Perché il prossimo anno segnerà un cambio di paradigma nei controlli dell’Organismo di Vigilanza

Il 2026 sarà un anno di svolta per gli Organismi di Vigilanza. Tre fronti regolatori – NIS 2, DORA e uso aziendale dell’Intelligenza Artificiale – introdurranno obblighi strutturali che impatteranno direttamente su Modelli 231, sistemi di controllo interno e responsabilità dei vertici aziendali.
Per l’OdV non si tratta più di “osservare” processi aziendali consolidati, ma di vigilare su framework nuovi, tuttora in fase di metabolizzazione da parte delle imprese.

1. Audit NIS 2: la nuova frontiera dei controlli cyber secondo il D.lgs. 138/2024

Con l’entrata in vigore della disciplina italiana NIS 2, molte aziende rientrano – anche inconsapevolmente – tra i soggetti “essenziali” o “importanti”. L’OdV dovrà verificare:

• adeguatezza del Cybersecurity Risk Management;

• adozione delle misure minime richieste dall’Allegato II;

• gestione della supply chain e valutazione dei fornitori ICT;

• procedure di notifica degli incidenti significativi;

• formazione e consapevolezza del personale;

• integrazione dei requisiti NIS 2 nel Modello 231 (rischio cyber come fattore abilitante di reati 231).

La criticità principale è che molti processi NIS 2 non sono ancora maturi. L’OdV dovrà quindi monitorare non solo la conformità, ma anche la capacità dell’impresa di allinearsi alla direttiva nel tempo.

Strumenti di supporto

Edirama.org mette a disposizione software e kit specifici per l’audit NIS 2, tra cui:

2. Audit DORA: resilienza operativa digitale e presidi 231

Il Regolamento DORA impone a banche, assicurazioni, finanziarie e ICT provider nuove misure su:

• ICT risk framework;

• business continuity e piani di resilienza;

• testing periodico della continuità operativa;

• gestione dei fornitori critici ICT;

• incident reporting;

• governance del Board e responsabilità documentali.

Dal punto di vista dell’OdV, DORA rappresenta un’area critica perché tocca presidi già centrali per il Modello 231:

• controllo dei rischi ICT;

• responsabilità del vertice;

• outsourcing e vendor management;

• continuità dei processi sensibili.

Strumenti di supporto

Edirama.org offre:

3. Audit su utilizzo dell’Intelligenza Artificiale: il nuovo perimetro di rischio dell’OdV

Il 2026 sarà il primo anno in cui molte aziende dovranno dimostrare di aver implementato politiche chiare sull’AI, in linea con:

• EU AI Act;

• Linee guida nazionali su AI e sicurezza informatica;

• requisiti di trasparenza e governance dell’uso dell’IA nei processi decisionali.

Gli OdV dovranno valutare in particolare:

• mappatura dei sistemi AI presenti in azienda;

• classificazione del rischio (alto, limitato, minimo);

• documentazione e tracciabilità degli algoritmi;

• mitigazione dei bias e controlli human-in-the-loop;

• rischi 231 correlati (frodi, discriminazioni, decisioni automatizzate non controllate, cybersecurity, trattamento dati);

• procedure interne su sviluppo, utilizzo, manutenzione e audit dei sistemi IA.

Questa area diventerà rapidamente uno dei temi più delicati per gli OdV, soprattutto per le imprese che usano sistemi AI in processi HR, logistici, produttivi, finanziari o di sicurezza informatica.

Strumenti di supporto

Edirama.org ha sviluppato risorse mirate per gli audit AI:

4. Come cambierà l’attività dell’OdV 231 nel 2026

Gli audit su NIS 2, DORA e AI richiederanno all’Organismo di Vigilanza:

• competenze tecniche più ampie (cyber, ICT governance, AI);

• periodicità maggiore dei controlli (almeno trimestrale per NIS 2 e DORA);

• richiesta sistematica di report, metriche e KPI;

• maggiore interazione con CIO, CISO, DPO e responsabili IT;

• revisione della Parte Speciale del Modello 231.

In pratica, l’OdV dovrà evolvere da organo di vigilanza “giuridico-organizzativo” a presidio tecnico-strategico, capace di comprendere la struttura digitale dell’impresa.

5. Il 2026 sarà l’anno degli audit “tech-driven”

NIS 2, DORA e AI costringeranno le aziende a ripensare governance, processi e controlli interni.
Per l’OdV 231 questo rappresenta un’opportunità: poter presidiare nuovi rischi-reato, valorizzare il proprio ruolo e contribuire alla sicurezza complessiva dell’impresa.