Faits:
A. Au mois d'octobre 2001, Y._, médecin travaillant pour un laboratoire pharmaceutique à C._, a fait la connaissance, par l'intermédiaire de l'une de ses relations professionnelles, de A._. Celui-ci lui a expliqué qu'en raison de la position qu'il occupait à la Banque X._, établissement bancaire ayant son siège à B._ et une succursale à Genève, il lui était possible d'effectuer des placements bancaires à des conditions particulières, réservées à quelques clients privilégiés. A._ lui a remis sa carte de visite.
Les deux hommes se sont rencontrés plusieurs fois. Y._ a vu A._ dans son bureau à la banque.
Le 23 octobre 2001, Y._ a accepté de transférer un montant de 170'000 fr. sur un compte ouvert auprès de la banque au nom de A._. Il était convenu que trois mois plus tard, le 23 janvier 2002, il recevrait en retour la somme de 263'840 fr. Y._ déclara par la suite qu'il n'avait pas été surpris par cet intérêt pour le motif qu'il avait déjà participé à une opération plus ou moins analogue au Liban dans les années 1979-1980. A._ a remis à Y._ deux documents, l'un établi en son nom et l'autre à l'en-tête de la banque, destinés à permettre à Y._, en cas de décès de A._, de récupérer l'argent auprès de la banque sur le compte de ce dernier.
A l'échéance convenue, soit le 23 janvier 2002, A._ a proposé à Y._ de reconduire son placement pour une durée de 45 jours. Ce dernier a toutefois souhaité retirer une somme de 43'840 fr. et replacer le solde de 220'000 fr. A._ a établi deux documents semblables aux précédents prévoyant la restitution de 255'860 fr. le 7 mars 2002. Par ailleurs, il a remis à Y._, le 29 janvier 2002, un chèque de 43'840 fr. tiré sur un compte au nom de lui-même et de son épouse auprès de la banque.
Quelques jours plus tard, Y._ s'est présenté au guichet de la banque pour encaisser le chèque. La banque a refusé de payer. Y._ n'a plus pu joindre A._. S'étant adressé à la banque, celle-ci lui a répondu, le 13 février 2002, que les sommes d'argent remises à A._ l'avaient été à titre personnel et que ce dernier n'avait aucun pouvoir pour accepter ou gérer de l'argent pour le compte de la banque.
B. Entré au service de la banque dans le courant de l'année 1968, A._ était devenu, à partir de 1992, directeur adjoint des équipements et des immeubles.
Il disposait de cartes de visite à l'en-tête de la banque sur lesquelles figuraient les mentions suivantes:
"Directeur Adjoint
Immeubles et Equipements (Administration)
International Wealth Management".
Il occupait un bureau de grande dimension dans l'immeuble administratif de la banque à Genève et bénéficiait des services d'une secrétaire.
Etant directeur adjoint des équipements et des immeubles de la banque, A._ n'était pas chargé de recevoir la clientèle, d'encaisser des fonds ou de gérer des avoirs. Dès 1998 cependant, la banque avait mis en place une politique d'encouragement pour que les employés amènent de nouveaux clients à la banque contre rémunération. Dans ce cadre, A._ a fourni quelques clients à la banque. Il servait parfois d'intermédiaire entre la banque et ses connaissances.
Les huissiers se trouvant à l'entrée de la banque, tant au bâtiment d'exploitation que dans le bâtiment administratif, avaient pour instruction de ne pas laisser entrer dans la banque des personnes qui y étaient étrangères sans s'être assurés au préalable de leur identité, éventuellement du but de leur visite et de la personne qu'ils venaient rencontrer. Ils n'ont cependant pas signalé à leur supérieur les nombreuses visites que recevait A._.
L'enquête a révélé que celui-ci s'était livré à des escroqueries à l'investissement pendant près de dix ans portant sur un montant de plus de 12'000'000 fr. Il a dilapidé les fonds, notamment en fréquentant les casinos.
