Il contributo si sofferma sulle novità introdotte dal D. Lgs. 47/2026 in materia di governance societaria e sistemi di controllo interno, soffermandosi sul rafforzamento dei compiti e delle responsabilità dell’organo di controllo nella prevenzione e gestione dei rischi aziendali; particolare attenzione è dedicata all’esigenza di una compliance integrata, attraverso il coordinamento tra Collegio Sindacale, Organismo di Vigilanza e altre funzioni aziendali, nonché al ruolo del Tax Risk Officer nell’ambito del Tax Control Framework.
1. Premessa. La razionalizzazione della compliance aziendale come tendenza di sistema
Nell’ultimo anno si sono susseguite una serie di rilevanti modifiche normative che hanno investito trasversalmente la materia della compliance aziendale intesa in senso ampio.
Tra di esse merita particolare attenzione il D. Lgs. 27 marzo 2026, n. 47 – entrato in vigore lo scorso aprile in attuazione della legge delega per la riforma organica delle disposizioni in materia di mercati dei capitali – che ha ridisegnato il titolo del codice civile dedicato all’amministrazione e al controllo delle società di capitali introducendo una disciplina generale dell’organo di controllo, comune ai tre modelli di governance (tradizionale, dualistico e monistico) che diventa il perno di un sistema integrato di vigilanza sulla gestione dei rischi aziendali.
Lo scopo dichiarato, anche nei lavori preparatori, è stato quello di costruire un sistema coerente e integrato di controlli interni, eliminando sovrapposizioni e duplicazioni tra funzioni, e favorendo forme strutturate di coordinamento e scambio di informazioni tra i diversi organi, con l’obiettivo di contenere i rischi tipici dell’attività imprenditoriale.
Il criterio direttivo della riforma risiede nel bilanciamento tra contenimento degli oneri amministrativi ed effettività dei controlli, secondo un principio di efficienza e proporzionalità. In questa prospettiva, gli organi di controllo non operano in modo isolato, ma si collocano all’interno di un sistema coerente e interconnesso, nel quale Collegio Sindacale, Revisore Legale, Internal Audit, Organismo di Vigilanza ai sensi del D. Lgs. 231/2001 e ulteriori funzioni di presidio sono chiamati a dialogare e a integrarsi reciprocamente, al fine di preservare la continuità aziendale e assicurare la complessiva conformità dell’impresa.
Questa logica di razionalizzazione è stata recepita, da ultimo, anche nel disegno di legge di riforma del D. Lgs. 231/2001, che sposta esplicitamente l’asse del sistema verso il rafforzamento dei presidi organizzativi ex ante: mappatura delle attività a rischio, introduzione di protocolli e cautele operative, flussi informativi verso l’organismo di vigilanza, obblighi di formazione.
2. Le modifiche sostanziali apportate dal D. Lgs. 27 marzo 2026, n. 47
Con il D. Lgs. 47/2026 il legislatore ha ridisegnato la governance societaria, modificando, tra le altre, le disposizioni di cui agli artt. 2380, 2380 bis, 2381, 2381 bis, 2381 ter, 2390 bis, 2391, 2396 quinquies e 2396 sexies c.c., ridefinendo i compiti dell’organo esecutivo, razionalizzando e rafforzando i poteri dell’organo di controllo, sollecitando l’implementazione di un adeguato sistema di flussi informativi interni.
Statuto, deleghe, regolamenti interni, verbali, procedure in materia di conflitti di interesse e rapporti con le società controllate devono rispecchiare fedelmente il modo in cui l’impresa opera quotidianamente. Una società ben organizzata non è soltanto più conforme: è anche più resiliente, più credibile nei confronti degli stakeholder e meglio attrezzata per affrontare e gestire i rischi.
Una governance efficace, tuttavia, non si misura dalla solidità formale dei documenti che la descrivono, ma dalla sua capacità di funzionare concretamente nella realtà dell’impresa. In questa prospettiva, il fulcro della riforma è l’attribuzione espressa agli amministratori della responsabilità sull’assetto organizzativo, amministrativo e contabile.
3. Governance effettiva come presupposto di una corretta gestione del rischio
Il nuovo art. 2380 bis c.c. attribuisce espressamente agli amministratori la responsabilità della gestione e dell’organizzazione dell’impresa, includendovi l’istituzione dell’assetto organizzativo, amministrativo e contabile, come peraltro già previsto dall’art. 2086 c.c.
