Con il Dlgs 47/2026 il ruolo dell'organo di controllo cambia di segno: la vigilanza non si esaurisce nel riscontro della regolarità formale degli atti. L'efficacia dell'assetto predisposto dagli amministratori diventa oggetto di giudizio, i processi decisionali vanno valutati per la loro correttezza e il funzionamento dello Scigr, il sistema di controllo interno e gestione dei rischi, va accertato nei fatti. Questa pagina è il lato del controllo: quali domande si pongono, quali carte si acquisiscono, come si scrive un verbale che regga, che cosa si fa quando la verifica trova un vuoto e di che cosa risponde chi vigila.
Il decreto ridisegna insieme i due versanti della governance. Qui si guarda dall'altra parte del tavolo, e si comincia distinguendo con precisione ciò che il decreto porta al centro da ciò che la norma chiedeva già.
Il versante gestorio del Dlgs 47/2026, con la riscrittura degli artt. 2380 e 2380-bis, la pari dignità dei tre sistemi di amministrazione e controllo e gli assetti che diventano componente della funzione gestoria, è ricostruito nell'approfondimento sulla riforma della governance e qui non si ripete.
Accanto ai compiti tradizionali di verifica dell'osservanza della legge, dello statuto e dei principi di corretta amministrazione, il giudizio si allarga su tre fronti. Il primo è l'assetto organizzativo che gli amministratori hanno costruito, del quale va misurata l'efficacia e non la sola esistenza. Il secondo è il processo decisionale, che deve svolgersi in modo corretto e non soltanto concludersi. Il terzo è l'affidabilità dei presidi interni, e in particolare il funzionamento dello Scigr, il sistema di controllo interno e gestione dei rischi. Ne discende anche un diverso modo di collocare la vigilanza nel tempo: assume carattere continuativo, accompagna la vita dell'impresa invece di seguirla a distanza e ha una funzione di prevenzione, non soltanto di accertamento.
Nulla di tutto questo è però un oggetto nuovo, ed è bene dirlo subito. L'art. 2403 del Codice civile impone già al collegio sindacale di vigilare sull'osservanza della legge e dello statuto, sul rispetto dei principi di corretta amministrazione e «in particolare sull'adeguatezza dell'assetto organizzativo, amministrativo e contabile adottato dalla società e sul suo concreto funzionamento». Quello che il decreto sposta è il baricentro: una verifica che la prassi ha spesso ridotto a una formula di chiusura diventa il centro del giudizio, e con essa si alza lo standard di prova che l'organo deve poter esibire. La differenza pratica non sta nel numero delle verifiche, sta nel tipo di riscontro che l'organo è in grado di produrre quando qualcuno gli chiede conto del proprio giudizio.
Una precisazione sul soggetto, da fare una volta sola e da non ripetere. Il collegio sindacale non è stato abolito: ha perso la qualifica di modello ordinario, che è il rovescio della pari dignità dei tre sistemi richiamata poco sopra. Il nucleo funzionale della vigilanza è comune ai tre sistemi, ma poteri, composizione e responsabilità no: il consiglio di sorveglianza cumula competenze che la vigilanza non esaurisce, fra le altre l'approvazione del bilancio e la nomina dei componenti dell'organo gestorio, e i componenti del comitato per il controllo sulla gestione sono a loro volta amministratori. Le indicazioni operative di questa pagina sono scritte sul collegio sindacale; i punti in cui il discorso cambia sono segnalati dove ricorrono.
Un'ultima avvertenza di lettura. I doveri dell'organo di controllo sono qui richiamati nella numerazione previgente degli artt. 2403 e seguenti del Codice civile: la riforma ha ricollocato e rinumerato una parte consistente degli articoli, e la numerazione vigente va riscontrata sul testo pubblicato.
Il punto per chi ha un incarico in corso. La domanda non è più se gli atti siano regolari, ma se l'organizzazione che li produce sia in grado di accorgersi in tempo di ciò che non va, e se di quella verifica resti una traccia datata. Il controllo smette di essere attività esterna o successiva rispetto alla gestione e diventa una componente della buona amministrazione: è una lettura sistematica, non una disposizione del decreto, ma è la lettura da cui discende tutto il resto di questa pagina.
I compiti tradizionali non spariscono e non vengono sostituiti. Cambia il modo in cui vanno esercitati: a ciascuna voce della vigilanza corrisponde oggi una domanda a cui si risponde con un documento, non con un'impressione.
La tabella che segue procede su due strati. Il primo è il diritto vigente, cioè ciò che il Codice civile chiede già oggi all'organo di controllo; il secondo è la domanda a cui quella stessa voce obbliga a rispondere quando il giudizio verte sull'efficacia dell'organizzazione e non sulla regolarità dell'atto. Le domande sono formulate in modo da avere una risposta che sta in un documento: chi le usa come traccia della verifica arriva alla fine dell'esercizio con un fascicolo, e non con una serie di giudizi che nessuno è in grado di riscontrare.
Va però detto anche il contrario, e prima della tabella, non dopo. L'ampliamento dell'oggetto della vigilanza non attribuisce all'organo di controllo alcun potere di ingerenza nella gestione: le domande riguardano il modo in cui l'impresa decide e il modo in cui verifica se stessa, non il contenuto delle scelte imprenditoriali. Il confine è il tema della sezione che segue, ed è la ragione per cui una domanda ben posta chiede un documento e non un parere.
