L’articolo 2086 del codice civile chiede all’impresa di dotarsi di assetti adeguati. Nel 2026, un assetto che non presidia il rischio cibernetico non lo è. E il direttore amministrativo e finanziario è la figura che, più di ogni altra, ha gli strumenti — e la responsabilità — per colmare il divario.
Un tema che è uscito dalla stanza dei server
Se ne parla molto sui giornali, molto meno nei comitati di direzione delle piccole e medie imprese. La cybersecurity è diventata un tema di tendenza nel dibattito professionale — direttiva NIS2, AI Act, estensione del catalogo dei reati 231, documenti degli ordini professionali — ma tra la produzione normativa e la realtà organizzativa dell’impresa italiana esiste ancora un divario profondo.
Un divario fatto di investimenti rinviati, di deleghe implicite al «tecnico informatico di fiducia» e, soprattutto, di una cultura della pianificazione che fatica ad affermarsi.
Questo articolo si rivolge a chi quel divario può colmarlo più rapidamente di chiunque altro: il direttore amministrativo e finanziario.
Non perché la sicurezza informatica sia improvvisamente diventata una materia contabile, ma perché il legislatore l’ha collocata esattamente dentro il perimetro che il CFO già presidia: quello degli assetti organizzativi, amministrativi e contabili dell’impresa.
E perché le conseguenze di un presidio mancato si manifestano proprio nelle grandezze che il CFO governa ogni giorno: continuità operativa, flussi di cassa, costo del credito, valore aziendale.
L’articolo 2086: che cosa chiede davvero la norma
Conviene partire dal dato normativo, perché è meno negoziabile di quanto molti credano.
L’articolo 2086 del codice civile, nella formulazione introdotta dal Codice della crisi, impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale, e di attivarsi senza indugio per farvi fronte.
Vale la pena soffermarsi sulle tre parole che compongono la triade, perché è lì che il tema cyber trova la sua collocazione naturale.
L’assetto organizzativo è il sistema delle deleghe, delle procedure, delle responsabilità: chi fa che cosa, con quali poteri e con quali controlli.
L’assetto amministrativo è l’insieme dei processi che assicurano il corretto svolgimento della gestione: cicli attivo e passivo, tesoreria, pianificazione, reporting.
L’assetto contabile è il sistema di rilevazione che traduce i fatti di gestione in informazione attendibile e tempestiva.
Ebbene: nel 2026 tutti e tre questi assetti vivono su infrastrutture digitali. La fatturazione è elettronica, la contabilità risiede su gestionali connessi o in cloud, la tesoreria transita su home banking e piattaforme, il reporting si alimenta da basi dati condivise, le comunicazioni con banche, clienti e fornitori viaggiano su canali digitali.
Se questa infrastruttura è vulnerabile, è vulnerabile l’intero assetto che la legge impone di rendere adeguato.
La parola chiave, appunto, è «adeguato».
L’adeguatezza non è un requisito formale che si soddisfa una volta per tutte, né un modello standard uguale per tutti: è un giudizio di proporzione, da rinnovare nel tempo, tra l’organizzazione dell’impresa e i rischi che la sua attività concretamente genera.
Se i processi amministrativi e contabili sono digitali, e se la minaccia cibernetica è oggi una delle cause statisticamente più probabili di interruzione dell’attività, allora un assetto che non la presidia è, per definizione, inadeguato.
Non serve attendere una norma che dica espressamente «cybersecurity»: lo dice già la clausola generale.
C’è un secondo aspetto della norma che parla direttamente al mestiere del CFO: la funzione di rilevazione tempestiva.
Gli assetti adeguati non servono solo a far funzionare bene l’impresa, servono a intercettare per tempo i segnali di crisi.
Un attacco ransomware che blocca per due settimane il gestionale di una PMI manifatturiera non è un problema informatico: è un problema di fatturato, di consegne mancate, di penali contrattuali, di reputazione verso clienti e banche.
Nei casi più gravi è un fattore di crisi d’impresa — proprio quella crisi che gli assetti dovrebbero consentire di prevenire e rilevare.
Il cerchio si chiude: un’impresa esposta al rischio cyber senza presidi è un’impresa il cui sistema di allerta interna ha un punto cieco esattamente dove oggi la probabilità di impatto è più alta.
Una responsabilità che si distribuisce: vertici, consigli, organi di controllo
Il rischio cibernetico, dunque, non è più un rischio «tecnico» delegabile alla funzione IT, ma un rischio d’impresa.
Nelle società la responsabilità del suo presidio si distribuisce lungo una filiera precisa: gli organi delegati curano che l’assetto sia adeguato, il consiglio di amministrazione ne valuta l’adeguatezza sulla base delle informazioni ricevute, il collegio sindacale vigila su quell’adeguatezza e sul concreto funzionamento.