L'audit interne effectué à la suite de ces faits par la banque a révélé que plusieurs comportements suspects de A._ avaient été observés, mais que les informations n'avaient pas été réunies; chaque cas étant examiné isolément, aucune suite n'avait été donnée. Entendu devant la juridiction des prud'hommes, l'auteur du rapport d'audit a déclaré: "Mon rapport a mis en évidence des défauts d'organisation graves, des procédures qui n'étaient pas adéquates et qui ne correspondaient pas aux risques. Les huissiers n'ont pas rapporté à leur chef direct les nombreuses visites faites par A._. Ce fait est relevé comme une irrégularité dans mon rapport". Il a également regretté que le directeur général adjoint ait laissé la surveillance de A._ à un supérieur dont la personnalité était trop faible.
A la suite de cette affaire, la direction générale de la banque a mis fin au plan d'encouragement créé en 1998 et les deux supérieurs hiérarchiques de A._ ont été licenciés.
Par arrêt du 26 mars 2004, la Cour correctionnelle de Genève a condamné A._, notamment pour escroquerie au préjudice d'Y._, à une peine de cinq ans de réclusion. Cette décision fut confirmée successivement par la Cour de cassation cantonale, puis par le Tribunal fédéral.
C. Estimant que la banque était responsable, Y._ a déposé, le 5 janvier 2006, une demande devant le Tribunal de première instance de Genève, réclamant le remboursement de la somme versée à A._ avec intérêts.
Par jugement du 8 mai 2008, le Tribunal de première instance a entièrement fait droit à la demande. Il a estimé que la banque était responsable de l'acte illicite commis par A._, parce que celui-ci avait la qualité d'organe apparent de la banque (<ref-law>) et, de surcroît, parce que les conditions d'une responsabilité de l'employeur (<ref-law>) étaient réunies.
Saisie d'un appel de la banque, la Cour de justice du canton de Genève a confirmé ce jugement par arrêt du 5 décembre 2008, mais réduit le montant des dommages-intérêts de 30% pour tenir compte de la faute concomitante (<ref-law>) du demandeur, qui aurait dû se rendre compte du caractère insolite de l'opération, principalement en raison du taux d'intérêt garanti.
D. La banque a déposé un recours en matière civile au Tribunal fédéral contre l'arrêt du 5 décembre 2008. Soutenant que ni les conditions d'une responsabilité pour les actes des organes, ni les conditions d'une responsabilité de l'employeur ne sont réunies, la recourante conclut à l'annulation de la décision attaquée et au rejet de la demande avec suite de frais et dépens.
L'intimé a conclu au rejet du recours avec suite de frais et dépens.

Considérant en droit:
1. 1.1 Interjeté par la partie qui a succombé dans ses conclusions libératoires (<ref-law>) et dirigé contre un jugement final (<ref-law>) rendu en matière civile (<ref-law>) par une autorité cantonale de dernière instance (<ref-law>) dans une affaire pécuniaire dont la valeur litigieuse atteint le seuil de 30'000 fr. (<ref-law>), le recours est en principe recevable, puisqu'il a été déposé dans le délai (art. 46 al. 1 let. c et 100 al. 1 LTF) et la forme (<ref-law>) prévus par la loi.
1.2 Le recours peut être interjeté pour violation du droit, tel qu'il est délimité par les art. 95 et 96 LTF. Le Tribunal fédéral applique le droit d'office (<ref-law>). Il n'est donc limité ni par les arguments soulevés dans le recours, ni par la motivation retenue par l'autorité précédente; il peut admettre un recours pour un autre motif que ceux qui ont été invoqués et il peut rejeter un recours en adoptant une argumentation différente de celle de l'autorité précédente (<ref-ruling> consid. 1.1 p. 104). Compte tenu de l'exigence de motivation contenue à l'art. 42 al. 1 et 2 LTF, sous peine d'irrecevabilité (<ref-law>), le Tribunal fédéral n'examine en principe que les griefs invoqués; il n'est pas tenu de traiter, comme le ferait une autorité de première instance, toutes les questions juridiques qui se posent, lorsque celles-ci ne sont plus discutées devant lui (<ref-ruling> consid. 1.1 p. 105).
Il faut observer ici que l'arrêt attaqué est fondé sur une double motivation. La cour cantonale a considéré que la responsabilité de la banque était engagée sur la base de l'<ref-law> (resp. 722 CO), son directeur adjoint ayant revêtu la qualité d'organe apparent; si ce chef de responsabilité n'existait pas, la cour a considéré que la banque devait alors être condamnée sur la base de l'<ref-law> (responsabilité de l'employeur). Se conformant à l'exigence de recevabilité posée par la jurisprudence (<ref-ruling> consid. 6.3 p. 120 s.), la recourante a attaqué chacune de ces deux motivations alternatives.
