La corporate governance si sta evolvendo sempre più da un sistema formale di organi societari, deleghe di poteri, regolamenti interni, comitati e linee di reporting verso una disciplina dimostrabile di guida istituzionale, nella quale la Sua organizzazione deve essere in grado di comprovare che le decisioni strategiche siano state adottate sulla base di informazioni sufficientemente affidabili, che i rischi materiali siano stati correttamente identificati, che le responsabilità siano state chiaramente attribuite e che i segnali indicativi di possibili carenze abbiano raggiunto tempestivamente il livello decisionale appropriato. La mera esistenza di un consiglio di amministrazione, di un consiglio di sorveglianza, di un comitato audit, di un comitato rischi, di una funzione compliance, di una funzione di internal audit e di flussi periodici di reporting gestionale non consente, di per sé, di rispondere alla questione più importante: se la governance funzioni realmente quando la Sua organizzazione è sottoposta a pressioni commerciali, finanziarie, giuridiche, regolamentari o sociali. Il criterio determinante consiste nella capacità di tali strutture di consentire agli organi di vertice di acquisire tempestiva visibilità sugli sviluppi suscettibili di incidere sulla continuità aziendale, sull’affidabilità finanziaria, sull’integrità organizzativa, sulla reputazione, sullo status autorizzativo o sulla resilienza giuridica. Tali sviluppi possono comprendere debolezze nell’informativa finanziaria, flussi transazionali anomali, ricavi insufficientemente supportati, incidenti di integrità, minacce cyber, rischi di corruzione, esposizione a sanzioni, carenze nei processi di accettazione di clienti o fornitori, informazioni di sostenibilità non sufficientemente affidabili, incidenti nella catena di fornitura, controlli interni inadeguati, responsabilità non chiaramente definite rispetto a tecnologie critiche, deroghe non autorizzate alle policy o segnali secondo cui le informazioni gestionali rappresentano sistematicamente una situazione più favorevole di quanto la realtà sottostante consenta. La responsabilità del consiglio, pertanto, non si esaurisce nella ricezione di report. Richiede sempre più una valutazione attiva circa il fatto che le informazioni utilizzate a fondamento delle decisioni siano sufficientemente complete, aggiornate, indipendenti, pertinenti e affidabili. La corporate governance è quindi direttamente connessa alla Gestione integrata dei rischi di criminalità finanziaria, poiché i Rischi di criminalità finanziaria difficilmente possono essere governati in modo efficace da una funzione compliance operante in isolamento. Frode, corruzione, riciclaggio, elusione delle sanzioni, conflitti di interesse, manipolazione dell’informativa finanziaria, abuso di persone giuridiche, pagamenti indebiti, collusione interna e altre forme di criminalità finanziaria ed economica si manifestano frequentemente all’intersezione tra strategia, attività commerciale, finanza, procurement, funzione legale, compliance, operations, tecnologia e management esecutivo. Una Gestione integrata dei rischi di criminalità finanziaria realmente efficace richiede dunque che il consiglio non si limiti ad approvare policy e procedure, ma comprenda quali Rischi di criminalità finanziaria siano insiti nel modello di business, quale livello di tolleranza al rischio sia concretamente applicato, quali eccezioni vengano autorizzate, dove i controlli siano carenti, quali incidenti si stiano verificando e se le responsabilità relative alla remediation vengano effettivamente esercitate. Lo stesso principio si applica al consiglio di sorveglianza. Una supervisione indipendente richiede molto più della semplice ricezione dei board pack o della partecipazione a riunioni periodiche. La funzione di supervisione deve essere in grado di mettere in discussione le assunzioni sottese alle decisioni significative, individuare lacune informative, valutare se determinati interessi possano compromettere l’obiettività del giudizio, verificare l’indipendenza dei meccanismi di assurance e stabilire se il consiglio di amministrazione intervenga con sufficiente tempestività quando le evidenze disponibili indicano debolezze strutturali del sistema di controllo. Per la Sua organizzazione, ciò significa che la governance deve essere sempre più organizzata attorno a un’attenzione consiliare dimostrabile: chi sapeva cosa, in quale momento, sulla base di quali informazioni, quali domande sono state poste, quali alternative sono state considerate, quali obiezioni sono state sollevate, quali misure sono state adottate, quali rischi residui sono stati accettati e su quali basi tale accettazione è stata ritenuta difendibile. Una decisione non deve necessariamente rivelarsi favorevole ex post per essere stata adottata responsabilmente, ma la qualità del processo che ha condotto a tale decisione assume un peso crescente nelle valutazioni relative alla responsabilità degli amministratori, alla supervisione regolamentare, all’enforcement, al contenzioso societario, all’esposizione penale e, più in generale, alla legittimità della condotta degli organi di vertice. La governance deve quindi consentire il processo decisionale, organizzare il contraddittorio interno, ridurre le asimmetrie informative, rafforzare la consapevolezza dei rischi e creare una documentazione difendibile dalla quale risulti che amministratori e membri del consiglio di sorveglianza abbiano effettivamente esercitato le proprie responsabilità.
Questa evoluzione rende Corporate Governance, responsabilità del consiglio e supervisione esecutiva una componente centrale della resilienza giuridica, strategica e istituzionale della Sua organizzazione. Gli amministratori operano sempre più frequentemente in contesti nei quali le decisioni devono essere prese sotto pressione temporale, in condizioni di incertezza e sulla base di informazioni incomplete, mentre le medesime decisioni possono successivamente essere sottoposte a scrutinio disponendo del senno di poi, di un quadro fattuale molto più completo e di una prospettiva giuridica notevolmente più rigorosa. Un investimento che appariva commercialmente difendibile al momento della decisione può successivamente essere analizzato sotto il profilo della responsabilità degli amministratori; un’acquisizione inizialmente considerata strategicamente attrattiva può essere successivamente contestata per insufficiente due diligence, esposizione a rischi di corruzione o inadeguata integrazione dei controlli successivamente all’operazione; una deroga temporanea in materia di compliance può divenire parte di un procedimento di enforcement regolamentare; una misura di liquidità può essere esaminata sotto il profilo del pregiudizio arrecato ai creditori; un incidente cyber può sollevare interrogativi circa precedenti segnalazioni ricevute dal senior management; un’indagine per frode può infine dimostrare che diversi segnali di allarme erano presenti in differenti aree dell’organizzazione senza essere mai stati aggregati o elevati a livello consiliare. La valutazione giuridica della condotta manageriale si concentra pertanto sempre più sulla qualità del processo decisionale così come esso poteva essere ragionevolmente valutato al momento rilevante. La Sua organizzazione deve essere in grado di ricostruire quali informazioni fossero disponibili, quali informazioni avrebbero dovuto ragionevolmente essere acquisite, quali esperti o funzioni di controllo siano stati consultati, quali rischi siano stati espressamente portati all’attenzione del consiglio, quali conflitti di interesse esistessero, quali alternative siano state discusse e per quali ragioni sia stata infine selezionata una determinata linea d’azione. Ciò richiede un collegamento molto più stretto tra corporate governance, enterprise risk management, Gestione integrata dei rischi di criminalità finanziaria, controllo interno, compliance, funzione legale, finanza, internal audit, crisis management e protezione giuridica degli amministratori. L’obiettivo non consiste nel creare la massima prudenza possibile da parte del management né nel rallentare le decisioni attraverso il tentativo di eliminare ogni incertezza mediante procedure legali. Una governance efficace deve, al contrario, consentire alla Sua organizzazione di agire con determinazione quando le circostanze lo richiedono, purché i rischi materiali siano stati resi visibili, le responsabilità siano chiare, le competenze necessarie siano disponibili, le obiezioni significative siano state ascoltate e la valutazione finale sia stata documentata con sufficiente rigore. È precisamente in questo ambito che il tone at the top e la cultura del rischio acquisiscono rilevanza operativa. Un’organizzazione nella quale i dipendenti dispongono formalmente di canali speak-up ma percepiscono in concreto che le informazioni negative non siano ben accolte non dispone di una governance efficace. Un’organizzazione nella quale gli obiettivi finanziari prevalgono sistematicamente sui limiti di compliance può disporre di policy, ma non di un effettivo controllo esecutivo. Un’organizzazione nella quale gli indicatori di rischio circolano esclusivamente all’interno delle funzioni operative mentre il senior management riceve prevalentemente informazioni aggregate e positive può sviluppare una grave asimmetria tra la percezione del consiglio e l’effettivo profilo di rischio. La Gestione integrata dei rischi di criminalità finanziaria offre in questo contesto un quadro di collegamento essenziale, perché non tratta i Rischi di criminalità finanziaria come categorie isolate di incidenti, ma come rischi da collegare alla governance, alla strategia, alle persone, ai processi, ai dati, alla tecnologia, ai flussi finanziari, alle relazioni esterne e alla responsabilità esecutiva. La corporate governance diventa così una forma di leadership istituzionale difendibile: la Sua organizzazione deve preservare lo spazio necessario all’iniziativa imprenditoriale, alla scelta strategica e al giudizio commerciale, dimostrando al contempo che amministratori e membri del consiglio di sorveglianza abbiano esercitato un adeguato livello di comprensione, controllo effettivo, contraddittorio indipendente e giudizio motivato in relazione alle decisioni più rilevanti. Il criterio ultimo non è quindi rappresentato dalla quantità di documentazione di governance prodotta, bensì dalla capacità della Sua organizzazione di dimostrare, anche sotto esame critico, che i rischi rilevanti siano stati individuati tempestivamente, che le informazioni siano state analizzate con sufficiente profondità, che i segnali critici non siano stati ignorati, che le responsabilità siano state realmente esercitate e che le decisioni possano essere difese sul piano giuridico, finanziario e istituzionale.