| Oggetto della vigilanza | Che cosa la norma già chiede | La domanda che regge il giudizio oggi |
|---|---|---|
| Osservanza della legge e dello statuto | Art. 2403 c.c.: è il primo dovere del collegio sindacale. | Le regole scritte descrivono ancora l'organizzazione che le esegue, o statuto, deleghe e prassi si sono separati senza che nessuno lo abbia annotato? |
| Principi di corretta amministrazione | Art. 2403 c.c.: rispetto dei principi, non merito delle scelte. | La decisione rilevante è stata istruita prima di essere assunta, e il verbale dà conto dell'istruttoria o riporta il solo esito del voto? |
| Adeguatezza degli assetti organizzativi, amministrativi e contabili | Art. 2403 c.c.: l'assetto che l'art. 2086, comma 2, c.c. impone di istituire. | L'assetto è coerente con dimensioni, natura e complessità attuali, o è quello di tre anni fa sopravvissuto a un cambiamento dell'impresa? |
| Concreto funzionamento dell'assetto | Art. 2403 c.c.: la norma dice testualmente «e sul suo concreto funzionamento». | Del controllo previsto dalla procedura resta traccia dell'esecuzione, o esiste soltanto la procedura? |
| Flussi informativi | Art. 2381, comma 5, c.c.: gli organi delegati riferiscono al consiglio e al collegio sindacale almeno ogni sei mesi sull'andamento della gestione. | L'informativa arriva completa e in tempo utile a essere esaminata, e che cosa accade quando non arriva? |
| Sistema di controllo interno e gestione dei rischi (Scigr) | Nessuna norma del Codice civile lo nomina con questa sigla: il decreto lo porta al centro come oggetto della vigilanza. | I rischi principali hanno un presidio con un responsabile e una data, e il presidio produce esiti che risalgono agli organi? |
Cinque delle sei voci non nascono con il decreto, e vale la pena dirlo riga per riga: osservanza della legge e dello statuto, principi di corretta amministrazione, adeguatezza degli assetti organizzativi, amministrativi e contabili, concreto funzionamento dell'assetto e flussi informativi sono oggetto di norme del Codice civile in vigore da tempo. Ciò che si sposta è il peso relativo di ciascuna voce e il livello di riscontro che si pretende. Valutare l'adeguatezza presuppone del resto sapere che cosa si sta guardando: l'organizzazione, i flussi amministrativi e la contabilità sono i tre pilastri che l'art. 2086 del Codice civile impone di istituire, ciascuno con contenuti minimi verificabili.
Sui flussi informativi conviene poi dire per esteso ciò che la tabella riassume. L'art. 2381, comma 5, c.c. affida agli organi delegati la cura dell'adeguatezza dell'assetto e rimette allo statuto la periodicità dell'informativa, con un minimo semestrale; l'oggetto comprende il generale andamento della gestione, la sua prevedibile evoluzione e le operazioni di maggior rilievo. Il comma 3 chiude il circuito: la valutazione dell'adeguatezza spetta al consiglio, che la compie sulla base delle informazioni ricevute. Se l'informativa non arriva, o arriva quando la decisione è già presa, viene meno il presupposto della valutazione: per questo la domanda della tabella chiede anche che cosa accada quando l'informativa manca.
La sesta voce va invece maneggiata con più cautela delle altre. Lo Scigr è qui trattato come oggetto della vigilanza e non come istituto codificato in una norma identificata da un numero di articolo: la sigla appartiene al lessico dei controlli societari, il decreto la porta al centro dell'attenzione dell'organo, e da ciò non discende per ogni società l'obbligo di dotarsi di strutture dedicate.
Resta il problema pratico di distinguere il processo scritto dal processo reale, che è il punto su cui quasi tutte le verifiche si giocano. Il criterio di lettura è quello dell'inconscio dell'impresa: un'organizzazione si valuta sui comportamenti che ripete e non sulle dichiarazioni che rende, e la prova di un comportamento è la traccia che ha lasciato. Dal lato di chi vigila la conseguenza è stretta: la domanda è ben posta quando la risposta è un documento con una data, ed è mal posta quando la risposta può essere soltanto un'assicurazione.
Un giudizio di adeguatezza senza carte a supporto non è un giudizio, è una formula. Le sei domande servono a questo: ciascuna ha una risposta che sta in un documento con una data, e le sei risposte messe insieme sono l'ossatura del fascicolo della verifica.
È il limite che impedisce alla vigilanza di diventare cogestione, ed è anche il criterio con cui si decide che cosa si può mettere a verbale e che cosa no.
L'attività di vigilanza non investe le scelte imprenditoriali, che restano riservate agli amministratori. Riguarda semmai il processo: occorre che l'impresa disponga di un iter decisionale in grado di pesare i rischi di un'operazione prima che venga deliberata, di seguirne l'andamento nel tempo e di apprestare le misure di mitigazione del caso. Il controllo si concentra cioè sulla qualità dei processi di gestione dei rischi e non sull'esito economico delle singole decisioni: due operazioni che si chiudono con lo stesso risultato possono avere un valore del tutto diverso agli occhi di chi vigila, a seconda di come sono state istruite.
Conviene precisare un termine che ricorre spesso in questa materia e che viene usato oltre il suo significato. La business judgment rule è il principio per cui il merito delle scelte gestorie non è sindacabile in sede di responsabilità. Non è una regola che limita ciò che l'organo di controllo può conoscere: per valutare l'adeguatezza dell'organizzazione l'organo deve poter entrare nel contenuto delle operazioni rilevanti, chiedere i documenti che le hanno precedute e verificare come sono state decise. Ciò che non può fare è sostituire la propria valutazione gestionale a quella degli amministratori. Il termine è richiamato qui come chiave di lettura, non come formula del decreto.
Il confine spiega anche perché la vigilanza debba essere continuativa. Un processo si osserva mentre funziona, un esito si osserva dopo, e una vigilanza che guardasse ai soli esiti arriverebbe sempre in ritardo rispetto alla propria funzione di prevenzione. Rendere osservabile un processo è però un'operazione tecnica e non una dichiarazione di intenti: richiede che qualcuno abbia stabilito in anticipo che cosa si misura e chi interviene quando il valore si muove. È il metodo dell'early warning, cioè indicatori tarati sull'impresa, soglie fissate prima e una procedura che dice chi fa che cosa quando la soglia viene superata.
La conseguenza è asimmetrica e conviene enunciarla. Un'operazione andata male, preceduta da un'istruttoria completa e documentata, è difendibile. Un'operazione andata bene, decisa senza istruttoria, non ha prodotto un danno da risarcire: ha soltanto reso invisibile un vuoto di processo, che resterà lì per la decisione successiva.
La regola operativa. Si contesta il processo con i documenti che mancano, non la decisione con il senno di poi. Quando di un'operazione non resta traccia dell'istruttoria che l'ha preceduta, la distinzione fra scelta opinabile e scelta negligente smette di poter essere provata dagli amministratori: è questo che rende il vuoto di processo un problema anche per loro, prima ancora che per chi vigila.
Il decreto valorizza il principio di indipendenza dell'organo di controllo e ne sposta il contenuto, dalla verifica del requisito alla verifica dell'effetto. Un principio così si scrive facilmente e si dimostra con difficoltà: quelli che seguono sono sei segnali che si possono misurare.
L'indipendenza non si esaurisce nei requisiti formali: nessuna incompatibilità, nessun rapporto economico con la società. Va intesa come capacità concreta di giudicare in autonomia, con imparzialità e al riparo da condizionamenti, ed è il presupposto dell'effettività della vigilanza: soltanto un organo effettivamente autonomo riesce a valutare con obiettività l'operato degli amministratori, a segnalare per tempo le criticità organizzative e a esigere le misure correttive.