Nessuno può dirsi estraneo: non il consigliere non esecutivo, che ha il dovere di agire informato; non il sindaco, tanto più se professionista, la cui vigilanza deve estendersi — e risultare dai verbali — anche a questo presidio.
La direttiva NIS2 ha reso il principio esplicito, attribuendo agli organi di amministrazione l’approvazione e la sorveglianza delle misure di gestione del rischio informatico e imponendo loro persino obblighi di formazione.
In questa filiera il direttore amministrativo e finanziario occupa una posizione peculiare.
Non è, di regola, il destinatario formale dell’obbligo; è però la figura che materialmente costruisce e fa funzionare gli assetti amministrativi e contabili, che predispone i flussi informativi verso il consiglio, che dialoga con il collegio sindacale e con i revisori, che conosce i processi e i dati dell’impresa meglio di chiunque altro.
Quando il consiglio chiederà — e chiederà — su quali basi valutare l’adeguatezza del presidio cyber, la risposta passerà dalla sua scrivania.
Il CFO che arriva preparato a quella domanda ha trasformato un rischio in un’occasione di leadership organizzativa.
Dall’obbligo all’organizzazione: che cosa significa in concreto
Molte direzioni, di fronte a questo quadro, reagiscono con una domanda comprensibile: «che cosa dobbiamo comprare?».
È la domanda sbagliata.
La cybersecurity, intesa come componente degli adeguati assetti, non è un prodotto ma un modo di organizzarsi.
Significa sapere quali dati l’impresa possiede, dove risiedono, chi vi accede e con quali autorizzazioni.
Significa disporre di procedure per la gestione degli accessi, per il salvataggio e il ripristino dei dati, per la risposta a un incidente.
Significa formare le persone, perché la grande maggioranza degli attacchi non sfrutta falle tecnologiche ma comportamenti umani: un’email di phishing ben costruita, una password condivisa, un bonifico disposto sulla base di istruzioni contraffatte — ed è significativo che il bersaglio preferito di quest’ultima tecnica sia proprio l’ufficio amministrazione.
Significa, infine, presidiare la catena di fornitura tecnologica — software house, consulenti esterni, servizi cloud — che è oggi uno dei principali punti d’ingresso degli attacchi.
Tutto questo ha un impatto organizzativo che va progettato, non subito.
E qui emerge il beneficio collaterale più sottovalutato: l’impresa che affronta il tema in modo strutturato scopre rapidamente che la mappatura dei rischi informatici la costringe a fare qualcosa di più ampio e di più utile, cioè mappare i propri processi.
Chi fa che cosa, con quali strumenti, con quali dati, con quali controlli.
È esattamente l’esercizio che l’articolo 2086 richiede e che ogni buon controllo di gestione presuppone.
In questo senso l’adeguamento cyber non è un adempimento che si aggiunge alla gestione: è un’occasione per mettere ordine nella gestione.
Per il CFO, è il pretesto normativo perfetto per ottenere ciò che spesso chiede da anni: processi documentati, accessi governati, dati di qualità.
I numeri della Banca d’Italia: il rischio cyber entra nel costo del credito
Che non si tratti di allarmismo lo dicono i numeri, e la fonte è di quelle che un direttore finanziario ascolta con attenzione.
In uno studio pubblicato a gennaio 2026, la Banca d’Italia ha costruito un indice di vulnerabilità al rischio cibernetico per le imprese non finanziarie italiane, analizzando con strumenti di intelligenza artificiale bilanci, notizie di stampa e fonti specializzate.
Nel campione di circa quattromila imprese valutate ai fini del merito creditizio, gli attacchi rilevati passano da 14 nel 2019 a 232 nel 2023: in quell’anno, in media, un attacco ogni due giorni.
Il settore più colpito è la manifattura, seguita dai servizi professionali e dal commercio — esattamente il tessuto produttivo del Paese — e la minaccia dominante è il ransomware, proprio la tipologia che monetizza l’interruzione dell’operatività.
Due risultati dello studio meritano di entrare nelle riflessioni di ogni direzione finanziaria.
Il primo: le imprese arricchiscono l’informativa sulla sicurezza nei propri bilanci soltanto dopo aver subito un attacco, quando le contromisure richiedono tempo per produrre effetti e il danno è già realizzato.
La reazione, dicono i dati, non è un sostituto della pianificazione.
Il secondo è prospettico e tocca direttamente il costo del denaro: la Banca d’Italia dichiara che l’indice è destinato a confluire nella stima della probabilità di default all’interno del proprio sistema di valutazione del merito creditizio, quello attraverso cui i prestiti alle imprese diventano stanziabili come garanzia nelle operazioni dell’Eurosistema.
In prospettiva, un’impresa cyber-vulnerabile avrà una probabilità di default «aggiustata» peggiore, con effetti su costo e accesso al credito.
