[FEAT] A4 Fase 4.1 — Organigramma (org_roles): ruoli/gerarchia + nodo governance Art.23

Primo modulo del modello relazionale A4 (docs/DESIGN_A4_RELATIONAL.md).

Backend:
- Migration 041 (docs/sql/041_org_roles.sql) + runner scripts/migrate-a4.php.
  Tabella org_roles additiva/idempotente: gerarchia self-FK (parent_role_id),
  titolare (holder_user_id), is_governance_body (organi amministrazione/direttivi
  Art.23 D.Lgs.138/2024), description (GV.RR-02). APPLICATA su prod (container
  nis2-db v8.0.45, TLSv1.3, 11 col, 4 FK).
- OrgRoleController: list (flat+tree arricchiti), get, create, update, delete,
  assignableUsers. Multi-tenancy ancorata a getCurrentOrgId(), anti-IDOR
  (id+organization_id), prevenzione cicli nella gerarchia, holder = membro org,
  delete bloccato se ha figli (409). Route registrate in public/index.php.

Frontend:
- public/organigramma.html + js/organigramma.js: vista ad albero (badge governance,
  titolare/vacante), editor crea/modifica/elimina con select padre anti-ciclo,
  "crea struttura di base". Bootstrap Italia V2.
- Voce sidebar "Organigramma" (common.js + common-bi.js) + nav.org_chart i18n IT/EN.
- api.js: metodi orgRole* (wrapper _acn).

Help/KB:
- help.js: guida contestuale 'org' (cosa rappresenta, nodo Art.23, come si usa,
  fonti certe D.Lgs.138/2024 art.23 + GV.RR-02 best practice, disclaimer no-parere-legale).

Cache-buster: bump ?v=20260617 dei 5 JS condivisi su tutte le 32 HTML referenti.
version.json 1.15.2 -> 1.16.0. Smoke E2E su prod (fpm reale): login, CRUD, tree,
anti-ciclo (422), delete-con-figli (409), cleanup tutti verdi.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

public/js/help.js

@@ -201,6 +201,43 @@ const HelpSystem = (function () {
             ]
         },
 
+        // ─── Organigramma (A4 Fase 4.1) ──────────────────────────────
+        'org': {
+            title: 'Guida - Organigramma',
+            intro: 'L\'Organigramma mappa chi e responsabile di cosa: i ruoli dell\'organizzazione, la loro gerarchia, il titolare di ciascun ruolo e — distinto — il nodo degli organi di amministrazione e direttivi. E\' la base del modello relazionale: nelle fasi successive i ruoli verranno collegati a competenze, procedure, inventario e rischi tramite la matrice RACI. E\' uno strumento di supporto organizzativo, non un parere legale.',
+            sections: [
+                {
+                    heading: 'Cosa rappresenta',
+                    items: [
+                        '<strong>Ruolo</strong>: una posizione organizzativa (es. CISO, Responsabile IT, DPO). Puo avere un <strong>titolare</strong> (un utente dell\'organizzazione) oppure restare vacante.',
+                        '<strong>Gerarchia</strong>: ogni ruolo puo avere un ruolo "padre" (a chi riporta). I ruoli senza padre sono i nodi radice dell\'organigramma.',
+                        '<strong>Responsabilita e poteri</strong>: il campo descrizione documenta cosa fa il ruolo, coerentemente con la buona prassi GV.RR-02 (ruoli, responsabilita e poteri stabiliti e comunicati).'
+                    ]
+                },
+                {
+                    heading: 'Il nodo "Organi di amministrazione e direttivi" (Art. 23)',
+                    items: [
+                        'Marca come <strong>organo di governance</strong> il ruolo che rappresenta gli organi di amministrazione e direttivi: l\'<strong>art. 23 del D.Lgs. 138/2024</strong> ne stabilisce la responsabilita nell\'approvare le misure di gestione del rischio e nel sovrintendere alla loro attuazione.',
+                        'Tenere questo nodo distinto rende dimostrabile in audit "chi approva" le misure e su chi ricade la responsabilita di vigilanza.',
+                        'Gli organi di gestione sono inoltre tenuti a seguire una <strong>formazione</strong> specifica in materia di sicurezza informatica (gestita nel modulo Formazione).'
+                    ]
+                },
+                {
+                    heading: 'Come si usa',
+                    items: [
+                        '<strong>Nuovo ruolo</strong>: indica il nome, l\'eventuale ruolo padre, il titolare e — se pertinente — la spunta "organo di governance".',
+                        'Puoi modificare un ruolo o spostarlo nella gerarchia cambiandone il padre (il sistema impedisce di creare cicli).',
+                        'Un ruolo non puo essere eliminato se ha ruoli subordinati: riassegna prima i figli a un altro ruolo.'
+                    ]
+                }
+            ],
+            references: [
+                'D.Lgs. 138/2024, art. 23 - Responsabilita degli organi di amministrazione e direttivi (governance)',
+                'NIST CSF 2.0 / GV.RR-02 (best practice) - Ruoli, responsabilita e poteri stabiliti e comunicati',
+                'NOTA: gli obblighi normativi in Italia derivano da NIS2 (Dir. UE 2022/2555) e dal D.Lgs. 138/2024; framework e organigrammi sono strumenti di supporto, non un parere legale.'
+            ]
+        },
+
         // ─── Risk Management ─────────────────────────────────────────
         'risks': {
             title: 'Guida - Gestione Rischi',
@@ -1039,6 +1076,8 @@ const HelpSystem = (function () {
         'acn': 'acn',
         'isms.html': 'isms',
         'isms': 'isms',
+        'organigramma.html': 'org',
+        'organigramma': 'org',
         'risks.html': 'risks',
         'risks': 'risks',
         'incidents.html': 'incidents',