Una precisazione di perimetro. Il piano formale dei requisiti (cause di ineleggibilità e di decadenza dell'art. 2399 c.c., nomina, durata e revoca per giusta causa dell'art. 2400 c.c.) resta il presupposto necessario, e le clausole statutarie sui requisiti di eleggibilità sono trattate nella pagina sulla riforma della governance, dove il tema è già svolto come materia statutaria. Questa pagina non dice che cosa il decreto abbia fatto ai requisiti; parla dell'indipendenza sostanziale, che è cosa diversa dal requisito e non si accerta leggendo una dichiarazione.
Due poteri che non sono cortesie. L'accesso all'informazione non è una concessione dell'impresa. L'art. 2403-bis c.c. tiene distinti due poteri con due titolarità diverse: il comma 1 consente a ciascun sindaco di procedere in qualsiasi momento e anche individualmente ad atti di ispezione e di controllo; il comma 2 attribuisce al collegio, come organo, il potere di chiedere agli amministratori notizie sull'andamento delle operazioni sociali o su determinati affari, anche con riferimento alle società controllate. Il compenso, a sua volta, è determinato all'atto della nomina per l'intero periodo dell'ufficio (art. 2402 c.c.). Chi lo sottodimensiona in assemblea non compra un controllo più economico, compra tre esercizi di controllo formale e, da qui in avanti, anche un massimale di responsabilità più basso (vedi la sezione sulla responsabilità).
Che cosa dimostra l'indipendenza. L'indipendenza non si dichiara nella relazione, si legge nei comportamenti dell'ultimo esercizio. Se nell'ultimo anno l'organo non ha chiesto nulla che non gli fosse già stato dato, il problema non è la sua diligenza. Ed è il vertice, prima ancora dell'organo, ad avere interesse a che quelle condizioni esistano: un organo che non solleva mai nulla non è una rassicurazione, è un presidio di cui nessuno può dimostrare il funzionamento.
La sigla è nuova per chi legge: sistema di controllo interno e gestione dei rischi. La verifica non riguarda la sua esistenza sulla carta ma il suo funzionamento, e si fa sulle cinque famiglie di rischio, riempite con quello che succede davvero in una società non quotata.
Lo Scigr, sistema di controllo interno e gestione dei rischi, è l'insieme di regole, procedure, funzioni e strutture con cui l'impresa identifica, misura, monitora e gestisce i propri rischi. Non è un documento e non è un ufficio.
Il decreto non ne fa un istituto codificato: lo porta al centro come oggetto della vigilanza. La verifica riguarda perciò la sua concreta efficacia, cioè che i rischi principali siano individuati tempestivamente, misurati in modo coerente con la complessità dell'impresa e gestiti con procedure che qualcuno esegue davvero. Il suo nucleo operativo è la gestione dei rischi, cioè l'attività con cui i rischi rilevanti vengono identificati, misurati e seguiti nel tempo; dove non esiste una funzione dedicata a svolgerla, quell'attività non scompare, e va individuato chi la svolge.
Concentrazione, dipendenza, investimenti che immobilizzano anni
Interruzione, perdita di competenze, sistemi informativi
Liquidità, scadenze concentrate, covenant
Fiscale, dati, lavoro, ambiente, reati presupposto
Contenzioso, filiera, segnalazioni
La sovrapposizione più frequente. La valutazione dei rischi contenuta nel Modello 231 è costruita sui reati presupposto e non sostituisce la mappa dei rischi d'impresa. Le due mappe si toccano in più punti e hanno finalità diverse; confonderle produce società convinte di avere una mappa dei rischi perché hanno un Modello 231, e un organo di controllo che verifica due volte la stessa area lasciandone scoperte altre.
La parte che non sta nelle procedure. La cultura del rischio, cioè quanto è normale segnalare un problema, quanto presto lo si fa e che cosa accade a chi lo solleva, resta fuori dalle procedure e si osserva nei comportamenti; è il criterio di lettura svolto nell'approfondimento sull'inconscio dell'impresa. Questa impostazione appare coerente con la direzione presa negli anni recenti dalla corporate governance, dove la gestione consapevole dei rischi è considerata uno degli indicatori della qualità dell'amministrazione.
Prassi, non norma. La nozione di sistema di controllo interno e gestione dei rischi appartiene al lessico del Codice di Corporate Governance per le società quotate. Richiamarla in una società non quotata serve da griglia di lettura, e lì si ferma: ciò che poi si chiede all'impresa si misura sulla sua natura, sulle sue dimensioni e sulla sua complessità.
Il test operativo. Un sistema esiste quando c'è una procedura; funziona quando esiste traccia del fatto che qualcuno l'ha eseguita, che l'esito è risalito e che qualcosa è cambiato di conseguenza. Il primo si verifica in un'ora, il secondo su un campione. La domanda più rapida è: quante volte, nell'ultimo esercizio, il sistema ha prodotto una segnalazione che ha cambiato una decisione? Se la risposta è nessuna, resta da spiegare che cosa il sistema abbia prodotto nell'esercizio in cui è stato mantenuto.
Nove evidenze, chi le produce, quando devono esistere e che cosa se ne ricava. Nessuna delle cadenze indicate è un obbligo introdotto dal decreto: dove esiste un minimo di legge è detto, per il resto sono scelte di piano di lavoro coerenti con le Norme di comportamento del collegio sindacale.
