La cybersicurezza

La cybersicurezza non è più una questione confinata ai reparti IT o ai tecnici informatici. È diventata, ormai, una componente essenziale della governance d’impresa, capace di incidere direttamente sulla continuità aziendale, sulla reputazione dell’organizzazione e, sempre più spesso, anche sulla responsabilità dell’ente ai sensi del D.Lgs. 231/2001. La crescente digitalizzazione dei processi produttivi, l’interconnessione delle infrastrutture, la diffusione del lavoro da remoto e l’utilizzo estensivo dell’intelligenza artificiale hanno ampliato in maniera esponenziale la superficie di esposizione delle aziende ai rischi cyber.

I dati più recenti confermano la portata del fenomeno. Gli attacchi informatici non riguardano più soltanto grandi gruppi multinazionali o soggetti operanti in settori altamente tecnologici, ma coinvolgono ormai trasversalmente imprese manifatturiere, studi professionali, società di servizi, realtà sanitarie e Pubbliche amministrazioni. Ransomware, phishing, business e-mail compromise, attacchi alla supply chain e compromissioni dei sistemi cloud sono oggi tra le principali minacce capaci di generare danni economici, interruzioni operative, dispersione di dati strategici e gravi conseguenze reputazionali.

In questo scenario, il rischio informatico ha cessato di essere un tema esclusivamente tecnologico per assumere una dimensione organizzativa e gestionale. È proprio su questo terreno che la cybersecurity interseca il Sistema 231. L’impianto del D.Lgs. 231/2001, fondato sulla prevenzione mediante organizzazione, trova infatti nella gestione del rischio cyber uno dei suoi ambiti di evoluzione più significativi.

Sicurezza informatica

L’introduzione dell’art. 24-bis nel catalogo dei reati presupposto ha rappresentato il primo passaggio decisivo verso l’integrazione dei delitti informatici nel perimetro della responsabilità amministrativa degli enti. Ma oggi il fenomeno è molto più ampio. L’evoluzione normativa europea - dal GDPR alla Direttiva NIS2, fino al Regolamento DORA e all’AI Act - impone alle organizzazioni di adottare assetti organizzativi, tecnici e procedurali idonei a prevenire, monitorare e gestire il rischio cyber.

La conseguenza è evidente: la sicurezza informatica entra a pieno titolo tra gli elementi che qualificano l’adeguatezza degli assetti organizzativi, amministrativi e contabili dell’impresa. Non si tratta più soltanto di proteggere sistemi e dati, ma di dimostrare che l’ente abbia adottato un modello organizzativo realmente efficace nella prevenzione dei rischi.

La nozione stessa di “colpa di organizzazione”, elaborata dalla giurisprudenza in materia 231, assume in ambito cyber una rilevanza ancora più marcata. Un attacco informatico, infatti, può trasformarsi in responsabilità dell’ente quando emerga l’assenza di adeguati presìdi organizzativi, la mancata mappatura delle aree sensibili, l’inadeguatezza dei protocolli di sicurezza o l’assenza di attività di formazione e controllo.

Il documento “Cybersecurity e Modello 231: integrazione dei rischi informatici nella governance d’impresa”, elaborato dal CNDCEC e dalla FNC, affronta proprio questo punto di convergenza tra compliance, organizzazione e resilienza digitale. L’approccio proposto supera la tradizionale separazione tra gestione tecnica della sicurezza e sistema dei controlli interni, offrendo invece una lettura integrata della cybersecurity all’interno del Modello 231.

L’analisi dei rischi diventa, in tale prospettiva, il cuore del sistema di prevenzione. La mappatura degli asset informatici, dei processi sensibili, dei flussi informativi e dei rapporti con i fornitori consente all’ente di individuare le aree maggiormente esposte a minacce cyber e di calibrare su di esse i relativi presìdi organizzativi.

Particolarmente rilevante è il tema della supply chain. Le organizzazioni operano oggi in ecosistemi digitali fortemente interconnessi e il rischio può derivare anche da vulnerabilità presenti presso fornitori, outsourcer o partner tecnologici. È sufficiente la compromissione di un soggetto terzo per propagare effetti devastanti sull’intera filiera.

L’Organismo di Vigilanza

In tale contesto, il ruolo dell’Organismo di Vigilanza è destinato ad assumere una centralità crescente. L’OdV non può più limitarsi a un controllo statico e documentale del Modello, ma deve sviluppare una capacità di vigilanza dinamica, coerente con la natura evolutiva del rischio cyber. Ciò significa monitorare costantemente l’adeguatezza dei protocolli informatici, verificare l’effettività dei flussi informativi, presidiare i processi di aggiornamento del Modello e valutare l’impatto delle nuove minacce tecnologiche. La cybersecurity introduce infatti una dimensione fortemente forward looking: le vulnerabilità mutano rapidamente, così come evolvono gli strumenti di attacco.

Per questa ragione, il documento dedica ampio spazio anche all’utilizzo dell’intelligenza artificiale a supporto dell’attività dell’OdV. L’AI può diventare uno strumento prezioso per potenziare le capacità di monitoraggio e controllo, consentendo attività di anomaly detection, classificazione documentale, analisi predittiva e individuazione di pattern anomali.

Si delinea così un passaggio dalla “osservazione tradizionale” a una vera e propria “osservazione aumentata”, nella quale la tecnologia non sostituisce il giudizio umano, ma ne rafforza la capacità di lettura e prevenzione dei fenomeni di rischio.

Accanto alla funzione dell’OdV, emerge con forza anche il ruolo del professionista. Commercialisti, consulenti e componenti degli organismi di controllo sono chiamati oggi a sviluppare competenze sempre più interdisciplinari, capaci di integrare profili giuridici, organizzativi, tecnologici e di risk management. La cybersecurity, infatti, non rappresenta più un segmento specialistico separato dalla governance aziendale, ma un elemento strutturale della compliance integrata. Il professionista diventa così un attore fondamentale nella costruzione dei modelli organizzativi, nella valutazione dell’adeguatezza degli assetti, nella definizione dei protocolli di prevenzione e nel supporto alle attività di vigilanza.

L’evoluzione normativa e tecnologica rende inevitabile questa trasformazione. La resilienza digitale delle imprese sarà sempre più misurata non soltanto sulla qualità delle infrastrutture informatiche, ma sulla capacità dell’organizzazione di governare il rischio attraverso modelli di controllo realmente efficaci. Ed è proprio qui che il Sistema 231 dimostra tutta la propria attualità: non come mero strumento difensivo, ma come architettura organizzativa capace di integrare prevenzione, controllo e cultura della sicurezza all’interno della governance d’impresa.