Il ransomware non blocca solo i server. Blocca anche la prova che stavi gestendo bene l’azienda.

Cosa sono gli adeguati assetti?

Sono la struttura organizzativa, amministrativa e contabile che ogni imprenditore societario o collettivo deve avere per rilevare in tempo la crisi e agire di conseguenza. L’obbligo nasce dall’art. 2086 del Codice Civile. L’assetto deve essere proporzionato alla natura e alle dimensioni dell’impresa e si compone di tre parti:

  • Organizzativo: organigramma, ruoli, deleghe e flussi informativi tracciabili.
  • Amministrativo: procedure per tesoreria, flussi di cassa e gestione del rischio.
  • Contabile: dati attendibili e tempestivi, bilanci infrannuali, budget e previsione di cassa.
    Gli assetti vanno quindi aggiornati man mano che l’azienda cresce.

Cosa prevede la norma?

Prevede che l’imprenditore sappia rilevare la crisi e si attivi senza indugio. Gli assetti devono permettere di verificare la sostenibilità dei debiti e la continuità aziendale per i dodici mesi successivi. Ogni amministratore dovrebbe saper rispondere a tre domande:

  1. Come sta l’impresa adesso?
  2. Come starà tra dodici mesi se tutto prosegue così?
  3. Se peggiora, c’è ancora margine per intervenire?

Se non hai dati documentati per rispondere, l’assetto probabilmente non è adeguato.

Chi è coinvolto?

Tutte le società e le forme collettive, più amministratori, sindaci e revisori.

  • Le PMI sono il target principale. Una micro-srl non è esentata: cambia la complessità richiesta, non l’obbligo.
  • Gli amministratori hanno la responsabilità diretta di istituire gli assetti.
  • Il collegio sindacale, il sindaco unico e il revisore vigilano sull’adeguatezza.
  • L’imprenditore individuale deve adottare misure idonee a rilevare la crisi (art. 3 CCII) .
  • Banche e investitori guardano alla qualità del controllo e della pianificazione.

Come dimostrare di avere assetti adeguati: la UNI/PdR 167

Avere assetti adeguati è un obbligo. Poterlo dimostrare con una valutazione indipendente è ciò che fa la differenza se qualcuno lo mette in discussione. La UNI/PdR 167:2025 è la prassi di riferimento UNI pensata per questo. Definisce i requisiti per una corretta gestione dell’assetto organizzativo, amministrativo e contabile e prevede la valutazione di terza parte da parte di un organismo accreditato

I vantaggi concreti sono questi:

  • Prova documentata di diligenza: gli amministratori dispongono di evidenze oggettive sul loro operato, da usare in caso di contestazione.
  • Dialogo con banche e investitori: un assetto verificato da terzi rende più leggibile la qualità della pianificazione e del controllo.
  • Visione chiara dei punti deboli:la verifica mostra dove intervenire prima che emergano problemi. Sul fronte informatico, un check-up del rischio cyber e un test periodico delle vulnerabilità permettono di documentare nel tempo cosa è stato rilevato e cosa è stato corretto.
  • Integrazione con altri sistemi: il lavoro si innesta su ISO 9001, ISO 27001 e Modello 231, senza ripartire da zero.

La certificazione non dà immunità agli amministratori e non garantisce un rating bancario più alto. Vale perché rafforza la posizione dell’impresa, non perché elimina i rischi.

Perché c’entra la sicurezza informatica?

Perché gli assetti si basano su dati e sistemi, e un attacco può bloccare sia l’attività sia la prova che l’azienda era ben gestita. Tutti e tre gli assetti dipendono da gestionale, contabilità, home banking, cloud e posta. Se un ransomware li ferma:

  • non produci i dati infrannuali e previsionali che servono a vedere la crisi;
  • perdi report, verbali e procedure che documentano la diligenza;
  • rischi di non riuscire ad “attivarti senza indugio” quando serve.

Il punto è che il rischio cyber si può misurare, e questo lo rende gestibile come qualsiasi altro rischio d’impresa. Strumenti come la Cyber Risk Investigation (CRI) partono dai dati dell’azienda presenti sul web e nel dark web e li trasformano in un punteggio e in una stima del possibile danno economico.
Il risultato è un numero che anche un CdA o un sindaco possono leggere e inserire tra i rischi monitorati. Un’analisi come EVA (Extended Vulnerability Assessment) va nella stessa direzione sul piano tecnico: individua le vulnerabilità dei sistemi e le restituisce in un report che si può consegnare sia all’IT sia alla direzione.

Per questo ha senso ragionare in modo integrato: assetti, ISO 27001 per i dati, Modello 231 per i controlli interni e sicurezza della filiera. La mappatura dei rischi non va riscritta da zero e gli audit possono essere unificati, con tempi e costi ridotti.

Domande Frequenti

Gli adeguati assetti sono obbligatori per le piccole imprese?
Sì. L’obbligo riguarda ogni imprenditore societario o collettivo, in modo proporzionato alle dimensioni dell’impresa.

La certificazione UNI/PdR 167 è obbligatoria?
La certificazione è volontaria, mentre gli assetti adeguati sono obbligatori per legge. La certificazione è lo strumento per dimostrarli con una valutazione indipendente.

Cosa c’entra la cybersecurity con gli adeguati assetti?
Gli assetti si basano su dati e sistemi informatici. Se vengono compromessi, l’azienda non riesce a monitorare la crisi né a documentare di averlo fatto.

Prossimo passo

Vuoi capire se i tuoi assetti reggono e se i dati che li alimentano sono al sicuro?
Prenota una consulenza gratuita e ti indichiamo come misurare il tuo rischio cyber in modo concreto. Scrivici a info@cyberitalia.cloud