daRedazione|Feb 14, 2025|Diritto d'Impresa
La clausola di salvaguardia NIS 2 permette un’applicazione più proporzionata della normativa. Al riguardo, il Decreto legislativo 4 settembre 2024, n. 138 (c.d. Decreto NIS 2) ammette la possibilità per le imprese di unaesenzione soggettiva con deroga ai criteri di commisurazione delle medie e grandi imprese.
Più precisamente, il combinato disposto dei commi 4 e 12 dell’art. 3 deldecreto NISprevede che:«Per determinare se un soggetto è da considerarsi una media o grande impresa ai sensi dell’articolo 2 dell’allegato della raccomandazione 2003/361/CE, si applica l’articolo 6, paragrafo 2, del medesimo allegato, salvo che ciò non sia proporzionato, tenuto anche conto dell’indipendenza del soggetto dalle sue imprese collegate in termini di sistemi informativi e di rete che utilizza nella fornitura dei suoi servizi e in termini di servizi che fornisce […]L’Autorità nazionale competente NIS applica la clausola di salvaguardia di cui al comma 4, secondo i criteri per la determinazione individuati con le modalità di cui all’articolo 40, comma 1».
Con la pubblicazione delDecreto del Presidente del Consiglio dei Ministri 9 dicembre 2024, n. 221sulla Gazzetta Ufficiale del 10 febbraio 2025, sono stati definitii criteri e le modalitàcon cui determinati soggetti possono richiedere l’esenzione dagli obblighi previsti dal Decreto NIS 2, qualora l’inclusione nel perimetro di applicazione della normativa risulti sproporzionata rispetto alla loro effettiva operatività in ambito di cybersicurezza.
L’introduzione della Clausola di salvaguardia NIS 2 si inserisce nel quadro delle misure adottate per l’attuazione della Direttiva (UE) 2022/2555 (NIS 2), finalizzate a garantire un livello elevato e uniforme di sicurezza informatica all’interno dell’Unione Europea.
Il legislatore ha riconosciuto la necessità di prevederemeccanismi di esenzioneper quei soggetti che, pur rientrando nel perimetro di applicazione della normativa, presentano caratteristiche tali da giustificare una deroga agli obblighi previsti. Il DPCM 221/2024 stabilisce quindi i criteri per accedere alla clausola di salvaguardia NIS 2, individuando specificirequisiti di indipendenza operativache devono essere soddisfatti affinché un’impresa possa richiedere l’esclusione dal regime di compliance previsto dal Decreto NIS 2.
L’esenzione mira a evitare che le imprese con un impatto marginale nel contesto della cybersicurezza nazionale o che presentano un’elevata autonomia operativa rispetto al gruppo di appartenenza siano gravate daobblighi sproporzionatirispetto al loro ruolo effettivo nel sistema informatico e di rete nazionale. La possibilità di ottenere tale esenzione è però subordinata alla verifica di rigorosi criteri di indipendenza, i quali saranno analizzati nei paragrafi successivi.
Criteri di applicazione della clausola di salvaguardia NIS 2
Il DPCM 221/2024, all’articolo 3, definisce i criteri specifici per la richiesta di applicazione della Clausola di salvaguardia NIS 2, stabilendo le condizioni che un soggetto deve soddisfare per essere escluso dagli obblighi previsti dal Decreto NIS 2. In particolare, la normativa individua come elemento essenziale la totale indipendenza operativa e informatica del soggetto richiedente rispetto alle altre imprese collegate.
Affinché un’impresa possa beneficiare della clausola di salvaguardia NIS 2, essa deve attestare latotale indipendenza dei propri sistemi informativie di rete NIS da quelli delle imprese collegate. Ciò significa che i sistemi informativi e le infrastrutture di rete utilizzati dal soggetto richiedente devono essere completamente autonomi e non devono dipendere, in alcun modo, dalle infrastrutture informatiche delle altre aziende appartenenti al medesimo gruppo.
L’indipendenza deve riguardare non solo le componenti hardware e software, ma anche i flussi di dati e le interconnessioni, evitando qualsiasi forma di interdipendenza tecnologica che potrebbe compromettere la separazione operativa.
Parallelamente, la normativa richiede che il soggetto dimostri latotale indipendenzadelle proprie attività e dei propri servizi NIS rispetto alle imprese collegate. In altri termini, le attività e i servizi che rientrano nell’ambito di applicazione del Decreto NIS 2 non devono essere in alcun modo influenzati da altre realtà societarie appartenenti allo stesso gruppo. La separazione deve essere assoluta, senza alcuna condivisione di risorse operative, tecniche o di personale che possa compromettere l’autonomia della gestione dei servizi NIS.
Non tutti i soggetti rientranti nel perimetro di applicazione della normativa possono richiedere l’attivazione della clausola di salvaguardia NIS 2. L’articolo 3, comma 10, del Decreto NIS 2 stabilisce infatti che determinati enti e organizzazioni, in ragione della loro natura e delle funzioni svolte, non possono beneficiare di tale esenzione.
Pertanto, prima di presentare la richiesta, è necessario verificare con attenzione l’effettiva sussistenzadei requisiti di indipendenza operativa e tecnologica, al fine di evitare il rigetto dell’istanza da parte dell’Autorità nazionale competente NIS.
L’individuazione di criteri così stringenti evidenzia come il legislatore abbia voluto limitare l’accesso alla Clausola di salvaguardia NIS 2 ai soli soggetti che, per caratteristiche oggettive, risultano realmente estranei ai rischi sistemici connessi alla cybersicurezza nazionale.
Procedura per richiedere e applicare la clausola di salvaguardia NIS 2
Il DPCM 221/2024 stabilisce che la richiesta di applicazione della clausola di salvaguardia NIS 2 debba essere presentata attraverso un’apposita procedura. In particolare, l’articolo 4 del DPCM disciplina le modalità con cui i soggetti che ritengano di possedere i requisiti di indipendenza operativa e tecnologica possono ottenere l’esenzione dagli obblighi previsti dalla normativa.
Il procedimento ha inizio con la registrazione del soggetto richiedente sullapiattaforma digitale prevista dall’articolo 7, comma 1, del Decreto NIS 2.Nel corso di tale registrazione, il soggetto deve esplicitamente dichiarare di soddisfare i requisiti previsti dall’articolo 3 del DPCM 221/2024, attestando la totale indipendenza dei propri sistemi informativi e di rete e la totale indipendenza delle proprie attività e servizi NIS rispetto alle imprese collegate.
La dichiarazione deve essere resa in modoveritiero e completo, in quanto le informazioni fornite saranno oggetto di verifica da parte dell’Autorità nazionale competente NIS.
La scadenza per la presentazione della richiesta èfissata al 28 febbraio 2025, termine entro il quale tutti i soggetti interessati dovranno aver completato la procedura di registrazione e trasmissione dell’istanza. Una volta inoltrata la richiesta, l’Autorità nazionale competente NIS procederà alla valutazione delle dichiarazioni rese, verificando la sussistenza effettiva delle condizioni per l’applicazione della clausola di salvaguardia NIS 2.
L’esito del procedimento verrà comunicato al soggetto richiedente attraverso la stessa piattaforma digitale utilizzata per la registrazione. Qualora l’Autorità nazionale competente NISaccolga la richiesta, il soggetto sarà esonerato dagli obblighi previsti dalla normativa. In caso di rigetto, invece, il soggetto dovrà conformarsi pienamente alla normativa, implementando tutte le misure di cybersicurezza previste per la propria categoria di appartenenza.
È importante sottolineare che la richiesta di esenzione è soggetta a responsabilità dichiarativa, in quanto l’articolo 76 delDPR 445/2000prevede sanzioni per le dichiarazioni mendaci rese nell’ambito di procedimenti amministrativi. Di conseguenza, la compilazione della richiesta deve essere effettuata con la massima attenzione, evitando inesattezze o omissioni che potrebbero pregiudicare l’accoglimento dell’istanza o determinare conseguenze sanzionatorie per il soggetto richiedente.
Clausola di salvaguardia NIS 2: attenzione alla corretta gestione degli adempimenti
Il DPCM 221/2024 ha chiarito con precisione i criteri di applicazione della clausola, evidenziando la necessità di un’indipendenza assoluta sia dal punto di vista informatico che gestionale. La normativa ha introdotto requisiti stringenti, proprio per evitare che l’esenzione possa essere richiesta in assenza di reali presupposti.
La procedura per ottenere l’applicazione della Clausola di salvaguardia NIS 2 deve essere gestita conparticolare attenzione,poiché prevede la presentazione di una dichiarazione formale da parte del soggetto richiedente, il quale è tenuto ad attestare, sotto la propria responsabilità, la totale indipendenza dei propri sistemi informativi e di rete e delle proprie attività e servizi NIS rispetto alle imprese collegate. Inoltre, l’Autorità nazionale competente effettuerà verifiche sulle istanze presentate, valutando caso per caso la fondatezza delle dichiarazioni rese.
Considerata la complessità della disciplina e la necessità di garantire la piena conformità alle disposizioni del Decreto NIS 2, è opportuno che le imprese valutino con attenzione la propria posizione prima di procedere con la richiesta di esenzione. Un’analisi accurata dei requisiti e una gestione scrupolosa della procedura possono ridurre il rischio dierrori o dichiarazioni inesatte,che potrebbero comportare il rigetto dell’istanza o altre conseguenze sul piano amministrativo.
In questo contesto, il supporto di figure specializzate incompliance normativaecybersicurezzapuò risultare di particolare utilità, sia nella fase di valutazione preliminare sia nella predisposizione della documentazione necessaria, assicurando un approccio metodico e conforme alle prescrizioni della normativa vigente.
Studio Legale D’Agostino: assistenza in cyber security e sicurezza informatica con focus sul Decreto NIS 2. Applicazione della clausola di salvaguardia NIS 2
daRedazione|Feb 7, 2025|Diritto d'Impresa
La disciplina della start up innovativa è stata introdotta con il Decreto Legge 18 ottobre 2012, n. 179, convertito con modificazioni dalla Legge 17 dicembre 2012, n. 221, per sostenere la nascita e lo sviluppo diimprese ad alto contenuto tecnologico, favorire l’occupazione giovanile e incentivare la crescita del tessuto economico nazionale.
Una start up innovativa deve soddisfare precisi requisiti giuridici, economici e tecnologici, al fine di beneficiare delle misure di agevolazione previste dalla legge.In primis, la società dovrà completare la registrazione nella sezione speciale del Registro delle Imprese, un passaggio ineludibile per poter accedere agli incentivi societari e fiscali.
Il presente articolo ha l’obiettivo di fornire unaguida sinteticasui requisiti per la start up innovativa e sulle modalità di iscrizione nella sezione speciale delRegistro delle Imprese, in conformità alla normativa vigente. Nel prosieguo dell’articolo, verranno dunque illustrati icriteri di ammissibilitàper ottenere la qualifica di start up innovativa, le caratteristiche richieste dalla legge, le modalità di iscrizione e gli obblighi di aggiornamento delle informazioni.
Verrà, inoltre, analizzata la disciplina specifica per lestart up innovative a vocazione sociale, nonché il passaggio aPMI innovativanel caso in cui l’impresa perda i requisiti per il mantenimento dello status.
Start up innovativa: i requisiti generali
La qualificazione come start up innovativa è subordinata al rispetto di una serie direquisiti normativi, delineati dall’art. 25delD.L. 179/2012, che ne definisce le caratteristiche fondamentali. L’obiettivo del legislatore è quello di individuare un modello imprenditoriale altamente specializzato, caratterizzato da una significativa componente tecnologica e innovativa.
Ai fini della sua costituzione e del mantenimento della qualifica, unastart up innovativadeve assumere la forma disocietà di capitali, anche in forma cooperativa, e non deve avere azioni o quote rappresentative del capitale sociale quotate su un mercato regolamentato o su un sistema multilaterale di negoziazione. Inoltre, deve essere costituita e operativa da non più disessanta mesi,requisito che mira a garantire il sostegno alle sole imprese di recente formazione, coerentemente con la ratio della normativa.
Dal punto di vista territoriale, la start up innovativa deve essereresidente in Italia, ai sensi dell’art. 73 del D.P.R. 22 dicembre 1986, n. 917, o avere sede in uno Stato membro dell’Unione Europea o dello Spazio Economico Europeo, a condizione che disponga di almeno una sede operativa o una filiale sul territorio italiano. Tale vincolo è volto a incentivare l’attrazione di investimenti e competenze nel contesto nazionale, assicurando che l’attività imprenditoriale generi effetti diretti sull’economia italiana.