Le Tribunal fédéral ne peut entrer en matière sur la violation d'un droit constitutionnel ou sur une question relevant du droit cantonal ou intercantonal que si le grief a été invoqué et motivé de manière précise par la partie recourante (<ref-law>).
1.3 Le Tribunal fédéral conduit son raisonnement juridique sur la base des faits établis par l'autorité précédente (<ref-law>). Il ne peut s'en écarter que si les faits ont été établis de façon manifestement inexacte - ce qui correspond à la notion d'arbitraire: <ref-ruling> consid. 4.3 p. 63 - ou en violation du droit au sens de l'<ref-law> (<ref-law>).
La partie recourante qui entend s'écarter des constatations de l'autorité précédente doit expliquer de manière circonstanciée en quoi les conditions d'une exception prévue par l'<ref-law> seraient réalisées, faute de quoi il n'est pas possible de tenir compte d'un état de fait qui diverge de celui contenu dans la décision attaquée (cf. <ref-ruling> consid. 1.4 p. 140). De surcroît, une correction de l'état de fait ne peut être demandée que si elle est susceptible d'influer sur le sort de la cause (<ref-law>). Aucun fait nouveau ni preuve nouvelle ne peut être présenté à moins de résulter de la décision de l'autorité précédente (<ref-law>).
En l'espèce, la recourante se plaint à plusieurs reprises, au cours de son analyse juridique, d'arbitraire dans l'appréciation des preuves et l'établissement des faits. Elle vise cependant le plus souvent l'appréciation juridique des faits ou l'interprétation des faits selon le principe de la confiance, ce qui constitue des questions de droit. De surcroît, elle ne montre généralement pas, en se référant de manière précise à une preuve du dossier, quel fait aurait été retenu ou omis arbitrairement, en expliquant en quoi ce point pourrait influer sur le sort de la cause. En conséquence, il n'est possible de réexaminer l'état de fait, dans la suite de l'analyse, que dans la mesure où la recourante a présenté un grief répondant aux exigences de la jurisprudence.
1.4 Le Tribunal fédéral ne peut aller au-delà des conclusions des parties (<ref-law>). Toute conclusion nouvelle est irrecevable (<ref-law>).
2. 2.1 Le recours concerne une action en responsabilité extracontractuelle dirigée à l'encontre d'une banque ayant son siège en Grande-Bretagne. Il se pose donc la question du droit applicable, qui doit être examinée d'office (<ref-ruling> consid. 2 p. 39). Lorsque l'action est fondée sur un acte illicite de nature patrimoniale, la jurisprudence, interprétant l'<ref-law>, a admis qu'il fallait appliquer le droit du lieu où se trouve la valeur patrimoniale au moment de l'acte illicite (<ref-ruling> consid. 3b p. 107). En l'espèce, la succursale de la banque est située à Genève, les fonds ont été remis au directeur adjoint en Suisse et c'est également dans ce pays qu'il les a détournés de leur destination. Le droit suisse est donc applicable.
2.2 La cour cantonale a exclu une responsabilité contractuelle de la banque et, cette question n'étant plus discutée devant le Tribunal fédéral, il n'y a pas lieu d'y revenir. Il faut relever à ce sujet que l'intimé n'a signé aucune formule d'ouverture de compte ni aucun contrat avec la banque, qu'il n'y avait aucun compte personnel dont on lui ait communiqué les références et qu'il n'a reçu aucune correspondance des services de gestion de la banque. Dans ces circonstances, il ne pouvait s'imaginer qu'il avait conclu un contrat avec la banque. Il n'y a donc pas lieu de se demander si le directeur adjoint pouvait engager contractuellement la banque en vertu de pouvoirs apparents (<ref-law>).
2.3 La cour cantonale a admis que le directeur adjoint avait la qualité d'organe apparent et que la responsabilité de la banque devait donc être retenue sur la base de l'<ref-law>.
Contrairement à ce qu'a pensé la cour cantonale, il n'y a pas lieu de se référer ici à l'<ref-law>, puisqu'il s'agit d'une disposition spéciale et répétitive conçue pour les sociétés anonymes au sens de l'<ref-law> et que la recourante d'espèce n'est pas une société anonyme de droit suisse.