| Evidenza | Chi la produce | Quando deve esistere | Che cosa se ne ricava |
|---|---|---|---|
| 1. Statuto vigente e libri sociali | Società e segreteria degli organi | Dall'insediamento | Il libro delle adunanze del collegio sindacale (art. 2421, comma 1, n. 5, c.c.) dice se chi ha vigilato prima ha lasciato riscontri o formule di stile. |
| 2. Organigramma e funzionigramma | Direzione generale | Riesame almeno annuale e a ogni riorganizzazione | Se l'organigramma coincide con chi lavora davvero e da quanto tempo nessuno lo aggiorna: una data ferma da tre esercizi, in un'impresa cambiata, è già un riscontro. |
| 3. Deleghe e procure, con i limiti di spesa | Consiglio; notaio per le procure | Alla nomina e a ogni variazione dei poteri | Se chi firma è chi può firmare, e se esistono poteri di fatto che nessun atto attribuisce. |
| 4. Documentazione consiliare preventiva | Organi delegati e segreteria del consiglio | A ogni riunione | La data di invio, confrontata con quella della riunione, misura se il dovere di agire informati sia materialmente esercitabile o resti una finzione di calendario. |
| 5. Informativa periodica degli organi delegati | Organi delegati | Secondo lo statuto e almeno ogni sei mesi (art. 2381, comma 5, c.c.) | Se dell'informativa resta un documento con una data o soltanto un aggiornamento a voce: la norma non prescrive la forma scritta, e la differenza si misura sul piano della prova. |
| 6. Pianificazione finanziaria e situazioni infrannuali | Direzione amministrativa e finanziaria | Con la cadenza fissata nel piano di lavoro | Se l'impresa sa dire come farà fronte alle obbligazioni dei prossimi mesi, o se lo scopre a scadenza. |
| 7. Mappa dei rischi | Direzione, con le funzioni | Riesame almeno annuale e a ogni cambiamento rilevante dell'attività | Una mappa senza un responsabile e una data per ciascuna voce esiste ma non governa nulla. |
| 8. Procedure dei processi critici | Responsabili di processo | Continuativo | L'evidenza dell'esecuzione e il registro delle deroghe separano il controllo eseguito da quello soltanto scritto, e dicono quante volte il processo reale se n'è scostato. |
| 9. Comunicazioni degli altri presidi | Revisore legale; organismo di vigilanza | Secondo i rispettivi calendari, coordinati con il piano di vigilanza | Se il sistema dei controlli si parla, o se più presidi guardano gli stessi processi senza confrontare gli esiti. |
Tre di queste letture meritano una riga in più. I libri sociali si leggono per primi, perché dicono da quale punto si riparte. Le deleghe si verificano confrontandole con le firme apposte su un campione di documenti, ed è fra le prove più rapide e più significative del piano di lavoro. La documentazione consiliare, infine, si giudica sulla serie di un trimestre e non su una convocazione isolata.
Dell'informativa periodica l'oggetto è quello indicato fra le sei domande; qui conta la forma, perché un aggiornamento dato a voce non lascia nulla da esaminare a distanza di mesi.
Sulle ultime quattro evidenze basta un criterio per ciascuna. La pianificazione a dodici mesi non serve a indovinare i numeri: serve a rendere visibile in anticipo il mese in cui non tornano. Il nome accanto al rischio trasforma un elenco in un presidio, e la sua assenza si annota a verbale in una riga. Un registro delle deroghe vuoto, in un processo movimentato, non descrive un'impresa disciplinata: descrive una rilevazione che non funziona. Le comunicazioni del revisore legale e, dove il Modello 231 è adottato, i flussi e le relazioni dell'organismo di vigilanza sono infine la materia dello scambio informativo.
Il valore di queste evidenze dipende in buona parte dal modo in cui vengono chieste. Cinque regole di acquisizione bastano a fare della richiesta un atto dell'organo e non una cortesia fra uffici, e sono le stesse che, a distanza di tempo, ne conservano la traccia.
Sulle date conviene aggiungere un'osservazione che vale più di molte raccomandazioni di metodo. Il fascicolo non si costruisce la settimana prima della riunione, e il suo valore sta proprio nel fatto che i documenti portano date distribuite nel tempo. Un fascicolo interamente datato nella stessa settimana racconta esattamente il contrario di ciò che dovrebbe provare.
Della prima regola vale la pena dare anche il testo, perché fra una richiesta che resta senza seguito e una a cui si risponde la differenza sta quasi per intero nella formulazione.
«Si chiede cortesemente di voler trasmettere la documentazione relativa agli assetti organizzativi.»
«Ai sensi dell'art. 2403-bis c.c. si richiede la trasmissione di: (1) organigramma e funzionigramma vigenti con data di ultimo aggiornamento; (2) sistema delle deleghe con limiti di spesa; (3) mappa dei rischi con responsabile per ciascuna voce. Termine di riscontro: [data]. La mancata o parziale consegna entro il termine sarà verbalizzata nella verifica del [data] e riportata all'ordine del giorno delle successive.»
A che cosa serve il fascicolo. Le carte non servono a costruire un archivio. Servono a rendere verificabile il giudizio che l'organo esprimerà, e a permettere allo stesso organo di dimostrare, a distanza di anni, che cosa aveva esaminato e che cosa espressamente no.
Il verbale non è la verifica, è il documento che la rende dimostrabile. Nella maggior parte delle contestazioni la differenza non sta nella qualità del controllo svolto ma nella qualità di ciò che ne è rimasto scritto.
Il verbale della riunione del collegio va redatto, trascritto nel libro delle adunanze e delle deliberazioni (art. 2421, comma 1, n. 5, c.c.) e sottoscritto dagli intervenuti (art. 2404, comma 3, c.c.); il componente dissenziente ha diritto di far iscrivere a verbale i motivi del proprio dissenso (comma 4). Nello stesso libro devono risultare gli accertamenti eseguiti (art. 2403-bis, comma 3, c.c.): è la norma che copre anche l'ispezione compiuta dal singolo sindaco, che riunione del collegio non è. Sono i tre obblighi su cui poggia tutto ciò che segue: di ogni riunione deve restare un atto, quell'atto può registrare una posizione non unanime senza che ciò costituisca un incidente, e di ogni accertamento resta traccia anche quando nessuna riunione lo ha preceduto.
L'anatomia che segue non è prescritta da alcuna disposizione. È l'ordine in cui un verbale risulta leggibile a chi lo esaminerà anni dopo senza avere partecipato alla riunione, che è poi la sola condizione in cui i verbali vengono letti quando contano davvero.
Che cosa si è esaminato e, con la stessa precisione, che cosa espressamente no. Il perimetro dichiarato non restringe il dovere di vigilanza: quello dell'art. 2403 c.c. è continuativo e l'organo non può delimitarlo per propria scelta. Serve a rendere leggibile il giudizio, cioè a dire su che cosa si fonda, e protegge soltanto a due condizioni: che l'esclusione nasca da un piano di lavoro costruito sul rischio e che l'ambito escluso abbia una data in cui sarà coperto. Un perimetro dichiarato senza motivazione e senza calendario non delimita nulla: documenta una scelta di non guardare. Un verbale che tace sul punto, per parte sua, lascia presumere un esame integrale che nessuna verifica periodica è in grado di svolgere.
Ciascuno con la propria data e la propria provenienza, non «la documentazione fornita dalla società». L'elenco nominativo costa qualche riga in più ed è anche il modo più rapido per accorgersi, mentre si scrive, che un documento atteso non è mai arrivato.
