Collegio sindacale: con l'art. 2396-quinquies c.c. si amplia l'oggetto della vigilanza, non la sua natura

La riforma della governance societaria ha inserito nel codice civile, all'art. 2396-quinquies, un nuovo oggetto di vigilanza per l'organo di controllo: il sistema di controllo interno e di gestione dei rischi, unitamente al coordinamento delle sue funzioni. La novità, già nota alle società con azioni quotate, si estende ora alla generalità delle società dotate di collegio sindacale, con effetti che meritano di essere circoscritti con precisione.

La disposizione, introdotta dal D.Lgs. 27 marzo 2026 n. 47, assorbe il previgente primo comma dell'art. 2403 c.c. e stabilisce che l'organo di controllo «vigila» sull'adeguatezza e sul concreto funzionamento dell'assetto organizzativo, amministrativo e contabile, ivi compreso il sistema di controllo interno e di gestione dei rischi. Il sistema di controllo non costituisce dunque un quarto oggetto autonomo, accostato agli assetti, ma è compreso nell'assetto medesimo. L'assetto, a sua volta, è adottato dalla società e quindi istituito dagli amministratori ai sensi degli artt. 2086, comma 2 e 2380-bis c.c.

Il verbo utilizzato dal legislatore è rimasto quello dell'art. 2403 c.c.: la norma non sostituisce la vigilanza con un'altra funzione, ma descrive con maggiore completezza ciò su cui la vigilanza deve esercitarsi. I poteri attribuiti al collegio dall'art. 2396-sexies c.c. — ispezione, richiesta di notizie, scambio informativo, convocazione urgente dell'assemblea — sono poteri di conoscenza, di impulso e di reazione, non di gestione del rischio. La distinzione non è teorica: da essa dipende il perimetro della responsabilità dei sindaci.

L'espressione «concreto funzionamento» descrive l'attitudine del sistema, osservata nel suo modo di operare, a produrre con regolarità l'informazione che l'assetto promette. Non si tratta di un giudizio sul prodotto di ciascun flusso, né sulla correttezza di una singola misurazione. Le Norme di comportamento del Collegio sindacale di società non quotate confermano tale lettura: la Norma 3.1 qualifica la vigilanza come obbligazione di mezzi e non di risultato, riserva agli amministratori l'adozione e il corretto funzionamento del sistema di controllo interno e chiede al collegio di acquisire i flussi informativi e di valutarne le conclusioni sui rischi significativi.

Ciò non significa che gli esiti del sistema siano irrilevanti. Un impianto che non produce informazioni utilizzabili, o che omette dalla mappa una classe di rischio ormai ordinaria per quel tipo di impresa, non è un sistema idoneo con esito sfortunato: è un sistema che non funziona. Il prodotto entra nel giudizio di vigilanza quando è sintomatico di un vizio di metodo, non quando viene usato per stabilire ex post se, in quel caso, l'informazione prodotta fosse corretta. In coerenza, la giurisprudenza di legittimità ribadisce che la responsabilità a titolo di concorso per omissione non discende automaticamente dalla posizione di garanzia e dal mancato esercizio dei generali doveri di controllo, ma postula poteri impeditivi specifici (Cass. nn. 23175/2025, 21977/2026 e 20867/2021). La traccia dell'attività compiuta non è quindi l'elenco dei rischi presi in carico, bensì il percorso attraverso il quale l'organo di controllo ha ritenuto, o non ha ritenuto, l'impianto idoneo e proporzionato, con eventuale segnalazione all'organo amministrativo.