di Antionio Ferraioli*

Le riforme che hanno interessato l’ordinamento societario e finanziario italiano offrono un quadro di sintesi che ridisegna l’architettura dei sistemi di corporate governance. L’azione combinata del D.Lgs. n. 208/2025 (recepimento CRD VI) e del D.Lgs. n. 47/2026 (attuazione della Legge Capitali n. 21/2024) segna il passaggio definitivo verso una governance fondata sulla neutralità dei modelli, sulla centralità degli assetti organizzativi e sulla gestione proattiva dei rischi, inclusi quelli ESG.
Se analizziamo questo processo di allineamento possiamo tracciare questo perimetro comparativo.

1. La neutralità dei modelli societari e la fine del sistema “di default”

Il D.Lgs. n. 47/2026 ha riscritto l’art. 2380 del Codice Civile, scardinando il primato storico del modello tradizionale (CdA e Collegio Sindacale).
Ciò ha determinato una equivalenza formale e sostanziale. Il sistema tradizionale, quello dualistico e quello monistico sono posti su un piano di assoluta parità legislativa.
Campeggia ora un obbligo di esplicitazione statutaria. Lo statuto di ogni S.p.A. deve indicare espressamente il modello prescelto; decade la presunzione normativa in favore del modello ordinario.
Le norme abbandonano i riferimenti testuali rigidi per adottare formule standardizzate quali “organo competente” o “organo di controllo”, agevolando la transizione e l’interoperabilità tra i sistemi.

2. Centralità degli assetti e inderogabilità nella gestione delle crisi

La governance ridefinita dalla Legge Capitali e dal D.Lgs. 47/2026 attribuisce all’organo amministrativo una responsabilità strutturale legata all’adeguatezza organizzativa. Viene ribadito il legame indissolubile tra la gestione aziendale e l’istituzione di adeguati assetti organizzativi, amministrativi e contabili (art. 2380-bis c.c.). Le decisioni strategiche finalizzate all’accesso a procedure di regolazione della crisi o dell’insolvenza sono catalogate come non delegabili (art. 2381-bis c.c.). La responsabilità per la tempestiva emersione della crisi d’impresa si radica così in capo all’intero organo di amministrazione in via collegiale.
3. L’allineamento bancario-finanziario e l’integrazione dei fattori ESG
Parallelamente alla riforma societaria generale, il D.Lgs. n. 208/2025 (attuativo della direttiva CRD VI) ha innalzato gli standard per gli enti creditizi e gli intermediari vigilati (intervenendo su TUB e TUF). I requisiti di fitness and propriety per gli esponenti aziendali di banche, SIM e SGR accolgono l’obbligo stringente di preservare l’indipendenza di giudizio in sede consiliare. I fattori ambientali, sociali e di governance (ESG) cessano di essere semplici parametri di rendicontazione extra-finanziaria per diventare componenti strutturali della valutazione dei rischi operativi e di credito monitorati dalle Autorità di Vigilanza.
4. Razionalizzazione del controllo e riduzione del contenzioso strumentale
L’intervento di coordinamento tra il TUF e il Codice Civile ha mirato a rendere più efficiente l’attività di internal auditing ed eforcement, contenendo al contempo i costi di compliance per le imprese non quotate. Sono stabilite funzioni di vigilanza unitarie. Gli organi di controllo vengono ricondotti a una categoria unitaria di doveri legati alla vigilanza sugli assetti e sui rischi (art. 2396-quinquies c.c.).
Vengono stabiliti termini di decadenza certi. Per limitare gli impatti patrimoniali legati al dissesto societario e stabilizzare le transazioni commerciali, è stato introdotto un termine di decadenza biennale (2 anni) per l’esercizio delle azioni di responsabilità derivanti dall’apertura della liquidazione giudiziale (art. 2394-bis c.c.).
1 Tratto da “L’Allineamento della Governance operato dal D.Lgs. 208/2025 per effetto della CRD VI e la ridefinizione del sistema di governance, così come modificato dalla Legge Capitali (Legge 5 marzo 2024, n. 21) e dal successivo D.Lgs. n. 47/2026 introduttivo delle nuove disposizioni T.u.f.
La derivazione anglosassone ed eurocomunitaria dei nuovi istituti in rapporto agli istituti di controllo sulle operazioni straordinarie (M&A) nel TUB e in particolare: la vigilanza sulle operazioni di fusione, scissione o acquisizione che coinvolgono banche o holding finanziarie italiane ed entità extra-UE”. di Antonio Ferraioli
2 Sono abrogati i vincoli anticoncorrenziali obsoleti: L’abrogazione del divieto di interlocking directorates (art. 36 D.L. 201/2011) rimuove un automatismo sanzionatorio rigido, riallineando il mercato italiano alle flessibilità operative internazionali.
Il punto di arrivo delle riforme si sostanzia in una corporate governance “dinamica ed evolutiva”. Se la Legge Capitali e il D.Lgs. 47/2026 liberano l’autonomia statutaria offrendo parità di scelta organizzativa e tutele procedurali precise, il D.Lgs. 208/2025 (CRD VI) presidia la tenuta del sistema finanziario imponendo un’integrazione totale tra cultura del rischio, indipendenza soggettiva e sostenibilità. Ne deriva un modello di impresa in cui la struttura di governo non è più una veste burocratica fissa, ma un asset strategico misurato sulla capacità di prevenire la crisi e attrarre capitali.

