// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Molte Srl italiane hanno già un obbligo di risk management e non lo sanno
Dal 29 aprile 2026 è in vigore un nuovo articolo del codice civile, il 2396-quinquies, che cambia cosa deve fare il responsabile o il revisore di una SRL dotata di organo di controllo. Prima bastava verificare che esistesse un sistema di gestione dei rischi; ora l'organo di controllo deve garantirne il corretto funzionamento, valutando se l'azienda è davvero in grado di identificare, misurare, monitorare e gestire i propri rischi, non solo di dichiarare di averlo fatto.
La conseguenza pratica riguarda soprattutto le Srl di dimensione media, che spesso hanno un organo di controllo per obbligo di legge ma nessuna funzione di risk management strutturata al proprio interno. Il decreto le obbliga a designare formalmente una persona o un ufficio responsabile di quella funzione, anche se prima non esisteva in azienda. Non c'è una scadenza specifica da segnare in agenda: l'obbligo è già in vigore da mesi, ed è proprio l'assenza di una data a renderlo facile da rimandare all'infinito.
L'organo di controllo non è obbligatorio per tutte le Srl: scatta quando, per due esercizi consecutivi, l'azienda supera anche uno solo di tre soglie fissate dall'articolo 2477 del codice civile, secondo l'analisi di Andersen: attivo di bilancio o ricavi sopra i 4 milioni di euro, oppure una media di 20 dipendenti nell'anno. Sono proprio queste le aziende che si ritrovano oggi un obbligo di garanzia più ampio di prima, spesso senza una funzione di risk management già pronta a soddisfarlo.
Andersen chiude la propria analisi con un avvertimento pratico: la riforma è importante, ma non deve diventare un alibi per rimandare la messa a norma. Per una Srl di medie dimensioni non serve costruire una struttura rigida e complessa: basta identificare chi in azienda monitora i rischi, fissare una procedura minima e documentarla nei verbali di consiglio o assemblea, così da poter dimostrare che la designazione è avvenuta davvero.
Designare formalmente un responsabile per una funzione che prima non esisteva è lo stesso schema imposto dalla direttiva NIS2 alle aziende che rientrano nel suo perimetro, e che l'AI Act chiede in modo simile a chi deve monitorare l'uso non autorizzato di strumenti AI in azienda. In tutti questi casi la sanzione non è ciò che spaventa di più le piccole e medie imprese italiane: a pesare di più è restare fuori da gare e rapporti commerciali che richiedono di dimostrare una governance dei rischi già in ordine.
Aggiungi Tom's Hardware alle tue fonti preferite su Google
Dall'11 settembre il Cyber Resilience Act obbliga le PMI a segnalare vulnerabilità sfruttate e incidenti entro 24 ore a CSIRT ed ENISA, con sanzioni fino al 2,5% del fatturato mondiale.