Corporate Governance Code 2025, doveri del consiglio e responsabilità nella gestione dei rischi
Il Corporate Governance Code 2025 rafforza, per le società quotate e indirettamente per le altre organizzazioni che si conformano a standard di governance comparabili, l’evoluzione verso un modello nel quale la gestione dei rischi non può più essere considerata esclusivamente una responsabilità operativa della funzione finance, risk, compliance o internal audit. La responsabilità per la progettazione, la valutazione e l’efficacia continuativa dei sistemi interni di gestione dei rischi e di controllo riguarda direttamente il corretto esercizio dei doveri del consiglio. Per la Sua organizzazione, ciò significa che il consiglio deve essere in grado di spiegare come gli obiettivi strategici siano collegati ai principali rischi, come venga determinata la propensione al rischio, quali controlli interni siano considerati necessari, quali informazioni gestionali vengano utilizzate per valutarne l’efficacia e in che modo le carenze siano sottoposte a escalation e remediation. Il cambiamento è sostanziale: la governance non può più considerarsi adeguatamente dimostrata soltanto attraverso la descrizione dei sistemi o la constatazione che esistano policy, matrici di controllo e report periodici. La questione centrale consiste nel comprendere se il consiglio, sulla base di informazioni sufficientemente affidabili, sia effettivamente in grado di valutare se l’organizzazione operi entro i limiti definiti. Ciò richiede un approccio integrato nel quale informativa finanziaria, rischio operativo, compliance, resilienza cyber, sostenibilità, rischi legati alle persone, outsourcing, rischio di supply chain e Rischi di criminalità finanziaria siano considerati congiuntamente. Nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, ciò implica che il consiglio comprenda quali parti del modello di business siano esposte a frode, corruzione, riciclaggio, violazioni delle sanzioni, conflitti di interesse, manipolazione o transazioni improprie; quali controlli siano destinati a mitigare tali rischi; quali rischi residui siano accettati; quali incidenti si siano verificati; quali cause strutturali ne siano alla base; e se i dati disponibili siano sufficientemente affidabili da supportare conclusioni a livello esecutivo. Un board paper che si limiti a indicare che la compliance presenta uno stato “verde” fornisce un livello di assurance significativamente inferiore rispetto a un reporting che renda visibili gli indicatori di rischio rilevanti, le eccezioni, le azioni di remediation scadute, le carenze dei controlli, gli incidenti significativi e i risultati delle attività di assurance. La sfida per il Suo consiglio non consiste quindi soltanto nel ricevere informazioni, ma anche nel definire requisiti chiari rispetto alla qualità, al livello di aggregazione, all’indipendenza e alla tempestività di tali informazioni. La responsabilità di governance si sposta così dalla mera ricezione verso una comprensione dimostrabile.
Ne deriva una relazione diretta tra doveri del consiglio, propensione al rischio e intervento esecutivo. La gestione del rischio è efficace soltanto quando il consiglio definisce preventivamente quali rischi siano accettabili nel quadro della strategia adottata e quando gli scostamenti rispetto a tali limiti producano conseguenze effettive nel processo decisionale. Un risk appetite framework formalmente approvato ha valore limitato se le eccezioni commerciali vengono sistematicamente autorizzate senza un’escalation esplicita o se limiti rilevanti vengono ripetutamente superati senza conseguenze a livello esecutivo. La Sua organizzazione deve quindi essere in grado di distinguere chiaramente tra i rischi insiti nella strategia selezionata, i rischi che possono essere ricondotti entro parametri accettabili mediante misure di mitigazione efficaci e i rischi che non dovrebbero essere accettati in ragione delle loro implicazioni giuridiche, finanziarie, reputazionali o di integrità. Tale distinzione assume particolare rilievo con riferimento ai Rischi di criminalità finanziaria. Un’organizzazione può, ad esempio, ritenere commercialmente interessante un determinato mercato geografico, mentre l’esposizione a sanzioni, il rischio di corruzione, strutture proprietarie opache, intermediari anomali o una debole attività di enforcement locale possono richiedere una due diligence rafforzata e un monitoraggio transazionale più intenso. La Gestione integrata dei rischi di criminalità finanziaria impone che tali circostanze siano considerate come parte della stessa scelta strategica e non come un tema di compliance da affrontare dopo che la decisione commerciale è stata sostanzialmente adottata. Il consiglio deve essere in grado di stabilire se i controlli aggiuntivi siano realmente sufficienti, se siano disponibili le competenze richieste, se i dati e i meccanismi di monitoraggio funzionino in modo affidabile e se l’esposizione residua sia coerente con la propensione al rischio dichiarata dall’organizzazione. La propensione al rischio non dovrebbe quindi trasformarsi in un documento astratto aggiornato periodicamente senza conseguenze operative. Il suo valore emerge quando viene tradotta in concrete regole decisionali, soglie di escalation, poteri autorizzativi, criteri per le eccezioni e informazioni gestionali. La Sua organizzazione deve, ad esempio, essere in grado di stabilire quando una transazione, un cliente, un fornitore, un investimento, una partnership o l’ingresso in un nuovo mercato richiedano l’approvazione del consiglio; quando sia necessaria una revisione giuridica rafforzata; quando la funzione compliance disponga di un diritto di escalation o veto; e quando un rischio precedentemente accettato debba essere riesaminato alla luce di mutate circostanze. La governance acquisisce in questo modo rilevanza operativa e crea un collegamento diretto tra strategia, Gestione integrata dei rischi di criminalità finanziaria e responsabilità individuale degli amministratori.
La crescente enfasi sulla responsabilità del consiglio aumenta altresì l’importanza delle evidenze di governance. Quando, in un momento successivo, viene messa in discussione l’adeguatezza della supervisione esercitata dal consiglio sul controllo interno, l’analisi raramente si limita ai soli documenti di policy. Verbali del consiglio, board paper, risk report, rilievi di audit, management representation, pareri di compliance, memorandum decisionali, remediation tracker e corrispondenza relativa alle escalation possono complessivamente divenire centrali per valutare se gli amministratori abbiano correttamente adempiuto ai propri doveri. Per la Sua organizzazione, la documentazione non dovrebbe quindi essere considerata una semplice registrazione amministrativa successiva all’evento, ma una componente integrante di una governance responsabile. Un solido decision record dimostra quali rischi siano stati discussi, quali domande siano state poste, quali informazioni aggiuntive siano state richieste, quali incertezze siano state riconosciute e quali azioni di follow-up siano state imposte. Al contempo, occorre evitare una documentazione eccessiva nella quale gli elementi decisionali essenziali vengano oscurati dal volume delle informazioni. Le informazioni destinate al consiglio devono consentire agli amministratori di individuare rapidamente quali questioni richiedano una decisione, quali rischi siano materiali, dove i controlli non operino efficacemente e quali temi richiedano un intervento immediato. La Gestione integrata dei rischi di criminalità finanziaria deve occupare una posizione riconoscibile e proporzionata all’interno di tale flusso informativo. Non ogni singolo incidente deve necessariamente essere sottoposto all’intero consiglio, ma pattern, carenze sistemiche dei controlli, indagini materiali, aumento dell’esposizione al rischio, rilevanti questioni sanzionatorie e gravi incidenti di integrità devono essere visibili al livello di governance appropriato. Ciò riduce il rischio che il consiglio scopra in seguito che informazioni rilevanti erano presenti in diverse parti dell’organizzazione, ma non erano mai state aggregate o analizzate in modo da consentire una risposta esecutiva efficace. La responsabilità per la gestione dei rischi richiede in definitiva che la Sua organizzazione dimostri non soltanto che le informazioni siano state riportate, ma che quelle materiali siano state comprese, valutate e, ove necessario, tradotte in decisioni correttive.