Campione selezionato, criterio con cui è stato scelto, periodo di riferimento, funzioni interpellate. È la parte che distingue una verifica da una lettura, ed è l'unica che consente a un terzo di ripetere il controllo e di ottenere lo stesso risultato.
Separando i fatti accertati dalle valutazioni. Sono due cose che a distanza di tempo vengono lette in modo diverso: il fatto resta quello che è, la valutazione viene misurata su ciò che era conoscibile nel momento in cui è stata espressa.
Con i limiti dichiarati e le eventuali riserve, non con un aggettivo. Una valutazione motivata dice su che cosa si fonda e fin dove arriva; un aggettivo dice soltanto che qualcuno, in quella riunione, ha ritenuto qualcosa.
Con termine di riscontro e collocazione all'ordine del giorno della verifica successiva. Un rilievo senza termine e senza ripresa è un rilievo che si è deciso di non seguire, e in sede di contestazione si legge esattamente così.
La verifica in cui non è emerso nulla. È la maggioranza dei verbali ed è il caso più difficile proprio perché sembra il più semplice. A distanza di tre anni, un verbale che si limita a dare atto dell'assenza di rilievi non prova che la verifica sia stata svolta: prova che si è tenuta una riunione al termine della quale nessuno ha scritto che cosa avesse guardato.
«L'organo di controllo dà atto che non sono emersi rilievi.»
«Esaminati l'organigramma aggiornato al [data], il sistema delle deleghe e la pianificazione finanziaria trasmessa il [data], e verificato su un campione di [n] operazioni del periodo [dal/al] il rispetto dei limiti di spesa, non sono emersi fatti censurabili in relazione a quanto esaminato. Restano fuori dal perimetro della presente verifica [ambiti], che saranno oggetto della verifica del [data].»
L'adeguatezza parziale. È il rilievo che non rompe il rapporto, e per questo tende a essere smussato fino a scomparire. Un assetto non è quasi mai adeguato o inadeguato per intero: è adeguato rispetto all'impresa che deve servire, con una o due carenze circoscritte. Il verbale che le nomina è anche quello che consente agli amministratori di intervenire finché l'intervento è ancora a basso costo.
«L'assetto risulta nel complesso adeguato.»
«L'assetto è valutato adeguato rispetto a dimensioni e complessità attuali, con l'eccezione di [carenza specifica, con il fatto che la rende tale]. L'organo chiede [intervento] entro il [data] e riporta il punto all'ordine del giorno della verifica del [data].»
Il dissenso di un componente. Non è un incidente da comporre fuori dal verbale: è un diritto che l'art. 2404, comma 4, c.c. attribuisce al componente dissenziente. Un dissenso registrato come perplessità non produce alcun effetto e non tutela nessuno, né chi lo esprime né la società. Un dissenso motivato in fatto distingue la posizione di chi lo esprime e mette agli atti che cosa sia stato contestato e su quali documenti. Il libro delle adunanze e delle deliberazioni è però tenuto a cura del collegio stesso (art. 2421, comma 2, c.c.) e non è letto d'ufficio da chi amministra: perché il dissenso produca effetti fuori dal collegio occorre portarlo all'organo amministrativo, con i passaggi della scala descritta più avanti.
«Il sindaco [X] esprime perplessità sul punto.»
«Il sindaco [X] dissente e chiede l'iscrizione a verbale dei motivi del dissenso ai sensi dell'art. 2404, comma 4, c.c.: [motivi in fatto, con le date dei documenti su cui si fondano].»
La regola generale sta in tre parole. Nel verbale si scrivono date, documenti e termini, perché sono le sole cose che a distanza di tempo restano verificabili. Gli aggettivi non lo sono, e un verbale fatto di aggettivi documenta soltanto che una riunione si è tenuta.
È la domanda che chiunque abbia un incarico si pone, e che raramente trova una risposta ordinata. I gradini sono sei: i primi tre restano fra organo di controllo e organo amministrativo, i due successivi portano la questione davanti ai soci, l'ultimo esce dal perimetro societario. Quasi tutte le situazioni si chiudono ai primi tre. Ciò che pesa, in sede di contestazione, non è la gravità del rilievo: è il tempo di risposta e la traccia che ne resta.
L'art. 2403-bis, comma 1, c.c. consente a ciascun sindaco di procedere in qualsiasi momento, anche individualmente, ad atti di ispezione e di controllo; il comma 2 attribuisce al collegio, come organo, il potere di chiedere agli amministratori notizie sull'andamento delle operazioni sociali o su determinati affari, anche con riferimento alle società controllate. È il gradino meno costoso per tutti, compresa la società che deve rispondere, ed è anche quello che più spesso si lascia cadere: va esercitato per iscritto e con una data, perché una richiesta rimasta verbale non lascia nulla da opporre a chi, anni dopo, sosterrà che nessuno aveva chiesto niente.
La distinzione pesa proprio nel caso in cui questi gradini servono di più, cioè quando il collegio non è unanime: il singolo componente non ha bisogno di una delibera per ispezionare. La richiesta individuale scritta, datata e portata a conoscenza degli altri componenti vale allora due volte: ottiene l'accesso e, se il collegio non delibera, lascia agli atti chi si è mosso e quando.
Il rilievo entra nel libro delle adunanze e delle deliberazioni nella forma descritta nella sezione sulla verbalizzazione (art. 2404, commi 3 e 4, c.c.), e da quel momento ha una data che decorre. Il tempo impiegato a rispondere comincia a pesare più della gravità di ciò che è stato rilevato, e un rilievo formulato senza termine di riscontro rinuncia in partenza a questo effetto: resta la prova che l'organo aveva visto, senza la prova di che cosa avesse chiesto.
Aver segnalato non basta. L'organo verifica che la criticità sia stata effettivamente considerata da chi amministra e riporta il punto all'ordine del giorno delle verifiche successive finché non risulta chiuso. Un piano di rientro con un responsabile e delle scadenze, portato in consiglio e verbalizzato, è la migliore posizione disponibile anche quando la carenza è reale e non è ancora stata sanata: mostra che il sistema dei controlli ha funzionato, non che non c'era nulla da rilevare.
L'art. 2406 c.c. tiene distinte due ipotesi, e la differenza conviene conoscerla. In caso di omissione o di ingiustificato ritardo degli amministratori il collegio deve convocare l'assemblea: non è una facoltà da valutare, è un dovere, e la sua inosservanza è essa stessa un'omissione di vigilanza. Nei casi di fatti censurabili di rilevante gravità con urgente necessità di provvedere il collegio può convocarla, previa comunicazione al presidente del consiglio. Il presupposto non è il disaccordo con una scelta gestoria: è l'inerzia dell'organo che avrebbe dovuto provvedere, oppure l'urgenza di portare la questione davanti a chi ha nominato gli amministratori.
