DORA, della l. 90/2024, successivamente integrata dal d.lgs. 138/2024, in materia di cybersicurezza nazionale, testimonia il progressivo superamento di una concezione “settoriale” della sicurezza informatica a favore di un approccio che riconosce il carattere strutturale e sistemico del rischio cyber.
È proprio in questo scenario che il documento in questione assume particolare rilevanza, proponendo una lettura integrata del rapporto tra cybersecurity, organizzazione aziendale e “Modello 231”, ed evidenziando come la vulnerabilità digitale dell’impresa possa oggi costituire indice di inadeguatezza degli assetti organizzativi e dei sistemi di controllo interno predisposti dall’ente.
Per tali ragioni il documento pubblicato dal CNDCEC rappresenta un contributo di particolare interesse nel processo di evoluzione della “compliance 231” verso modelli di governance sempre più integrati e tecnologicamente consapevoli, capace di coniugare una ricostruzione sistematica con preziose indicazioni operative e di offrire ai professionisti uno strumento concreto di analisi e supporto in un ambito destinato ad assumere rilievo sempre più centrale nella governance d’impresa.
1.Il rischio cyber come nuova frontiera della “colpa di organizzazione”
Il primo snodo concettuale del documento in esame consiste nell’affermare che il rischio cyber non rappresenta un profilo autonomo e separato rispetto alla “compliance 231”, ma un fattore che deve essere integrato nei processi di identificazione, valutazione e gestione dei rischi rilevanti ai fini della responsabilità dell’ente.
Come è noto, la responsabilità dell’ente non discende automaticamente dalla commissione del reato presupposto, bensì dall’inidoneità dell’organizzazione a prevenire il rischio illecito attraverso adeguati protocolli, procedure e sistemi di controllo. In questa prospettiva, la trasformazione digitale dell’impresa amplia inevitabilmente anche il contenuto della diligenza organizzativa richiesta all’ente.
Il documento evidenzia come fenomeni quali attacchi ransomware, compromissione dei database aziendali, furto di credenziali, malware, phishing o violazioni delle infrastrutture cloud non possano più essere considerati meri eventi esterni imprevedibili. Tali episodi possono infatti rappresentare il sintomo di carenze organizzative, insufficienza dei controlli interni o inadeguatezza delle misure di sicurezza adottate dall’impresa.
Alla luce di questa prospettiva il “cyber risk” entra stabilmente nel perimetro della responsabilità organizzativa dell’ente: la sicurezza informatica non viene più interpretata come semplice presidio tecnico, bensì come un parametro attraverso cui valutare l’idoneità del “MOG231” e la capacità preventiva dell’organizzazione.
Particolarmente significativa appare, inoltre, la riflessione sviluppata dal documento circa la natura “trasversale” del rischio cyber. Le moderne forme di criminalità informatica, infatti, non incidono soltanto sul patrimonio informativo dell’impresa, ma sono suscettibili di propagare i propri effetti sull’intera organizzazione aziendale, incidendo su una pluralità di funzioni, processi e interessi giuridici, compromettendo la continuità operativa, la sicurezza delle persone, l’affidabilità delle infrastrutture produttive e persino interessi di rilievo collettivo.
La crescente integrazione tra sistemi digitali, infrastrutture industriali, dispositivi smart e processi automatizzati comporta il rischio che un attacco informatico possa produrre conseguenze che travalicano il mero dominio virtuale, incidendo concretamente sull’operatività dell’ente e sulla sua capacità di permanere sul mercato.
2.L’evoluzione dei reati informatici e l’ampliamento dell’art. 24-bis del d.lgs. 231/2001
Uno dei passaggi di maggiore interesse del documento concerne l’incidenza crescente del rischio cyber nell’ambito della responsabilità amministrativa degli enti. In tale prospettiva, particolare rilievo assume l’art. 24-bis del d.lgs. 231/2001, introdotto dalla l. n. 48/2008 in attuazione della Convenzione di Budapest sulla criminalità informatica, che ha segnato l’ingresso dei reati informatici nel catalogo dei reati-presupposto rilevanti ai fini de riconoscimento della responsabilità dell’ente.
