la grave negligenza del dipendente amministrativo

Il fenomeno delle truffe informatiche a danno delle aziende, in particolare il noto schema del Business Email Compromised o “truffa del presidente” (in cui un malintenzionato si spaccia per il legale rappresentante chiedendo l’invio urgente di bonifici), pone complessi interrogativi sul piano della responsabilità disciplinare dei dipendenti.

Quando un errore contabile causato da un attacco di phishing sfocia nel licenziamento in tronco, quali sono i confini tra semplice disattenzione ed errore grave tale da rompere irreparabilmente il vincolo fiduciario? E qual è l’impatto della formazione aziendale sulla valutazione della diligenza richiesta?

A chiarire questi fondamentali aspetti è intervenuta la Corte di Cassazione, Sezione Lavoro, con l’ordinanza n. 3263/2026, offrendo importanti spunti di riflessione sia per la gestione delle procedure datoriali sia per la tutela dell’organizzazione aziendale.

Il caso trae origine dal licenziamento per giusta causa comminato a una lavoratrice con lunga esperienza nelle mansioni di impiegata amministrativa addetta alla contabilità.

La dipendente aveva eseguito un bonifico bancario di rilevante importo verso un conto estero a seguito di una richiesta ricevuta via e-mail, apparentemente inviata dal presidente della società. Il messaggio si è successivamente rivelato una truffa informatica (phishing).

Alla lavoratrice è stato contestato di non aver applicato le elementari regole di prudenza e la procedura aziendale prevista per le disposizioni di pagamento estero, nonché di non essersi avveduta delle palesi anomalie contenute nel messaggio (come la genericità della causale, la mancanza di documentazione giustificativa e l’insolita richiesta del vertice aziendale). Inoltre, la dipendente non aveva bloccato l’operazione bancaria pur avendo avuto a disposizione il tempo necessario per avvedersi dell’inganno a seguito di successive comunicazioni interne.

Impugnato il recesso datoriale, sia il Tribunale che la Corte d’Appello hanno confermato la legittimità del licenziamento, ritenendo la condotta della lavoratrice caratterizzata da una gravissima negligenza e da una superficialità tali da pregiudicare irrimediabilmente la fiducia posta alla base del rapporto di lavoro. La lavoratrice ha quindi proposto ricorso per Cassazione, sostenendo, tra l’altro, che l’azienda non le avesse mai erogato una formazione specifica sul contrasto alle frodi informatiche.

Con l’ordinanza n. 3263/2026, la Suprema Corte ha rigettato il ricorso della lavoratrice, confermando la legittimità del licenziamento per giusta causa sulla base di articolati principi di diritto:

• Dovere di ordinaria diligenza nei ruoli qualificati: La Cassazione ha chiarito che da un lavoratore con anni di esperienza e mansioni qualificate nel settore contabile ci si attende un livello di attenzione e scrupolo conforme ai canoni dell’ordinaria diligenza nei rapporti commerciali.

• Irrilevanza della mancata formazione specifica anti-phishing: L’assenza di uno specifico corso aziendale di formazione sulla prevenzione delle truffe informatiche non esonera il dipendente dalla responsabilità disciplinare. Quando gli elementi di anomalia dell’operazione sono palesi ed evidenti a chiunque svolga mansioni amministrative, l’errore deriva da grave negligenza e non dalla mancanza di competenze tecniche.

• Proporzionalità della sanzione e giusta causa: Il comportamento imprudente e la disattenzione verso gli interessi patrimoniali dell’azienda, che espongono la struttura a ingenti danni economici, integrano gli estremi della giusta causa di licenziamento ex art. 2119 c.c., rendendo impossibile la prosecuzione anche provvisoria del rapporto di lavoro.

La pronuncia della Cassazione evidenzia l’importanza cruciale della strutturazione delle procedure interne e offre chiare indicazioni operative:

• Formalizzazione rigida dei flussi finanziari: È fondamentale che le aziende adottino e formalizzino per iscritto procedure stringenti per le disposizioni di bonifico (es. doppia autorizzazione, verifica telefonica “out-of-band” per richieste fuori standard o dirette dai vertici).

• Tracciabilità delle direttive: Evitare la prassi di autorizzare pagamenti informali tramite semplici messaggi e-mail o chat, imponendo il rispetto rigoroso dei canali formali.

• Conservazione della documentazione di audit: Registrare sempre i log di sistema, le comunicazioni e le note di procedura; in sede di contenzioso, la chiarezza delle disposizioni aziendali supporta la prova dell’inadempimento del lavoratore.

• Evitare contestazioni generiche: Nella lettera di contestazione ex art. 7 L. 300/1970 occorre precisare con estremo dettaglio i comportamenti imprudenti addebitati e l’inosservanza dei doveri di diligenza professionale.

• Valutazione del contesto e della mansione: Non tutte le disattenzioni giustificano il recesso: la gravità della sanzione dipende dall’anzianità di servizio, dal livello di qualifica del lavoratore e dalla prevedibilità del danno patrimoniale.

Nota: Ogni fattispecie disciplinare presenta peculiarità uniche; pertanto, prima di intraprendere azioni sanzionatorie o recessi per giusta causa, è essenziale richiedere una consulenza legale personalizzata.

La decisione della Suprema Corte (ordinanza n. 3263/2026) ribadisce che la diligenza professionale è un elemento centrale del contratto di lavoro, specialmente per i ruoli amministrativi con potere di spesa. Sebbene la formazione in materia di cibersicurezza sia un investimento raccomandato e virtuoso per ogni organizzazione, essa non solleva il lavoratore dall’obbligo di applicare il buon senso e la comune prudenza di fronte ad operazioni sospette.