La responsabilité extracontractuelle pour les actes illicites d'un organe suppose évidemment que la personne qui a commis l'acte ait la qualité d'organe.
Est un organe celui qui participe effectivement et d'une façon décisive à la formation de la volonté sociale, durablement et dans un vaste domaine dépassant les affaires courantes (<ref-ruling> consid. 3a p. 31; <ref-ruling> consid. 4b p. 227).
La qualité d'organe, au sens de l'<ref-law>, peut découler de trois sources différentes:
- l'organe est tout d'abord la personne ou le groupe de personnes qui, à l'instar des membres du conseil d'administration dans une société anonyme, sont chargés par la loi ou par les statuts de gérer et de représenter la personne morale; on parle alors d'un organe formel (<ref-ruling> consid. 5a p. 435);
- est aussi un organe celui qui, sans en porter le titre, exerce effectivement la fonction de l'organe, à l'instar de l'actionnaire unique d'une société anonyme qui dirige en réalité lui-même sa société; on parle alors d'un organe de fait (<ref-ruling> consid. 3 p. 571);
- est également organe celui qui a été désigné par la personne morale comme disposant des pouvoirs de l'organe, alors même que ce n'est pas le cas; on parle alors d'un organe apparent (<ref-ruling> consid. 3 p. 571).
En l'espèce, la cour cantonale a estimé que le directeur adjoint n'avait pas la qualité d'organe en vertu de la loi ou des statuts. On considère généralement que cette qualité ne peut être reconnue à des employés que s'ils dépendent directement de l'organe suprême chargé de la gestion et de la représentation, à savoir le conseil d'administration dans le cas d'une société anonyme (<ref-ruling> consid. 3a p. 31; <ref-ruling> consid. 3 p. 571). Un directeur adjoint, qui est lui-même subordonné à un autre employé, se trouve dans une position par trop subalterne pour que la qualité d'organe formel lui soit reconnue. En l'espèce, il a d'ailleurs été constaté que ce directeur adjoint avait deux supérieurs successifs, tous deux employés, de sorte qu'il n'est effectivement pas douteux qu'il ne saurait être un organe formel.
Il a été ensuite admis que le directeur adjoint n'avait pas la qualité d'un organe de fait. Il n'a en effet pas été constaté qu'il pouvait, par la position qu'il occupait en fait, exercer une influence décisive sur la formation de la volonté sociale, durablement et dans un large cercle d'activités correspondant à une part importante du but social et excédant la simple gestion des affaires courantes. Au contraire, il a été retenu que son pouvoir de décision autonome était limité à un domaine strictement défini et à des dépenses n'excédant pas 5'000 fr., son activité étant par ailleurs soumise au contrôle et à la surveillance de ses supérieurs. Il est dès lors évident qu'il n'avait pas non plus la qualité d'organe de fait.
En revanche, la cour cantonale a retenu que le directeur adjoint avait la qualité d'organe apparent. Elle semble avoir perdu de vue qu'en parlant d'apparence, on vise seulement l'élément d'où on tire la qualité d'organe, mais sans que cela ne change en rien le contenu de cette notion. Lorsqu'on se demande si le directeur adjoint avait la qualité d'un organe apparent, on doit rechercher si la banque, par une communication ou un comportement de ses organes habilités, a créé l'apparence que son directeur adjoint avait en réalité la qualité d'organe formel ou les pouvoirs d'un organe de fait.