La novella esplicita in maniera chiara l’oggetto dei compiti affidati agli amministratori, traducendo in precetto normativo il principio per cui vi è una governance efficace solo in presenza di solidità decisionale e corretta prevenzione e gestione del rischio.
Al fine di rendere cogente detto onere il legislatore ha previsto che l’adempimento delle responsabilità gestorie venga adeguatamente presidiato dall’organo di controllo.
4. Il nuovo perimetro della vigilanza
L’art. 2396-quinquies c.c., che sostituisce il previgente art. 2403, primo comma, c.c., delinea un quadro rinnovato degli obblighi gravanti sull’organo di controllo, declinandoli in modo trasversale rispetto ai tre modelli di amministrazione e controllo esistenti. La disposizione eleva a rango di obbligo espresso la vigilanza sull’adeguatezza e sull’effettivo funzionamento del sistema dei controlli interni e di gestione dei rischi.
Al fine di adempiere al proprio incarico, a mente del neo introdotto art. 2396-sexies c.c., che ricalca quanto più sinteticamente previsto dall’art. 2403 bis c.c., l’organo di controllo può compiere verifiche ispettive e accertamenti diretti sull’operato della società, sollecitare la convocazione dell’assemblea nei casi in cui emergano irregolarità di particolare gravità che richiedano un intervento tempestivo, acquisire dall’organo amministrativo ogni informazione ritenuta necessaria in ordine alla gestione sociale e a specifiche operazioni, estendendo tale facoltà anche al perimetro delle società controllate tramite gli omologhi organi di queste ultime da cui può recepire informazioni sui rispettivi modelli di governance e sull’andamento complessivo dell’attività d’impresa.
Nel quadro così ridefinito, il Collegio Sindacale ha il dovere di accertare che il sistema di controllo interno e di gestione dei rischi sia correttamente attuato, operativo e proporzionato al profilo di rischio dell’impresa, verificando l’esistenza, la funzionalità e l’adeguatezza dei presidi adottati, nonché la loro capacità di prevenire e gestire i rischi, e dando evidenza in assemblea (come previsto dal secondo comma dell’art. 2396 quinquies c.c.) dell’attività di vigilanza espletata, delle eventuali omissioni riscontrate e dei fatti censurabili emersi nel corso del mandato.
Sulla base della novella, si configura, quindi, a carico dell’organo di controllo un obbligo di vigilanza e un dovere di rendicontazione di carattere sostanziale, che non si esaurisce nella predisposizione della relazione annuale, ma si sostanzia in una valutazione critica e organica delle informazioni raccolte nell’esercizio delle proprie funzioni, esprimendo un giudizio di sintesi sull’effettività e sulla qualità della vigilanza svolta. Tale giudizio dovrà investire trasversalmente l’idoneità dell’assetto organizzativo, amministrativo e contabile della società a intercettare tempestivamente i segnali di rischio e prodromici a situazioni di crisi.
5. Le responsabilità dell’organo di controllo
L’innalzamento dello standard di vigilanza delineato dalla riforma espone l’organo di controllo – oltre che a responsabilità risarcitoria, come delineata dall’art. 2407 c.c. novellato dalla L. 35/2025 – a responsabilità penale sia diretta, quando vengano poste in essere condotte rilevanti, per esempio, sotto il profilo dei reati societari quando ad esso direttamente ascrivibili, sia in concorso, quando, in qualità di extraneus, a causa dell’omesso esercizio dei doveri di vigilanza e intervento che gli sono affidati dalla legge, sia chiamato a rispondere, per esempio, per i fatti di bancarotta (Cass. pen., Sez. V, 3 aprile 2026, n. 12612) o per i reati tributari (Cass. pen., Sez. III, 5.10.2021, n. 40324) propri dell’amministratore.
Il fondamento normativo di tale responsabilità risiede nella posizione di garanzia riconosciuta ai componenti dell’organo di controllo ai sensi dell’art. 40, comma 2, c.p., in forza del quale il mancato impedimento di un evento che si ha l’obbligo giuridico di impedire equivale a cagionarlo.
Il tema centrale della riforma, tuttavia, non è come tutelare i componenti dell’organo di controllo da eventuali responsabilità, bensì fornire alle società, mediante il corretto funzionamento dei sistemi di vigilanza preventiva, ogni strumento idoneo ad evitare la compromissione dell’attività imprenditoriale.
6. La road map per l’implementazione del nuovo sistema di controllo
Le società e i loro amministratori sono chiamati a ripensare al proprio modo di fare impresa in ottica più compliant, non quale mero adempimento formale, ma come scelta sostanziale. I sistemi di controllo interno e di compliance aziendale devono essere ripensati, rafforzati e integrati per preservare il business e schermarlo da rischi prevedibili ed evitabili.