Sul piano economico, il legislatore ha introdotto ulteriori vincoli per qualificare un’impresa come start up innovativa. In particolare, il valore della produzione annua, a decorrere dal secondo anno di attività, non può eccedere la soglia di5 milioni di euro,come risultante dall’ultimo bilancio approvato entro sei mesi dalla chiusura dell’esercizio.
Inoltre, la società non deve aver distribuito utili sin dalla sua costituzione e deve mantenere tale vincolo per l’intera durata del periodo in cui beneficia delle agevolazioni previste dalla normativa di riferimento.
Elemento essenziale per la qualificazione di start up innovativa è la finalità dell’attività d’impresa. La società deve avere qualeoggetto sociale esclusivo o prevalentelo sviluppo, la produzione e la commercializzazione di prodotti o servizi innovativi ad alto valore tecnologico.
Infine, per prevenire abusi e garantire l’effettiva innovatività del progetto imprenditoriale, è previsto il divieto di costituire una start up innovativa a seguito difusioni, scissioni societarie o cessioni d’aziendao di ramo d’azienda. Questa disposizione mira a evitare che soggetti già operativi nel mercato si avvalgano in modo improprio delle agevolazioni previste dalla normativa, riservandole esclusivamente alle realtà di nuova o recente costituzione.
Start up innovativa: i requisiti tecnologici e di ricerca
Oltre ai requisiti di carattere giuridico ed economico, la normativa vigente impone alle imprese che intendano qualificarsi come start up innovativa il rispetto di specifici criteri volti a garantire l’effettivo carattere innovativo della loro attività. Tali criteri sono espressamente disciplinati dall’art. 25, comma 2 del D.L. 179/2012, e si riferiscono alla capacità dell’impresa di sviluppare prodotti o servizi a elevato contenuto tecnologico e alla presenza di un significativo investimento in ricerca e sviluppo.
Più precisamente, affinché un’impresa possa ottenere e mantenere lo status di start up innovativa, è necessario che rispetti almeno uno dei seguenti tre requisiti:
1) Investimenti in ricerca e sviluppo
La società deve destinare alle attività di ricerca e sviluppo almeno il15%del maggiore valore tra costo e valore totale della produzione. Tale parametro è determinabile sulla base del bilancio annuale della società e, in assenza di bilancio nel primo anno di attività, può essere autocertificato dal legale rappresentante. Ai fini del calcolo di questa soglia minima, la normativa considera ammissibili diversevoci di spesa, tra cui:
- costi relativi a sperimentazione, prototipazione e sviluppo delbusiness plan;
- spese per servizi di incubazione forniti da incubatori certificati;
- costi lordi del personale impiegato in attività di ricerca e sviluppo, inclusi soci e amministratori con funzioni tecniche;
- spese legali e amministrative per la registrazione e protezione della proprietà intellettuale.
2) Personale altamente qualificato
L’impresa deve impiegare, come dipendenti o collaboratori a qualsiasi titolo, una percentuale significativa di personale con una qualificazione accademica elevata. In particolare, è richiesto che almeno:
- un terzo della forza lavoro complessiva sia costituito da soggetti in possesso di titolo di dottorato di ricerca, o che stiano svolgendo un dottorato presso un’università italiana o estera, o che abbiano svolto per almeno tre anni attività di ricerca certificata presso istituti pubblici o privati in Italia o all’estero; oppure
- due terzi della forza lavoro complessiva siano in possesso di una laurea magistrale.
Un tale requisito mira a garantire che l’impresa disponga di un capitale umano altamente qualificato, in grado di sviluppare soluzioni tecnologiche avanzate e di contribuire all’innovazione nei settori di riferimento.
3) Tutela della proprietà intellettuale e industriale
La start up innovativa deve essere titolare, depositaria o licenziataria di almeno una privativa industriale afferente alla propria attività, come:
- un brevetto per invenzione industriale o biotecnologica;
- una topografia di prodotto a semiconduttori;
- una nuova varietà vegetale;
- undiritto d’autore su softwareregistrato presso il Registro pubblico speciale per i programmi per elaboratore.
Questa disposizione è volta a incentivare lo sviluppo di nuove tecnologie e a rafforzare la competitività delle imprese innovative attraverso la tutela giuridica delle loro creazioni.
L’adempimento di almeno uno di questi tre criteri è condizione imprescindibile per ottenere e mantenere la qualifica di start up innovativa. La verifica del rispetto di tali requisiti avviene annualmente attraverso il deposito delladichiarazione di mantenimento dei requisitipresso il Registro delle Imprese.
Start up innovativa: le modalità di iscrizione nella sezione speciale del Registro delle Imprese
Con l’iscrizione nella sezione speciale del Registro delle Imprese la start up innovativa potrà accedere alle agevolazioni previste dalla normativa di riferimento. L’art. 25 del D.L. 179/2012 stabilisce che tale iscrizione si affianca alla registrazione nella sezione ordinaria.
La procedura di registrazione varia a seconda che si tratti di una società di nuova costituzione o di una società già esistente che intenda ottenere la qualifica di start up innovativa.
A. Iscrizione della start up innovativa di nuova costituzione
Nel caso di una società di nuova costituzione, la richiesta di iscrizione nella sezione speciale deve avvenire contestualmente alla registrazione dell’atto costitutivo presso il Registro delle Imprese.
La domanda di iscrizione deve essere presentata in forma telematica medianteComunicazione Unica, trasmessa alla Camera di Commercio territorialmente competente. Tale comunicazione ha validità anche ai fini fiscali e previdenziali, in quanto viene automaticamente trasmessa anche all’Agenzia delle Entrate, all’INPS e all’INAIL.
L’iscrizione nella sezione speciale del Registro delle Imprese avviene in parallelo alla registrazione nella sezione ordinaria, costituendo una condizione essenziale per beneficiare delle deroghe al diritto societario e delle agevolazioni previste.
È prevista l’esenzione dal pagamento dell’imposta di bollo e dei diritti di segreteria per gli adempimenti legati all’iscrizione della società nel Registro delle Imprese, nonché l’esenzione dal pagamento del diritto annuale dovuto alle Camere di Commercio. Tuttavia, tale beneficio ha una durata limitata e non si estende oltre il quinto anno di iscrizione.
L’impresa deve avviare l’attività contestualmente alla sua costituzione. Qualora la start up innovativa non comunichi l’inizio attività al momento della registrazione, non potrà richiedere l’iscrizione nella sezione speciale e sarà soggetta ai normali obblighi fiscali e amministrativi previsti per le società di capitali.
Un ulteriore requisito imposto dal legislatore è l’obbligo di trasparenza. L’art. 25, comma 11 del D.L. 179/2012 impone infatti alla start up innovativa di rendere pubblicamente disponibili sul proprioSito Internetuna serie di informazioni, tra cui:
- data e luogo di costituzione, nome e indirizzo del notaio rogante;
- sede principale e sedi secondarie;
- oggetto sociale, con una descrizione chiara dell’attività svolta;
- spese in ricerca e sviluppo, con una previsione dettagliata per il primo anno di attività;
- elenco deisoci in equity,garantendo trasparenza rispetto a eventuali partecipazioni fiduciarie o holding;
- elenco delle società partecipate;
- titoli di studio e qualifiche professionali dei soci e dei dipendenti;
- relazioni con incubatori certificati, investitori istituzionali o università;
- bilancio annuale, in formato XBRL, depositato presso il Registro delle Imprese;
- diritti di proprietà industriale e intellettuale eventualmente detenuti.
B. Iscrizione della start up innovativa per società già costituite
Per le società già costituite che intendano acquisire lo status di start up innovativa, la normativa prevede una procedura di registrazione differente. In questo caso, l’iscrizione alla sezione speciale del Registro delle Imprese avvienesuccessivamente alla costituzione, e la domanda deve essere trasmessa in via telematica tramite Comunicazione Unica, con l’utilizzo del modello informatico S2.
Anche in questo caso, l’iscrizione nella sezione speciale non sostituisce l’iscrizione già avvenuta nella sezione ordinaria del Registro delle Imprese, ma si aggiunge ad essa.
Sia per le società di nuova costituzione, sia per quelle già operative, il completamento della registrazione nella sezione speciale consente alla start up innovativa di accedere alle deroghe previste dal diritto societario, nonché ai benefici fiscali e previdenziali correlati.
Start up innovativa: obblighi di aggiornamento e dichiarazione di mantenimento dei requisiti
L’iscrizione nella sezione speciale del Registro delle Imprese impone alla start up innovativa specifici obblighi di aggiornamento e comunicazione periodica, volti a garantire il costante monitoraggio dei requisiti richiesti dalla normativa. La disciplina di riferimento, delineata dall’art. 25delD.L. 179/2012, prevede che le imprese beneficiarie delle agevolazioni debbano periodicamente confermare il possesso delle condizioni necessarie per il mantenimento dello status speciale.
A) Aggiornamento periodico delle informazioni
L’art. 25, comma 17-bis del D.L. 179/2012, introdotto con il D.L. 135/2018, stabilisce che la start up innovativa sia tenuta adaggiornare almeno una volta all’annole informazioni fornite al momento della richiesta di iscrizione nella sezione speciale. Tale aggiornamento è fondamentale per garantire la trasparenza verso il mercato e per consentire agli operatori economici e agli investitori di verificare la solidità e l’innovatività del progetto imprenditoriale.
L’aggiornamento deve essere effettuato attraverso la piattaforma digitale startup.registroimprese.it e riguarda i seguenti dati:
- composizione della compagine sociale, con indicazione delle eventuali modifiche intervenute;
- oggetto sociale, con particolare riferimento all’attività innovativa svolta;
- sede legale e operativa, inclusa l’eventuale apertura di nuove unità locali;
- bilancio annuale, con evidenza delle spese sostenute per ricerca e sviluppo;
- variazioni nelle partecipazioni societarie e nei rapporti con investitori o incubatori certificati;
- nuove privative industriali, brevetti o diritti di proprietà intellettuale acquisiti.
L’omessa comunicazione dell’aggiornamento può comportare difficoltà nell’accesso ai benefici previsti dalla normativa e rappresenta un indice di inattendibilità nei confronti degli investitori e delle istituzioni finanziarie.
B) Dichiarazione annuale di mantenimento dei requisiti
L’art. 25, comma 15 del D.L. 179/2012, come modificato dal D.L. 135/2018, impone inoltre l’obbligo di depositare annualmente unadichiarazione di mantenimento dei requisiti, da presentare entro 30 giorni dall’approvazione del bilancio e comunque entro sei mesi dalla chiusura dell’esercizio. In caso di adozione del termine lungo previsto dall’art. 2364del Codice Civile, il deposito deve avvenire entro sette mesi dalla chiusura dell’esercizio sociale.
La dichiarazione, firmata digitalmente dal legale rappresentante della società, deve attestare il rispetto dei requisiti di ammissibilità e deve essere depositata presso il Registro delle Imprese attraverso il modello informatico S2.
La mancata presentazione della dichiarazione annuale ha conseguenze rilevanti: l’art. 25, comma 16 equipara l’omesso deposito alla perdita dei requisiti di start up innovativa, con conseguente cancellazione automatica dalla sezione speciale del Registro delle Imprese.
La normativa prevede un sistema di raccordo automatico tra l’aggiornamento annuale delle informazioni e la dichiarazione di mantenimento dei requisiti. In particolare, la piattaforma digitale del Registro delle Imprese impedisce il deposito della dichiarazione di mantenimento qualora la società non abbia prima provveduto ad aggiornare i propri dati.
Il rispetto di questi obblighi è dunque essenziale per preservare lo status di start up innovativa e continuare a beneficiare delle deroghe al diritto societario, delle agevolazioni fiscali e delle misure di sostegno previste dalla legge.
Start up innovativa e passaggio a PMI innovativa
Nel corso della sua evoluzione, una start up innovativa può perdere i requisiti previsti dalla normativa vigente e cessare di rientrare nella categoria di imprese soggette al regime agevolato. Il legislatore, tuttavia, ha previsto un meccanismo ditransizione agevolatache consente alle società che abbiano superato i limiti stabiliti per le start up innovative di accedere alla disciplina dellePMI innovative, garantendo la continuità delle misure di sostegno e degli incentivi normativi.
La normativa stabilisce che una start up innovativa perde automaticamente il proprio status al decorso del termine massimo di sessanta mesi dalla costituzione, termine che rappresenta il limite temporale imposto dal legislatore per l’accesso alle agevolazioni riservate alle imprese emergenti. Lo stesso effetto si verifica qualora l’impresa superi il valore annuo della produzione di cinque milioni di euro, a partire dal secondo anno di attività, o distribuisca utili ai soci in violazione del divieto imposto dalla disciplina di riferimento.