La riflessione proposta dal documento analizzato, tuttavia, si colloca in una prospettiva più ampia. La rilevanza del rischio cyber non si esaurisce infatti nelle fattispecie espressamente ricomprese nell’art. 24-bis, ma interessa anche ulteriori categorie di reati-presupposto che, pur non qualificandosi come reati informatici in senso stretto, trovano nelle tecnologie digitali e nella rete strumenti privilegiati di realizzazione, agevolazione o diffusione. È il caso, ad esempio, di talune condotte riconducibili ai reati di terrorismo (art. 25-quater), alla pedopornografia virtuale (art. 25-quinquies) o al riciclaggio (art. 25-octies), rispetto ai quali la dimensione tecnologica assume un ruolo sempre più significativo sotto il profilo criminologico e operativo.
Il documento evidenzia come il cyberspazio abbia ormai assunto la funzione di vero e proprio «ambiente criminogeno trasversale», capace di incidere su una pluralità di interessi giuridici e di esporre le organizzazioni a forme di responsabilità sempre più articolate. In tale prospettiva, i reati informatici contemplati dall’art. 24-bis possono essere ricondotti a tre fondamentali aree di tutela:
- la riservatezza dei dati e delle comunicazioni informatiche;
- l’integrità dei dati e dei sistemi informatici;
- la tutela della fede pubblica.
Nel testo, poi, particolare attenzione è dedicata alle innovazioni introdotte dalla l. n. 90/2024, che rappresenta uno dei più recenti interventi di rafforzamento della disciplina nazionale in materia di cybersicurezza. La riforma si inserisce in un più ampio processo di adattamento dell’ordinamento alla crescente diffusione dei fenomeni di cybercrime e si caratterizza per:
- innalzamento delle pene;
- estensione dei confini del dolo specifico;
- introduzione di nuove circostanze aggravanti;
- il divieto di attenuanti per diversi reati che siano stati commessi tramite l’utilizzo di apparecchiature informatiche al fine di ottenere indebiti vantaggi con danno altrui, o per accedere abusivamente a sistemi informatici e/o per intercettare o interrompere comunicazioni informatiche e telematiche.
Le modifiche incidono direttamente anche sul sistema della responsabilità amministrativa degli enti. Da un lato, il legislatore ha sensibilmente inasprito il trattamento sanzionatorio previsto dall’art. 24-bis del d.lgs. 231/2001, elevando la sanzione pecuniaria applicabile da un minimo di 100 e un massimo di 500 quote a un minimo di 200 e un massimo di 700 quote. Dall’altro lato, è stata introdotta la nuova fattispecie di estorsione mediante reati informatici di cui all’art. 629, comma 3, c.p., per la quale il decreto prevede una sanzione pecuniaria da trecento a ottocento quote. La riforma ha così rafforzato la rilevanza dei rischi cyber nel sistema 231, attribuendo particolare rilievo alle condotte che compromettono la sicurezza delle infrastrutture digitali e la continuità operativa delle organizzazioni.
Nel descritto scenario, dunque, il documento in esame sottolinea la necessità di un profondo ripensamento dei Modelli di Organizzazione e Gestione, chiamati oggi a integrare specifici presìdi di cybersecurity, procedure di gestione degli accessi, sistemi di monitoraggio delle vulnerabilità, protocolli di incident response e programmi di formazione continua del personale
3.L’intelligenza artificiale: tra fattori di rischio e strumenti preventivi
Particolarmente significativo, nel documento, è il passaggio dedicato all’impatto dell’intelligenza artificiale sul sistema della responsabilità amministrativa degli enti, rispetto al quale emerge con chiarezza la necessità di ripensare, in chiave evolutiva, il tradizionale paradigma della “colpa di organizzazione”. L’AI, infatti, non viene considerata come un «autonomo elemento giuridico», bensì come un «fattore tecnologico capace di incidere profondamente sull’assetto organizzativo dell’impresa», sul governo dei processi e, conseguentemente, sulla «prevedibilità e sui profili di rischio delle condotte illecite». È proprio questa trasformazione dei processi aziendali a determinare l’emersione di nuove aree di vulnerabilità penalmente rilevanti.
