Il panorama dei rischi aziendali negli ultimi anni è cambiato radicalmente, soprattutto per ciò che concerne le minacce web. Fino a poco tempo fa, i reati informatici mappati nei Modelli Organizzativi 231 riguardavano principalmente l’accesso abusivo a un sistema informatico o la frode telematica classica, in un contesto in cui peraltro l’utilizzo della tecnologia era nettamente meno pervasivo nell’operatività aziendale di quanto avviene oggi. Con lo sviluppo sempre più rapido della criminalità informatica, occorre adattare con rapidità i MOGC, favorendo una concreta ed efficace interazione tra cybersecurity, governance aziendale e compliance 231.
Il nuovo quadro normativo: reati presupposto, NIS 2, AI act
Al fine di capire come agire, occorre fare un rapido punto su alcune delle normative, comunitarie e nazionali, che si pongono l’obiettivo, primario o meno, di contrastare la crescita esponenziale della varietà e della potenza delle minacce informatiche.
La legge n. 132/2025 ha introdotto nel codice penale il reato di diffusione non consensuale di contenuti generati o alterati tramite intelligenza artificiale (i cosiddetti “deepfake”, art. 612-quater c.p.) e ha istituito una specifica aggravante generale (art. 61 n. 11-decies c.p.) per qualsiasi reato commesso mediante l’utilizzo di sistemi di AI.
L’impatto più forte per le imprese riguarda la responsabilità degli enti, con l’ampliamento dei reati presupposto: la normativa estende le sanzioni del d.lgs. 231/2001 alle condotte illecite realizzate tramite AI, incluse le manipolazioni di mercato (aggiotaggio tramite notizie/video falsi generati da algoritmi) e le violazioni del diritto d’autore.
A rafforzare l’obbligo di protezione per le aziende è intervenuta inoltre la nuova disciplina sulla cybersecurity. Il d.lgs. n. 138/2024, che ha recepito in Italia la Direttiva Europea NIS 2, impone a una vasta platea di soggetti pubblici e privati obblighi stringenti in materia di sicurezza informatica, tra misure da adottare e obblighi di notifica.
In relazione agli obblighi NIS risulta fondamentale rimanere costantemente aggiornati circa le più recenti determinazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), come la n. 127437 del 13 aprile 2026 che introduce la mappatura dei fornitori rilevanti, tramite le quali gli operatori possono comprendere meglio dettagli e termini per adempiere alle prescrizioni.
Per completare il quadro normativo, occorre senz’altro citare le prescrizioni sull’utilizzo dell’intelligenza artificiale in azienda dettate dall’AI Act (Regolamento UE 2024/1689), a cui il Modello 231 deve raccordarsi inevitabilmente, mappando i sistemi in uso in base al loro livello di rischio e introducendo procedure di supervisione umana e logging.
Il Modello 231 oggi: dalla staticità al dinamismo
Molti Modelli 231 attualmente in vigore considerano il rischio informatico (art. 24-bis D.Lgs. 231/01) solo dal punto di vista puramente infrastrutturale (firewall e antivirus), tuttavia la mancanza di protocolli specifici contro il c.d. “fattore umano” manipolato dalla tecnologia non è più idoneo a garantire l’efficacia esimente per la società in sede penale. Se un dipendente effettua un pagamento transfrontaliero illecito perché ingannato da un deepfake del proprio superiore o comunque da phishing di alto livello, l’azienda rischia di rispondere dell’illecito (e dei connessi reati di riciclaggio o frode) se non dimostra di aver adottato procedure preventive adeguate e in linea con le nuove misure di sicurezza imposte dalla NIS 2.
Nel contesto contemporaneo in cui la tecnologia – e dunque anche il mondo cybercrime – si sviluppa sempre più rapidamente, non è più pensabile avere dei modelli 231 “statici”, che fotografino la realtà aziendale costruendo sulla stessa delle procedure, bensì è necessario basarsi su un approccio predittivo e dinamico, con obiettivi di sicurezza flessibili, come ben sottolineato anche dal Consiglio Nazionale dei Dottori Commercialisti e degli Esperti Contabili nel maggio 2026.
Per questo motivo, il primo passo per costruire un modello 231 moderno ed efficace è l’integrazione del risk assessment informatico e di quello 231, dalla quale non può che discendere l’individuazione di presidi di sicurezza decisamente più utili e al passo con i tempi per l’azienda.
Alcuni spunti pratici
Muovendo dalle premesse di cui sopra, si riportano alcuni spunti che devono necessariamente essere integrati in un Modello di Gestione e Controllo che possa essere ritenuto solido:
- identità digitale e accessi: occorre implementare dei sistemi di autenticazione a più fattori (MFA) non più solo per gli amministratori di sistema, ma per chiunque acceda da remoto o gestisca dati sensibili e transazioni finanziarie;
- log management inalterabile: il modello deve prevedere protocolli rigorosi di tracciamento e conservazione dei log aziendali, unica evidenza probatoria che permette alla società di dimostrare la propria estraneità o la corretta vigilanza dei sistemi;
- gestione dei backup e disaster recovery: l’avvenuta esecuzione del backup non basta più, i nuovi
protocolli devono imporre test di ripristino completi e periodici, poiché l’indisponibilità dei dati contabili a causa di un ransomware mina direttamente la continuità aziendale ex art. 2086 c.c.; - presidi sulla catena di fornitura digitale: occorre estendere l’analisi del rischio ai soggetti terzi che hanno accesso logico o fisico ai sistemi dell’ente, prevedendo, in piena sintonia con le indicazioni della NIS 2, misure come requisiti contrattuali minimi di sicurezza informatica, somministrazione questionari periodici di autovalutazione o richiedere certificazioni (es. ISO/IEC 27001), obblighi di notifica immediata in caso di incidenti informatici subiti dal fornitore;
- formazione comportamentale e simulazioni di phishing: i piani formativi devono essere costantemente aggiornati e arricchiti da periodiche simulazioni, per correggere le vulnerabilità comportamentali dei dipendenti, prima fonte degli incidenti informatici;
- flussi informativi strutturati verso l’OdV: l’Organismo di Vigilanza deve essere posto deve essere posto nelle condizioni di esercitare un monitoraggio dinamico e prognostico sulla tenuta del sistema, tramite la previsione di specifici flussi informativi “ad evento” e periodici verso l’OdV, (es. report sugli incidenti informatici e data breach, esiti dei test di ripristino dei backup, risultati delle simulazioni di phishing).
In un panorama digitale in cui le minacce evolvono più velocemente delle leggi, proteggere l’azienda significa dunque anticipare il rischio, dotandosi di presidi dinamici e al passo con i tempi. Solo aggiornando il Modello 231 secondo queste direttive lo stesso potrà rimanere uno strumento di protezione e di valore per il business aziendale.
Sono a disposizione per qualsiasi chiarimento e necessità.