Doveri degli amministratori, responsabilità esecutiva ed esposizione giuridica personale
La responsabilità giuridica degli amministratori richiede una distinzione rigorosa tra legittimo rischio d’impresa, discrezionalità manageriale e condotta personalmente censurabile. Gli amministratori sono chiamati ad assumere decisioni in circostanze nelle quali gli esiti non sono sempre prevedibili e nelle quali opportunità commerciali, pressioni finanziarie, interessi dei dipendenti, aspettative degli azionisti, obblighi legali e conseguenze sociali più ampie devono essere contemperati simultaneamente. Il fatto che una strategia si riveli successivamente infruttuosa, che un investimento subisca una svalutazione, che un’acquisizione performi al di sotto delle attese o che si verifichi un incidente non determina, di per sé, una responsabilità personale. Al tempo stesso, la discrezionalità manageriale non protegge gli amministratori quando rischi essenziali vengono ignorati, conflitti evidenti non vengono correttamente gestiti, informazioni critiche vengono deliberatamente escluse dalla valutazione o non vengono adottate misure nonostante segnali chiari circa una significativa esposizione giuridica o finanziaria dell’organizzazione. Per il Suo consiglio, la questione centrale consiste quindi nella possibilità di valutare il processo decisionale alla luce delle circostanze esistenti al momento rilevante. Quali informazioni erano disponibili? Quali incertezze erano note? Quali informazioni aggiuntive avrebbero potuto ragionevolmente essere acquisite? Quali alternative esistevano? Quali esperti sono stati consultati? Quali interessi dovevano essere contemperati? Qual era il livello di urgenza? Quali rischi sono stati accettati e per quali ragioni? La qualità di questa documentazione contemporanea alla decisione può assumere rilievo decisivo quando, anni dopo, la condotta venga scrutinata sotto il profilo della mala gestio, dell’illecito, della supervisione inadeguata o di un potenziale coinvolgimento penale. La Sua organizzazione ha quindi un forte interesse a garantire che le decisioni significative non siano soltanto adottate, ma anche preparate e documentate in modo da consentire la successiva ricostruzione della loro razionalità fattuale e giuridica.
Nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, l’esposizione personale degli amministratori assume un’ulteriore dimensione, poiché la criminalità finanziaria ed economica solleva frequentemente questioni relative a conoscenza, istruzioni impartite, controllo effettivo, omissione, supervisione ed escalation. Quando un’organizzazione registra pagamenti sospetti ripetuti, elusione di sanzioni, commissioni anomale corrisposte a intermediari, manipolazione dei ricavi o frodi interne persistenti nonostante precedenti segnalazioni, la valutazione giuridica difficilmente si concentrerà esclusivamente sulla persona giuridica. L’attenzione potrà rivolgersi anche a quali amministratori fossero responsabili dell’area interessata, quali informazioni abbiano ricevuto, quale influenza potessero esercitare, quali avvertimenti siano stati formulati e se siano state adottate misure adeguate. Sarebbe pertanto rischioso presumere che una delega formale determini automaticamente un allontanamento dell’amministratore dall’esposizione giuridica. Gli amministratori possono distribuire compiti e responsabilità, ma in numerose circostanze restano responsabili di assicurare che l’organizzazione disponga di adeguati meccanismi informativi, di controllo e di escalation. Per la Sua organizzazione, la mappatura delle responsabilità nell’ambito della Gestione integrata dei rischi di criminalità finanziaria non è quindi soltanto rilevante sul piano operativo, ma costituisce anche una componente importante della protezione giuridica del management. Deve essere chiaro quale amministratore sia responsabile della finanza, della compliance, della tecnologia, delle operations o delle attività internazionali; quali materie coinvolgano una responsabilità collegiale del consiglio; quali trigger di escalation trovino applicazione; e in che modo l’organizzazione reagisca quando l’amministratore funzionalmente competente non affronti adeguatamente un rischio materiale. Strutture di governance complesse non dovrebbero produrre una situazione nella quale tutti siano parzialmente responsabili ma nessuno abbia una titolarità effettiva della questione. In presenza di incidenti gravi, l’incertezza circa le responsabilità può indebolire sensibilmente la posizione sia dell’organizzazione sia dei singoli amministratori.
Una protezione efficace degli amministratori non richiede quindi di minimizzare la documentazione né di sottrarre le questioni difficili a una valutazione formale. Richiede, al contrario, un processo decisionale disciplinato nel quale i dilemmi siano esplicitamente identificati e il quadro giuridico pertinente sia considerato nel momento appropriato. Quando il consiglio si confronta con un’acquisizione ad alto rischio, un’indagine interna per frode, una possibile violazione di sanzioni, una grave segnalazione whistleblowing o una rilevante irregolarità contabile, l’organizzazione deve valutare non soltanto ciò che debba essere fatto sul piano operativo, ma anche come debbano essere attribuite le responsabilità, se sia necessaria competenza indipendente, quali conflitti di interesse esistano, quali obblighi di notifica o disclosure possano sorgere e quali informazioni debbano essere preservate e documentate. Un simile approccio rafforza sia la qualità della risposta del consiglio sia la sua difendibilità giuridica. La Gestione integrata dei rischi di criminalità finanziaria può operare quale quadro di collegamento, perché accertamento dei fatti, valutazione del rischio, analisi giuridica, governance, remediation e responsabilità esecutiva non dovrebbero essere trattati come attività separate e non coordinate. La Sua organizzazione può così evitare che una questione grave venga affrontata soltanto come incidente di compliance mentre restano insufficientemente valutate rilevanti conseguenze societarie, regolamentari, penali o reputazionali. Nelle questioni maggiormente sensibili, deve essere valutata sin dall’inizio la posizione della persona giuridica, l’eventuale divergenza degli interessi dei singoli amministratori, la possibile necessità di rappresentanza indipendente e la conservazione delle evidenze senza compromettere inutilmente la continuità operativa. La protezione degli amministratori non costituisce pertanto un’attività difensiva separata che inizia soltanto dopo l’insorgere di una pretesa; essa prende avvio dalla qualità quotidiana della governance, dei flussi informativi, dei processi decisionali e della Gestione integrata dei rischi di criminalità finanziaria.
Efficacia del consiglio di sorveglianza, comitati audit e supervisione indipendente
L’efficacia del consiglio di sorveglianza è sempre più determinata dalla qualità del contraddittorio sostanziale che esso è in grado di esercitare nei confronti del management esecutivo. Una supervisione indipendente non equivale a una supervisione distante. Il consiglio di sorveglianza deve mantenere una distanza sufficiente per valutare le questioni in modo obiettivo, sviluppando al tempo stesso una comprensione abbastanza approfondita delle materie sottostanti da poter mettere realmente in discussione assunzioni, qualità delle informazioni e conclusioni del management. Per la Sua organizzazione, ciò significa che la supervisione non può limitarsi a una revisione periodica della performance finanziaria o alla discussione di informazioni selezionate dal management. I membri del consiglio di sorveglianza devono essere in grado di acquisire una comprensione dei principali rischi strategici, della qualità del controllo interno, dell’evoluzione dei Rischi di criminalità finanziaria, dell’efficacia della compliance, dei principali rilievi di internal audit, del contenzioso materiale, della resilienza cyber, degli incidenti di integrità, delle vulnerabilità legate alle persone e del grado di effettiva realizzazione delle misure di remediation precedentemente concordate. Il valore della supervisione non risiede nell’assumere le responsabilità del management, ma nel porre domande che obblighino quest’ultimo a esplicitare le proprie assunzioni, affrontare le debolezze e valutare alternative credibili. Quando il consiglio di sorveglianza riceve prevalentemente conferme di conclusioni già raggiunte dal management, sorge un rischio di cattura informativa. Una supervisione efficace richiede quindi accesso a fonti informative sufficientemente indipendenti, un’interazione diretta e sostanziale con le funzioni di controllo e la possibilità di ricorrere a competenze aggiuntive quando la materia oltrepassi il normale perimetro informativo.