Il testo in analisi evidenzia la natura ambivalente dell’intelligenza artificiale (c.d. dual-use technology): se, da un lato, essa può accrescere il rischio di commissione di reati informatici, societari e finanziari, potenziando la capacità offensiva degli attacchi cyber, automatizzando le condotte illecite e rendendo più opachi i processi decisionali, dall’altro può essere impiegata quale strumento di prevenzione, monitoraggio e rafforzamento dei presidi di compliance aziendale.
Sotto il primo profilo, l’impiego di sistemi algoritmici può agevolare la commissione di diverse fattispecie penalmente rilevanti, quali, a titolo esemplificativo, l’accesso abusivo a sistemi informatici o telematici (art. 615-ter c.p.) e il danneggiamento di dati e sistemi informatici (artt. 635-bis e ss. c.p.). Particolare attenzione merita inoltre il fenomeno dei c.d. deepfake, al quale il legislatore ha recentemente dedicato una specifica tutela mediante l’introduzione dell’art. 612-quater c.p. in materia di illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale. Pur non costituendo, allo stato, un reato-presupposto ai fini della responsabilità dell’ente, tale fattispecie conferma la crescente rilevanza penalistica dei rischi connessi all’impiego “distorto” dell’intelligenza artificiale.
In tale contesto, il vero nodo giuridico non risiede tanto nell’autonomia decisionale dell’algoritmo, quanto nella capacità dell’ente di governarne l’utilizzo attraverso adeguati presìdi organizzativi. È qui che il principio antropocentrico accolto dall’AI Act e dalla l. 132/2025 assume un rilievo centrale: l’essere umano resta responsabile delle decisioni assunte mediante l’AI e degli effetti prodotti dai sistemi algoritmici.
Ne deriva che l’opacità dei modelli decisionali automatizzati – la c.d. black box – può tradursi in un serio problema di accountability organizzativa. Un sistema di AI non adeguatamente supervisionato, tracciato o verificabile rischia infatti di compromettere la capacità dell’ente di dimostrare l’effettiva attuazione del Modello 231 e l’idoneità dei propri protocolli preventivi. In altri termini, l’assenza di governance dell’algoritmo può diventare essa stessa indice di una carenza organizzativa rilevante ai fini dell’imputazione della responsabilità dell’ente.
Nella seconda parte del testo il documento sottolinea invece come l’intelligenza artificiale possa diventare un potente alleato della compliance integrata. Sistemi di anomaly detection, analisi predittiva e monitoraggio continuo basati sull’IA consentono infatti di individuare tempestivamente vulnerabilità, deviazioni dai protocolli e segnali di rischio non rilevabili attraverso controlli tradizionali.
In definitiva, dalle indicazioni contenute nel documento elaborato dal CNDCEC emerge una progressiva integrazione dell’intelligenza artificiale all’interno dei sistemi di compliance e dei modelli organizzativi ex d.lgs. 231/2001. In tale prospettiva, la governance dell’AI assume rilievo ai fini dell’adeguatezza dell’assetto organizzativo dell’ente, richiedendo l’adozione di protocolli specifici, procedure di supervisione umana, sistemi di audit e flussi informativi idonei a monitorarne l’utilizzo. Ne consegue l’esigenza di verificare se e in quale misura i modelli organizzativi siano in grado di intercettare e gestire i rischi derivanti dall’impiego di sistemi di intelligenza artificiale, assicurando al contempo il rispetto dei principi di trasparenza, tracciabilità e controllabilità.
4.La gestione operativa del rischio cyber nel Modello 231: a) la centralità della formazione e b) il nuovo ruolo dell’OdV
Uno dei profili che maggiormente emerge dall’analisi del documento risiede, in realtà, nell’approccio fortemente concreto e operativo. L’elaborato, infatti, non si limita a ricostruire il quadro normativo dei reati informatici o ad evidenziare l’ampliamento dei profili di responsabilità dell’ente, ma propone una metodologia operativa per l’integrazione del rischio cyber nel Modello 231, offrendo ai professionisti indicazioni concrete in materia di risk assessment e risk managment, individuazione delle aree sensibili, predisposizione dei protocolli preventivi e gestione degli eventuali incidenti informatici.