Con la relazione prevista dall'art. 2429, comma 2, c.c. il giudizio dell'organo diventa leggibile dai soci e, con il deposito del bilancio, da chiunque abbia interesse a consultarlo. Sullo stesso piano si colloca la denunzia del socio al collegio (art. 2408 c.c.), che obbliga a tenerne conto nella relazione all'assemblea e, quando proviene da una frazione qualificata del capitale, a indagare senza ritardo sui fatti denunziati e a presentare all'assemblea le proprie conclusioni ed eventuali proposte.
La denunzia al tribunale prevista dall'art. 2409 c.c. presuppone il fondato sospetto di gravi irregolarità nella gestione che possano arrecare danno alla società, e apre la strada all'ispezione giudiziaria dell'amministrazione e, nei casi più gravi, alla revoca degli amministratori e alla nomina di un amministratore giudiziario. È il gradino in cui la vicenda esce dal perimetro societario, e per questo i cinque precedenti non sono passaggi formali che lo precedono: sono ciò che consente di dimostrare, poi, di aver valutato al momento giusto se fosse il caso di arrivare fin qui.
Una pista parallela, che non è il settimo gradino. La segnalazione scritta agli amministratori prevista dall'art. 25-octies del Codice della crisi d'impresa e dell'insolvenza non è il seguito di un flusso informativo mancante, né l'esito di un rilievo rimasto senza risposta: ha un presupposto suo, cioè la sussistenza degli squilibri che rendono probabile la crisi. Va trasmessa in forma motivata e con mezzi che assicurino la prova della ricezione, e fissa agli amministratori un termine per riferire sulle iniziative assunte; la tempestività della segnalazione è poi valutata ai fini della responsabilità dell'organo di controllo. Al presidio è dedicato per intero l'approfondimento sulla crisi d'impresa.
Presentarla in sequenza con i sei gradini sarebbe comodo e sarebbe sbagliato, perché accosterebbe due istituti che non hanno lo stesso presupposto e indurrebbe a cercare nella disciplina della crisi la risposta a un problema di organizzazione. I due percorsi possono incrociarsi, dato che una carenza di assetti rilevata in sede di vigilanza è spesso il primo segnale di uno squilibrio, ma restano distinti nei presupposti, nei destinatari e negli effetti.
Le dimissioni non sono un gradino. Sono una via d'uscita finché arrivano prima dell'inerzia. Dal momento in cui l'organo ha rilevato una criticità e non ha esercitato i poteri che la legge gli attribuisce, le dimissioni non cancellano il periodo in cui la vigilanza è mancata: lo delimitano, e diventano un fatto da spiegare, perché la prima domanda di chi legge il libro delle adunanze riguarda le settimane immediatamente precedenti. La ragione per cui il punto conta sta nella sezione seguente.
È la ragione per cui un organo di controllo tiene un fascicolo e scrive verbali analitici. Vale la pena dirla per intero, compreso l'intervento del 2025 che ha ridisegnato il perimetro del danno risarcibile.
L'art. 2407 c.c. pone a carico dei sindaci l'obbligo di adempiere i loro doveri con la professionalità e la diligenza richieste dalla natura dell'incarico, li rende responsabili della verità delle proprie attestazioni e impone il segreto sui fatti e sui documenti conosciuti in ragione dell'ufficio. Quella che ne discende è una responsabilità per omesso o inadeguato controllo, e si valuta sugli stessi fatti su cui si valuta la diligenza di chi amministra: l'inerzia di un organo non protegge l'altro, e la circostanza che gli amministratori non abbiano informato non libera chi aveva il potere di chiedere.
L'intervento del 2025. La legge 14 marzo 2025, n. 35 ha sostituito il secondo comma dell'art. 2407 c.c., quello che rendeva i sindaci responsabili in solido con gli amministratori per i fatti o le omissioni di questi quando il danno non si sarebbe prodotto se essi avessero vigilato in conformità degli obblighi della loro carica: già allora, dunque, colpa propria da omessa vigilanza, con un nesso causale da dimostrare, e non responsabilità per il fatto altrui. Al suo posto, fuori dai casi di dolo, i sindaci che violano i propri doveri rispondono dei danni cagionati alla società, ai soci, ai creditori e ai terzi nei limiti di un multiplo del compenso annuo percepito, ed è stato aggiunto un termine di prescrizione quinquennale, decorrente dal deposito della relazione relativa all'esercizio in cui si è verificato il danno. Prima di trarne conseguenze su un incarico determinato vanno riscontrati gli scaglioni del limite, sul testo della legge 35/2025, e la collocazione dell'articolo dopo il Dlgs 47/2026, sul provvedimento pubblicato; qui interessa la direzione, ed è duplice. Il perimetro economico dell'esposizione è legato al compenso percepito, e il momento da cui il termine di prescrizione si misura è un documento con una data.
Da quando. Il regime intertemporale resta questione controversa: se il limite e il nuovo termine di prescrizione valgano anche per condotte e danni anteriori all'entrata in vigore della legge non è pacifico. Su un incarico che copre esercizi precedenti la posizione va quindi valutata per periodo, e non data per protetta dal tetto.
La conseguenza pratica lega questa sezione a quella sulle evidenze e a quella sulla verbalizzazione. Se il tetto del danno risarcibile è parametrato al compenso e la prescrizione decorre dal deposito di una relazione, il fascicolo della verifica smette di essere un archivio e diventa l'unico strumento con cui l'organo dimostra, a distanza di anni, di aver vigilato in conformità ai propri obblighi: che cosa aveva esaminato, su quale periodo, con quale campione, che cosa aveva chiesto e che cosa espressamente non rientrava nel perimetro di quella verifica.
Se l'incarico comprende la revisione legale. Per il revisore legale che non sia anche sindaco i criteri della responsabilità restano quelli dell'art. 15 del Dlgs 39/2010, disciplina distinta per oggetto e per regole dell'incarico. Quando invece la revisione legale è affidata al collegio sindacale nel caso previsto dall'art. 2409-bis, comma 2, c.c., il modo in cui il limite del nuovo art. 2407, comma 2, c.c. si combina con quella disciplina va riscontrato sul testo della legge 35/2025: è il punto in cui la separazione fra i due regimi non va data per scontata.