I comitati audit e rischio rivestono una posizione particolarmente importante in ragione del loro maggiore coinvolgimento nell’informativa finanziaria, nel controllo interno, nell’assurance, nel risk management e nell’audit esterno. Tale posizione può tuttavia generare un ulteriore rischio di governance qualora gli altri membri del consiglio di sorveglianza ritengano che rischi complessi siano stati così integralmente delegati a tali comitati. Il sistema di governance della Sua organizzazione deve pertanto chiarire quali questioni siano oggetto di preparazione o approfondimento specialistico all’interno di un comitato e quali richiedano, in ultima analisi, comprensione e giudizio da parte del consiglio di sorveglianza nel suo complesso. I Rischi di criminalità finanziaria offrono un chiaro esempio. Un comitato audit può essere strettamente coinvolto nella valutazione dei rischi di frode, delle carenze di controllo interno o dei rilievi dell’auditor esterno, ma questioni gravi di corruzione, sanzioni, riciclaggio o integrità possono avere anche conseguenze strategiche, giuridiche e reputazionali tali da coinvolgere la responsabilità dell’intero organo di supervisione. La Gestione integrata dei rischi di criminalità finanziaria deve quindi essere coordinata con la struttura dei comitati senza frammentare artificialmente le responsabilità. La Sua organizzazione deve determinare quali report debbano essere trasmessi direttamente al comitato audit, quali escalation richiedano l’esame del consiglio di sorveglianza nel suo complesso e quali incidenti giustifichino il coinvolgimento immediato del presidente o di altri membri designati. Possono inoltre essere appropriate periodiche analisi approfondite su aree quali esposizione alla frode, rischio sanzioni, integrità dei terzi, whistleblowing, indicatori culturali, criminalità finanziaria agevolata dalle tecnologie digitali e qualità delle indagini e della remediation. La supervisione evolve così da una generica ricezione di informazioni verso una forma di assurance mirata sui settori nei quali le carenze dei controlli possono produrre conseguenze particolarmente gravi.
La supervisione indipendente richiede inoltre che il consiglio di sorveglianza metta in discussione la qualità stessa delle informazioni ricevute. Grandi quantità di dati possono creare un’apparenza di trasparenza pur omettendo le informazioni necessarie a un giudizio realmente consapevole. I membri del consiglio di sorveglianza devono pertanto valutare non soltanto quali KPI e KRI vengano riportati, ma anche in che modo tali indicatori siano costruiti, quali fonti di dati vengano utilizzate, quali anomalie possano scomparire attraverso l’aggregazione e quali giudizi manageriali incidano sul quadro presentato. Nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, ad esempio, una diminuzione del numero degli incidenti segnalati può apparire positiva ma potrebbe anche indicare minore fiducia nei meccanismi di reporting, insufficiente capacità di detection o carenza di risorse investigative. Un numero ridotto di alert sanzioni può indicare una bassa esposizione, ma può altrettanto riflettere un sistema di screening inadeguato. Un’elevata percentuale di azioni di remediation dichiarate concluse può apparire rassicurante mentre la loro efficacia non è ancora stata oggetto di verifica indipendente. Una supervisione efficace richiede quindi triangolazione: il reporting del management dovrebbe, quando appropriato, essere confrontato con internal audit, compliance, audit esterno, indagini legali, segnalazioni dei dipendenti, dati operativi e sviluppi esterni. Ciò consente al consiglio di sorveglianza di valutare se la situazione riportata corrisponda effettivamente all’ambiente di controllo reale. La Sua organizzazione rafforza così non soltanto l’efficacia della supervisione, ma anche la posizione giuridica dei membri del consiglio di sorveglianza, poiché diviene più agevole dimostrare che essi non si siano limitati a fare affidamento passivamente su attestazioni formali del management, ma abbiano attivamente verificato se i rischi materiali fossero adeguatamente governati.
Propensione al rischio, processo decisionale strategico e qualità delle informazioni destinate al consiglio
Processo decisionale strategico e propensione al rischio sono inseparabili. Ogni scelta strategica significativa implica una valutazione su quali rischi la Sua organizzazione sia disposta ad assumere nella ricerca di valore economico, sociale o istituzionale. Ingresso in nuovi mercati, acquisizioni, nuovi prodotti, digitalizzazione, automazione, espansione internazionale, outsourcing, ristrutturazioni e nuove forme di partnership possono offrire opportunità rilevanti, ma possono al contempo modificare sensibilmente il profilo di rischio dell’organizzazione. Una governance efficace richiede quindi che la propensione al rischio non venga utilizzata soltanto come esercizio annuale di governance, ma come vero strumento pratico di decisione. Quando il consiglio valuta proposte significative, deve essere in grado di stabilire quali rischi vengano generati, come tali rischi si collochino rispetto alle tolleranze definite, quali controlli siano necessari, quali esposizioni residue permangano e quali indicatori debbano determinare una revisione della strategia. Per la Sua organizzazione, la qualità delle informazioni destinate al consiglio diviene decisiva. Gli amministratori possono assumere decisioni responsabili soltanto quando le informazioni messe a loro disposizione siano sufficientemente complete e sufficientemente critiche da consentire di comprendere tanto le opportunità quanto le downside exposure. Board paper che sostengano prevalentemente una soluzione già preferita senza rappresentare con chiarezza alternative rilevanti, sensitività, incertezze e implicazioni di compliance limitano la possibilità di un autentico giudizio esecutivo. Un processo decisionale robusto richiede pertanto che le proposte strategiche affrontino esplicitamente rischi principali, assunzioni, scenari alternativi, conseguenze finanziarie, vincoli giuridici, fattibilità operativa, questioni di integrità e opzioni disponibili di uscita o mitigazione.
La Gestione integrata dei rischi di criminalità finanziaria deve essere incorporata in tale analisi strategica sin dalle fasi iniziali. I Rischi di criminalità finanziaria spesso non emergono dopo l’implementazione della strategia, ma derivano dal modo stesso in cui il valore viene creato, le transazioni vengono eseguite, i mercati vengono raggiunti e le relazioni d’affari vengono selezionate. Un modello di business caratterizzato da elevata velocità transazionale, intermediari complessi, pagamenti transfrontalieri, strutture proprietarie difficilmente verificabili o incentivi commerciali particolarmente aggressivi può richiedere controlli sui Rischi di criminalità finanziaria radicalmente differenti rispetto a un modello operativo domestico più semplice. Lo stesso vale quando la Sua organizzazione diventa dipendente da partner strategici operanti in giurisdizioni con elevata esposizione a corruzione, sanzioni o riciclaggio. In tali circostanze, la Gestione integrata dei rischi di criminalità finanziaria deve costituire parte del business case strategico e non essere aggiunta soltanto dopo che la decisione commerciale sia stata di fatto adottata. Risk assessment, due diligence, requisiti di controllo, capacità di monitoraggio e competenze necessarie devono quindi essere considerati sufficientemente presto da incidere sulla fattibilità, sul pricing e sull’implementazione. Quando investimenti aggiuntivi in compliance siano necessari per svolgere un’attività in modo responsabile, tali costi non sono esterni al business case; costituiscono parte della realtà economica della decisione. Il Suo consiglio può così ridurre il rischio di perseguire una crescita commerciale che non possa essere adeguatamente supportata dal sistema dei controlli, evitando che in seguito divengano necessarie costose attività di remediation, restrizioni transazionali, interventi regolamentari o la gestione di significativi danni reputazionali.
La qualità delle informazioni destinate al consiglio determina in ultima analisi se questo collegamento tra strategia e rischio operi realmente. Una buona informazione non deve soltanto essere completa, ma anche sufficientemente selettiva da consentire agli amministratori di identificare ciò che è veramente materiale. Un board pack di centinaia di pagine può formalmente contenere un’enorme quantità di informazioni e tuttavia avere un valore decisionale limitato se eccezioni, trend e rischi emergenti non vengono evidenziati con chiarezza. La Sua organizzazione necessita quindi di un quadro disciplinato di information governance che definisca quali informazioni debbano essere disponibili a quale livello, quali data owner siano responsabili dell’affidabilità, quali controlli indipendenti trovino applicazione e in che modo debbano essere interpretati indicatori contrastanti. La Gestione integrata dei rischi di criminalità finanziaria può essere supportata da dashboard che non riportino soltanto volumi, ma anche indicatori di efficacia, quali trend di transazioni anomale, relazioni ad alto rischio, ageing delle investigation, control override, eccezioni di compliance, incidenti ricorrenti, anomalie nei pagamenti, terze parti con elevata esposizione a rischi di integrità e azioni di remediation scadute. Anche i segnali qualitativi devono essere protetti dal rischio di scomparire dietro l’aggregazione quantitativa. Una sola segnalazione credibile di misconduct da parte del senior management può assumere maggiore rilevanza sotto il profilo della governance rispetto a centinaia di alert di routine. Il consiglio deve quindi disporre di meccanismi mediante i quali informazioni qualitative materiali possano essere sottoposte a escalation al di fuori dei normali cicli di reporting. Si crea in questo modo un ambiente di governance nel quale il processo decisionale strategico è alimentato non soltanto dai risultati già conseguiti dall’organizzazione, ma anche dalla comprensione dei settori nei quali potrebbero svilupparsi futuri problemi giuridici, finanziari o di integrità.