Sul piano operativo, occorrerà verificare che le deleghe siano definite con chiarezza per garantire la segregazione delle funzioni e contenere il rischio di risalita delle responsabilità in capo agli amministratori, che il flusso informativo verso l’organo amministrativo e verso l’organo di controllo, sia strutturato e puntuale, che i verbali diano adeguata evidenza delle decisioni rilevanti e che l’organo di controllo disponga delle informazioni necessarie allo svolgimento delle proprie funzioni.
La nuova impostazione normativa presuppone, inoltre, la predisposizione e il costante aggiornamento di una mappa dei rischi aziendali, quale strumento essenziale per individuare le aree di maggiore esposizione e valutarne l’evoluzione nel tempo, che sia la base per la costruzione di un modello di organizzazione gestione e controllo ex D.Lgs. 231/2001, integrato con il sistema di Tax Control Framework (TCF).
Una società che non presidi adeguatamente i rischi connessi alla propria attività caratteristica non solo è esposta ai rischi 231, ma denota l’inadeguatezza del proprio sistema di controllo interno e di gestione dei rischi che la novella, invece, ha inteso presidiare.
Sotto tale profilo, prima ancora delle omissioni dell’organo amministrativo, quello che viene in rilievo è la violazione dei compiti assegnati all’organo di controllo dall’art. 2396 quinquies c.c. che non rilevando e non segnalando questa inadeguatezza viene meno al proprio obbligo di vigilanza sul sistema di controllo interno, che si traducono, di fatto, in una colpa in organizzazione, ben nota in ambito 231, sebbene con finalità e ambiti non totalmente sovrapponibili.
7. Il raccordo con il D.Lgs. 231/2001: la stratificazione dei controlli trasversali
Nella sua rinnovata funzione di vigilanza sul corretto adempimento degli obblighi societari, l’organo di controllo è chiamato ad interfacciarsi con le funzioni aziendali e gli ulteriori organismi deputati a presidiare specifici rischi (Internal Auditor, DPO, Organismo di Vigilanza, Sustainability Manager etc.).
Pur avendo natura e funzioni distinte, Collegio Sindacale e Organismo di Vigilanza condividono finalità di controllo che si intersecano positivamente consentendo:
- rafforzamento del sistema di controllo interno: la sinergia tra i due organi consente di costruire un sistema di controllo più solido e coerente, a beneficio dell’intera organizzazione;
- riduzione dell’esposizione a responsabilità: la loro collaborazione è un presidio di controllo, capace di prevenire, rilevare e gestire i rischi connessi alla commissione dei reati presupposto, riducendo in modo significativo l’esposizione della società alla responsabilità amministrativa;
- risposta alle aspettative normative e reputazionali: le imprese si confrontano sempre più con legislatori, investitori e stakeholder che richiedono un approccio strutturato e orientato alla compliance e alla governance.
Entrambi gli organi sono chiamati a vigilare sull’adeguatezza dei controlli interni e a monitorare i flussi informativi sui rischi, con la conseguenza – mancando una ripartizione delle competenze – di duplicazioni di attività e imputazione di responsabilità non definite, a maggior ragione ove si consideri che, a mente dell’art. 6, comma 4-bis, del D.Lgs. 231/2001, al Collegio Sindacale possono essere affidate le funzioni di Organismo di Vigilanza.
Sul punto, la riforma in itinere del D.Lgs. 231 elimina questa ipotesi di conflitto non riproponendo la facoltà di affidare agli organi di controllo le funzioni dell’Organismo di Vigilanza, come indicato dalla relazione predisposta dalla Commissione Fidelfo.
In questo scenario di transizione normativa, il Collegio Sindacale deve in ogni caso adoperarsi per formalizzare il raccordo con l’OdV tramite l’instaurazione di flussi reciproci di informazione che consentano una vigilanza integrata e non sovrapposta, in particolare nelle aree di interferenza.
8. La figura del Tax Risk Officer nell’ambito del Tax Control Framework
Nel modello di governance fiscale a tre linee di controllo, il Tax Risk Officer (TRO) riveste il ruolo di attore principale del secondo livello di presidio del rischio fiscale. Egli costituisce la figura dotata di specifiche competenze tributarie, contabili e di controllo interno cui è affidato, in coerenza con le Linee Guida dell’Agenzia delle Entrate, il disegno, l’implementazione, l’aggiornamento periodico e la manutenzione dell’intero sistema del TCF, nonché il coordinamento con gli altri modelli di controllo interno dell’azienda (modello 262/Sox, modello 231, altri sistemi di ERM).