ANALISI DEL RAPPORTO TRA L’ALLINEAMENTO DELLA GOVERNANCE OPERATO DAL RECEPIMENTO CRD VI E RIDEFINIZIONE DEL SISTEMA DI GOVERNANCE INTRODOTTA DAL D.LGS 47/2026

Il rapporto tra l’allineamento della governance operato dal recepimento della CRD VI e la ridefinizione introdotta dal D.Lgs. 47/2026 (Decreto Attuativo della Legge Capitali) delinea una profonda e sinergica modernizzazione dei sistemi di amministrazione e controllo, che si muove lungo due binari paralleli: la regolamentazione prudenziale settoriale (bancaria) e il diritto societario comune (Codice Civile e TUF).
Mentre il recepimento della CRD VI (avvenuto in Italia con il D.Lgs. 208/2025) agisce sul rafforzamento dei presidi di rischio specifici del settore creditizio, il D.Lgs. 47/2026 ne recepisce la filosofia gestionale, estendendola e rimodellando strutturalmente l’architettura delle S.p.A. e dei mercati finanziari.
Il punto di incontro più significativo risiede nel superamento della governance intesa come mero adempimento burocratico. La CRD VI impone alle banche di integrare i fattori ambientali, sociali e di governance (ESG) nei propri processi interni e di vigilanza. Parallelamente, il D.Lgs. 47/2026 obbliga gli amministratori delle società di capitali a istituire e verificare la concreta adeguatezza degli assetti organizzativi in funzione della natura e delle dimensioni dell’impresa, ponendo i vertici come diretti responsabili della continuità aziendale.
Sotto il profilo dei doveri degli amministratori, la CRD VI richiede una maggiore indipendenza di giudizio e una comprensione profonda dei rischi strategici da parte del Board. Il D.Lgs. 47/2026 risponde sul piano del diritto societario vietando le deleghe generiche. Stabilisce inoltre che determinate materie (specialmente quelle legate a situazioni di tensione economico-finanziaria o di insolvenza) rimangano in capo al Consiglio d’Amministrazione in forma collegiale e non delegabile.
Mentre la CRD VI ridisegna i confini operativi per le succursali estere ed i gruppi cross-border per tutelare la stabilità del mercato, il D.Lgs. 47/2026 rimuove i vecchi ostacoli di default del Codice Civile. Sancendo la parità formale dei modelli monistico e dualistico rispetto al tradizionale, offre alle istituzioni finanziarie e alle S.p.A. la libertà di adottare strutture di governance internazionali e standardizzate, aumentando la competitività dell’ordinamento italiano.
La nuova vigilanza sui rischi — delineata dal connubio tra il recepimento della CRD VI (D.Lgs. 208/2025) e la riforma del sistema di governance del D.Lgs. 47/2026 — trasforma radicalmente il ruolo dei sindaci e dei membri degli organi di controllo (come il Comitato per il controllo sulla gestione nel modello monistico).
L’organo di controllo non è più un mero verificatore ex-post della legittimità formale degli atti, ma diventa un custode dinamico dell’adeguatezza degli assetti e della sostenibilità prospettica dell’impresa.
I sindaci sono oggi chiamati a vigilare direttamente sulla progettazione, implementazione e tenuta degli assetti organizzativi, amministrativi e contabili (ex art. 2086 c.c.), valutandone l’adeguatezza rispetto alla gestione dei rischi. Con questi fattori differenziali:
a) Vigilanza sui Rischi ESG: con l’avvento della CRD VI, i rischi climatici, ambientali e sociali entrano a far parte dei rischi prudenziali e di continuità aziendale. I sindaci rispondono della mancata vigilanza sull’integrazione di tali fattori nelle strategie di lungo termine della società.
b)Forward-looking Approach: L’organo di controllo deve verificare che i sistemi informativi aziendali siano in grado di intercettare tempestivamente i segnali di crisi o di deterioramento degli indicatori di rischio (es. RAF – Risk Appetite Framework nelle banche), ben prima che si traducano in perdite patrimoniali.
Il D.Lgs. 47/2026 ha posto un forte accento sulla non delegabilità di alcune scelte strategiche in materia di assetti e gestione delle crisi da parte del CdA. Questo impatta simmetricamente sui sindaci.
3
La responsabilità dei sindaci si configura come culpa in vigilando. Qualora i flussi informativi dagli organi delegati (Amministratori Delegati, Direttori Generali) verso il CdA risultino carenti o intempestivi, i sindaci hanno l’obbligo normativo di attivarsi, sollecitando l’integrazione delle informazioni.
Se gli amministratori compiono operazioni ad alto rischio al di fuori dei perimetri consentiti o in assenza di un assetto adeguato, i sindaci rispondono in solido del danno cagionato se questo si sarebbe potuto evitare attraverso l’esercizio tempestivo dei loro poteri di controllo (es. audizioni delle funzioni di controllo interno come Compliance e Risk Management, o convocazione dell’assemblea).
Nelle strutture societarie complesse e nel settore bancario, la responsabilità dei sindaci si misura sulla loro capacità di interfacciarsi con le funzioni di controllo interno (Risk Management, Compliance, Internal Audit): A)I sindaci devono valutare l’indipendenza e l’adeguatezza delle risorse dedicate a queste funzioni. B)L’omesso recepimento delle criticità segnalate dai Risk Manager nelle relazioni periodiche espone l’organo di controllo a severe contestazioni da parte delle Autorità di 4. Il Quadro Sanzionatorio e l’Enforcement delle Autorità

LE SUCCURSALI DI BANCHE DI PAESI TERZI (EXTRA-UE) OPERANTI IN ITALIA

L’impatto del recepimento della CRD VI (avvenuto con il D.Lgs. 208/2025) sulle succursali di banche di Paesi Terzi (extra-UE) operanti in Italia rappresenta una delle novità più radicali e restrittive della riforma bancaria. La normativa europea, integrata nel Testo Unico Bancario (TUB), mira a porre fine all’arbitraggio normativo e a tutelare la stabilità finanziaria dell’Unione, introducendo un framework di vigilanza e di governance armonizzato e stringente.
Il principio fondamentale introdotto è chiaro: per prestare i servizi bancari essenziali all’interno dell’UE non è più ammessa (salvo rarissime eccezioni) la libera prestazione di servizi “cross-border”. Le banche extra-UE devono stabilirsi fisicamente tramite una succursale autorizzata. (Nuovo Art. 14-bis TUB)
A partire dall’11 gennaio 2027, le banche aventi sede legale in un Paese extra-UE (comprese, ad esempio, le banche svizzere o del Regno Unito) dovranno obbligatoriamente istituire una succursale in Italia per poter esercitare le attività bancarie fondamentali (core banking services), ovvero: A)Raccolta di depositi e altri fondi con obbligo di restituzione. B) Concessione di crediti (inclusi locazione finanziaria e factoring). C)Rilascio di garanzie e impegni di firma.