Il venir meno dei requisiti può inoltre derivare dalla modifica dell’oggetto sociale, qualora la società cessi di operare nello sviluppo, nella produzione e nella commercializzazione di prodotti o servizi ad alto valore tecnologico, nonché dal mancato rispetto degli obblighi periodici di aggiornamento e dalla mancata presentazione della dichiarazione annuale di mantenimento dei requisiti.
In tali circostanze, l’impresa viene cancellata d’ufficio dalla sezione speciale del Registro delle Imprese, cessando di beneficiare delle deroghe al diritto societario e delle agevolazioni fiscali e amministrative previste per le start up innovative.
Al fine di evitare che il superamento dei limiti imposti dalla normativa determini una brusca interruzione delle misure di sostegno, il legislatore ha introdotto la possibilità per le start up innovative di effettuare il passaggio alla sezione speciale delle PMI innovative senza soluzione di continuità. Affinché ciò sia possibile, è necessario che l’impresa rientri nella definizione di piccola e media impresa, così come delineata dal Regolamento (UE) n. 651/2014, e che permangano i presupposti di innovatività richiesti per l’accesso alla categoria delle start up innovative.
In particolare, l’impresa deve continuare a destinare una quota significativa della propria attività alla ricerca e sviluppo, impiegare personale altamente qualificato oppure detenere privative industriali e diritti di proprietà intellettuale afferenti all’oggetto sociale. La società interessata al passaggio deve presentare un’apposita istanza di iscrizione nella sezione speciale delle PMI innovative, indicando le motivazioni della richiesta e attestando il mantenimento delle condizioni di innovatività.
L’iscrizione alla sezione speciale delle PMI innovative permette all’impresa di proseguire nel proprio percorso di crescita senza rinunciare aibenefici fiscali e normativicompatibili con la nuova categoria giuridica. In particolare, le PMI innovative possono continuare a beneficiare di agevolazioni fiscali sugli investimenti in capitale di rischio, semplificazioni amministrative in materia di deposito degli atti societari presso il Registro delle Imprese, facilitazioni nell’accesso al credito attraverso il Fondo di Garanzia per le PMI, nonché condizioni di favore per la partecipazione agli appalti pubblici e ai programmi di finanziamento europei dedicati all’innovazione.
Start up innovativa a vocazione sociale: requisiti e peculiarità
La disciplina delle start up innovative si applica anche a quelle imprese che, oltre a soddisfare i requisiti previsti dalla normativa generale, operano in via esclusiva in settori dirilevante interesse sociale. Il legislatore ha infatti introdotto la categoria delle start up innovative a vocazione sociale, disciplinata dall’art. 25, comma 4 del D.L. 179/2012, con l’intento di incentivare lo sviluppo di imprese che, pur conservando il carattere innovativo e tecnologico richiesto dalla normativa, perseguano finalità di impatto sociale in settori strategici per il benessere collettivo.
Ai fini del riconoscimento di tale qualifica, la società deve operare esclusivamente in uno o più settori individuati dall’art. 2, comma 1 del D.Lgs. 24 marzo 2006, n. 155, tra i quali rientrano: l’assistenza sociale e sanitaria, l’educazione e la formazione, la tutela dell’ambiente e dell’ecosistema, la valorizzazione del patrimonio culturale, il turismo sociale, la ricerca e l’erogazione di servizi culturali, nonché l’erogazione di servizi strumentali alle imprese sociali.
Il riconoscimento della qualifica di start up innovativa a vocazione sociale non richiede l’iscrizione nella sezione speciale del Registro delle Imprese dedicata alle imprese sociali, ma è subordinato alla presentazione di un’apposita autocertificazione da parte del legale rappresentante della società.
L’iterdi riconoscimento prevede che l’impresa, in fase di iscrizione allasezione specialedelle start up innovativa, indichi espressamente il settore di attività e attesti di realizzare, operando in tale ambito, una finalità di interesse generale.
Tale dichiarazione deve essere trasmessa attraverso la piattaforma digitale del Registro delle Imprese e deve essere accompagnata dall’impegno a dare evidenza dell’impatto sociale prodotto dall’attività aziendale. A tal fine, il legislatore ha imposto l’obbligo di redigere annualmente unDocumento di Descrizione dell’Impatto Sociale, in cui l’impresa deve illustrare i risultati conseguiti in termini di beneficio per la collettività. Il documento, elaborato secondo le indicazioni fornite dal Ministero dello Sviluppo Economico, deve essere trasmesso alla Camera di Commercio territorialmente competente, a conferma della persistenza delle finalità di interesse generale dichiarate in sede di registrazione.
L’accesso alla qualifica di start up innovativa a vocazione sociale consente di beneficiare di un regime fiscale agevolato, con una maggiorazione degli incentivi per gli investimenti in capitale di rischio rispetto a quanto previsto per le start up innovative tradizionali. Tale misura mira a favorire l’afflusso di capitali privati verso imprese che, oltre a introdurre soluzioni innovative e tecnologicamente avanzate, si propongono di generare un impatto positivo sulla società e sull’ambiente.
Costituzione di una start up innovativa: assistenza legale dedicata
La start up innovativa è uno strumento che permette ai soci e ai promotori del progetto di poter beneficiare delle numerose misure di sostegno previste dal legislatore.
Il quadro normativo delineato dal D.L. 179/2012 e dalle successive modifiche impone alle start up precisi obblighi non solo in fase di prima registrazione, ma anche per il mantenimento dell’iscrizione nella sezione speciale del Registro delle Imprese.
In un quadro normativo complesso, la corretta gestione degli adempimenti e il rispetto delle condizioni richieste dalla legge risultano fondamentali per massimizzare i benefici derivanti dalla qualifica di start up innovativa.
L’esperienza che abbiamo maturato nell’ambito dellacorporate compliancee del diritto delle nuove tecnologie consente di fornire un supporto qualificato per affrontare le complesse dinamiche normative del settore, garantendo alle imprese innovative un’assistenza strategicafinalizzata a una crescita sostenibile e conforme al quadro normativo vigente.
Per ricevere unaconsulenza personalizzata, lo Studio Legale D’Agostino è a disposizione per affiancare soci e promotori di una start-up innovativa nella crescita sicura e sostenibile delbusiness.
Assistenza legale per start-up innovativa. Patti parasociali, costituzione Srl, iscrizione nel registro, protezione IP con lo Studio Legale D’Agostino.
daRedazione|Feb 4, 2025|Diritto d'Impresa,Diritto Penale
La nomina dell’Organismo di Vigilanza garantisce l’effettività delModello organizzativo 231, nell’ambito delle strategie aziendali diprevenzione dei reati all’interno dell’ente. L’Organismo di Vigilanza (OdV) è un organo di controllo indipendente, previsto dal D.lgs. 231/2001, con il compito di vigilare sull’efficace attuazione e aggiornamento del modello, segnalando eventuali irregolarità e proponendo misure correttive.
L’introduzione della responsabilità amministrativa degli enti ha determinato la necessità, per le imprese e le organizzazioni, di adottare strumenti di compliance aziendale in grado di ridurre il rischio di coinvolgimento in procedimenti sanzionatori.
Ilmodello organizzativo 231, se adeguatamente implementato e aggiornato, può costituire una causa esimente dalla responsabilità dell’ente, ma solo a condizione che sia stata la nomina dell’Organismo di Vigilanza, dotato dei requisiti di autonomia, indipendenza e professionalità.
L’OdV svolge quindi un ruolo chiave nel garantire che il modello non si riduca a un mero apparato formale, ma sia concretamente applicato nella gestione aziendale. La sua istituzione e il suo funzionamento devono essere regolati da criteri rigorosi, in modo da assicurare una vigilanza efficace sui processi interni e sugli obblighi di prevenzione dei reati.
Nei paragrafi successivi verranno approfonditi icriteri di nominadell’Organismo di Vigilanza 231, i requisiti necessari per i suoi componenti, le sue principalifunzionie l’importanza deiflussi informativicome strumento essenziale per il corretto svolgimento della sua attività di controllo.
Nomina dell’Organismo di Vigilanza 231: criteri e modalità
La Nomina dell’Organismo di Vigilanza è un atto di fondamentale importanza per l’efficace attuazione del Modello organizzativo 231. Solitamente essa viene deliberata dalConsiglio di Amministrazione, sentito il Collegio Sindacale, con l’obiettivo di garantire che il soggetto o i soggetti designati abbiano i requisiti di autonomia, indipendenza e competenza richiesti dalla normativa. L’OdV può avere una composizionemonocraticaocollegiale, a seconda delle dimensioni e della complessità organizzativa dell’ente.
Per leimprese di piccole dimensionie per lestart-up,l’art. 6, comma 4 del D.lgs. 231/2001 prevede che i compiti dell’OdV possano essere svolti direttamente dall’organo dirigente, senza la necessità di un organismo separato. Questa soluzione, sebbene legittima, solleva criticità in termini di indipendenza e obiettività del controllo, motivo per cui molte aziende, anche di ridotte dimensioni, preferiscono istituire un OdV autonomo. Abbiamo trattato il tema in unprecedente articolo, al quale facciamo rinvio.
Per leimprese di medie e grandi dimensioni, invece, la composizione collegiale è generalmente preferibile, in quanto consente una maggiore distribuzione delle competenze e una più efficace gestione dei controlli.
L’OdV può essere composto sia dacomponenti interniall’ente (ad esempio il responsabile dell’internal audit o della funzione legale) sia daesperti esternicon competenze specifiche in diritto penale d’impresa, sistemi di controllo e compliance aziendale. La scelta tra un modello monocratico o collegiale dipende dalla necessità di assicurare l’effettività e l’efficacia del controllo, evitando qualsiasi interferenza con le attività operative dell’ente.
Una particolare attenzione deve essere posta nella definizione deicriteri di nomina.Per garantire l’autonomia dell’OdV, è necessario che i componenti non abbiano conflitti di interesse, vincoli di subordinazione o ruoli operativi che potrebbero comprometterne l’imparzialità. Inoltre, il loro mandato deve essere stabilito per un periodo di tempo definito, con possibilità di rinnovo, e deve essere prevista una procedura di revoca solo per giusta causa, evitando la possibilità di pressioni o interferenze indebite.
La nomina dell’Organismo di Vigilanza rappresenta, dunque, una fase delicata che incide direttamente sull’efficacia del modello organizzativo. Un OdV correttamente selezionato, e dotato dei requisiti richiesti dalla normativa, permette di garantire lacorretta funzionalità del sistema di prevenzionedei reati e per conferire all’ente un’effettiva protezione dalla responsabilità amministrativa dipendente da reato.
Requisiti per la Nomina dell’Organismo di Vigilanza 231
Guardano alla prassi e allebest practicesdi settore, i principali requisiti per la Nomina dell’Organismo di Vigilanza sono tre: autonomia e indipendenza, professionalità e continuità di azione. Tali caratteristiche non solo assicurano il corretto funzionamento dell’OdV, ma sono anche decisive per dimostrare l’effettività del modello 231, evitando che esso venga considerato un mero strumento formale privo di reale applicazione.
a) Autonomia e indipendenza
Il principio di autonomia e indipendenza dell’OdV è essenziale affinché l’organismo possa esercitare il proprio ruolo senza subire pressioni o interferenze da parte degli organi di gestione dell’ente. Il D.lgs. 231/2001 non fornisce una definizione puntuale di tali requisiti, ma la prassi e la giurisprudenza hanno chiarito che l’OdV deve essere dotato diautonomi poteri di iniziativa e controllo, senza essere soggetto a vincoli di subordinazione gerarchica o funzionale.
Affinché sia garantita l’autonomia decisionale, la nomina dell’Organismo di Vigilanza deve riguardare soggetti che non siano coinvolti nelle attività operative dell’ente e che non abbianointeressi economici rilevantinell’organizzazione. Questo significa, ad esempio, che un dirigente con poteri esecutivi o un membro del Consiglio di Amministrazione non può essere nominato come OdV, in quanto la sua funzione di controllo potrebbe risultare compromessa dalla partecipazione alle decisioni gestionali.
L’indipendenza dell’OdV deve essere valutata sia a livello oggettivo che soggettivo. Sulpiano oggettivo, l’OdV deve essere collocato in una posizione di livello, ma senza essere sottoposto a direttive o condizionamenti operativi.
Sulpiano oggettivo, i componenti dell’OdV devono essere privi di conflitti di interesse con l’ente e con le società collegate o controllate. Non devono inoltre esistere vincoli di parentela o affinità con i vertici aziendali, né partecipazioni azionarie o interessi economici significativi nell’ente.