Dichiarazione sulla gestione dei rischi, controllo interno e assurance del consiglio
La Dichiarazione sulla gestione dei rischi porta direttamente la qualità del controllo interno e dell’assurance esecutiva nell’ambito della responsabilità del consiglio e dell’informativa esterna. Per la Sua organizzazione, una simile dichiarazione non dovrebbe essere trattata come la fase conclusiva di un processo annuale di reporting nel quale agli amministratori venga richiesto, poco prima della pubblicazione, di confermare che la documentazione esistente sui controlli fornisca supporto sufficiente. La dichiarazione dovrebbe poggiare su un processo dimostrabile attraverso il quale i rischi rilevanti siano stati identificati, i key control definiti, la loro efficacia operativa valutata, le carenze classificate, la remediation monitorata e le incertezze residue esplicitamente considerate. La questione centrale riguarda pertanto il livello e la qualità dell’assurance di cui il consiglio effettivamente dispone quando formula dichiarazioni sulla progettazione e sull’efficacia dei sistemi di gestione dei rischi e controllo interno. Un management self-assessment può fornire elementi utili, ma può non essere sufficiente quando esistano rischi significativi o siano note precedenti carenze dei controlli. L’internal audit può fornire assurance aggiuntiva, ma è necessario comprenderne scope, tempistica, materialità e rilievi ancora aperti. Gli auditor esterni valutano determinati aspetti nel quadro del proprio mandato e delle proprie soglie di materialità, ma il loro lavoro non può essere automaticamente assimilato a un’assurance completa del consiglio rispetto a tutti i rischi rilevanti. Il Suo consiglio necessita quindi di un quadro coerente di assurance che individui quali funzioni valutino quali aree, quale livello di indipendenza possiedano, quali limitazioni trovino applicazione e in che modo eventuali conclusioni contrastanti debbano essere risolte.
La Gestione integrata dei rischi di criminalità finanziaria richiede particolare attenzione all’interno di tale processo di assurance, perché i Rischi di criminalità finanziaria comprendono dimensioni sia finanziarie sia non finanziarie e possono generare conseguenze gravi prima di divenire visibili attraverso i tradizionali controlli sull’informativa finanziaria. La frode può incidere sui bilanci, ma può manifestarsi anche nel procurement, negli incentivi commerciali, nei pagamenti a terze parti, nelle note spese, nelle sovvenzioni, nella gestione dei sinistri, nell’amministrazione di progetti o in transazioni esterne al sistema contabile principale. I rischi di corruzione possono essere occultati in consulenze, sponsorship, commissioni o joint venture. L’esposizione a sanzioni può derivare da strutture proprietarie, forniture indirette, intermediari o complesse rotte di pagamento. Il rischio di riciclaggio può aumentare quando vi sia un’insufficiente conoscenza delle controparti, dei titolari effettivi, della provenienza dei fondi o della finalità economica delle transazioni. Se la Gestione integrata dei rischi di criminalità finanziaria non viene adeguatamente incorporata nella base di assurance che supporta la Dichiarazione sulla gestione dei rischi, può emergere un divario significativo tra la qualità formalmente dichiarata del controllo interno e l’effettiva esposizione dell’organizzazione ai rischi di integrità. La Sua organizzazione deve quindi stabilire quali controlli in materia di criminalità finanziaria debbano essere considerati key control, come la loro efficacia debba essere testata, quali dati sostengano tale valutazione e quale livello di revisione indipendente sia necessario. L’esistenza di una procedura non è sufficiente. Deve essere possibile accertare se lo screening venga realmente eseguito in modo completo, se gli alert vengano analizzati tempestivamente e nel merito, se le eccezioni siano autorizzate in modo appropriato, se la capacità investigativa sia sufficiente, se le escalation raggiungano il livello di governance corretto e se gli incidenti conducano a miglioramenti strutturali.
L’assurance del consiglio richiede infine disciplina nella gestione delle carenze e delle incertezze. Un problema ricorrente di governance emerge quando singole carenze dei controlli vengono ciascuna valutate separatamente come non materiali, mentre il loro insieme evidenzia una debolezza più profonda. Il Suo consiglio deve quindi valutare non soltanto rilievi isolati, ma anche la loro interazione, ricorrenza, durata, cause e potenziale impatto. Più debolezze apparentemente limitate nei processi di accettazione dei clienti, nei controlli sui pagamenti, nella segregazione delle funzioni e nelle possibilità di management override possono complessivamente indicare una significativa crescita dell’esposizione ai Rischi di criminalità finanziaria. Lo stesso vale quando le azioni di remediation vengono ripetutamente rinviate, i rilievi di audit si ripresentano o le funzioni operative richiedono sistematicamente eccezioni rispetto a controlli formalmente qualificati come essenziali. La Gestione integrata dei rischi di criminalità finanziaria consente una valutazione più efficace collegando incidenti, carenze dei controlli, root cause e remediation anziché trattarli come fascicoli separati. Il Suo consiglio deve essere in grado di distinguere tra carenze che richiedono una remediation immediata, carenze che possono essere temporaneamente accettate purché accompagnate da controlli compensativi e situazioni nelle quali la prosecuzione di una determinata attività non sia più difendibile. Quando tale valutazione viene eseguita e documentata con sufficiente rigore, la Dichiarazione sulla gestione dei rischi acquisisce una base sostanziale che va ben oltre la compliance formale. Essa diventa il risultato di un processo esecutivo continuativo nel quale strategia, controllo interno, assurance indipendente, Gestione integrata dei rischi di criminalità finanziaria e responsabilità del management risultano dimostrabilmente connessi.
Conflitti di interesse, operazioni con parti correlate e integrità della governance
I conflitti di interesse rientrano tra i rischi di governance più frequentemente sottovalutati, poiché non si manifestano soltanto nelle situazioni evidenti in cui un amministratore possa ottenere un vantaggio finanziario diretto da una decisione societaria. Nelle organizzazioni complesse, essi possono emergere anche quando relazioni personali, incarichi esterni, interessi azionari, sistemi di remunerazione variabile, obiettivi commerciali, legami familiari, relazioni d’affari di lunga durata, investimenti privati o dipendenze istituzionali siano idonei a influenzare l’obiettività del giudizio o a creare la percezione che una decisione non sia stata adottata esclusivamente nell’interesse dell’organizzazione. Per la Sua organizzazione, i conflitti di interesse non dovrebbero quindi essere valutati unicamente sulla base di obblighi formali di disclosure, ma come una questione sostanziale di governance che incide sulla qualità delle decisioni, sull’integrità, sui flussi informativi e sulla difendibilità giuridica. La questione rilevante non consiste soltanto nello stabilire se un amministratore o un membro del consiglio di sorveglianza abbia formalmente dichiarato un interesse confliggente, ma se la Sua organizzazione abbia identificato tempestivamente che una posizione personale, finanziaria o istituzionale potesse compromettere l’indipendenza del giudizio, quali salvaguardie siano state successivamente introdotte e se il processo decisionale abbia creato una distanza sufficiente tra l’interesse rilevante e la decisione finale. Ciò assume particolare importanza in acquisizioni, joint venture, management buy-out, finanziamenti da parte di azionisti, prestiti a parti correlate, selezione di consulenti, procurement, decisioni in materia di remunerazione, rapporti con fornitori strategici e transazioni che coinvolgano amministratori, membri del consiglio di sorveglianza, azionisti o soggetti a essi collegati. Il sistema di governance della Sua organizzazione dovrebbe essere in grado di identificare tali situazioni in una fase precoce e prevedere procedure chiare per disclosure, valutazione indipendente, astensione dalla deliberazione o dal voto, approvazioni aggiuntive e documentazione adeguata. L’integrità di una decisione esecutiva non è determinata soltanto dal suo risultato economico, ma anche dal modo in cui le potenziali influenze sono state riconosciute e governate. Una decisione commercialmente attraente può divenire giuridicamente e reputazionalmente vulnerabile qualora emerga successivamente che interessi rilevanti non siano stati dichiarati, che un amministratore interessato abbia esercitato un’influenza determinante o che la revisione indipendente sia risultata inadeguata. Al contrario, un processo accuratamente strutturato, nel quale i potenziali conflitti siano stati esplicitamente identificati e l’indipendenza della decisione sia stata dimostrabilmente preservata, può offrire una protezione significativa qualora l’operazione venga successivamente scrutinata da azionisti, autorità di vigilanza, curatori, autorità investigative o altri stakeholder.