L’OPERATIVITÀ TRANSFRONTALIERA SENZA SUCCURSALE

L’operatività transfrontaliera senza succursale (in regime di libera prestazione) resta confinata esclusivamente a tre scenari tassativi: 1.Operazioni condotte verso altri enti creditizi (interbancario). 2.Operazioni effettuate su base infra-gruppo. 3.Reverse Solicitation: Prestazione di servizi avviata su iniziativa esclusiva e genuina del cliente italiano (professionale o al dettaglio). Sul punto, l’approccio italiano del D.Lgs. 208/2025 è molto rigoroso, demandando alla regolamentazione secondaria di Banca d’Italia stringenti oneri di prova documentale dell’iniziativa del cliente.
Per graduare l’intensità dei controlli, la CRD VI introduce un principio di proporzionalità basato sulla classificazione delle succursali in due categorie principali:
Succursali di Classe 1 (Rilevanti): Strutture che detengono attivi pari o superiori a 5 miliardi di euro, o che offrono servizi a clientela al dettaglio, o che sono qualificate come “non sofisticate” in relazione al paese d’origine. Sono soggette a requisiti patrimoniali, di liquidità e di governance quasi identici a quelli delle banche residenti (comprese le regole di capital endowment e requisiti di riserva ).
Succursali di Classe 2: Strutture di dimensioni inferiori (attivi inferiori a 5 miliardi di euro) e dedicate esclusivamente a controparti istituzionali o societarie complesse, soggette a un regime proporzionalmente più leggero.
Le succursali extra-UE non vengono più considerate semplici “uffici distaccati”, bensì entità dotate di un’architettura di governo societario autonoma e strutturata:
Idoneità degli Esponenti (Fit & Proper): I responsabili della succursale e i titolari delle funzioni aziendali chiave (Key Function Holders) devono superare i medesimi controlli stringenti di onorabilità, professionalità, indipendenza di giudizio e disponibilità di tempo applicati ai banchieri europei (ai sensi dell’art. 26 TUB).
Presidi di Controllo Interno: è obbligatorio istituire e mantenere sul territorio italiano funzioni di controllo di secondo e terzo livello (Risk Management, Compliance e Internal Audit) o, quantomeno, un referente locale responsabile dei flussi informativi diretti verso l’Organismo di Vigilanza interno e verso Banca d’Italia.
4
Integrazione dei Rischi ESG: Anche le succursali estere dovranno mappare e rendicontare l’esposizione ai rischi climatici e ambientali del proprio portafoglio impieghi locale, in linea con il nuovo mandato ispettivo affidato alle autorità di vigilanza nazionali.
Sotto il profilo patrimoniale, per evitare il rischio che in caso di insolvenza della casa madre gli attivi italiani vengano drenati all’estero, la norma impone: un capitale di dotazione minimo vincolato in Italia (dotazione patrimoniale della succursale); l’obbligo di detenere un conto di garanzia segregato presso un istituto di credito depositario nell’UE (o titoli liquidi stanziabili), a presidio dei requisiti minimi di liquidità locale imposti da Banca d’Italia.