L’atto di nomina dell’Organismo di Vigilanza deve inoltre prevedere garanzie di stabilità e protezione nei confronti dei componenti, evitando che possano essere rimossi o sostituitisenza una giusta causa.Il loro incarico deve avere una durata definita e la revoca deve essere giustificata esclusivamente in presenza di comprovate inadempienze o conflitti di interesse sopravvenuti.
b) Professionalità
La competenza professionale dei componenti dell’OdV è un requisito essenziale per la sua efficacia. La nomina dell’Organismo di Vigilanza deve riguardare soggetti con unelevato livello di specializzazione, in grado di effettuare verifiche ispettive, analizzare i processi aziendali e individuare eventuali criticità nei sistemi di prevenzione dei reati.
LeLinee Guida di Confindustriaraccomandano che i componenti dell’OdV abbiano conoscenze approfondite in materia giuridica, economica e gestionale, con particolare attenzione al diritto penale d’impresa, ai sistemi di controllo interno, alla corporate governance e ai meccanismi di compliance aziendale.
Le principali competenze richieste per la nomina dell’Organismo di Vigilanza riguardano:
- Diritto penale e amministrativo, con particolare riferimento ai reati previsti dal D.lgs. 231/2001 e ai criteri di imputazione della responsabilità amministrativa dell’ente.
- Attività ispettiva e di audit,con capacità di condurre verifiche, ispezioni interne e analisi documentali per garantire il rispetto del Modello organizzativo 231.
- Analisi dei processi aziendali,attraverso la mappatura delle aree sensibili e la valutazione dei rischi connessi alla possibile commissione di reati.
- Metodologie dirisk assessment,per individuare e monitorare le criticità nel sistema di gestione e controllo dell’ente.
Per assicurare un adeguato livello di competenza, la nomina dell’Organismo di Vigilanza può prevedere una composizione collegiale, includendo soggetti con professionalità complementari, come avvocati esperti di diritto penale, revisori contabili, esperti di compliance aziendale e specialisti dirisk management.
c) Continuità di azione
La continuità operativa dell’OdV è fondamentale affinché il controllo sulla corretta attuazione del modello organizzativo 231 non si riduca a un’attività episodica o meramente formale. La nomina dell’Organismo di Vigilanza deve quindi cadere su soggetti in grado di garantire unimpegno costantenell’attività di vigilanza, con un programma di verifiche periodiche e un monitoraggio sistematico dei processi aziendali.
L’OdV deve disporre di unbudget autonomo,approvato dal Consiglio di Amministrazione, per svolgere le proprie attività in maniera indipendente, avvalendosi, se necessario, di consulenti esterni per approfondimenti specialistici. È inoltre essenziale che l’OdV abbia accesso a tutta la documentazione aziendale rilevante per l’esercizio delle sue funzioni, senza restrizioni o vincoli operativi.
Un ulteriore aspetto che incide sulla continuità d’azione è la previsione diflussi informativi costantitra l’OdV e le funzioni aziendali sensibili, al fine di garantire che tutte le segnalazioni di eventuali irregolarità vengano tempestivamente analizzate e gestite. L’OdV deve inoltre redigere report periodici, da trasmettere agli organi apicali dell’ente, nei quali riferire sulle attività svolte, sulle criticità riscontrate e sulle eventuali misure correttive da adottare.
Atto di nomina dell’Organismo di Vigilanza: compiti e poteri
I compiti dell’Organismo di Vigilanza possono essere distinti in tre aree principali: verifica dell’efficacia del modello, controllo sull’osservanza delle procedure e aggiornamento continuo del sistema di prevenzione. Tali attività sono disciplinate dall’art. 6 del D.lgs. 231/2001 e dalleLinee Guida di Confindustria,che hanno delineato una serie di funzioni essenziali per il corretto funzionamento dell’OdV.
1) Vigilanza sull’effettività del modello organizzativo: l’OdV verifica della coerenza tra i comportamenti aziendali e le prescrizioni del modello, attraverso un’analisi costante delle procedure adottate e un controllo sulle aree sensibili individuate nella mappatura dei rischi. L’atto di nomina dell’Organismo di Vigilanza deve prevedere che le misure preventive siano concretamente attuate e che non si verifichi un rispetto soltanto “cartolare” del modello.
2) Analisi dell’adeguatezza del modello: l’OdV deve verificare che il modello organizzativo sia idoneo a prevenire i reati presupposto previsti dal D.lgs. 231/2001, individuando eventuali criticità e proponendo azioni correttive. Questo richiede un’analisi approfondita della struttura organizzativa dell’ente, con particolare attenzione ai meccanismi di controllo interni, alle deleghe di poteri e ai protocolli decisionali adottati dall’azienda.
3) Monitoraggio del mantenimento nel tempo dei requisiti di solidità e funzionalità del modello:l’OdV non può limitarsi a un’analisi statica, ma deve garantire che il modello organizzativo venga costantemente aggiornato in base alleevoluzioni normative, ai cambiamenti organizzativi e agli esiti delle verifiche interne. La sua funzione è quindi dinamica e proattiva, orientata a migliorare costantemente il sistema di prevenzione dei rischi.
Per assolvere ai propri compiti, l’OdV deve essere dotato di poteri autonomi di iniziativa e controllo. Ai sensi dell’art. 6 del D.lgs. 231/2001 l’OdV dovrebbe accedere senza restrizioni a tutti i documenti aziendali rilevanti, effettuare verifiche ispettive e condurre indagini interne per accertare eventuali violazioni del modello.
Inoltre, l’OdV deve avere la possibilità diraccogliere informazionida tutte le funzioni aziendali, interagendo con i responsabili delle aree più sensibili e richiedendo chiarimenti su operazioni o decisioni rilevanti ai fini della compliance.
L’autonomia di spesa è un altro aspetto essenziale per garantire l’indipendenza dell’OdV. La nomina dell’Organismo di Vigilanza deve prevedere l’assegnazione di un budget autonomo, che consenta all’OdV di avvalersi, se necessario, di consulenti esterni per approfondimenti specialistici e di condurre verifiche indipendenti senza interferenze da parte del management aziendale.
Infine, un ulteriore compito dell’OdV è la promozione dellacultura dellacomplianceaziendale.Ciò significa che l’Organismo di Vigilanza deve diffondere la conoscenza del modello 231 attraverso attività formative rivolte a dipendenti e dirigenti, al fine di sensibilizzare tutto il personale sull’importanza delle regole di prevenzione e sulle conseguenze della violazione delle normative di riferimento.
Nomina dell’Organismo di Vigilanza e flussi informativi
Nel trattare della nomina dell’Organismo di Vigilanza, non potrebbe tacersi l’importanza che rivestono iflussi informativinell’effettività dei controlli demandati a quest’ultimo. Il D.lgs. 231/2001, all’art. 6, comma 2, lettera d), stabilisce che il modello di organizzazione e gestione deve prevedere obblighi di informazione nei confronti dell’OdV, al fine di consentire un controllo costante e approfondito sulle aree aziendali più esposte al rischio di commissione di reati.
I flussi informativi si articolano indue direzioni:da un lato, vi sono le comunicazioni che l’Organismo di Vigilanza deve ricevere, ossia i report periodici, le segnalazioni di anomalie e le informazioni riguardanti eventi di rilievo; dall’altro, vi sono i flussi in uscita, ovvero le relazioni che l’OdV trasmette agli organi societari, in particolare al Consiglio di Amministrazione e al Collegio Sindacale, per evidenziare criticità e proporre eventuali aggiornamenti del modello.
Le informazioni trasmesse all’OdV devono riguardare tutti gli aspetti rilevanti per la vigilanza sull’effettività e sull’adeguatezza del modello, compresi gli esiti delle attività di audit interno, le verifiche sugli strumenti di controllo e il rispetto dei protocolli aziendali. È essenziale che i responsabili delle funzioni aziendali più esposte ai rischi 231 trasmettano con regolarità report dettagliati all’OdV, segnalando eventuali situazioni anomale o potenzialmente critiche.
In questo contesto, assume particolare rilievo la gestione delle segnalazioniwhistleblowing, che consente ai dipendenti e ai collaboratori di riferire eventuali violazioni delle procedure senza timore di ritorsioni, garantendo l’anonimato e la riservatezza.
Oltre ai flussi informativi interni, la nomina dell’Organismo di Vigilanza implica anche l’istituzione di un sistema direporting periodicoverso il Consiglio di Amministrazione e il Collegio Sindacale. L’OdV deve redigere relazioni periodiche – solitamente su base semestrale o annuale – in cui illustra le attività svolte, evidenzia eventuali violazioni e propone misure correttive. Questo meccanismo consente alla governance aziendale di monitorare l’efficacia del sistema di controllo interno e di intervenire tempestivamente in caso di necessità.
Un aspetto critico per l’effettività dei flussi informativi è la qualità e la tempestività delle comunicazioni. È fondamentale che le informazioni trasmesse all’OdV siano chiare, complete e tempestive, affinché l’Organismo possa intervenire con tempestività e adottare le misure necessarie per prevenire situazioni di rischio.
Per questo motivo, molte aziende formalizzano le modalità di comunicazione attraverso procedure interne e regolamenti specifici, che disciplinano la periodicità, i contenuti e i canali attraverso cui devono essere trasmesse le informazioni.
Infine, la nomina dell’Organismo di Vigilanza deve prevedere una specifica disciplina delle responsabilità in caso diomissione dei flussi informativi.L’omessa trasmissione di dati rilevanti all’OdV può costituire una grave violazione del modello e comportare conseguenze disciplinari per i soggetti responsabili.
L’efficacia dell’OdV dipende in gran parte dalla collaborazione dell’intera struttura aziendale, motivo per cui è fondamentale che i vertici societari – dopo la nomina dell’Organismo di Vigilanza – promuovano una cultura della trasparenza e della comunicazione interna, al fine di garantire il corretto funzionamento del sistema di prevenzione dei rischi previsto dal D.lgs. 231/2001.
Segnalazioni e whistleblowing: dalla nomina dell’Organismo di Vigilanza alle attività operative
La sola nomina dell’Organismo di Vigilanza può non essere sufficiente ad assicurare l’emersione di condotte illeciteall’interno della società. La possibilità di segnalare violazioni del modello 231 e di eventuali condotte illecite costituisce un pilastro dellacorporate compliancee rappresenta un elemento imprescindibile per garantire l’effettività del controllo esercitato dall’OdV.
Il D.lgs. 231/2001, integrato dalle disposizioni del D.lgs. 24/2023 in attuazione della Direttiva (UE) 2019/1937, ha rafforzato il ruolo delwhistleblowing,introducendo specifiche disposizioni a tutela dei segnalanti. La normativa impone agli enti di adottare canali di segnalazione riservati e sicuri, in grado di garantire la riservatezza dell’identità delwhistleblower,nonché di predisporre misure di protezione nei confronti di chi denuncia condotte illecite, al fine di evitare ritorsioni o discriminazioni.
Nell’ambito della nomina dell’Organismo di Vigilanza, risulta quindi essenziale disciplinare in modo chiaro i flussi informativi relativi alle segnalazioni, definendo procedure interne che consentano di ricevere, analizzare e gestire le comunicazioni pervenute.
L’OdV deve essere in grado di valutare le segnalazioni con piena autonomia e indipendenza, adottando le misure necessarie per approfondire le anomalie riscontrate ed eventualmente attivare i meccanismi sanzionatori previsti dal modello.
Le aziende devono istituirecanali di segnalazione adeguati,che possano includere piattaforme digitali protette, indirizzi e-mail riservati, cassette postali fisiche o altre modalità che garantiscano l’anonimato del segnalante. La nomina dell’Organismo di Vigilanza prevede che l’OdV abbia accesso diretto a queste segnalazioni, senza interferenze da parte della direzione aziendale, e che possa gestirle con criteri di trasparenza, imparzialità e riservatezza.
Si dovrebbe prevedere un sistema di verifica e monitoraggio delle segnalazioni ricevute, in modo da poter tracciare le attività di indagine svolte e le eventuali azioni correttive adottate. La registrazione e l’archiviazione delle segnalazioni devono avvenire nel rispetto della normativa sullaprotezione dei dati personali, garantendo che le informazioni siano trattate con il massimo livello di riservatezza e che i principi di proporzionalità e necessità siano rispettati in ogni fase della gestione delle segnalazioni.
Supporto legale specialistico nella nomina dell’Organismo di Vigilanza
La nomina dell’Organismo di Vigilanza rappresenta un passaggio obbligato per l’attuazione di un modello 231 efficace, capace di ridurre i rischi di responsabilità amministrativa e rafforzare il sistema dicorporate compliance.