Il documento insiste, in particolare, sulla necessità di sviluppare un sistema di prevenzione dinamico e interdisciplinare, fondato sulla mappatura dei processi aziendali, degli asset informatici e informativi, delle infrastrutture critiche e dei flussi di dati rilevanti, superando una concezione meramente tecnica della cybersicurezza. La nozione stessa di “area sensibile” viene significativamente ampliata, ricomprendendo non soltanto i processi direttamente esposti ai reati informatici in senso stretto, ma anche tutte le attività suscettibili di incidere sulla continuità operativa dell’impresa, sulla protezione del patrimonio informativo, sulla gestione dei dati personali e, più in generale, sull’affidabilità complessiva dell’organizzazione.
Accanto all’analisi del rischio, viene dedicato ampio spazio ai presìdi organizzativi concretamente implementabili: inventario e classificazione degli asset, regolamentazione degli accessi, segregazione delle funzioni, sistemi di monitoraggio e logging, procedure di incident response, gestione delle vulnerabilità, flussi informativi verso l’Organismo di Vigilanza e protocolli di escalation interna. Sul piano operativo, tali misure possono tradursi, ad esempio, nella predisposizione di un registro aggiornato dei dispositivi aziendali (computer, server, smartphone e applicazioni utilizzate), nell’attribuzione di credenziali personali con diversi livelli di autorizzazione in base alle mansioni svolte e nell’obbligo di autenticazione “multifattoriale” per l’accesso ai sistemi più sensibili. Ancora, la segregazione delle funzioni può impedire che il medesimo soggetto sia contemporaneamente autorizzato a inserire, approvare e modificare dati contabili o operazioni finanziarie, mentre i sistemi di logging consentono di registrare chi abbia effettuato un determinato accesso, da quale dispositivo e in quale momento. In caso di attacco ransomware, inoltre, una procedura di incident response dovrebbe individuare preventivamente i soggetti responsabili della gestione dell’emergenza, le modalità di isolamento dei sistemi compromessi, i criteri per la comunicazione agli organi societari e all’Organismo di Vigilanza, nonché le attività necessarie per il ripristino in sicurezza dell’.operatività aziendale.
a) La rilevanza della formazione
In questo quadro, assume particolare rilievo il tema della formazione, che il documento individua come elemento essenziale per l’effettiva attuazione del “Modello 231”. A fronte della crescente automazione dei processi e della diffusione di strumenti algoritmici e di intelligenza artificiale, il ruolo dell’agente umano non viene ridimensionato; al contrario, esso muta profondamente, concentrandosi sempre più sulla consapevolezza del rischio, sulla capacità di riconoscere anomalie e sull’adozione di comportamenti conformi ai protocolli di sicurezza. Il fattore umano continua infatti a rappresentare uno dei principali vettori di vulnerabilità, ma al tempo stesso costituisce il primo presidio preventivo rispetto ai rischi cyber e ai reati informatici rilevanti ai sensi del d.lgs. 231/2001.
Per tale ragione, il documento valorizza l’esigenza di predisporre programmi formativi strutturati, periodici e differenziati in funzione dei destinatari. La formazione di base viene rivolta all’intero personale aziendale, con particolare attenzione ai rischi derivanti dall’utilizzo quotidiano degli strumenti digitali, alla gestione delle credenziali, al phishing, alla protezione dei dati e agli obblighi di segnalazione degli incidenti. Un livello più specialistico riguarda invece le figure tecniche e di controllo – responsabili IT, amministratori di sistema, DPO, funzioni audit e compliance – chiamate a gestire le vulnerabilità, gli incidenti e i presìdi di sicurezza. Specifica attenzione viene inoltre dedicata agli organi apicali e all’Organismo di Vigilanza. I vertici aziendali sono infatti chiamati a dedicare tempo e risorse al costante aggiornamento delle proprie competenze, poiché soltanto una piena comprensione dei rischi cyber e delle loro implicazioni organizzative, economiche e sanzionatorie consente di adottare decisioni consapevoli e di valutare l’adeguatezza dei presìdi di controllo implementati.