Nell’ambito della Gestione integrata dei rischi di criminalità finanziaria, i conflitti di interesse assumono un’importanza ancora maggiore perché costituiscono frequentemente un fattore sottostante in casi di frode, corruzione, pagamenti impropri, misconduct nei processi di procurement, uso indebito di informazioni riservate, trattamento preferenziale di terzi e manipolazione delle decisioni commerciali. Un fornitore che riceva sistematicamente incarichi mentre un dipendente o un amministratore intrattenga con esso una relazione finanziaria non dichiarata non rappresenta soltanto un problema di procurement o governance, ma può anche indicare un’esposizione a frode, corruzione o vantaggi privati indebiti. Lo stesso vale per transazioni che coinvolgano intermediari il cui contributo economico sia poco chiaro, joint venture nelle quali un amministratore detenga un interesse indiretto o contratti di consulenza con soggetti collegati a decisori all’interno di un’organizzazione cliente. La Gestione integrata dei rischi di criminalità finanziaria richiede pertanto che tali conflitti non vengano trattati come semplici voci isolate in un registro, ma siano collegati alla customer due diligence, alla third-party due diligence, ai controlli di procurement, all’analisi dei pagamenti, alle informazioni sui titolari effettivi, allo screening sanzioni, alle valutazioni del rischio di frode, ai dati provenienti dalle indagini interne e alle segnalazioni dei canali speak-up. Per la Sua organizzazione, ciò consente di ottenere una visione del rischio significativamente più ricca. Una singola dichiarazione relativa a un incarico esterno può sembrare di per sé poco significativa, ma può assumere una rilevanza sostanzialmente diversa se analizzata insieme a flussi di pagamento, decisioni relative alla selezione dei fornitori o eccezioni alle procedure di procurement. Una Gestione integrata dei rischi di criminalità finanziaria efficace richiede pertanto che i dati di governance rilevanti possano essere collegati e analizzati e che siano disponibili poteri adeguati per investigare pattern emergenti quando più indicatori convergano. Deve inoltre essere chiaro quale funzione o quale organo di governance sia autorizzato a valutare in modo indipendente un potenziale conflitto. Quando siano coinvolti il senior management o un amministratore, una revisione ordinaria da parte della linea gerarchica può non essere sufficiente, rendendo necessaria un’escalation verso il presidente del consiglio di sorveglianza, il comitato audit o un altro organo dotato dell’indipendenza richiesta. In tal modo si riduce il rischio che gerarchia, pressione commerciale o lealtà personale interferiscano con la valutazione obiettiva di una questione di integrità.
Le operazioni con parti correlate meritano un’attenzione particolare in questo contesto, perché presentano rischi maggiori di conflitto, trasferimento di valore, condizioni non di mercato, trattamento preferenziale e insufficiente trasparenza. La Sua organizzazione dovrebbe garantire che tali operazioni non vengano semplicemente registrate sul piano amministrativo, ma siano valutate in modo sostanziale in relazione alla loro logica economica, al pricing, ai poteri decisionali applicabili, alle alternative disponibili, alla documentazione e alla coerenza con gli interessi dell’organizzazione e degli stakeholder rilevanti. Questo aspetto assume particolare rilievo nelle società controllate, nelle imprese familiari, nei gruppi societari complessi, nelle strutture di private equity, nei finanziamenti infragruppo transfrontalieri e nelle transazioni che coinvolgano amministratori comuni. La Gestione integrata dei rischi di criminalità finanziaria dovrebbe inoltre valutare se operazioni con parti correlate possano essere utilizzate per occultare pagamenti, trasferire profitti, concedere vantaggi indebiti, sottrarre attivi ai creditori o aggirare restrizioni derivanti da sanzioni o da requisiti di compliance. La qualità della governance diviene visibile, in tali circostanze, nella capacità della Sua organizzazione di imporre uno scrutinio indipendente anche quando le operazioni siano commercialmente sensibili o internamente scomode. Ciò richiede più di un registro e di una dichiarazione standard. Richiede una cultura nella quale i potenziali conflitti siano dichiarati tempestivamente, la trasparenza non venga interpretata come espressione di sfiducia e amministratori e membri del consiglio di sorveglianza comprendano che l’astensione e la decisione indipendente rafforzano, anziché indebolire, la legittimità istituzionale e la protezione giuridica individuale. Un processo di governance solido dovrebbe quindi consentire di stabilire quali interessi esistessero, chi ne fosse a conoscenza, quali misure siano state adottate per neutralizzare eventuali influenze, quali informazioni siano state messe a disposizione dei decisori indipendenti e perché l’operazione finale sia stata considerata conforme agli interessi dell’organizzazione. L’integrità della governance diviene così concreta, verificabile e giuridicamente difendibile.
Dossier decisionali del management, difendibilità giuridica e governance basata sulle evidenze
La difendibilità giuridica delle decisioni degli organi di vertice dipende sempre più dalla qualità del contemporaneous record: la documentazione predisposta al momento della decisione o in prossimità di essa e idonea a dimostrare quali informazioni fossero disponibili, quali domande siano state poste, quali alternative siano state considerate e quali rischi siano stati consapevolmente accettati. Spiegazioni elaborate dopo gli eventi possono conservare una certa rilevanza, ma possiedono generalmente un diverso valore probatorio rispetto ai documenti che mostrano come il processo decisionale si sia effettivamente sviluppato prima che l’esito fosse noto. Per la Sua organizzazione, verbali del consiglio, decision paper, memorandum sui rischi, pareri legali, presentazioni del management, audit report, corrispondenza e-mail, documentazione relativa alle escalation e materiali di assurance possono complessivamente costituire il dossier esecutivo sulla base del quale verrà successivamente valutata la qualità della governance. Ciò non richiede la creazione di un apparato documentale difensivo eccessivo che rallenti le decisioni o offuschi il giudizio commerciale. Richiede, invece, una registrazione sistematica degli elementi essenziali di una governance responsabile. Un dossier decisionale robusto dovrebbe identificare la ragione della decisione proposta, i fatti materiali, le principali incertezze, le alternative credibili, le conseguenze giuridiche e finanziarie, gli interessi rilevanti, le consulenze specialistiche richieste, i principali controargomenti e la motivazione della soluzione finale. Quando la decisione riguarda un’operazione eccezionale, un investimento rilevante, una ristrutturazione, l’ingresso in un nuovo mercato, una misura di crisi o una deroga in materia di compliance, il dossier dovrebbe inoltre spiegare perché la scelta effettuata sia stata considerata proporzionata rispetto alle alternative disponibili. Ciò consente alla Sua organizzazione di dimostrare successivamente che la decisione non sia stata arbitraria, negligente o guidata esclusivamente dall’esito desiderato, ma sia derivata da una valutazione informata delle circostanze esistenti al momento rilevante.
La Gestione integrata dei rischi di criminalità finanziaria rafforza tale approccio, perché i Rischi di criminalità finanziaria diventano spesso pienamente visibili soltanto quando più fonti informative vengono collegate tra loro. Una decisione relativa a un nuovo distributore può, ad esempio, apparire commercialmente razionale finché una due diligence non riveli una struttura di titolarità effettiva opaca, pagamenti indirizzati attraverso una giurisdizione terza, precedenti questioni di integrità o strette relazioni tra l’intermediario e funzionari pubblici. Un dossier decisionale ben strutturato dovrebbe allora documentare non soltanto la logica commerciale, ma anche il modo in cui tali Rischi di criminalità finanziaria siano stati valutati, quali controlli aggiuntivi siano stati richiesti e perché l’eventuale esposizione residua sia stata ritenuta accettabile. Lo stesso principio vale per le decisioni di proseguire una relazione con un cliente nonostante indicatori di rischio elevati, autorizzare una transazione dopo un alert sanzioni, chiudere un’indagine per insufficienza di elementi probatori o consentire una deroga temporanea ai controlli standard per ragioni di urgenza operativa. La Gestione integrata dei rischi di criminalità finanziaria dovrebbe garantire che tali eccezioni siano supportate da una giustificazione dimostrabile e basata sul rischio. Ciò è particolarmente rilevante perché le eccezioni diventano spesso punti focali nelle indagini successive. Quando la Sua organizzazione può dimostrare che una deroga era basata su fatti documentati, competenze appropriate, controlli compensativi chiaramente definiti e una precisa limitazione temporale, la posizione giuridica risulta significativamente diversa rispetto a quella in cui un responsabile commerciale abbia semplicemente autorizzato l’eccezione senza un’analisi sostanziale. La documentazione decisionale non costituisce quindi un mero supporto amministrativo della governance, ma una componente essenziale della Gestione integrata dei rischi di criminalità finanziaria e della protezione giuridica del management.