CONCORSO DI NORME O CONFLITTO DI NORME BANCARIE NEL PERIMETRO UE E NEI PAESI NON UE

1LA REGOLAMENTAZIONE BANCARIA nell’Unione Europea (UE) si basa su un quadro comune e accentrato (il Single Rulebook o corpus unico), mentre quella dei paesi non UE segue regole nazionali autonome o standard internazionali adattati individualmente (come quelli degli Stati Uniti, del Regno Unito o della Svizzera).
Le banche all’interno dell’UE presentano la seguente morfologia: un Corpus Unico (Single Rulebook) di regole uniformi applicate a tutti gli Stati membri per evitare frammentazioni nel mercato unico. I Requisiti Patrimoniali (CRR/CRD): con applicazione stretta degli accordi internazionali di Basilea III (e successivi aggiornamenti) per la solidità e la gestione del rischio. La Vigilanza Centralizzata (SSM): in quanto la Banca Centrale Europea (BCE) vigilia direttamente sulle banche più grandi della zona euro, insieme alle autorità nazionali come la Banca d’Italia. Un meccanismo di Risoluzione e Crisi (SRM / BRRD): ovvero un meccanismo unico di risoluzione delle crisi bancarie con il coinvolgimento degli azionisti e creditori (bail-in) e fondi di garanzia dei depositi armonizzati (fino a 100.000 euro per depositante). La vigilanza dell’Autorità Bancaria Europea (EBA): Agenzia UE con sede a Parigi che coordina la regolamentazione e la cooperazione tra le autorità di vigilanza.

2.LE BANCHE NEI PAESI NON UE

I paesi extra-UE (es. USA con la Federal Reserve e la SEC, UK con la Prudential Regulation Authority, o la Svizzera con la FINMA) definiscono le proprie leggi, pur ispirandosi agli standard globali di Basilea.
Spesso i paesi non UE mostrano maggiore flessibilità o differenziazione dimensionale (proporzionalità) per gli istituti di credito più piccoli rispetto alla complessa stratificazione normativa europea.
Le banche extra-UE che vogliono operare all’interno dell’Unione Europea non beneficiano del “passaporto europeo” automatico, ma devono sottostare a rigorosi requisiti di stabilimento, succursali locali autorizzate o regimi di equivalenza.
I dettagli appena visti per la CRD VI riguardano l’ingresso di banche estere in Europa. Se ribaltiamo la prospettiva e analizziamo il caso inverso, ovvero una banca italiana (o dell’UE) che desidera aprire una succursale in un paese extra-UE, la procedura e i requisiti quantitativi cambiano radicalmente.
In questo scenario non si applica la CRD VI, ma entrano in gioco le regole di Banca d’Italia/BCE (come autorità d’origine) e le leggi locali del paese di destinazione.

3.IL SISTEMA DI GOVERNANCE DELLE SOCIETÀ DI CAPITALI

Il sistema di governance delle società di capitali, degli intermediari e dei soggetti vigilati in Italia ha vissuto una profonda metamorfosi, determinata dall’intersecarsi di due imponenti direttrici di riforma: l’allineamento prudenziale europeo (CRD VI) e la digitalizzazione/semplificazione dei mercati finanziari (Legge Capitali).
Il quadro normativo vede il D.Lgs. 31 dicembre 2025, n. 208 (recepimento della Direttiva UE 2024/1619 – CRD VI) operare sul fronte della stabilità e dei rischi bancari, mentre il D.Lgs. 27 marzo 2026, n. 47 (attuazione della Legge Capitali n. 21/2024) ridisegna l’architettura societaria del Codice Civile e del T.U.F. per incrementare la competitività del sistema Paese.
Il decreto, entrato in vigore il 9 gennaio 2026, recepisce le novità di Basilea III intervenendo direttamente sul T.U.B. e sul T.U.F. per rafforzare la resilienza strutturale degli esponenti aziendali:
Viene introdotta formalmente tra i requisiti di idoneità degli esponenti bancari (es. consiglieri e sindaci). Non si valuta solo l’assenza di conflitti formali, ma l’attitudine comportamentale a esprimere un pensiero critico e autonomo.
I consorzi di amministrazione e controllo devono possedere competenze certificate per mappare e monitorare i rischi ambientali, sociali e di governance (ESG) all’interno dei processi decisionali e del Risk Appetite Framework (RAF).
5
4. LA RIDEFINIZIONE DELLA GOVERNANCE SOCIETARIA: IL D.LGS. N. 47/2026 (LEGGE CAPITALI)