Sur ce point, la cour cantonale s'est manifestement fourvoyée. Elle a attaché une importance décisive à la carte de visite émise par la banque. Or, cette carte montre expressément que son employé n'a que la qualité de directeur adjoint, c'est-à-dire une position subordonnée dans la hiérarchie. Que l'on ait pu penser, en lisant cette carte, qu'il était un cadre de la banque est absolument sans pertinence, puisque les cadres sont normalement des employés, et non des organes. Que l'on ait pu croire, à la lecture de la carte, qu'il était chargé de la gestion de fonds ne crée pas l'apparence d'un organe, puisque cette activité est normalement confiée à des employés. Que la banque ait mis à sa disposition un grand bureau et une secrétaire ne permet en rien de le qualifier d'organe, plutôt que d'employé exerçant une fonction de cadre. Une banque peut parfaitement, pour des raisons de prestige, attribuer de vastes bureaux à ses cadres, sans que cela ne permette en aucune façon de déduire qu'ils ont les pouvoirs d'un organe. L'inscription d'une signature au registre du commerce ne suffit pas pour créer l'apparence d'un organe (<ref-ruling> consid. 4a p. 573). Les déclarations mensongères que le directeur adjoint a pu faire sont sans pertinence, puisqu'il ne peut se conférer à lui-même la qualité d'organe apparent; l'apparence dont on parle ici doit résulter d'une communication ou d'un comportement d'un tiers, qui est lui-même un organe habilité de la personne morale. En l'espèce, on ne voit pas que la banque, par son fait, ait donné l'apparence que le directeur adjoint était davantage qu'un employé subordonné exerçant une fonction de cadre. Rien, dans les déclarations ou le comportement de la banque, ne permet de penser qu'il avait le pouvoir d'exercer lui-même une influence décisive sur la formation de la volonté sociale durablement et dans de vastes domaines dépassant la gestion d'affaires courantes.
Dès lors que le directeur adjoint n'était ni un organe formel, ni un organe de fait, ni un organe apparent, la responsabilité de la banque ne peut pas être engagée sur la base de l'<ref-law>.
2.4 Il reste à examiner, selon la motivation alternative, si la responsabilité de la banque est engagée sur la base de l'<ref-law> (responsabilité de l'employeur pour ses employés).
Il est établi et non contesté que le directeur adjoint était employé de la banque, qu'il a commis des actes illicites (pour lesquels il a été condamné sur le plan pénal) qui ont causé le dommage invoqué par l'intimé.
La première question litigieuse est de savoir s'il a agi dans l'accomplissement de son travail (<ref-law>). Depuis longtemps, la jurisprudence a souligné que l'employé devait avoir agi dans l'accomplissement de son travail, et non pas à l'occasion de celui-ci (<ref-ruling> consid. 4a p. 106). Cette notion est cependant assez difficile à cerner. On admet qu'il faut une relation directe et fonctionnelle entre l'activité confiée au travailleur et l'acte dommageable que celui-ci commet (Werro, Commentaire romand, Code des obligations, 2003, n° 15 ad <ref-law>; Schnyder, Commentaire bâlois, Obligationenrecht, 4e éd. 2007, n° 13 ad <ref-law>; Brehm, Commentaire bernois, 2e éd. 1998, n° 21 ad <ref-law>). Il ne suffit cependant pas, pour que la responsabilité soit exclue, que l'auxiliaire viole les instructions reçues, qu'il excède sa compétence ou qu'il choisisse de causer intentionnellement un dommage à un tiers (Schwenzer, Schweizerisches Obligationenrecht, Allg. Teil, 4e éd. 2006, n° 23.19; cf. aussi: <ref-ruling> consid. 4a p. 106; Rey, Ausservertragliches Haftpflichtrecht, 4e éd. 2008, n° 913).
Concernant le cas d'école où un ouvrier est appelé dans un appartement pour y effectuer des travaux et saisit cette occasion pour commettre un vol, la doctrine est divisée; certains admettent que l'employeur est responsable (par exemple: Werro, Commentaire romand, Code des obligations, 2003, n° 15 ad art. 55; Brehm, Commentaire bernois, 4e éd. 2007, n° 28 ad <ref-law>), alors que d'autres soutiennent le contraire (Schnyder, Commentaire bâlois, Obligationenrecht, 2e éd. 1998, n° 12 ad <ref-law>; Rey, op. cit., n° 915). La difficulté de ce cas d'école réside dans le fait que le vol est une activité totalement étrangère aux travaux que l'ouvrier doit exécuter dans l'appartement.
