L’analisi, l’individuazione e la gestione dei rischi d’impresa quale attività prioritaria non solo degli organi amministrativi ma anche di organi di controllo, revisori legali e professionisti d’impresa. È ciò che si rileva a seguito dell’esame combinato delle novità introdotte nel codice civile dal cosiddetto decreto capitali (dlgs 47/2026) nonché dalle misure contenute nel Codice della crisi, nei principi contabili e di revisione.
L’art. 375 del dlgs 14/2019 (Codice della crisi d’impresa e dell’insolvenza), confluito de plano nell’art. 2086 c.c., obbliga infatti l’imprenditore che opera in forma societaria o collettiva a istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della tempestiva rilevazione della crisi e della perdita della continuità aziendale.
Anche l’imprenditore individuale è tenuto, ai sensi dell’art. 3 del dlgs 14/2019, a verificare, attraverso la predisposizione di misure idonee, le prospettive di continuità aziendale ai fini della prognosi della crisi.
Poiché una delle funzioni primarie degli adeguati assetti consiste nella costante verifica delle prospettive di continuità aziendale, assume a tal fine specifico rilievo l’Oic 11. Il principio richiede alla direzione dell’impresa, in sede di preparazione del bilancio, una valutazione prospettica della capacità dell’azienda di continuare a operare come complesso economico funzionante per almeno dodici mesi dalla data di riferimento del bilancio.
In particolare, il paragrafo 22 dell’Oic 11 prevede che, in presenza di incertezze significative, la nota integrativa riporti le informazioni sui fattori di rischio, sulle assunzioni effettuate e sui piani aziendali predisposti per fronteggiare tali rischi e incertezze. Ne deriva che un’informativa incompleta sui rischi ai quali l’impresa è esposta può rappresentare un indice di inadeguatezza degli assetti.
La connessione tra continuità aziendale e rischi d’impresa emerge anche dal Principio di revisione Isa Italia 570, che individua eventi e circostanze potenzialmente idonei a compromettere la continuità. Tali elementi costituiscono un elenco non esaustivo di rischi aziendali.
Prendendo le mosse dall’Isa Italia 570, si propone nella tabella in pagina una rielaborazione di contenuti, allineando eventi, circostanze, indici e indicatori alle relative categorie di rischio. Tale tabella non supporta solamente l’individuazione di eventi e circostanze potenzialmente rilevanti per la continuità aziendale e la successiva valutazione ai fini dell’informativa da rendere nella nota integrativa in caso di incertezze significative relative ai fattori di rischio, ma permette al contempo di individuare i rischi e di raccoglierli in un vero e proprio registro dei rischi aziendali.
La sola identificazione dei rischi, tuttavia, non è sufficiente: occorre valutarli e, quando possono incidere in misura significativa sull’impresa, adottare misure di trattamento e mitigazione, ovvero un sistema di gestione dei rischi.
Gli assetti e il sistema di gestione dei rischi: un binomio imprescindibile. L’imprenditore che opera in forma societaria o collettiva deve quindi intercettare, valutare e mitigare i rischi attraverso gli adeguati assetti. Solo così si potrà effettuare una “mappatura” dei rischi che possono riguardare l’azienda assegnando a ciascuno di essi un ordine in termini sia di probabilità che di gravità.
A tal proposito, il Tribunale di Cagliari, sezione specializzata per le imprese, con il provvedimento del 19 gennaio 2022, ha individuato nell’assenza di un sistema di gestione e monitoraggio dei rischi un elemento di inadeguatezza dell’assetto organizzativo.
Nella stessa direzione, il Cndcec e la Fnc, nel documento “Assetti organizzativi, amministrativi e contabili: check-list operative” del 24 luglio 2023, includono, tra gli elementi indefettibili su cui si fondano gli assetti aziendali, la funzionalità del sistema informativo rispetto alla gestione del rischio, la presenza di un sistema Erm e quella di un sistema di controllo interno e gestione dei rischi (Scigr).
Un’ulteriore conferma arriva dall’art. 2396-quinquies c.c., rubricato “Doveri dell’organo di controllo”, introdotto dal dlgs 47/2026, che include espressamente tra i doveri di vigilanza la verifica dell’adeguatezza e del concreto funzionamento del sistema di controllo interno e di gestione dei rischi e del coordinamento delle sue funzioni.