Il D.Lgs. 47/2026 (in vigore dal 29 aprile 2026) rappresenta l’intervento attuativo della Legge Capitali e impatta in modo trasversale sia sulle S.p.A. chiuse che sulle società quotate.
Viene abrogato il principio per cui, nel silenzio dello statuto, si applica automaticamente il sistema tradizionale (art. 2380 c.c.). Lo statuto deve ora indicare espressamente se opta per il sistema tradizionale, monistico o dualistico, garantendo pari dignità e simmetria normativa a tutti i modelli.
L’amministrazione dell’impresa spetta esclusivamente ai registi della gestione aziendale. Gli organi delegati hanno il compito specifico di istituire e presidiare gli assetti organizzativi, amministrativi e contabili (art. 2381-bis c.c.).
Viene introdotto il divieto assoluto di delegare le decisioni concernenti l’accesso agli strumenti di regolazione della crisi e dell’insolvenza, blindando la responsabilità in capo all’intero CdA.
Il D.Lgs. 47/2026 inserisce l’art. 2396-quinquies c.c., che impone all’organo di controllo (Collegio Sindacale, Consiglio di Sorveglianza o Comitato per il controllo sulla gestione) di vigilare in ottica puramente preventiva ed economico-finanziaria.
I flussi informativi e l’attività dei controllori interni si estendono obbligatoriamente alle politiche d’uso e monitoraggio dei sistemi di Intelligenza Artificiale negli assetti contabili, nonché alla gestione della sicurezza cibernetica e dei rischi informatici.
Viene ufficialmente cancellato il divieto di ricoprire cariche cross-board in mercati concorrenti (il vecchio art. 36 D.L. 201/2011), liberalizzando le competenze manageriali nel settore finanziario.
Nel T.U.F. viene ridisegnato il perimetro dei gestori, differenziando nettamente tra GEFIA autorizzati e GEFIA sotto-soglia semplicemente “registrati” (per masse inferiori a 100M€, o 500M€ se privi di leva).
L’introduzione dei nuovi obblighi informatici e legati ai sistemi di Intelligenza Artificiale, formalizzati dal D.Lgs. 47/2026 (in attuazione della Legge Capitali), rappresenta una svolta epocale: la tecnologia smette di essere un mero strumento operativo e diventa oggetto formale di vigilanza societaria e di responsabilità degli amministratori.
Questo impianto normativo si salda strettamente a livello europeo con il Regolamento AI Act (Regolamento UE 2024/1689) e con il Regolamento DORA (per il settore finanziario), imponendo una ridefinizione immediata delle attività del Consiglio di Amministrazione e dell’Organo di Controllo (Collegio Sindacale).
Gli amministratori delegati e il CdA hanno l’obbligo di istituire e valutare l’adeguatezza degli assetti organizzativi, amministrativi e contabili. Con la riforma, la nozione di “adeguatezza” ricomprende tassativamente l’infrastruttura tecnologica.
Il nuovo ruolo dell’organo di controllo si sposta decisamente su una logica Risk-Based e preventiva. I sindaci non devono possedere competenze da ingegneri informatici, ma devono saper vigilare sui processi e sulla robustezza dei controlli interni:
Se la contabilità o i bilanci previsionali (forward-looking information) sono elaborati tramite algoritmi o modelli predittivi di IA, il Collegio Sindacale deve verificare che la catena di approvvigionamento del dato (data lineage) sia tracciabile, verificabile e priva di distorsioni (bias).
I sindaci devono richiedere attestazioni periodiche sulla qualità e sulla non-manipolabilità dei dati inseriti nei sistemi di IA contabile.
Nelle riunioni periodiche e nei flussi informativi ex art. 150 T.U.F. / art. 2381 c.c., l’organo di controllo deve inserire a verbale lo stato dei rischi informatici e l’esito dei monitoraggi sulle vulnerabilità di rete.
In caso di data breach (violazione dei dati) significativo, il Collegio Sindacale deve essere immediatamente informato dagli amministratori per valutarne l’impatto sulla continuità aziendale (going concern).
In linea con i dettami europei, i membri dell’organo di controllo devono documentare l’avvenuta partecipazione a sessioni di aggiornamento professionale in materia di tecnologie emergenti, per poter esercitare con cognizione di causa il proprio dovere di vigilanza.

*PhD, Avvocato accreditato come docente 2026 UNRL ente accreditato al MEF e al CNDCEC e al CNF, socio AnalisiBanka APS

_________________________________________________________________________