Ne deriva, complessivamente, una concezione della formazione non più limitata al mero adempimento informativo, ma intesa come componente strutturale della governance del rischio e della stessa efficacia esimente del “Modello 231”.
b) Il nuovo ruolo dell’Organismo di Vigilanza
Nella medesima prospettiva risulta determinante anche il nuovo ruolo dell’Organismo di Vigilanza, chiamato a confrontarsi con un ecosistema aziendale sempre più digitalizzato e data-driven. Il documento sottolinea come l’OdV debba oggi sviluppare competenze interdisciplinari capaci di integrare diritto penale dell’economia, cybersecurity, governance dei dati e intelligenza artificiale, superando modelli di vigilanza meramente formali. L’Organismo di Vigilanza è infatti oggi hiamato non soltanto a vigilare sui rischi derivanti dall’utilizzo di sistemi tecnologici sempre più avanzati all’interno dell’impresa, ma anche a sfruttare le potenzialità offerte dai medesimi per rendere più efficace la propria attività di controllo. Come è noto, gli stessi strumenti di AI possono diventare fattori di rafforzamento dell’attività di controllo, consentendo forme di “osservazione aumentata” basate sull’analisi automatizzata di flussi informativi, anomalie e indicatori di rischio. L’attività di vigilanza tende così ad assumere una dimensione sempre più preventiva, dinamica e predittiva, orientata non soltanto alla verifica dell’esistenza dei protocolli, ma alla concreta affidabilità dei processi digitali e organizzativi dell’ente.
Resta tuttavia fermo il principio secondo cui tali strumenti mantengono una funzione meramente ausiliaria, non potendo sostituire il giudizio umano dell’Organismo né attenuarne le responsabilità in ordine alla valutazione dell’efficacia del Modello e dei presìdi di controllo adottati dall’ente.
5.Considerazioni conclusive
L’analisi svolta consente di effettuare alcune considerazioni di carattere conclusivo.
Innanzitutto il contributo offerto dal CNDCEC può essere apprezzato nell’ambito del più ampio processo di progressiva integrazione della cybersicurezza all’interno dei sistemi di governance e compliance aziendale. Il valore dell’elaborato non risiede soltanto nell’aver evidenziato la natura organizzativa del rischio cyber e la sua stretta connessione con la disciplina della responsabilità degli enti, ma anche nell’aver sviluppato un’impostazione fortemente orientata all’operatività. Le indicazioni fornite in materia di risk assessment, classificazione degli asset informatici, gestione delle vulnerabilità, monitoraggio degli eventi di sicurezza, flussi informativi e aggiornamento dei modelli organizzativi contribuiscono infatti a rendere maggiormente determinabili i parametri di valutazione dell’idoneità del modello, tema che continua a rappresentare uno dei profili più delicati dell’intero sistema delineato dal d.lgs. 231/2001. Sotto questo aspetto, il documento fornisce agli interpreti e agli operatori un utile quadro metodologico per tradurre il rischio informatico in procedure, controlli e presìdi concretamente verificabili.
Permane, tuttavia, una questione di carattere più generale che il documento, pur contribuendo a metterne in luce la portata, non può che lasciare aperta. La crescente diffusione di processi decisionali digitalizzati e di sistemi di intelligenza artificiale introduce elementi di complessità che investono direttamente le categorie tradizionali dell’imputazione della responsabilità dell’ente.
L’automazione di segmenti sempre più ampi dell’attività d’impresa e l’opacità che talvolta caratterizza i processi algoritmici rendono infatti più problematica la ricostruzione del nesso intercorrente tra decisione, condotta ed evento, nonché l’individuazione dei soggetti cui attribuire l’eventuale fatto illecito. In tale contesto, il rischio è che le difficoltà di accertamento della responsabilità individuale inducano progressivamente a concentrare l’attenzione repressiva sulla dimensione organizzativa dell’illecito, con conseguente valorizzazione della responsabilità dell’ente quale principale centro di imputazione. Si tratta di una tendenza che impone una riflessione critica sulla tenuta dell’attuale assetto della responsabilità da reato degli enti e sulla capacità dei modelli organizzativi di continuare a svolgere l’effettiva funzione selettiva e preventiva loro assegnata dal legislatore, in un contesto tecnologico caratterizzato da crescente autonomia operativa e da una sempre minore trasparenza dei processi decisionali.