La sicurezza informatica entra definitivamente nelle responsabilità degli organi di amministrazione. Non si tratta più di una questione riservata ai responsabili IT o ai consulenti tecnici: la gestione del rischio cyber è oggi parte integrante della governance aziendale e, in alcuni casi, la sua sottovalutazione può esporre amministratori e dirigenti a responsabilità anche di natura penale.
L’allarme arriva dal documento “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa”, pubblicato dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili insieme alla Fondazione Nazionale dei Commercialisti. Il lavoro evidenzia come la crescente digitalizzazione delle attività aziendali abbia trasformato il rischio informatico in un elemento strategico che deve essere governato al pari dei rischi finanziari, operativi e legali.
Secondo il documento, gli amministratori sono chiamati a garantire assetti organizzativi adeguati, concetto che oggi comprende anche la predisposizione di infrastrutture informatiche sicure, procedure di controllo efficaci, sistemi di monitoraggio delle minacce e programmi di formazione del personale. L’assenza di tali presidi potrebbe essere interpretata come una carenza organizzativa rilevante sotto il profilo della responsabilità degli organi societari.
Particolare attenzione viene dedicata al rapporto tra cybersecurity e Decreto Legislativo 231/2001. L’ampliamento del catalogo dei reati informatici e la crescente esposizione delle imprese ad attacchi cyber rendono necessario aggiornare i modelli organizzativi e i sistemi di controllo interno. Accessi abusivi ai sistemi, manipolazione di dati, utilizzo illecito di credenziali e altre condotte informatiche possono infatti generare responsabilità per l’ente e, in determinate circostanze, coinvolgere anche i soggetti apicali che non abbiano predisposto adeguate misure preventive.
Il documento sottolinea inoltre il ruolo dell’Organismo di Vigilanza, chiamato a verificare l’effettiva efficacia dei controlli e dei flussi informativi relativi alla sicurezza digitale. L’introduzione di tecnologie sempre più complesse, dall’intelligenza artificiale al cloud computing, impone infatti un aggiornamento continuo dei processi di controllo e delle attività di risk assessment.
Per le imprese italiane il messaggio è chiaro: la cybersecurity non rappresenta più un costo accessorio ma un elemento essenziale della gestione aziendale. Investire in prevenzione, formazione e governance digitale significa non soltanto proteggere dati e infrastrutture, ma anche ridurre il rischio di contenziosi, sanzioni e possibili contestazioni nei confronti degli amministratori. In un contesto normativo sempre più orientato alla resilienza digitale, la negligenza informatica rischia infatti di trasformarsi da semplice errore gestionale a fonte di responsabilità giuridica.