En l'espèce, on ne se trouve pas en présence d'une situation aussi délicate. Certes, l'employé était chargé des immeubles et des équipements de la banque, et non pas de gérer les avoirs de clients. Il n'empêche que la banque, par un plan d'encouragement, avait incité tous ses employés, dès 1998, à apporter de nouveaux clients, moyennant rémunération. Cette activité était évidemment facultative, mais cela n'enlève rien au fait qu'en l'espèce elle était englobée dans les missions que l'employé pouvait accomplir dans le cadre de son travail. La recourante admet d'ailleurs que le directeur adjoint avait effectivement amené quelques clients, ce qui montre bien qu'il pouvait aussi accomplir cette activité dans le cadre de son travail, alors même qu'il était chargé en principe des immeubles et des équipements. Ainsi, lorsque le directeur adjoint parlait de la banque à ses connaissances et les incitait à y déposer leurs fonds, il agissait dans le cadre général de son travail. Plutôt que d'inviter les intéressés à ouvrir un compte à la banque et à y déposer leur argent, il les a persuadés, par une tromperie astucieuse, de laisser les fonds à sa disposition, ce qui lui a permis de les détourner à son profit. Autrement dit, en exerçant une activité qui entrait dans le cadre de son travail (la prospection de clients), il a choisi, plutôt que de faire bénéficier la banque des clients qu'il avait trouvés, de les détourner à son seul profit. Dans un tel cas, il y a un lien fonctionnel suffisamment étroit entre le travail facultatif confié et l'acte dolosif que l'employé a décidé de commettre. Il y a donc lieu d'admettre que le comportement illicite a été adopté dans le cadre de l'activité consistant à rechercher des clients.
Le cas d'espèce n'est pas comparable avec la décision rendue récemment par le Tribunal fédéral (arrêt 4A_54/2008 du 29 avril 2008). Dans ce cas, l'employé avait clairement dit et montré qu'il agissait à titre privé et en dehors de son activité professionnelle. Dans le cas d'espèce, le directeur adjoint a toujours fait référence à sa qualité d'employé de la banque et il a clairement montré que son but était d'amener de l'argent à la banque, tout en faisant profiter l'intimé des avantages que la banque pouvait lui offrir par son intermédiaire. L'activité du directeur adjoint n'a donc jamais été présentée comme étrangère à son travail.
2.5 Les conditions de la responsabilité de l'employeur étant réunies, il faut examiner si celui-ci a apporté la preuve libératoire ouverte par l'<ref-law>.
La cour cantonale a retenu que la banque n'était pas parvenue à prouver qu'elle avait surveillé son employé avec toute la diligence commandée par les circonstances (défaut dans la cura in custiendo). Il faut rappeler ici qu'un défaut dans l'organisation suffit pour que la preuve échoue (<ref-ruling> consid. 3a p. 462).
Il a été constaté en fait - d'une manière qui lie le Tribunal fédéral (<ref-law>) - que le travail confié à l'employé impliquait qu'il ne reçoive personnellement aucun client; or, il a été établi qu'il recevait régulièrement ses propres clients dans les bureaux de la banque. Pour assurer la sécurité des valeurs et la confidentialité des données, il est évident que des inconnus ne doivent pas pouvoir se promener librement dans les bureaux d'une banque. En l'espèce, les huissiers, dans tous les bâtiments de la banque, étaient bien chargés de contrôler les entrées, mais il a été établi qu'ils n'ont signalé à personne les rendez-vous fréquents que le directeur adjoint recevait, alors même que cette situation, s'agissant d'un employé qui ne devait pas recevoir de clientèle, appelait évidemment des interrogations. Le supérieur direct du directeur adjoint a même surpris son subordonné alors qu'il recevait de l'argent dans son bureau, mais n'a entrepris aucune investigation sérieuse à ce sujet. L'audit interne a révélé que d'autres constatations plus ou moins alarmantes avaient été faites, mais qu'elles n'avaient pas été regroupées, de sorte que la gravité de la situation a été minimisée, faute d'une vue d'ensemble. Devant la juridiction des prud'hommes, le responsable de l'audit a déclaré qu'il avait mis en évidence des défauts d'organisation graves et des procédures qui n'étaient pas adéquates et ne correspondaient pas aux risques. Il a confirmé cette déclaration dans la présente procédure et il a ajouté que toutes ses recommandations ont été suivies. Une banque doit toujours compter avec le risque qu'un employé utilise les locaux et le papier à son en-tête pour se livrer à des opérations de type bancaire à son seul profit et à l'insu de la banque; il lui incombe donc de prendre les mesures de surveillance que l'on peut raisonnablement exiger. Au vu des éléments qui viennent d'être rappelés, la cour cantonale n'a pas violé le droit fédéral en concluant que la banque n'était pas parvenue à apporter la preuve qu'elle avait surveillé son employé avec toute la diligence requise par les circonstances.