Il nostro Studio vanta unapluriennale esperienzanella gestione degli adempimenti connessi allaresponsabilità 231, offrendo supporto specialistico in tutte le fasi di elaborazione, implementazione e aggiornamento del modello.
Svolgiamo direttamente il ruolo diOrganismo di Vigilanza esterno, sia in forma monocratica che come membri di OdV collegiali, garantendo un controllo indipendente e altamente qualificato.
Affianchiamo le impresenella costruzione di un sistema di compliance efficace, in linea con le miglioribest practicee con l’evoluzione normativa in materia dicorporate governance.
Compliance 231 e nomina dell’Organismo di Vigilanza. Un avvocato specialista in diritto penale per una strategia dicorporate complianceintegrata.
daRedazione|Feb 2, 2025|Diritto Penale,Diritto d'Impresa
IlModello organizzativo 231è lo strumento cardine per le imprese che vogliano conformarsi alla disciplina sulla responsabilità amministrativa degli enti, prevista dalD.lgs. 8 giugno 2001, n. 231. Come noto, tale normativa prevede una responsabilità diretta delle persone giuridiche per determinati reati commessi, nell’interesse o a vantaggio dell’ente, da soggetti in posizione apicale o sottoposti alla loro direzione e vigilanza. L’adozione di un Modello organizzativo 231 idoneo consente all’impresa di prevenire tali reati e di escludere (o, in certi casi, attenuare) la propria responsabilità. Abbiamo trattato dell’argomento anche inprecedenti articoli, con focus specifico su alcune categorie di reati e sulla compliance per enti di ridotte dimensioni oin fase di start-up.
Con questo articolo intendiamo fornire ai lettori una guida sui principi normativi, lastruttura del modello, i reati presupposto, lefasi di elaborazionee gliallegati fondamentaliper la costruzione di un sistema di gestione della compliance conforme al D.lgs. 231/2001.
Il Decreto 231 si inserisce in un più ampio quadro normativo volto a rafforzare la legalità e la trasparenza nelle attività economiche, recependo obblighi derivanti da convenzioni internazionali, tra cui la Convenzione OCSE sulla lotta alla corruzione e la Convenzione di Bruxelles sulla tutela degli interessi finanziari della Comunità Europea. L’obiettivo del legislatore non è solo repressivo, mafortemente preventivo,imponendo alle imprese l’adozione di un sistema di regole e procedure interne per ridurre il rischio di commissione di reati.
Un Modello organizzativo 231 adeguato e ben strutturato consente all’ente di dimostrare la propriaestraneità alla condotta illecita, a condizione che siano rispettati alcuni requisiti fondamentali, tra cui:
- lamappatura delle attività a rischio reato, identificando le aree aziendali più esposte;
- l’adozione diprotocolli interniper regolamentare i processi decisionali e di gestione;
- la predisposizione di unsistema disciplinareche sanzioni eventuali violazioni del modello;
- l’istituzione di unOrganismo di Vigilanza(OdV) indipendente, con poteri di iniziativa e controllo;
- l’implementazione di un sistema diformazione e comunicazionevolto a diffondere la cultura dellacomplianceaziendale.
La mancata adozione di un Modello organizzativo 231, ove si verifichi la commissione di un reato presupposto, può comportare per l’ente l’applicazione disanzioni pecuniarie, interdittive, la confisca dei beni e persino la pubblicazione della sentenza di condanna. Risulta, pertanto, imprescindibile che le imprese adottino un Modello organizzativo 231 idoneo ed efficace, personalizzato in base alla propria struttura e alle proprie attività.
Modello organizzativo 231 e esonero da responsabilità
Il Modello organizzativo 231 trova la sua principale ragion d’essere nella prevenzione dei reati che possono determinare la responsabilità amministrativa dell’ente. Il legislatore, attraverso il D.lgs. 231/2001, ha progressivamente ampliato l’elenco deireati presupposto, includendo fattispecie sempre più eterogenee che spaziano dai delitti contro la pubblica amministrazione, aireati societari, ai delitti ambientali e tributari, fino alle più recenti incriminazioni in materia di cybercrime e riciclaggio.
Il decreto non si limita ad introdurre e disciplinare il regime di responsabilità a carico delle persone giuridiche ed il relativo apparato sanzionatorio, ma consente alle stesse di esserne esentate nel caso in cui provino:
- di aver adottato ed attuato in modoefficace un modello organizzativo 231, idoneo a prevenire il reato della specie di quello commesso;
- di aver affidato il compito divigilare sul funzionamento e l’osservanza del modello, sul suo aggiornamento ad un organismo dotato di autonomi poteri di iniziativa e controllo (Organismo di Vigilanza);
- che il reato è stato commessoeludendo fraudolentemente il modello di organizzazionee gestione
- che non vi è stataomessa o insufficiente vigilanzada parte dell’Organismo di Vigilanza.
Nucleo della disciplina, pertanto, è proprio la predisposizione e l’attuazione di detto modello, finalizzato ad impedire la commissione di certi reati nell’ambito dell’impresa da cui può dipendere la responsabilità dell’ente, il cui accertamento è demandato alla competenza del giudice penale.
In altre parole, la responsabilità per illeciti amministrativi dipendenti da reato viene quindi imputata all’ente in presenza delleseguenti condizioni:
- commissione dei reati presupposto nell’interesse o a vantaggio dell’ente (anche se non esclusivo). La valutazione dell’interesse va compiuta ex ante, mentre la sussistenza di un vantaggio concreto va accertata ex post;
- mancata adozione, prima della commissione del reato, da parte dell’ente di un adeguato ed efficace modello di organizzazione finalizzato a prevenire reati della stessa specie di quello verificatosi, ovvero mancata attuazione dello stesso ove esistente;
- mancata istituzione dell’organismo di vigilanza (OdV) e omessa o insufficiente vigilanza, da parte dello stesso, sul funzionamento e l’osservanza del modello organizzativo e sui comportamenti dei dipendenti.
Struttura e contenuti del Modello organizzativo 231
Il Modello organizzativo 231 è un sistema strutturato di misure, procedure e controlli volto a prevenire la commissione dei reati presupposto previsti dal D.lgs. 231/2001. La sua efficacia dipende dalla corretta implementazione e personalizzazione in base alle caratteristiche specifiche dell’ente.
La struttura del modello, secondo lebest practicesdi settore, si articola in due sezioni principali:
Parte Generale:definisce i principi fondamentali, le finalità del modello e il funzionamento degli strumenti di prevenzione e controllo;
Parte Speciale: disciplina in modo dettagliato i protocolli operativi relativi alle attività aziendali esposte a rischio reato.
Nella Parte Generale, vengono delineati gli elementi essenziali del Modello organizzativo 231, tra cui:
- Mappatura delle attività a rischio: l’ente deve identificare le aree aziendali esposte al rischio di commissione di reati, adottando strumenti di analisi per valutare i processi interni.
- Principi e protocolli di prevenzione: devono essere predisposte regole generali volte a ridurre il rischio di illeciti, improntando quali sono i processi decisionali e le attività operative a rischio reato.
- Sistema disciplinare:è necessario introdurre sanzioni nei confronti di chi non rispetta le misure previste dal modello, garantendo un’effettiva deterrenza.
- Ruolo dell’Organismo di Vigilanza (OdV): il modello deve prevedere un OdV autonomo e indipendente, con il compito di monitorare l’effettiva applicazione delle misure preventive e proporne l’aggiornamento.
La Parte Speciale del Modello organizzativo 231 è dedicata alla regolamentazione delle singole aree aziendali a rischio e alla predisposizione di procedure operative specifiche. Essa include:
- l’analisi dettagliata deiprocessi presidiatiin base ai reati presupposto rilevanti per l’ente;
- l’individuazione deiprotocolli operativie delle misure di controllo per ciascun processo aziendale esposto al rischio di illecito;
- Le modalità di segnalazione delle violazioni e lemisure di interventoin caso di non conformità.
L’efficacia del Modello organizzativo 231 dipende dalla sua concreta attuazione e dal monitoraggio continuo da parte dell’ente. Un modello formalmente corretto, ma non applicato in modo effettivo, non ha alcun valore ai fini dell’esonero da responsabilità. Pertanto, la formazione del personale, la diffusione delle procedure e l’attività di controllo dell’OdV risultano essenziali per garantirne la validità e l’aggiornamento costante.
Le fasi di elaborazione del Modello organizzativo 231
L’elaborazione di un Modello organizzativo 231 efficace richiede un processo strutturato e metodologico che garantisca la sua adeguatezza rispetto alle specificità dell’ente. Tale processo – come suggerito dallostandardcomunemente osservato – si articola in diverse fasi, ciascuna delle quali è funzionale alla creazione di un sistema di prevenzione realmente efficace.
La prima fase consiste nell’analisi del contesto aziendale, attraverso un’indagine approfondita delle attività svolte dall’ente, della sua struttura organizzativa e dei processi operativi. Questo passaggio è essenziale per comprendere le dinamiche decisionali interne e individuare le aree potenzialmente esposte al rischio di commissione di reati presupposto.
Successivamente, si procede – in via preliminare rispetto alla concreta elaborazione del modello organizzativo 231 – con lamappatura delle attività a rischio(risk assessment),che consente di identificare le funzioni aziendali maggiormente vulnerabili e di delineare gli scenari in cui potrebbero verificarsi condotte illecite. Tale analisi deve essere condotta con un approccio sistematico e basato su criteri oggettivi, al fine di individuare le criticità e predisporre misure preventive adeguate.
L’ente deve quindi definire una serie diprotocolli e procedure internevolte a regolamentare i processi decisionali e operativi (risk management), in modo da ridurre al minimo la possibilità che vengano commessi reati. Questi protocolli devono essere costruiti in modo tale da garantire la tracciabilità delle operazioni, il controllo incrociato delle decisioni e l’individuazione di eventuali anomalie.
Un ulteriore passaggio fondamentale è lanomina dell’Organismo di Vigilanza(OdV), organo indipendente deputato al controllo sull’effettiva applicazione del modello e sul rispetto delle misure di prevenzione adottate. L’OdV deve essere dotato di autonomia e poteri di iniziativa e controllo, affinché possa esercitare le proprie funzioni in modo efficace e imparziale. La definizione di flussi informativi obbligatori nei confronti dell’OdV è altresì cruciale, poiché consente all’organo di monitorare le attività sensibili e di intervenire tempestivamente in caso di irregolarità.
L’implementazione del Modello organizzativo 231 non si esaurisce con la sua adozione formale, ma richiede un’attività costante diformazione e sensibilizzazione del personale.Tutti i soggetti coinvolti nei processi aziendali devono essere adeguatamente informati sui principi del modello e sulle relative misure di prevenzione, affinché ne comprendano l’importanza e ne rispettino le prescrizioni. La formazione deve essere continua e adattata alle esigenze dell’ente, prevedendo sessioni periodiche di aggiornamento in funzione dell’evoluzione normativa e organizzativa.
Infine, per garantire l’idoneità del modello, è necessario un monitoraggio costante e un processo di revisione periodica. L’ente deve prevedere meccanismi di verifica e audit finalizzati a valutare l’effettiva applicazione del modello e la sua capacità di prevenire i reati. L’efficacia del Modello organizzativo 231 dipende dunque dalla sua capacità di adattarsi alle dinamiche aziendali e di rispondere in modo tempestivo alle nuove sfide in materia di compliance e gestione del rischio penale.
Focus sulla mappatura dei rischi nel Modello organizzativo 231
L’identificazione dei reati rilevanti per ciascun ente dipende dalla natura delle sue attività e dal contesto operativo in cui esso si inserisce, rendendo indispensabile un’analisi approfondita delle aree di rischio.
La costruzione di un Modello organizzativo 231 efficace presuppone la preliminare individuazione delleattività aziendali potenzialmente esposte al rischio di commissione dei reati presupposto.La cosiddetta mappatura dei rischi rappresenta un passaggio imprescindibile nella predisposizione del modello, poiché consente di definire con precisione le aree operative maggiormente vulnerabili e di calibrare le misure di prevenzione in modo mirato ed efficace.
Tale analisi deve essere condotta con un approccio metodologico rigoroso, attraverso un’indagine dettagliata dei processi interni e delle dinamiche decisionali che caratterizzano l’attività dell’ente.
L’individuazione delle attività sensibili implica uno studio approfondito della struttura aziendale, delle relazioni con terzi, della gestione delle risorse finanziarie e dei rapporti con la pubblica amministrazione.
È necessario esaminare il sistema deipoterie delledeleghe, le procedure di controllo interno e i protocolli operativi esistenti, al fine di individuare eventuali vulnerabilità che potrebbero agevolare la commissione di reati. La mappatura deve essere aggiornata periodicamente, tenendo conto delle evoluzioni normative e organizzative, nonché dell’emergere di nuove tipologie di rischio connesse ai mutamenti del contesto economico e regolatorio.