In tale prospettiva, il TRO opera come garante della coerenza tra strategia fiscale, mappa dei rischi, matrice dei controlli ed assetti organizzativi, presidia il rispetto del principio di “segregation of duties” e contribuisce a tradurre i building blocks OCSE (tax strategy, responsibility assigned, governance documented, testing performed, assurance provided) in prassi operative interne, adattate alla struttura e alla complessità dell’impresa.
Sul piano operativo, il TRO è responsabile del ciclo di monitoraggio di secondo livello: seleziona i controlli di primo livello da sottoporre a verifica, ne valuta il disegno (Test of Design) e l’effettività operativa (Test of Effectiveness), definisce criteri, tempi e campioni di test, verifica che i presidi siano effettivamente posti in essere dai rispettivi risk owner e che i medesimi funzionino in linea con la mappa dei rischi e dei controlli fiscali.
A valle di tale attività, il TRO individua le carenze, le classifica per materialità e priorità, elabora piani d’azione e ne presidia la gestione, supportando i responsabili di processo nell’implementazione delle relative misure correttive. Nei processi ordinari, il suo ruolo è quello di assicurare che ogni rischio di adempimento sia agganciato a controlli di prima e seconda linea robusti e tracciabili; nelle operazioni straordinarie, invece, il TRO è chiamato a coordinare con la funzione fiscale e i risk owner l’analisi preventiva dei potenziali rischi fiscali connessi alla specifica operazione e l’adeguamento dei relativi controlli.
Un ulteriore profilo distintivo del TRO riguarda la gestione dei flussi informativi e della reporting line interna ed esterna al TCF. In particolare, da un lato, il Tax Risk Officer ha il compito di coordinare i flussi informativi tra funzioni operative, funzione fiscale e altri presidi di controllo, assicurando che le modifiche dei processi, l’emersione di nuovi rischi fiscali o le criticità nei controlli di primo livello siano tempestivamente condivise e recepite nella documentazione TCF (tax compliance model, mappa dei rischi, policy interne); dall’altro lato predispone, con cadenza almeno annuale, report indirizzati ai singoli risk owner contenenti una sintesi di test di criticità e azioni correttive, nonché una relazione strutturata agli organi di gestione, che rappresenta la principale base informativa per il CdA in ordine all’adeguatezza e all’effettiva operatività del TCF.
In tale contesto di flussi informativi così strutturati, il TRO è tenuto a mantenere una posizione di assoluta indipendenza rispetto alle funzioni che eseguono, ad esempio, gli adempimenti fiscali: il suo inserimento può avvenire nell’area amministrativo-fiscale, ma con una chiara segregazione organica e funzionale rispetto alle strutture operative che pongono in essere i controlli di primo livello, così da evitare fenomeni di autoriesame e garantire imparzialità nelle valutazioni.
9. L’organo di controllo e i rapporti col TRO per una piena integrazione della gestione del rischio fiscale
Anche il Tax Control Framework – ove implementato dalla società – rientra nel perimetro di vigilanza del Collegio Sindacale in quanto componente del più ampio sistema di controllo interno. Il Collegio Sindacale è tenuto a verificare che il TCF sia adeguatamente implementato e strutturato, che sia raccordato con il Modello 231 e che non operi in modo isolato rispetto agli altri presidi di controllo interno.
Il TCF, ove adottato, non deve operare in modo isolato, ma deve essere integrato con le altre funzioni e presidi di controllo. In tale prospettiva, nell’ambito del Modello 231, è necessario che i reati tributari e i relativi presidi siano puntualmente identificati e mappati, e che siano definiti flussi informativi strutturati tra l’Organismo di Vigilanza e la funzione responsabile della compliance fiscale. Spetta al Collegio Sindacale vigilare sull’effettività di questi raccordi, verificando che i flussi informativi tra le diverse funzioni siano strutturati, documentati, ripercorribili e concretamente operativi.
D’altro canto, ai fini di una piena integrazione della gestione del rischio fiscale, il modello di TCF deve altresì prevedere un flusso informativo tra organo di controllo e TRO. In particolare, l’organo di controllo deve ricevere, con cadenza almeno periodica, una rendicontazione puntuale da parte del TRO sugli esiti della mappatura dei rischi fiscali, sulle valutazioni di materialità dei singoli rischi e dei gruppi omogenei, sulle principali incertezze interpretative riscontrate, nonché sulle misure di mitigazione adottate o programmate.