È pertanto del tutto evidente come l’art. 2086 c.c., per la sua ispirazione, si ponga in stretta continuità con la disciplina aziendalistica del Risk management, in quanto richiede l’adozione di procedure di contenimento del rischio volte a proteggere l’impresa dagli eventi sfavorevoli e dai loro effetti.
Con il Codice della crisi, le buone prassi aziendalistiche, tra cui il Risk management, assumono il rango di “obblighi di legge” ai sensi dell’art. 2086 c.c., come riconosciuto dal Tribunale di Milano nella sentenza del 3 dicembre 2019.
Il processo di risk management. Nella costruzione di un sistema di gestione dei rischi è quanto mai opportuno ricorrere alle migliori prassi internazionali rappresentate dal Coso Erm 2017 e dalla Iso 31000:2018 che dettano il percorso dal quale si dipanano le fasi operative da seguire:
• Analisi del contesto. È la fase preliminare necessaria a comprendere l’ambiente nel quale opera l’organizzazione e a definire i parametri di gestione del rischio. Il contesto esterno comprende fattori economici, normativi, politici, sociali, ambientali e tecnologici; quello interno riguarda struttura organizzativa, cultura aziendale, strategie, politiche, procedure e risorse disponibili.
• Identificazione e classificazione. L’impresa individua sistematicamente, anche attraverso confronti con i responsabili aziendali, analisi documentale e brainstorming, eventi, condizioni e fonti di incertezza che possono produrre effetti negativi o positivi sul raggiungimento degli obiettivi. I rischi vengono quindi classificati, tra gli altri, come strategici, operativi, di liquidità, solvibilità, reporting, compliance, giudiziali o reputazionali. Occorre inoltre distinguere quelli interni, come inefficienze, errori umani e guasti tecnologici, da quelli esterni, quali modifiche normative, recessioni ed eventi climatici.
• Valutazione. Per ciascun rischio si verifica l’efficacia dei controlli esistenti e si stimano probabilità di accadimento e impatto potenziale. L’obiettivo è determinare il rischio residuo, ossia quello che permane dopo l’applicazione dei presidi in essere, e valutare la necessità di ulteriori misure.
• Prioritizzazione. I rischi sono ordinati per criticità, in base a probabilità, impatto e controlli presenti, definendo le priorità di intervento e l’allocazione delle risorse.
• Mitigazione e controllo. Sulla base della valutazione vengono definite misure finalizzate a ridurre la probabilità di accadimento o a contenerne gli effetti: piani, budget, revisione dei processi, strumenti tecnologici, formazione, aggiornamento delle policy e coperture assicurative. L’obiettivo è ricondurre il rischio entro un livello ritenuto accettabile dall’organizzazione.
• Monitoraggio. Il sistema deve rilevare tempestivamente le variazioni dei rischi e verificare l’efficacia delle misure adottate. Fase autonoma e attività trasversale all’identificazione, alla valutazione e al trattamento, il monitoraggio assicura la ciclicità del processo e l’aggiornamento di valutazioni e presidi.
La gestione dei rischi nel governo quotidiano. La gestione dei rischi entra così, a pieno titolo, nel governo quotidiano dell’impresa.
L’adeguatezza degli assetti si misura anche nella capacità di individuare le minacce agli obiettivi aziendali, valutarne gli effetti e attivare tempestivamente risposte proporzionate, verificandone nel tempo l’efficacia.
Per gli amministratori ciò significa integrare i rischi nelle decisioni, assegnare responsabilità e disporre di informazioni attendibili.
Il medesimo percorso coinvolge tutti i professionisti d’impresa, commercialisti, avvocati, consulenti del lavoro e consulenti nelle aree finanziaria, organizzativa, HR, qualità e sicurezza, chiamati a riconsiderare la propria attività anche nella prospettiva dell’identificazione, della valutazione e della prevenzione dei rischi connessi alle rispettive aree di intervento.
In particolare, l’organo di controllo deve vigilare sull’adeguatezza e sul concreto funzionamento del sistema di gestione dei rischi, mentre il revisore legale deve considerarne gli effetti sulla valutazione dei rischi di revisione, sull’attendibilità dell’informativa finanziaria e sulla continuità aziendale.