Un’adeguata attività dirisk assessmentcostituisce il presupposto essenziale per la definizione delle misure di prevenzione e per l’efficacia complessiva del modello. La mera predisposizione di un documento formale, privo di un’effettiva analisi delle criticità aziendali, non è sufficiente ad escludere la responsabilità dell’ente in sede giudiziaria.
Affinché il modello possa essere ritenuto idoneo a prevenire la commissione dei reati, è indispensabile che la mappatura dei rischi sia integrata da un sistema di controlli interni coerente e proporzionato rispetto alle specificità dell’ente.
Allegati del Modello organizzativo 231: quali documenti sono fondamentali?
L’efficacia del Modello organizzativo 231 dipende non solo dalla corretta strutturazione della sua parte generale e speciale, ma dal corredo degliallegatiche valgono a dimostrare che l’ente ha correttamente svolto le attività dirisk-assessmenterisk-management.Gli allegati completano il quadro per l’applicazione concreta del modello e agevolano il compiti dell’Organismo di Vigilanza (OdV).
Uno degli allegati principali è l’elenco dei reati presupposto, che riporta tutte le fattispecie di reato che possono determinare la responsabilità dell’ente ai sensi del D.lgs. 231/2001. Questo documento deve essere costantemente aggiornato alla luce delle modifiche normative e delle nuove disposizioni legislative, in modo da garantire che il modello sia sempre conforme alla normativa vigente.
Un altro documento essenziale è lamappatura delle attività a rischio, che individua le aree aziendali potenzialmente esposte alla commissione di reati e ne analizza le vulnerabilità. La mappatura consente di stabilire le misure di prevenzione più adeguate e di implementare controlli efficaci per minimizzare il rischio, contenuti nella parte speciale. Essa deve essere redatta con criteri metodologici rigorosi e basarsi su un’analisi dettagliata dei processi aziendali, tenendo conto della struttura organizzativa dell’ente e delle sue dinamiche operative.
Non di minore importanza è ilCodice etico e di comportamento, che definisce i valori e i principi fondamentali ai quali l’ente e i suoi collaboratori devono attenersi nello svolgimento delle attività aziendali. Il codice etico costituisce il riferimento primario per la costruzione della cultura aziendale in materia di compliance e legalità, fornendo indicazioni chiare sui comportamenti da adottare e sulle condotte da evitare per prevenire illeciti e situazioni di rischio.
Last but not least,ilsistema disciplinareche prevede le misure sanzionatorie applicabili in caso di violazione delle disposizioni del modello. Il sistema disciplinare deve essere strutturato in modo da garantire un’efficace deterrenza e deve prevedere sanzioni proporzionate alla gravità delle infrazioni commesse. Esso deve inoltre essere coerente con la normativa giuslavoristica e con il contratto collettivo applicato dall’ente, al fine di assicurarne la legittimità e l’effettiva applicabilità.
Al sistema disciplinare fa spesso da pendant laprocedura di whistleblowing,strumento essenziale per garantire la segnalazione di condotte illecite o irregolarità all’interno dell’ente. Tale procedura consente ai dipendenti e ai collaboratori di segnalare, in modo riservato e protetto, eventuali violazioni del modello o della normativa, senza il timore di subire ritorsioni.
La gestione delle segnalazioni deve essere conforme alla normativa vigente e prevedere meccanismi che assicurino l’anonimato del segnalante, nonché un sistema di verifica e gestione delle segnalazioni da parte dell’Organismo di Vigilanza (OdV). L’inserimento di una procedura di whistleblowing tra gli allegati del modello organizzativo 231 rafforza il sistema di controllo interno, incentivando la cultura della compliance e contribuendo alla tempestiva individuazione di comportamenti a rischio.
L’insieme degli allegati costituisce dunque un complemento essenziale al modello e ne determina l’efficacia pratica. La loro corretta predisposizione e il loro costante aggiornamento consentono di rafforzare il sistema di prevenzione del rischio penale e di dimostrare, in caso di contestazioni, che l’ente ha adottato tutte le misure necessarie per prevenire la commissione di reati nell’ambito della propria attività.
La nostra esperienza al tuo servizio per elaborare un Modello organizzativo 231 efficace
L’adozione di un Modello organizzativo 231 non rappresenta un mero adempimento formale, ma costituisce uno strumento strategico per la tutela dell’ente e per il rafforzamento della sua governance. La predisposizione di un modello adeguato ed efficace consente di ridurre significativamente il rischio di commissione di reati, garantendo un sistema di prevenzione, controllo e responsabilizzazione interna.
Affinché il modello assolva alla sua funzione esimente, è indispensabile che venga attuato in modo concreto e costante, evitando che si riduca a una documentazione priva di applicazione pratica. La sua efficacia dipende dall’integrazione con le attività aziendali, dalla formazione del personale e dall’attività di verifica e aggiornamento da parte dell’Organismo di Vigilanza (OdV).
In un contesto normativo in continua evoluzione, adottare e aggiornare un Modello organizzativo 231 risulta essenziale per le imprese che intendono operare in conformità alla legge e proteggere il proprio assetto organizzativo.
Per questo motivo, è consigliabile affidarsi adavvocati specialistiin diritto penale ed esperti in diritto d’impresa e compliance, in grado di garantire un’implementazione personalizzata ed efficace del modello. Siamo a vostra disposizione per un confronto sulle strategie di compliance aziendale.
Responsabilità amministrativa degli enti e D.Lgs. 231/2001. Lo Studio Legale D’Agostino offre supporto alle aziende per adottare un modello organizzativo 231 idoneo e supportare l’Organismo di Vigilanza.
daRedazione|Gen 14, 2025|Diritto d'Impresa
Il RegolamentoDORA (Digital Operational Resilience Act) rappresenta un punto di svolta per il settore finanziario europeo, introducendo un quadro normativo armonizzato per la gestione del rischio ICT e la resilienza operativa digitale. L’obiettivo principale della normativa è rafforzare la capacità delle entità finanziarie di prevenire, rilevare e rispondere a eventi che potrebbero compromettere la sicurezza dei dati e la continuità operativa. Per una sintesi delle disposizioni del Regolamento, rinviamo a unnostro precedente approfondimento.
La Banca d’Italia, attraverso lacomunicazione pubblicata il 23 dicembre 2024, ha richiamato l’attenzione degli intermediari vigilati sull’importanza di conformarsi a tali disposizioni e di intraprendere un’accurata analisi dei rischi DORA, obbligatoria per tutti i soggetti destinatari. La comunicazione è destinata ai seguenti soggetti vigilati da Banca d’Italia: banche, imprese di investimento, gestori, istituti di pagamento, istituti di moneta elettronica, emittenti di token collegati ad attività, prestatori di servizi per le cripto-attività, fornitori di servizi di crowdfunding. Qui iltesto della comunicazione.
Ricordiamo che a partire dal17 gennaio 2025, il Regolamento DORA sarà pienamente applicabile, imponendo obblighi stringenti in materia di gestione dei rischi informatici e sicurezza delle tecnologie dell’informazione e della comunicazione (TIC).
La normativa si integra con ilRegolamento attuativo UE 2024/1774, che disciplina in dettaglio le modalità di implementazione delle politiche e dei protocolli per il presidio del rischio ICT. In questo contesto, l’analisi dei rischi DORA assume un ruolo centrale per garantire non solo la conformità normativa, ma anche la resilienza complessiva del sistema finanziario, ormai sempre più esposto a minacce cibernetiche e vulnerabilità sistemiche.
Lacomunicazione della Banca d’Italiaha inoltre fissato al 30 aprile 2025 la scadenza per la trasmissione dell’autovalutazione da parte degli intermediari finanziari. Questo documento, che dovrà essere approvato dall’organo di amministrazione, rappresenta un passaggio essenziale per verificare che le politiche, i protocolli e le pratiche interne siano pienamente in linea con i requisiti stabiliti dal Regolamento DORA.
L’urgenza di predisporre tale autovalutazione impone agli intermediari una pianificazione immediata delle attività necessarie per adempiere agli obblighi previsti, assicurando che le misure adottate siano adeguate a prevenire, controllare e mitigare i rischi ICT.
Analisi dei rischi DORA: obblighi per gli intermediari vigilati
Il Regolamento DORA, insieme al Regolamento attuativo UE 2024/1774, stabilisce un quadro normativo dettagliato che vincola gli intermediari finanziari a implementare unagestione del rischio ICTorganica e integrata.
LaComunicazione della Banca d’Italiapubblicata il 23 dicembre 2024 evidenzia come tali obblighi si articolino in una serie di requisiti stringenti, che impongono agli intermediari di adattare le loro politiche e procedure interne per fronteggiare le crescenti minacce alla sicurezza informatica. Al centro di questo quadro si colloca l’analisi dei rischi DORA, che rappresenta un presupposto fondamentale per assicurare la compliance a tale normativa.
Il Regolamento prevede che ogni intermediario adotti un sistema di gestione dei rischi ICT strutturato, che comprenda politiche e protocolli volti a prevenire, rilevare e mitigare le vulnerabilità cibernetiche.
In particolare, è richiesto che vengano implementati presidi efficaci per la protezione della confidenzialità, integrità e disponibilità dei dati. Tale sistema deve essere integrato con strumenti di monitoraggio continuo delle attività anomale, in modo da rilevare tempestivamente eventi che possano compromettere i servizi offerti.
La Banca d’Italia, richiamando le evidenze delle sueanalisi di supervisione,sottolinea che gli incidenti cibernetici più frequenti sono causati da accessi non autorizzati e da inadeguatezze nei processi di modifica dei sistemi ICT, i quali richiedono un controllo particolarmente rigoroso.
Gli obblighi dicomplianceincludono anche la necessità di adottare strategie specifiche per la gestione dei rischi derivanti da terze parti. I fornitori di servizi TIC rappresentano un punto critico per la sicurezza degli intermediari, e il Regolamento impone che i contratti con tali soggetti siano conformi a standard di sicurezza elevati.
Un ulteriore aspetto evidenziato nella Comunicazione della Banca d’Italia riguarda l’adattamento dellepolitiche interne degli intermediari. Queste devono essere allineate alle disposizioni del Regolamento DORA e del Regolamento attuativo UE 2024/1774, garantendo che ogni decisione strategica sia supportata da dati accurati e da un’analisi del rischio ben fondata.
La carenza di sistemi di aggregazione e reportistica dei dati sui rischi, come emerso dalle analisi di supervisione, può infatti compromettere la solidità del processo decisionale e minare la capacità dell’ente di fronteggiare le minacce informatiche.
Analisi dei rischi DORA: il ruolo dell’autovalutazione nella gestione dei rischi ICT
L’autovalutazioneè uno step fondamentale nell’implementazione delle disposizioni previste dal Regolamento DORA e dal Regolamento attuativo UE 2024/1774. La Comunicazione della Banca d’Italia sottolinea la necessità che tutti gli intermediari vigilati, su base consolidata o individuale, conducano un’analisi approfondita della loro capacità digestione dei rischi ICT, valutando in che misura le loro politiche e i loro protocolli siano conformi ai requisiti normativi.
Questo processo, che culmina con l’approvazione da parte dell’organo di amministrazione,non è solo un obbligo formale, ma uno strumento strategico per garantire la resilienza operativa e la continuità aziendale.
La analisi dei rischi DORA richiede agli intermediari di esaminare attentamente vari aspetti delle loro operazioni. Tra questi, le strategie di gestione del rischio di terza parte rivestono un ruolo prioritario. Gli intermediari devono valutare l’adeguatezza dei contratti stipulati con ifornitori di servizi TICe verificare che le clausole contrattuali prevedano standard di sicurezza in linea con le disposizioni del Regolamento. Inoltre, è fondamentale che siano messe in atto misure di monitoraggio per garantire che i fornitori rispettino tali standard nel tempo.
Un’altra area critica riguarda i programmi ditest di resilienza operativa digitale.Questi test, che devono essere svolti regolarmente, mirano a verificare la capacità dell’intermediario di affrontare incidenti operativi o cibernetici, prevenire la compromissione dei sistemi e proteggere la riservatezza dei dati. L’analisi dei rischi DORA richiede che tali test siano progettati in modo da coprire tutti gli aspetti operativi critici, compresi i processi interni, i sistemi TIC e le relazioni con i fornitori terzi.