Al contempo, il TRO deve essere costantemente informato dall’organo di controllo in merito alle attività di monitoraggio, alle eventuali anomalie emerse, alle raccomandazioni formulate e alle richieste di approfondimento su specifiche aree di rischio, in modo da poter calibrare tempestivamente i presidi operativi e aggiornare la mappa dei rischi e la relativa policy.
Tale dialogo, formalizzato all’interno di apposite procedure interne all’impresa, costituisce il presupposto per garantire che l’informazione fiscale rilevante sia tempestivamente portata all’attenzione degli organi societari, che le decisioni gestionali tengano conto del profilo di rischio fiscale e che il Tax Control Framework operi in coerenza con gli standard di cooperative compliance e con i requisiti di certificazione del sistema di controllo del rischio fiscale.
In quest’ottica, il sistema di Tax Control Framework dovrebbe disciplinare in modo espresso i canali e le tempistiche dei flussi informativi, nonché le responsabilità in merito alla validazione delle informazioni e di follow-up delle azioni correttive.
Tale “circuito informativo” tra organo di controllo e TRO si inserisce in un più ampio sistema di reporting verso gli organi di gestione: le informazioni su profilo fiscale, esiti verifiche e misure adottate devono confluire in relazioni periodiche indirizzate al vertice aziendale, così da assicurare che le decisioni strategiche tengano altresì conto della variabile fiscale e che il sistema di controllo interno operi, nel suo complesso, in coerenza con i principi OCSE di cooperative compliance e con i relativi requisiti richiesti affinché il Tax Control Framework operi in maniera efficace.
10. Next step
Il D.Lgs. 47/2026, per quanto rappresentato, rappresenta il punto di partenza per un processo di adeguamento strutturato cui le società possono conformarsi ponendo in essere:
- Mappatura e assessment del sistema di controllo interno e di gestione dei rischi esistente. Le società devono verificare se il proprio sistema sia adeguato al nuovo standard richiesto dalla novella. Non è sufficiente che i controlli esistano formalmente: devono essere efficaci, documentati e proporzionati ai rischi caratteristici dell’attività.
- Revisione dei flussi informativi tra le funzioni di controllo. È necessario strutturare – o, dove già esistenti, verificare e/o aggiornare – i meccanismi di coordinamento e scambio informativo tra Collegio Sindacale, Revisore Legale, Internal Audit, OdV, compliance e risk management, Tax Risk Officer. La frammentazione dei controlli rappresenta, nel nuovo contesto normativo, un rischio in sé. Al contrario vengono sollecitati sempre più spesso interventi di compliance integrata con l’utilizzo di presidi quali il già citato TCF, ontologicamente pensato per operare trasversalmente con le altre funzioni di controllo e presidio in ambito di compliance e gestione del rischio fiscale.
- Revisione degli assetti organizzativi. Alla luce delle nuove responsabilità del Collegio Sindacale e del rafforzato coordinamento richiesto dalla norma, le società devono valutare se i propri assetti – in termini di risorse, competenze e struttura delle funzioni di controllo – siano adeguati. Per le realtà di medie dimensioni, questo potrebbe tradursi nella necessità (o opportunità) di strutturare funzioni di compliance e Internal Audit
11. Conclusioni
Gli obblighi e gli adempimenti previsti dal D.Lgs. 47/2026 consentono, ancora una volta, di affermare che il legislatore abbia inteso conferire agli strumenti di compliance un ruolo fondamentale nel ridisegno della governance e nella definizione dei suoi compiti, nella prevenzione dei rischi e nella tutela dell’imprenditore virtuoso, ridisegnando, in ottica special preventiva, il compito affidato all’organo di controllo, in tutte le sue declinazioni.
La riforma amplia l’oggetto della vigilanza e ne eleva lo standard qualitativo, senza mutarne la natura: i sindaci sono chiamati a un’obbligazione di mezzi più intensa, più documentata e più orientata alla sostanza.
L’organo di controllo che saprà cogliere questa trasformazione massimizzando il proprio compito di vigilanza, affermando il proprio ruolo tra gli attori della governance societaria, contribuirà in modo determinante alla costruzione di sistemi d’impresa più solidi, trasparenti e resilienti.
Ciò sarà possibile quando l’organo di controllo sarà percepito come un plus e come un interlocutore qualificato capace di aggiungere valore alla governance, di segnalare in anticipo eventuali vulnerabilità del sistema e di contribuire alla sostenibilità e solidità dell’attività di impresa nel tempo.