Una governance basata sulle evidenze richiede inoltre che la documentazione rifletta la realtà e non produca un’immagine artificialmente ottimizzata degli eventi. Verbali troppo sintetici possono rendere invisibili aspetti importanti del processo decisionale, mentre una documentazione eccessivamente dettagliata può creare altri rischi, rimuovendo il contesto o rappresentando riflessioni provvisorie come se fossero posizioni definitive. La Sua organizzazione necessita quindi di uno standard coerente di governance che definisca quali temi debbano essere registrati espressamente, quali documenti di supporto facciano parte del dossier decisionale e come debbano essere gestiti i pareri legali riservati. È altrettanto importante che i verbali riflettano la presenza di un effettivo contraddittorio quando esso sia stato materialmente rilevante. Il dissenso costruttivo non dovrebbe essere attenuato artificialmente per proiettare un’immagine di unità del consiglio. Al contrario, un dossier che dimostri come amministratori o membri del consiglio di sorveglianza abbiano esaminato alternative, richiesto informazioni supplementari o imposto condizioni può sostenere la conclusione che l’organo interessato abbia esercitato attivamente le proprie responsabilità. La stessa disciplina si applica nell’ambito della Gestione integrata dei rischi di criminalità finanziaria. Quando viene discussa una carenza di controllo, la documentazione dovrebbe identificare l’impatto valutato, le misure temporanee, il responsabile della remediation, la relativa scadenza e il momento previsto per una nuova valutazione. Si crea così una governance trail coerente che dimostra non soltanto ciò che sia stato deciso, ma anche in che modo siano stati organizzati il follow-up e l’accountability. La Sua organizzazione rafforza quindi la propria capacità di dimostrare, in caso di successivo scrutinio, che le decisioni siano state assunte con attenzione, sulla base di informazioni adeguate, con consapevolezza dei rischi e in condizioni giuridicamente difendibili.
Cultura del rischio nel consiglio, tone at the top e contraddittorio costruttivo
La qualità effettiva della corporate governance è determinata in misura significativa dai comportamenti. Le strutture formali possono essere accuratamente progettate, ma quando gli amministratori scoraggiano la comunicazione di informazioni negative, considerano le domande critiche come un ostacolo, privilegiano sistematicamente la performance commerciale rispetto all’integrità o non prendono seriamente in considerazione analisi divergenti, i rischi possono accumularsi al di fuori dell’effettivo campo visivo del consiglio. Il tone at the top non è quindi semplicemente un concetto di comunicazione o un insieme di valori contenuti in un codice di condotta. Esso riguarda i segnali concreti che amministratori e senior management trasmettono, attraverso decisioni e comportamenti, su ciò che viene realmente premiato, tollerato, investigato e corretto all’interno dell’organizzazione. Per la Sua organizzazione, i dipendenti non dovrebbero soltanto disporre formalmente di canali per segnalare preoccupazioni; dovrebbero anche poter confidare nel fatto che informazioni scomode vengano considerate seriamente senza conseguenze negative per chi le segnala. Lo stesso principio vale all’interno del consiglio. Un organo nel quale i membri siano attesi a sostenere senza ulteriore confronto le strategie già adottate può incontrare difficoltà nel riconoscere tempestivamente un deterioramento delle circostanze. Il contraddittorio costruttivo richiede che le assunzioni rilevanti possano essere riesaminate, che il dissenso non venga automaticamente interpretato come mancanza di lealtà e che il mutare dei fatti possa realmente condurre alla revisione di decisioni precedenti. Il medesimo principio si applica al consiglio di sorveglianza: la supervisione indipendente perde significato quando le domande critiche vengono poste soltanto in modo rituale o quando il management controlla i flussi informativi in modo tale da rendere quasi impossibile un contraddittorio sostanziale. Una solida cultura del rischio si manifesta quindi nel modo in cui la Sua organizzazione gestisce l’incertezza, gli errori, le opinioni divergenti e le informazioni sfavorevoli.
La Gestione integrata dei rischi di criminalità finanziaria dipende in modo particolare da tale cultura, poiché i Rischi di criminalità finanziaria diventano spesso visibili attraverso segnali deboli prima che esistano evidenze sufficienti per formulare una conclusione definitiva. Un dipendente può, ad esempio, rilevare che un responsabile sales richieda ripetutamente eccezioni per un determinato intermediario, che i pagamenti vengano frazionati in modo insolito, che un fornitore venga sistematicamente selezionato attraverso lo stesso dipendente o che determinati dossier clienti vengano approvati con una velocità anomala. Se la cultura organizzativa consente l’escalation soltanto quando l’illecito sia quasi provato, tali indicatori possono rimanere non trattati per un periodo prolungato. Una Gestione integrata dei rischi di criminalità finanziaria efficace richiede pertanto una cultura nella quale le anomalie possano essere esaminate senza che sia necessario formulare immediatamente un’accusa. Ciò richiede canali di escalation chiari, competenze investigative indipendenti, protezione per chi effettua segnalazioni e un consiglio che dimostri interesse concreto per la qualità dei sistemi di detection e follow-up. Anche le strutture di incentivazione meritano particolare attenzione. Quando la remunerazione commerciale dipende fortemente dalla crescita dei ricavi, dalla chiusura delle operazioni o dai risultati di breve termine, senza un’attenzione equivalente alla qualità della compliance, può sorgere un incentivo strutturale a eludere i controlli o a minimizzare i rischi. La Gestione integrata dei rischi di criminalità finanziaria dovrebbe quindi essere collegata al performance management, alla remunerazione, ai criteri di promozione e alla management accountability. Un dipendente che generi ricavi eccezionali ma violi ripetutamente i limiti di compliance non dovrebbe ricevere implicitamente il messaggio che i risultati economici prevalgano sull’integrità. Attraverso tali scelte concrete, il Suo consiglio definisce i limiti effettivi dei comportamenti accettabili.
Il contraddittorio costruttivo deve inoltre essere organizzato intenzionalmente, poiché non nasce automaticamente, soprattutto nelle organizzazioni caratterizzate da forte gerarchia, leadership dominante o una lunga storia di successo strategico. La Sua organizzazione può quindi necessitare di meccanismi specifici di governance che facilitino il challenge. Tali meccanismi possono includere review indipendenti, red-team analysis, pre-mortem assessment, accesso diretto delle funzioni di controllo ai comitati del consiglio, executive session senza la presenza del management o periodiche deep dive nelle quali le assunzioni di fondo vengano esplicitamente messe alla prova. La forma specifica è meno importante della capacità di ridurre blind spot cognitivi e istituzionali. La Gestione integrata dei rischi di criminalità finanziaria offre una prospettiva particolarmente importante in questo ambito, poiché i Rischi di criminalità finanziaria sorgono spesso proprio in situazioni nelle quali la logica commerciale è divenuta progressivamente dominante. Un mercato in rapida crescita, una relazione cliente altamente redditizia o un distributore di particolare successo possono ricevere meno scrutiny di una nuova attività o di un’area in perdita. Il contraddittorio costruttivo contribuisce a evitare che il successo commerciale diventi un’esenzione dal controllo. Ciò rafforza non soltanto la prevenzione dei rischi, ma anche la difendibilità giuridica del consiglio. Se una decisione produce successivamente un esito negativo, la Sua organizzazione sarà meglio posizionata per dimostrare che le obiezioni materiali siano state ascoltate, che i rischi siano stati espressamente discussi e che la decisione finale non sia derivata da groupthink, soppressione delle informazioni o dominio incontrollato del management. La cultura del rischio diventa in questo modo una componente dimostrabile della qualità della governance, anziché un concetto comportamentale astratto.
Indagini interne, carenze di governance ed enforcement regolamentare
Un incidente grave costituisce spesso il momento nel quale emerge con maggiore chiarezza la reale qualità della governance. Frode, corruzione, irregolarità contabili, violazioni delle sanzioni, uso improprio di dati, criminalità cyber, conflitti di interesse o gravi segnalazioni relative al senior management possono sollevare questioni che vanno ben oltre l’accertamento della condotta di singoli individui. La Sua organizzazione potrebbe dover stabilire non soltanto che cosa sia accaduto e chi sia stato coinvolto, ma anche perché i meccanismi esistenti di governance e controllo non abbiano prevenuto o individuato il problema in una fase precedente. Le corporate investigation non dovrebbero quindi essere strutturate soltanto come esercizi di fact-finding, ma anche come revisioni della governance. Un’indagine robusta dovrebbe essere in grado di stabilire quali warning signal fossero disponibili in precedenza, come siano stati valutati, quali escalation siano avvenute, quali individui o funzioni fossero responsabili, quali controlli abbiano fallito e se precedenti raccomandazioni siano state effettivamente implementate. Fin dall’inizio, l’indagine dovrebbe tenere conto della possibile responsabilità civile, dell’enforcement regolamentare, di eventuali procedimenti penali, delle conseguenze in materia di lavoro, delle implicazioni sull’informativa finanziaria, degli obblighi di disclosure e degli effetti reputazionali. La struttura dell’indagine deve pertanto essere proporzionata alla natura e alla gravità della questione. Quando possa essere coinvolto il senior management, l’indipendenza può richiedere che l’incarico venga conferito dal consiglio di sorveglianza o da un comitato indipendente. Quando esista una potenziale esposizione penale, legal privilege, conservazione delle evidenze, strategia degli interview e comunicazione con le autorità possono assumere importanza determinante. Un’indagine condotta rapidamente sul piano operativo ma senza un adeguato presidio giuridico può generare complicazioni significative in una fase successiva. Al contrario, un’indagine guidata esclusivamente da logiche difensive può non essere in grado di individuare le cause strutturali. Un’indagine efficace richiede pertanto un approccio integrato nel quale fatti, governance, rischio giuridico e remediation vengano considerati congiuntamente.