È un cambio di paradigma che ogni CFO comprende al volo: il presidio del rischio informatico smette di essere un argomento per chi vuole vendere l’azienda e diventa un argomento per chiunque abbia una linea di credito.
C’è infine un dettaglio che riguarda da vicino chi predispone i bilanci: la banca centrale estrae il profilo cyber delle imprese leggendo, con strumenti di analisi semantica, ciò che le imprese stesse scrivono — o non scrivono — nei propri documenti ufficiali.
La nota integrativa e la relazione sulla gestione non sono più soltanto adempimenti: sono comunicazione al mercato del credito, letta, misurata e prezzata da terzi.
Anche la qualità della disclosure, in altri termini, è diventata parte dell’assetto adeguato — e la disclosure è mestiere del CFO.
Da costo a infrastruttura: la precondizione dell’intelligenza artificiale
Fin qui gli obblighi e le loro conseguenze finanziarie. Ma se il discorso si fermasse agli obblighi, avremmo perso l’occasione più importante.
La ragione vera per cui conviene investire in questa direzione non è la conformità: è che l’infrastruttura digitale sicura è la precondizione di tutto ciò che verrà dopo.
L’intelligenza artificiale e l’analisi dei dati non si «montano» su un’organizzazione qualsiasi: richiedono dati di qualità, processi tracciati, accessi governati, sistemi affidabili.
L’impresa che oggi costruisce un’infrastruttura informativa ordinata e sicura sta, nello stesso movimento, costruendo la piattaforma su cui domani potrà innestare strumenti di AI per la gestione amministrativa, l’analisi predittiva dei flussi di cassa, l’automazione documentale, il controllo di gestione evoluto.
L’impresa che rinvia accumula invece un debito tecnico e organizzativo che renderà ogni innovazione futura più costosa, più lenta e più rischiosa.
Con un’avvertenza che entra anch’essa nel perimetro degli assetti: l’intelligenza artificiale non è solo un’opportunità da abilitare, è essa stessa una fonte di rischio da governare.
Chi garantisce che il sistema che tratta le informazioni contabili non produca risultati inattendibili? Come si assicura la tracciabilità delle decisioni assunte con il supporto di sistemi automatizzati?
Sono domande che ricadono direttamente sugli assetti amministrativi e contabili — e quindi, ancora una volta, sul tavolo del direttore amministrativo e finanziario.
Il patrimonio digitale come valore d’impresa
C’è infine una considerazione che parla il linguaggio del valore.
Il patrimonio informativo dell’impresa — i dati sui clienti, il know-how digitalizzato, i processi codificati, i sistemi funzionanti — rappresenta una quota crescente del valore aziendale complessivo, destinata a superare in molti settori il peso degli asset materiali.
Ma questo patrimonio vale solo se è protetto, governato e dimostrabile.
Chi ha esperienza di operazioni straordinarie lo sa: nelle due diligence che precedono un’acquisizione o l’ingresso di un investitore, la verifica dell’assetto digitale e della postura di sicurezza è ormai una sezione autonoma dell’analisi, accanto a quella fiscale, legale e giuslavoristica.
Un’impresa che non sa documentare come protegge i propri dati subisce sconti di valutazione, richieste di garanzie più onerose o, nei casi peggiori, il fallimento della trattativa.
Un assetto digitale ordinato e sicuro è, al contrario, un moltiplicatore di valore e un acceleratore negoziale: un investimento sul prezzo dell’impresa per chi ragiona di passaggio generazionale o apertura del capitale, un investimento sul costo del debito per chi non intende vendere.
Conclusioni: il CFO come architetto dell’adeguatezza
La sintesi è una questione di postura culturale prima che di budget.
L’articolo 2086 chiede all’impresa di essere adeguata nei propri assetti, e l’adeguatezza non è uno stato che si raggiunge una volta per tutte: è una capacità di lettura continua dei rischi e di adattamento dell’organizzazione.
Il rischio informatico, per sua natura in evoluzione costante, è il banco di prova perfetto di questa capacità — e il direttore amministrativo e finanziario, che degli assetti è l’architetto operativo, ne è il presidio naturale: censire il rischio cyber nella mappa dei rischi aziendali, tradurlo in procedure documentate, portarlo stabilmente nei flussi informativi verso il consiglio e gli organi di controllo, farlo entrare nella qualità della disclosure di bilancio.
L’impresa che affronta il tema come un fastidio normativo comprerà qualche software, firmerà qualche procedura e resterà esposta. Quella che lo affronta come un passo evolutivo avrà trasformato un obbligo in un vantaggio competitivo.
La differenza tra le due non la farà la tecnologia. La farà la pianificazione.
E la pianificazione, in azienda, ha un indirizzo preciso: la direzione amministrativa e finanziaria.
Paolo Gaeta
Paolo Gaeta & Associati