Dans ce contexte, la recourante soulève un grief concernant l'établissement des faits qui est suffisamment motivé. Elle reproche à la cour cantonale de ne pas avoir mentionné, dans l'état de fait, que l'auteur de l'audit interne a déclaré lors de l'audience du 19 septembre 2007 qu' "à l'époque des faits, il était très difficile de détecter des fraudes potentielles de la part de A._". Vérification faite, le témoin a tout d'abord déclaré que toutes les recommandations qu'il avait faites dans son rapport avaient été mises en place; il a confirmé sa déclaration faite devant la juridiction des prud'hommes où il déclare qu'il a mis en évidence de graves défauts d'organisation. En conséquence, les mots "à l'époque des faits" doivent être compris en ce sens que l'organisation était alors défectueuse et que c'est pour cette raison qu'il était très difficile de détecter le comportement délictueux du directeur adjoint. La recourante ne peut donc rien tirer de ce procès-verbal qui puisse modifier la décision attaquée.
La recourante fait également grand cas de l'arrêt rendu par le Tribunal fédéral au sujet du licenciement, à la suite de cette affaire, du directeur général adjoint (arrêt 4C.110/2005 du 6 juillet 2005). Or, dans cet arrêt, le Tribunal fédéral, après avoir rappelé que l'on ne peut pas invoquer des faits nouveaux devant lui, a retenu, sur la base de l'arrêt cantonal, que la banque n'était pas parvenue à démontrer l'existence de manquements de la part de ce directeur général adjoint (consid. 4.3). Il n'a été nullement constaté dans cet arrêt que la banque avait surveillé A._ de manière adéquate, ni même que le directeur général adjoint en question n'avait commis aucune faute; le Tribunal fédéral a seulement constaté que la banque n'avait pas prouvé que son directeur général avait commis des manquements. Il n'y a donc pas de contradiction entre cet arrêt et la décision querellée. On peut d'ailleurs facilement imaginer que la banque n'a pas souhaité s'étendre sur ses défauts d'organisation, afin de ne pas péjorer sa situation dans les procès interjetés par les lésés.
La banque paraît d'ailleurs avoir pris conscience des défauts de sa surveillance à l'époque des faits, puisqu'elle a adopté, en ce qui concerne son organisation et les procédures à suivre, toutes les recommandations résultant de l'audit interne effectué à la suite de cette affaire et qu'elle a par ailleurs licencié les deux supérieurs directs du coupable.
Comme les agissements délictueux ont duré près de dix ans, il est possible qu'une réaction adéquate ait pu intervenir avant le versement effectué par l'intimé. L'employeur n'est donc pas non plus parvenu à prouver que la diligence due n'aurait pas empêché la survenance de tout ou partie du dommage invoqué.
2.6 La cour cantonale a réduit le montant des dommages-intérêts pour tenir compte de la faute concomitante de l'intimé (<ref-law>).
L'intimé aurait dû manifestement s'étonner de ne pas ouvrir un compte auprès de la banque en son propre nom; il aurait surtout dû se rendre compte que le rendement qui lui était garanti était absolument incroyable. En se lançant néanmoins dans une telle opération, l'intimé a agi avec légèreté et c'est à juste titre que la cour cantonale a retenu l'existence d'une faute concomitante. La réduction, fixée à 30%, relève de l'appréciation et ne viole pas le droit fédéral.
Il n'y a donc pas lieu de revenir sur cette question qui n'a pas été discutée devant le Tribunal fédéral.
3. En conséquence, l'arrêt attaqué ne viole en rien le droit fédéral et le recours doit être rejeté.
Les frais judiciaires et les dépens sont mis à la charge de la partie qui succombe (art. 66 al. 1 et 68 al. 1 et 2 LTF).

Par ces motifs, le Tribunal fédéral prononce:
1. Le recours est rejeté.
2. Les frais judiciaires, arrêtés à 5'000 fr., sont mis à la charge de la recourante.
3. La recourante versera à l'intimé une indemnité de 6'000 fr. à titre de dépens.
4. Le présent arrêt est communiqué aux parties et à la Chambre civile de la Cour de justice du canton de Genève.
Lausanne, le 26 mars 2009
Au nom de la Ire Cour de droit civil
du Tribunal fédéral suisse
La Présidente: Le Greffier:
Klett Piaget