È l'evidenza più sfavorevole che un fascicolo possa contenere, perché dimostra che l'organo sapeva. Il rimedio non è rinunciare a scrivere il rilievo, che sarebbe la scelta peggiore e la più facile da smentire: è scriverlo con un termine di riscontro e riportarlo all'ordine del giorno finché non risulta chiuso, in modo che accanto alla prova della conoscenza ci sia la prova di che cosa ne è seguito.
Un verbale che dichiara adeguato l'assetto senza indicare che cosa sia stato esaminato non prova la verifica, prova la riunione. Che il giudizio sull'organizzazione non sia un esercizio teorico lo mostra la giurisprudenza recente in materia di assetti e di accesso al credito, esaminata nella pagina su Cass. n. 7134/2026.
Un compenso fissato sulla misura di un controllo formale non consente un controllo sostanziale, e la sproporzione è visibile a chiunque esamini l'incarico a distanza di tempo. Dal 2025 la stessa cifra concorre a determinare il tetto del danno risarcibile: comprime la difesa e il massimale nello stesso momento, e la determinazione del compenso all'atto della nomina smette di essere una formalità dell'assemblea.
Che cosa riduce davvero l'esposizione. Non accettare meno incarichi, e nemmeno moltiplicare le verifiche oltre quanto il piano di lavoro giustifica. Si riduce scrivendo che cosa si è esaminato, su quale periodo, con quale campione, che cosa si è chiesto e con quale termine, perché è l'unico modo per far misurare il proprio operato su ciò che si è fatto invece che sull'evento che è accaduto. Fra i due criteri passa la differenza fra una posizione difendibile con le proprie carte e una posizione che, mancando quelle carte, viene ricostruita da qualcun altro.
Il controllo societario opera come sistema: soggetti diversi, competenze proprie, uno scambio di informazioni che deve evitare sia le sovrapposizioni sia le zone scoperte. All'organo di controllo tocca la parte che nessun altro può svolgere, cioè verificare che le criticità emerse siano state considerate da chi amministra.
Il controllo di un'impresa non è affidato a un organo soltanto. Accanto all'organo di controllo operano la revisione legale dei conti, le funzioni di internal audit, i sistemi di gestione dei rischi e gli organismi di vigilanza previsti dalla normativa speciale. Ciascuno ha un perimetro proprio e un mandato che non coincide con quello degli altri: nessuno di essi vede l'intera organizzazione, e la zona che sfugge a tutti è quasi sempre quella che sta fra un perimetro e l'altro.
Conviene dire subito che cosa il decreto non fa. Non impone a nessuna società di dotarsi di una funzione di internal audit o di una funzione di gestione dei rischi. Sono soggetti del sistema dei controlli dove esistono, non obblighi nuovi per chi non li ha. Dove non esistono, la domanda che l'organo di controllo si pone non è se istituirle, perché non ne ha il potere, ma chi svolge di fatto quelle funzioni, con quale indipendenza dalle strutture che dovrebbe controllare e con quale evidenza.
Nella società non quotata i sostituti hanno quasi sempre un nome, e conviene scriverlo nel piano di lavoro: il responsabile amministrativo per il ciclo contabile, il revisore legale per il ciclo del bilancio, il consulente del lavoro per il ciclo delle paghe, un referente interno o esterno per i sistemi informativi, e l'organo amministrativo come titolare residuale di tutto ciò che non è stato assegnato a nessuno. Il punto non è la qualifica di chi presidia, è la distanza fra chi esegue e chi verifica: quando le due posizioni coincidono, la verifica esiste ma non è in grado di provare nulla.
| Soggetto | Perimetro proprio | Che cosa trasmette all'organo di controllo | Che cosa riceve |
|---|---|---|---|
| Revisione legale | Il bilancio e l'informativa finanziaria. Del controllo interno vede solo quanto rileva per la revisione. | Criticità sui processi contabili, questioni emerse dalla revisione ed esiti sulla continuità aziendale. Lo scambio è tempestivo (art. 2409-septies c.c.). | Esiti delle verifiche sull'adeguatezza degli assetti, flussi informativi mancanti, aree di attenzione della vigilanza. |
| Internal audit, dove esiste | Il funzionamento dei controlli, verificato dall'interno e con continuità. | Il piano di audit costruito sul rischio, i rapporti sulle verifiche e lo stato delle azioni correttive fino alla chiusura. | Le aree da approfondire e il motivo per cui l'organo le chiede. |
| Funzione di gestione dei rischi, dove esiste | I rischi dell'impresa: li identifica e li monitora, non decide le operazioni. | La mappa dei rischi aggiornata, i superamenti di soglia con la data e le misure di mitigazione effettivamente adottate. | Osservazioni sulla copertura della mappa e sui rischi privi di presidio. |
| Organismo di vigilanza, dove il Modello 231 è adottato | Il funzionamento e l'osservanza del Modello: il rischio di reato dell'ente, non il rischio d'impresa. | Gli esiti dei controlli sui processi sensibili, i flussi ricevuti e le relazioni periodiche. Sulle segnalazioni si scambiano le criticità, non i nominativi. | Evidenze sui medesimi processi, in particolare su deleghe e poteri di spesa. |
| Organo amministrativo e organi delegati | La gestione dell'impresa e l'indirizzo strategico, riservati a chi amministra. | L'informativa periodica sull'andamento della gestione, sulla prevedibile evoluzione e sulle operazioni di maggior rilievo (art. 2381, comma 5, c.c.). | Rilievi, richieste con termine di riscontro e segnalazioni scritte quando ne ricorrono i presupposti. |
Due righe della tabella vanno lette con una cautela in più. Il revisore legale acquisisce comprensione del controllo interno nella misura rilevante ai fini della revisione: non esprime un giudizio sul sistema di controllo interno, e chiedergli quel giudizio significa attendersi da lui un lavoro che il suo incarico non comprende. Le segnalazioni whistleblowing pervenute all'organismo di vigilanza sono poi coperte dall'obbligo di riservatezza sull'identità del segnalante, che vale anche verso l'organo di controllo: ciò che si scambia sono gli esiti dell'accertamento e le criticità di processo che ne emergono, mai i nominativi.
Perché lo scambio descritto dalla tabella produca un effetto, e non resti un allegato al verbale di insediamento, servono quattro regole di raccordo. Sono scelte di piano di lavoro, non adempimenti.