La Banca d’Italia sottolinea, inoltre, l’importanza di un efficace ICTchange management, in quanto i cambiamenti non adeguatamente gestiti rappresentano una delle principali cause di incidenti operativi. Gli intermediari devono quindi valutare che i propri processi di gestione delle modifiche siano coerenti con i requisiti del Regolamento DORA, includendo politiche specifiche, attribuzioni di responsabilità e meccanismi di controllo.
L’autovalutazione deve coinvolgere tutte le funzioni di controllo interne, sia di secondo che di terzo livello, garantendo un approccio trasversale alla gestione del rischio ICT.
Questo processo non solo consente agli intermediari di identificare eventuali lacune, ma offre anche l’opportunità di sviluppare un sistema di gestione dei rischi che sia proattivo e dinamico.
Analisi dei rischi DORA: impatti della normativa sulla governance aziendale
L’analisi dei rischi DORA non si limita a rafforzare la resilienza operativa degli intermediari finanziari, ma incide profondamente sulla loro governance aziendale. Il Regolamento DORA e il Regolamento delegato UE 2024/1774 attribuiscono agli organi di amministrazione un ruolo centrale nella gestione dei rischi ICT, imponendo loro di approvare e supervisionare le strategie, le politiche e le procedure necessarie per garantire la conformità normativa e la continuità operativa.
Questa responsabilità non è semplicemente tecnica, ma si estende a un livello strategico che coinvolge l’intero assetto decisionale dell’organizzazione.
La Comunicazione della Banca d’Italia evidenzia come gli organi di amministrazione siano chiamati a garantire uncontrollo efficacee a promuovere una cultura aziendale orientata alla gestione proattiva del rischio ICT. L’approvazione dell’autovalutazione, che rappresenta uno degli elementi cardine dell’analisi dei rischi DORA, richiede un coinvolgimento diretto delle funzioni apicali, che devono essere adeguatamente informate e formate sui requisiti della normativa. Questo passaggio implica non solo la validazione dei processi esistenti, ma anche la definizione di linee guida per affrontare le criticità emerse durante l’autovalutazione.
Un aspetto fondamentale è la responsabilità degli organi di governance nella gestione del rischio di terza parte, in particolare nei confronti dei fornitori di servizi TIC. Gli intermediari devono assicurarsi che le strategie di gestione delle terze parti siano integrate nel sistema di governance e che le relazioni contrattuali includano clausole specifiche per la sicurezza ICT.
Gli organi di amministrazione devono inoltre monitorare regolarmente l’operato dei fornitori, verificando che rispettino gli standard richiesti dal Regolamento DORA e adottando misure correttive in caso di non conformità.
L’analisi dei rischi DORA influenza anche la capacità degli organi di amministrazione di prendere decisioni basate sudati accurati e aggiornati. La capacità di aggregare e analizzare i dati sui rischi ICT, come evidenziato dalle indagini della Banca d’Italia, è essenziale per supportare il processo decisionale e garantire una gestione efficace dei rischi.
La mancata implementazione di sistemi adeguati per la raccolta e l’analisi dei dati può compromettere la solidità della governance e aumentare la vulnerabilità dell’organizzazione a incidenti operativi e cibernetici.
Infine, il Regolamento DORA richiede che gli organi di amministrazione adottino unapproccio dinamico alla gestione del rischio, in grado di adattarsi alle continue evoluzioni del panorama tecnologico e normativo. Questo include la promozione di programmi di formazione interna, lo sviluppo di strumenti per il monitoraggio continuo dei rischi e la creazione di protocolli per la gestione delle crisi.
Lagovernanceaziendale, in questo contesto, diventa il fulcro attorno al quale ruota l’intera strategia di conformità al Regolamento DORA, garantendo non solo la protezione delle operazioni, ma anche la fiducia deglistakeholders.
Conclusioni: un approccio strategico per l’analisi dei rischi DORA
L’analisi dei rischi DORA rappresenta un passaggio obbligato per tutte le entità finanziarie soggette al Regolamento DORA. Lascadenza del 30 aprile 2025per la trasmissione dell’autovalutazione alla Banca d’Italia richiede un approccio strategico e tempestivo, orientato non solo a garantire la conformità normativa, ma anche a rafforzare la resilienza operativa e la sicurezza dell’intero sistema finanziario.
Gli obblighi imposti dalla normativa, che spaziano dalla gestione del rischio ICT all’implementazione di test di resilienza operativa digitale, evidenziano la necessità di una pianificazione accurata e di un coinvolgimento diretto degli organi digovernance.
Il quadro normativo delineato dal Regolamento DORA impone agli intermediari di adottare misure che non solo prevengano e rilevino le minacce informatiche, ma che consentano anche di rispondere in modo efficace alle criticità. Lagestione del rischio di terza parte,l’adattamento delle politiche interne e l’implementazione di sistemi di monitoraggio continuo sono solo alcune delle sfide che gli intermediari devono affrontare. Allo stesso tempo, l’autovalutazione rappresenta un’opportunità per individuare aree di miglioramento e per rafforzare la capacità dell’organizzazione di affrontare un panorama di rischi in continua evoluzione.
Lagovernanceaziendale svolge un ruolo fondamentale in questo contesto, fungendo da motore per la conformità e la resilienza nel quadro dell’analisi dei rischi DORA. Gli organi di amministrazione non solo devono approvare l’autovalutazione, ma anche guidare l’intera organizzazione verso l’adozione di un sistema di gestione dei rischi che sia dinamico e allineato alle evoluzioni tecnologiche e normative.
La capacità di adattarsi rapidamente e di anticipare le minacce rappresenta un vantaggio competitivo per le entità finanziarie che operano in un contesto sempre più digitalizzato e interconnesso.
In questo scenario complesso, loStudiosi rende disponibile per fornire chiarimenti e consulenza sulle strategie di conformità al Regolamento DORA e a organizzare percorsi di formazione specifici per gli apicali dell’intermediario o dei suoi fornitori.
Analisi dei rischi DORA nel settore finanziario. Studio legale D’agostino a Roma, con expertise specifica in ambito corporate compliance e cyber security.
daRedazione|Gen 9, 2025|Diritto d'Impresa
IlContratto di licenza in SaaSrappresenta uno strumento giuridico di fondamentale importanza per regolare l’utilizzo del software fornito in modalità Software-as-a-Service. Questo tipo di contratto, sempre più diffuso nel panorama tecnologico dellestart-up, si distingue per la sua funzione di disciplinare il rapporto tra il Licenziante, titolare dei diritti di proprietà intellettuale sul software, e il Licenziatario, ovvero l’utente autorizzato a fruirne.
Nel contesto del SaaS, il software non viene ceduto in proprietà, ma è reso disponibile per l’utilizzo remoto, su base contrattuale e per un periodo determinato. La centralità delContratto di licenza in SaaSrisiede nella sua capacità di tutelare adeguatamente i diritti del Licenziante, garantendo al contempo al Licenziatario un utilizzo conforme e sicuro.
Uno degli aspetti più critici riguarda latutela della proprietà intellettualedello sviluppatore, che deve essere garantita attraverso clausole precise e rigorose. Il contratto deve infatti prevenire l’utilizzo non autorizzato del software, proteggere il codice sorgente da eventuali tentativi di decompilazione o modifica e limitare la possibilità di condivisione impropria con soggetti terzi. In Italia esistono, invero,regole specifichee anche limitazioni alla brevettabilità del Software.
La definizione di queste clausole è essenziale per evitare abusi e per salvaguardare le tecniche e gli algoritmi sottesi al funzionamento del software, che rappresentano il cuore delknow-howaziendale.
Parallelamente, ilContratto di licenza in SaaSdeve tener conto delle esigenze del Licenziatario, il quale necessita di chiare indicazioni circa i propri diritti e i limiti all’uso del software. Questo equilibrio tra tutela del Licenziante e garanzia di un uso lecito da parte del Licenziatario rappresenta uno degli elementi distintivi di un contratto ben redatto.
Nel presente articolo verranno esaminati gli elementi fondamentali di unContratto di licenza in SaaS, con particolare attenzione alle clausole volte a tutelare la proprietà intellettuale, garantendo il rispetto delle normative applicabili e la protezione del patrimonio tecnologico del Licenziante.
Le definizioni nel Contratto di Licenza in SaaS: elementi essenziali
NelContratto di licenza in SaaS, la sezione dedicata alle definizioni è una componente essenziale per stabilire con chiarezza i termini tecnici e giuridici che ricorrono nel testo contrattuale. Questa parte iniziale del contratto non ha una funzione meramente descrittiva, ma costituisce il fondamento per l’interpretazione uniforme delle clausole da parte delle parti contraenti. La precisione e la completezza di questa sezione sono fondamentali per evitare incomprensioni o contenziosi futuri.
Tra le definizioni più rilevanti in unContratto di licenza in SaaS, emerge il termine“Software”, inteso come l’insieme organizzato e strutturato di istruzioni capace di svolgere operazioni specifiche su un sistema elettronico. È cruciale specificare che l’accesso al Software, in modalità SaaS, non implica la cessione di proprietà del programma, bensì il diritto limitato al suo utilizzo per finalità ben definite. A ciò si aggiunge il“Codice sorgente”, che rappresenta il linguaggio di programmazione con cui il software è stato sviluppato. La sua protezione è un elemento centrale, in quanto consente di preservare il know-how tecnologico e gli algoritmi proprietari del Licenziante, escludendo qualsiasi tentativo di decompilazione o modifica non autorizzata.
Altro termine essenziale è“Regime SaaS”, che definisce la modalità di erogazione del servizio. In questo contesto, il Software è reso disponibile per l’utilizzo remoto tramite un’infrastruttura cloud, senza che vi sia necessità di installazione su dispositivi locali. Ciò comporta importanti implicazioni in termini di accesso, sicurezza e aggiornamento, che devono essere regolamentate nel contratto.
Di rilievo sono anche le“Informazioni riservate”, che includono dati tecnici, operativi o strategici del Licenziante e del Licenziatario. Tali informazioni, se divulgate, potrebbero pregiudicare le aspettative economiche o la competitività delle parti, e pertanto il contratto prevede specifici obblighi di riservatezza. Nel contesto di unContratto di licenza in SaaS, questi dati comprendono anche quelli generati dal Software, come i risultati di analisi e i dati elaborati in modalità automatizzata, la cui titolarità deve essere chiaramente attribuita.
Ulteriori definizioni significative includono i“Profili di utilizzo”, che distinguono tra diverse configurazioni del Software (ad esempio, base, avanzato o business) in relazione alle funzionalità e al numero di copie autorizzate. Allo stesso modo, il termine“Progetti”identifica l’ampiezza e il dettaglio delle funzionalità o delle facoltà attribuire in licenza Software, eventualmente specificati nella scheda tecnica. Tali definizioni non solo delimitano l’oggetto del contratto, ma consentono al Licenziante di strutturare un’offerta modulare e scalabile, adattabile alle diverse esigenze dei Licenziatari.
La completezza della sezione dedicata alle definizioni in unContratto di licenza in SaaSnon è solo un esercizio di formalismo, ma una necessità per assicurare trasparenza, chiarezza e tutela delle parti. Ogni termine deve essere calibrato con attenzione, affinché i diritti e gli obblighi contrattuali risultino inequivocabili e coerenti con la normativa vigente.
La licenza d’uso nel Contratto di Licenza in SaaS: diritti e limitazioni
La clausola relativa alla licenza d’uso rappresenta il cuore delContratto di licenza in SaaS, in quanto stabilisce i termini entro cui il Licenziatario è autorizzato a utilizzare il software. A differenza di altre tipologie di licenze, nel modello SaaS l’utente non acquisisce alcun diritto di proprietà sul software, ma ottiene una semplice autorizzazione all’uso, circoscritta dalle condizioni contrattuali.
Questa impostazione consente al Licenziante di mantenere il pieno controllo sulla propria opera intellettuale, preservandone la titolarità e limitandone l’utilizzo a quanto espressamente pattuito.
Un elemento essenziale della licenza è la suanon esclusività, che permette al Licenziante di concedere il medesimo software ad altri utenti, massimizzando così il rendimento economico del prodotto. La licenza è inoltrenon trasferibile, impedendo al Licenziatario di cedere a terzi i diritti d’uso senza l’esplicito consenso del Licenziante. Questa previsione tutela il Licenziante da eventuali violazioni delle clausole contrattuali, garantendo che l’uso del software avvenga solo da parte dei soggetti autorizzati.
La clausola deve inoltre specificare lelimitazioni d’uso, fondamentali per prevenire abusi. NelContratto di licenza in SaaS, ciò si traduce spesso nel divieto di alterare, decompilare, o effettuare operazioni di reverse engineering sul software. Queste limitazioni proteggono il codice sorgente, che costituisce l’elemento più prezioso del prodotto, essendo il risultato di un complesso processo creativo e tecnologico. L’utilizzo del software è poi vincolato a un determinato numero di utenti o sedi aziendali, come stabilito dal profilo acquistato e descritto nel modulo d’ordine o nella scheda tecnica.