Ci sono poi due scelte di assetto che eliminano la duplicazione alla radice, e che a differenza delle precedenti si deliberano. L'art. 2409-bis, comma 2, c.c. consente allo statuto, nelle società che non sono tenute alla redazione del bilancio consolidato, di affidare la revisione legale al collegio sindacale composto da revisori legali; l'art. 6, comma 4-bis, del Dlgs 231/2001 consente che le funzioni dell'organismo di vigilanza siano svolte dal collegio sindacale. Dove i soggetti coincidono, la riga corrispondente della tabella non descrive più uno scambio ma un doppio cappello, e ciò che va tenuto distinto sono i fascicoli e i perimetri, non le persone.
Il presidio del rischio di reato, con la composizione dell'organismo e i flussi che riceve, è svolto nell'approfondimento sul Modello 231 e l'organismo di vigilanza; il contenuto dell'incarico di revisione, comprese le comunicazioni dovute al collegio sindacale, è descritto nella pagina sulla revisione legale. Sono le due pagine da tenere aperte quando si costruisce la matrice, perché è lì che si legge che cosa l'altro presidio è davvero tenuto a produrre.
Prassi, non norma. Il modello delle tre linee, già delle tre linee di difesa, che distingue chi presidia il rischio operando, chi lo sorveglia con funzioni dedicate e chi ne verifica in modo indipendente il funzionamento, è uno schema di corporate governance diffuso nella prassi e non una previsione del Dlgs 47/2026. Resta utile come griglia diagnostica per individuare le sovrapposizioni e i vuoti, ed è già descritto per esteso, applicato a un altro dominio, nell'approfondimento sulla governance dell'intelligenza artificiale. L'organo di controllo, però, non è una delle tre linee: il suo compito è accertare che il sistema che produce quelle verifiche funzioni, e per farlo legge il lavoro che le linee hanno già svolto.
Il vuoto costa più della sovrapposizione. La verifica ripetuta due volte sullo stesso processo costa tempo e si corregge con un calendario. Il rischio che nessuno presidia perché ciascuno lo riteneva di competenza altrui resta invece fuori da ogni verbale, proprio perché nessuno se ne è occupato. Per la stessa ragione, in una mappa dei rischi la parte più informativa non è l'elenco dei presidi in essere: sono le righe che non ne hanno nessuno. Una matrice come questa, aggiornata una volta l'anno e verbalizzata, è il presidio più economico che un organo di controllo possa darsi.
Sarebbe scorretto presentare il nuovo baricentro della vigilanza come un impianto già rodato. Questi tre punti non hanno oggi una risposta, e chi siede in un organo di controllo li incontra prima di chiunque altro.
La grande maggioranza delle società non quotate non ha una funzione di internal audit né una funzione di gestione dei rischi. Che cosa si chieda all'organo di controllo in quel contesto, e quale sia il livello minimo accettabile di presidio quando quelle funzioni sono svolte di fatto da chi ha anche responsabilità operative, è materia che si formerà nella prassi. La formula della proporzionalità dice che cosa guardare, non dove ci si può fermare.
Ai requisiti formali corrisponde un riscontro documentale immediato: una dichiarazione, una visura, un elenco di incarichi. Alla capacità concreta di esercitare un giudizio autonomo non corrisponde nulla di altrettanto semplice. Finché non si consolidano indicatori condivisi, l'indipendenza sostanziale rischia di essere accertata soltanto a posteriori, cioè nel momento in cui si constata che è mancata.
Il sistema integrato dei controlli non stabilisce chi prevale quando due presidi valutano diversamente lo stesso fatto, né chi risponde della visione d'insieme quando ciascuno ha adempiuto correttamente al proprio perimetro. Sono le due domande che si pongono nel giorno in cui qualcosa non ha funzionato, e la prassi dovrà costruire regole di composizione che oggi non esistono.
Resta da dire in che rapporto stanno fra loro le due funzioni. Una governance regge quando gestione e vigilanza si tengono in equilibrio: servono lo stesso interesse sociale e nessuna delle due è ancillare rispetto all'altra. In questa prospettiva chi vigila non svolge un compito meramente ispettivo, perché con la propria autonomia e la propria competenza concorre a far funzionare l'organizzazione e a prevenire i rischi che possono comprometterla. Anche questa è una chiave di lettura e non una previsione del decreto, ma è quella che tiene insieme le sezioni precedenti.
Sul piano pratico la conseguenza è meno drammatica e più impegnativa di quanto la parola riforma lasci intendere. Non c'è un adempimento nuovo da aggiungere all'elenco: c'è un mestiere che chiede un piano di lavoro, delle evidenze acquisite con metodo e dei verbali che qualcuno, fra tre anni, potrà leggere e capire.
Otto domande reali, con le risposte che si possono dare oggi. Le risposte poggiano sul Codice civile vigente e sulla prassi professionale; dove richiamano il contenuto del Dlgs 47/2026, il punto va riscontrato sul testo pubblicato in Gazzetta Ufficiale.
Le norme su cui poggiano le indicazioni operative di questa pagina, tutte verificabili in modo autonomo dal lettore.
Nota sulle fonti · aggiornata al 28 agosto 2026. La ricostruzione del nuovo baricentro della vigilanza è tratta dai primi commenti dottrinali disponibili a questa data. Il contenuto del Dlgs 47/2026, la decorrenza delle sue disposizioni, l'eventuale disciplina transitoria e la numerazione definitiva degli articoli del Codice civile in materia di organo di controllo vanno riscontrati sul provvedimento pubblicato in Gazzetta Ufficiale. Le norme sui doveri, sui poteri e sulla responsabilità dell'organo di controllo sono qui richiamate nel testo vigente e nella numerazione previgente, e sono verificabili in modo autonomo dal lettore: è su quelle, e non sul decreto, che poggiano le indicazioni operative di questa pagina. Le indicazioni non sostituiscono l'esame della concreta situazione societaria e del singolo incarico. Aggiorneremo la pagina al consolidarsi degli orientamenti interpretativi.
Questa pagina descrive come si giudica un'organizzazione dall'esterno. I quattro approfondimenti collegati contengono l'altra metà del decreto e il contenuto delle singole voci su cui il giudizio si forma.
Affianchiamo collegi sindacali, consigli di sorveglianza e comitati per il controllo sulla gestione nella costruzione del piano di lavoro e degli schemi di verbale, e affianchiamo le società e i consigli che devono predisporre le evidenze da mettere davanti a chi vigila. In concreto: ricognizione delle evidenze esistenti con l'elenco delle carenze da colmare, mappa dei rischi con un responsabile per ciascuna voce, piano dei flussi informativi verso l'organo di controllo, calendario dello scambio con revisione legale e organismo di vigilanza, e formalizzazione del giudizio di adeguatezza con le evidenze su cui poggia.