Un altro aspetto rilevante è la durata della licenza, che deve essere chiaramente definita nel contratto. IlContratto di licenza in SaaSprevede generalmente una validità limitata, spesso su base mensile o annuale, con la possibilità di rinnovo. Al termine del periodo stabilito, il Licenziatario deve cessare l’utilizzo del software, a meno che non sia previsto un rinnovo o un’estensione concordata.
Infine, la clausola di licenza deve disciplinare il comportamento del Licenziatario in caso di malfunzionamenti del software. È comune prevedere l’obbligo di segnalare tempestivamente eventuali difetti al Licenziante, vietando al Licenziatario di apportare modifiche al codice sorgente. Questo garantisce che la proprietà intellettuale resti integra e che eventuali problemi tecnici vengano gestiti esclusivamente dal Licenziante o dai suoi delegati.
In buona sostanza, in unContratto di licenza in SaaS, una clausola di licenza d’uso ben redatta è fondamentale per proteggere gli interessi del Licenziante, regolando in modo chiaro e dettagliato i diritti e i limiti concessi al Licenziatario. Ciò assicura che il software venga utilizzato conformemente alle finalità previste e nel rispetto della proprietà intellettuale del Licenziante.
Proprietà del software e diritti di proprietà intellettuale nel Contratto di Licenza in SaaS
NelContratto di licenza in SaaS, la clausola relativa alla proprietà del software e ai diritti di proprietà intellettuale svolge un ruolo cruciale nella tutela del know-how tecnologico e creativo del Licenziante. Questa clausola mira a preservare il valore economico e strategico del software, garantendo che il Licenziatario non possa avanzare alcuna pretesa sui diritti di proprietà né compiere attività che possano compromettere l’integrità del prodotto.
Il contratto stabilisce in modo inequivocabile che il Licenziante detiene la titolarità esclusiva del software, inclusi il codice sorgente, gli algoritmi e ogni altra componente tecnica o creativa che ne costituisce la struttura. Tale titolarità si estende anche alle eventuali implementazioni, migliorie o aggiornamenti del software, che rimangono di proprietà esclusiva del Licenziante, anche qualora siano sviluppati in risposta a specifiche esigenze del Licenziatario. In questo modo, ilContratto di licenza in SaaSpreviene qualsiasi ambiguità circa la paternità intellettuale delle innovazioni tecnologiche.
Un elemento particolarmente rilevante è la protezione delcodice sorgente, il quale rappresenta il cuore del software e il risultato di un processo creativo e tecnico altamente specializzato. Il contratto vieta espressamente al Licenziatario di accedere, modificare o effettuare operazioni di reverse engineering sul codice sorgente, configurando tali azioni come violazioni contrattuali gravi. Inoltre, ogni tentativo di riprodurre, copiare o alterare il software è considerato un atto di concorrenza sleale e può dar luogo a conseguenze legali, incluso il risarcimento dei danni.
La clausola sulla proprietà intellettuale include anche disposizioni relative airisultati di analisigenerati dal software durante il suo utilizzo. Questi output, che possono includere dati aggregati, suggerimenti o report, sono spesso utilizzabili liberamente dal Licenziatario per finalità aziendali. Tuttavia, i processi di apprendimento automatico e le informazioni generate dall’interazione degli utenti con il software rimangono di esclusiva proprietà del Licenziante. Questa distinzione consente al Licenziante di valorizzare ulteriormente il proprio prodotto, integrando le conoscenze acquisite per migliorare le funzionalità future.
Un ulteriore aspetto riguarda imarchie gli altri segni distintivi apposti sul software e sulla documentazione correlata. Il contratto chiarisce che tali elementi rimangono di proprietà esclusiva del Licenziante e non possono essere alterati, rimossi o utilizzati dal Licenziatario per finalità non autorizzate. Questa previsione è fondamentale per proteggere l’identità commerciale del Licenziante e preservare la riconoscibilità del prodotto sul mercato.
Sicurezza dei dati e obblighi di riservatezza nel Contratto di Licenza in SaaS
NelContratto di licenza in SaaS, la sicurezza dei dati e la riservatezza costituiscono elementi di primaria importanza, poiché l’erogazione del software in modalità SaaS comporta l’elaborazione, la conservazione e il trattamento di informazioni sensibili, sia del Licenziante sia del Licenziatario. Tali obblighi trovano fondamento non solo nel contratto, ma anche nelle normative applicabili, tra cui ilRegolamento (UE) 2016/679(GDPR) e le disposizioni nazionali in materia di protezione dei dati personali.
Una clausola ben strutturata deve innanzitutto definire il concetto di“Informazioni riservate”, includendo ogni dato tecnico, commerciale o operativo relativo al software o all’azienda del Licenziante e del Licenziatario, nonché i dati personali trattati durante l’utilizzo del software. Il contratto stabilisce che tali informazioni non possono essere divulgate o utilizzate per finalità non previste, imponendo a entrambe le parti un obbligo di custodia e protezione. Questo obbligo si estende anche ai dati generati dal software, come i report e i risultati di analisi, che, pur essendo utilizzabili dal Licenziatario, devono essere trattati nel rispetto delle disposizioni contrattuali e normative.
IlContratto di licenza in SaaSinclude tipicamente disposizioni dettagliate sulle misure di sicurezza che il Licenziatario deve adottare per proteggere l’accesso al software. Tra queste figurano la custodia delle credenziali di accesso, la limitazione dell’utilizzo ai soli utenti autorizzati e l’adozione di protocolli tecnici e organizzativi per prevenire accessi non autorizzati o violazioni.
Il Licenziante, dal canto suo, è responsabile di garantire che il software sia progettato e mantenuto in conformità agli standard di sicurezza più elevati, prevenendo rischi di data breach o perdita di informazioni.
Un aspetto particolarmente delicato riguarda il trattamento deidati personali. Nel modello SaaS, il Licenziatario agisce spesso come titolare del trattamento, stabilendo le finalità e i mezzi del trattamento stesso, mentre il Licenziante funge da responsabile del trattamento, garantendo che i dati siano gestiti nel rispetto delle istruzioni contrattuali e delle normative vigenti.
Questa distinzione deve essere chiaramente esplicitata nel contratto, che può includere una specificaData Processing Agreement(DPA) come allegato, per regolamentare in modo dettagliato i diritti e gli obblighi delle parti in materia di protezione dei dati personali.
Un’altra clausola essenziale riguarda l’obbligo di notificare eventuali violazioni dei dati personali (data breach). Il contratto deve prevedere che il Licenziante informi tempestivamente il Licenziatario in caso di incidente di sicurezza, fornendo tutte le informazioni necessarie per valutare l’impatto e adottare misure correttive. Tale obbligo si estende anche alle notifiche verso le autorità competenti, come il Garante per la protezione dei dati personali, nei casi previsti dalla normativa.
In conclusione, le clausole sulla sicurezza dei dati e sulla riservatezza sono essenziali in ogniContratto di licenza in SaaS. Esse non solo proteggono le informazioni sensibili e i dati personali delle parti, ma garantiscono anche la conformità alle normative applicabili, riducendo i rischi legali e reputazionali associati a eventuali violazioni. La redazione accurata di queste clausole richiede competenze specifiche in materia di diritto della privacy e sicurezza informatica, assicurando una tutela completa per tutte le parti coinvolte.
Clausole di manleva e limitazioni di responsabilità nel Contratto di Licenza in SaaS
Le clausole di manleva e di limitazione di responsabilità rappresentano una componente essenziale delContratto di licenza in SaaS, poiché mirano a bilanciare i rischi derivanti dall’utilizzo del software e a proteggere le parti da rivendicazioni e danni che potrebbero insorgere nel corso del rapporto contrattuale. Tali disposizioni, se ben strutturate, offrono una tutela significativa sia al Licenziante che al Licenziatario, evitando oneri sproporzionati o responsabilità impreviste.
Laclausola di manlevastabilisce che una delle parti, solitamente il Licenziatario, si impegna a risarcire l’altra parte per eventuali danni, costi o spese derivanti da violazioni contrattuali o comportamenti illeciti. Nel caso delContratto di licenza in SaaS, il Licenziatario può essere chiamato a manlevare il Licenziante rispetto a rivendicazioni di terzi connesse all’uso improprio del software o alla violazione di diritti di proprietà intellettuale. Ad esempio, qualora il Licenziatario utilizzi il software per elaborare dati che violano i diritti di terzi o norme di legge, sarà tenuto a indennizzare il Licenziante per i danni subiti, incluse eventuali spese legali. Questa clausola è particolarmente rilevante in contesti in cui il software gestisce dati sensibili o opera in settori regolamentati.
Laclausola di limitazione di responsabilità, invece, definisce i confini entro cui il Licenziante è responsabile per eventuali danni derivanti dall’utilizzo del software. NelContratto di licenza in SaaS, il Licenziante solitamente declina ogni responsabilità per danni indiretti o consequenziali, come la perdita di profitti, l’interruzione dell’attività o il deterioramento dei dati. Inoltre, il Licenziante non può essere ritenuto responsabile per disservizi derivanti da fattori esterni, come problemi di connettività Internet, malfunzionamenti dell’hardware del Licenziatario o attacchi informatici non riconducibili a proprie omissioni. È altresì comune escludere la responsabilità per i risultati ottenuti dall’utilizzo del software, specificando che quest’ultimo è fornito “così com’è” e “come disponibile”.
Un aspetto particolarmente rilevante in questo contesto è l’esclusione di responsabilità per eventi diforza maggiore, quali disastri naturali, attacchi informatici su larga scala o altre circostanze al di fuori del controllo del Licenziante. Tali eventi, se adeguatamente definiti nel contratto, sollevano il Licenziante dall’obbligo di fornire il servizio o di risarcire i danni derivanti dalla mancata esecuzione delle proprie prestazioni.
Queste clausole, pur essendo a vantaggio del Licenziante, devono essere redatte con equilibrio, tenendo conto dei diritti del Licenziatario e della necessità di evitare squilibri contrattuali. Il contratto può prevedere, ad esempio, che il Licenziante garantisca la risoluzione tempestiva di eventuali difetti o malfunzionamenti del software, evitando così che le limitazioni di responsabilità si traducano in un’esclusione totale degli obblighi contrattuali.
In sintesi, le clausole di manleva e di limitazione di responsabilità nelContratto di licenza in SaaSsono strumenti indispensabili per gestire i rischi associati all’erogazione del servizio. Esse devono essere redatte con attenzione e precisione, assicurando un equilibrio tra la tutela del Licenziante e la protezione degli interessi del Licenziatario, in modo da garantire un rapporto contrattuale equo e conforme alle normative vigenti.
Assistenza legale nella redazione del Contratto di Licenza in SaaS: rivolgiti a un avvocato per la tutela dei tuoi diritti
IlContratto di licenza in SaaSrappresenta uno strumento imprescindibile per regolamentare i rapporti tra Licenziante e Licenziatario, assicurando al primo la protezione della propriaproprietà intellettualee al secondo un utilizzo conforme del software.
Dalle definizioni ai diritti di utilizzo, dalla sicurezza dei dati alle limitazioni di responsabilità, ogni elemento del contratto concorre a creare un quadro giuridico equilibrato, in grado di tutelare sia gli interessi economici del Licenziante che le legittime aspettative del Licenziatario.
Affinché il contratto sia efficace, è fondamentale che venga redatto da professionisti esperti, in grado di adattare le clausole alle specifiche esigenze del settore tecnologico e alle peculiarità del prodotto offerto. La nostra expertise ci consente di supportare sviluppatori e start-up digitali nella creazione diContratti di licenza in SaaSche proteggano adeguatamente la loro proprietà intellettuale e il loro business. Inoltre, forniamo assistenza nella redazione diprivacy policye di altra documentazione contrattuale indispensabile per assicurare il rispetto delle normative e per garantire un rapporto solido e trasparente con gli utenti.
Ilnostro Studio legaleè specializzato nella consulenza perimprese digitalie sviluppatori software, offrendo soluzioni su misura per la tutela dei diritti del Licenziante. Per chi opera nel settore tecnologico, la protezione del proprio patrimonio intellettuale e la conformità normativa sono fattori chiave per il successo e la sostenibilità del business.
Il nostro studio legale offre supporto strategico e consulenza personalizzata per startup e business digitali, garantendo una crescita sicura e conforme alle normative del settore. Confrontati con noi per mettere a punto un Contratto di licenza in SaaS efficace.