La Gestione integrata dei rischi di criminalità finanziaria svolge un ruolo centrale in tali indagini, poiché i Rischi di criminalità finanziaria raramente possono essere compresi attraverso l’analisi di una singola transazione o di una singola carenza di controllo. Un incidente può derivare da una combinazione di due diligence insufficiente, segregazione dei compiti inadeguata, responsabilità poco chiare, monitoring carente, pressione commerciale e una cultura nella quale le eccezioni siano progressivamente divenute routine. La Gestione integrata dei rischi di criminalità finanziaria consente di esaminare tali fattori in combinazione. Per la Sua organizzazione, ciò può richiedere l’integrazione di data analytics, transaction review, analisi delle comunicazioni elettroniche, interview, policy review, governance mapping e control testing all’interno di una metodologia investigativa coerente. L’obiettivo non consiste soltanto nello stabilire se un illecito si sia verificato, ma anche nel comprendere il sistema all’interno del quale tale illecito sia divenuto possibile. Questo aspetto assume particolare importanza quando autorità di vigilanza o autorità investigative pongano domande sull’efficacia dei controlli interni. Un’organizzazione che possa dimostrare soltanto l’esistenza di policy, ma non che la loro efficacia sia stata testata o che debolezze note siano state oggetto di remediation, si trova generalmente in una posizione più vulnerabile rispetto a un’organizzazione capace di dimostrare che le questioni siano state identificate autonomamente, investigate in modo indipendente, sottoposte a root-cause analysis e seguite da una remediation sostanziale. La qualità della risposta può quindi influenzare il modo in cui le autorità esterne valutano la governance, l’ambiente di controllo e la responsabilità dell’organizzazione.
L’enforcement regolamentare aumenta inoltre la necessità di collegare fin dall’inizio le indagini a una chiara engagement strategy. Quando viene individuata una potenziale violazione, la Sua organizzazione può dover stabilire se una notifica a un’autorità di vigilanza o ad altra autorità sia obbligatoria, opportuna o strategicamente rilevante; quali fatti siano sufficientemente accertati; quali aspetti restino incerti; e in che modo le comunicazioni debbano essere coordinate con eventuali procedimenti paralleli. Conclusioni premature possono essere difficili da correggere successivamente, mentre comunicazioni tardive o incomplete possono generare rischi ulteriori. La governance assume in questo contesto un ruolo determinante. Deve essere chiaro quale organo sia competente a decidere in materia di disclosure, settlement strategy, remediation ed eventuali misure disciplinari. La Gestione integrata dei rischi di criminalità finanziaria contribuisce a strutturare tali decisioni mettendo in relazione la gravità dei Rischi di criminalità finanziaria, la possibile ampiezza delle violazioni, l’eventuale coinvolgimento di senior personnel, le carenze dei controlli e la capacità di remediation. La Sua organizzazione dovrebbe inoltre evitare di equiparare la conclusione dell’indagine alla risoluzione del problema sottostante. I risultati investigativi devono essere tradotti in miglioramenti della governance, controlli modificati, responsabilità più chiare, formazione supplementare, monitoring rafforzato e, quando necessario, cambiamenti nella leadership o nei sistemi di incentivazione. Un’indagine genera valore sostenibile per la governance soltanto quando l’organizzazione non si limita a comprendere ciò che sia accaduto, ma affronta anche le condizioni che abbiano consentito alle debolezze sottostanti di emergere e persistere.
Accountability del consiglio, remediation della governance e resilienza istituzionale
La remediation della governance inizia spesso dove termina la tradizionale risposta all’incidente. Quando un’indagine, un audit, una revisione regolamentare o un grave evento interno evidenziano carenze, non è sufficiente limitarsi a gestire l’incidente specifico e modificare alcune procedure. La Sua organizzazione deve identificare quali fattori di governance sottostanti abbiano contribuito alla nascita o alla persistenza del problema. Tali fattori possono comprendere poteri decisionali poco chiari, informazioni gestionali deboli, insufficiente challenge indipendente, inadeguata segregazione delle funzioni, scarsa qualità dei dati, capacità di controllo insufficiente, escalation inefficace, incentivi inappropriati o una cultura nella quale deviazioni ripetute rispetto agli standard attesi siano divenute progressivamente normalizzate. La remediation della governance dovrebbe affrontare tali cause in modo sistematico. Ciò richiede ownership chiara, scadenze precise, criteri misurabili di completamento e validazione indipendente che dimostri non soltanto che le misure di remediation siano state implementate, ma anche che funzionino effettivamente nella pratica. Il consiglio dovrebbe distinguere tra immediate containment, remediation strutturale e rafforzamento istituzionale di più lungo periodo. L’introduzione di un’ulteriore fase autorizzativa immediatamente dopo un incidente può, ad esempio, essere necessaria come misura temporanea di riduzione del rischio, ma non costituisce automaticamente una soluzione sostenibile quando il problema sottostante derivi da dati inadeguati, staffing insufficiente o sistemi carenti. Il consiglio di sorveglianza dovrebbe essere in grado di monitorare se la remediation sia sufficientemente profonda, se il management destini risorse adeguate e se determinati rischi vengano qualificati come “chiusi” prematuramente. L’accountability del consiglio diviene così visibile nella disponibilità ad affrontare non soltanto singoli errori, ma anche debolezze strutturali della governance.
La Gestione integrata dei rischi di criminalità finanziaria offre un quadro particolarmente importante per la remediation, perché evita che singoli Rischi di criminalità finanziaria vengano affrontati attraverso workstream isolati. Se, ad esempio, un episodio di corruzione conduce al rafforzamento della third-party due diligence, ma non produce cambiamenti nei sistemi di incentivazione, nella governance del procurement, nei controlli sui pagamenti o nelle possibilità di management override, una parte significativa della vulnerabilità originaria può rimanere intatta. Lo stesso vale quando un caso di frode determina l’introduzione di ulteriore transaction monitoring senza affrontare problemi relativi alla qualità dei dati, alla segregazione delle funzioni o alla capacità investigativa. La Gestione integrata dei rischi di criminalità finanziaria collega quindi governance, persone, processi, tecnologia, dati e controlli all’interno di una strategia di remediation coerente. Per la Sua organizzazione, ciò significa che la remediation dovrebbe essere fondata su una root-cause analysis e non soltanto sulla manifestazione immediata dell’incidente. Quando una carenza di controllo deriva da responsabilità non chiaramente definite, la governance deve essere riprogettata. Quando il problema sia collegato a competenze inadeguate, capacità ed expertise devono essere rafforzate. Quando la pressione commerciale rappresenti una causa materiale, obiettivi, sistemi di remunerazione e management accountability devono essere riesaminati. Quando le informazioni risultino inaffidabili, l’information governance deve essere migliorata. La Gestione integrata dei rischi di criminalità finanziaria diviene così parte del rafforzamento istituzionale anziché un mero esercizio di riparazione della compliance. Il consiglio dovrebbe essere in grado di stabilire periodicamente quali azioni di remediation rimangano aperte, quali dipendenze ne condizionino il completamento, quali rischi siano temporaneamente accettati e se siano necessarie ulteriori misure di salvaguardia fino al completamento della remediation strutturale.
La resilienza istituzionale emerge, in ultima analisi, quando la Sua organizzazione è in grado di assorbire una perturbazione grave senza perdere il controllo esecutivo, la coerenza giuridica o la direzione strategica. La governance deve quindi funzionare non soltanto in condizioni operative normali, ma anche durante crisi, indagini, improvvisa pressione finanziaria, incidenti cyber, danni reputazionali o interventi regolamentari inattesi. Ruoli e responsabilità devono essere immediatamente chiari, il processo decisionale deve potersi accelerare senza eliminare controlli essenziali e le informazioni critiche devono continuare a circolare in modo affidabile. La Gestione integrata dei rischi di criminalità finanziaria contribuisce direttamente a tale resilienza, perché collega i Rischi di criminalità finanziaria con crisis management, business continuity, strategia legale, comunicazione e accountability esecutiva. La Sua organizzazione dovrebbe, ad esempio, sapere preventivamente chi disponga dell’autorità per sospendere transazioni, limitare determinate relazioni con clienti, avviare un’indagine interna, informare un’autorità di vigilanza o incaricare ulteriori esperti esterni. È altrettanto importante che, dopo la fase acuta della crisi, vi sia una transizione controllata verso la remediation strutturale e la valutazione successiva dell’evento. Un’organizzazione che ritorni ogni volta al business as usual senza incorporare sistematicamente gli insegnamenti di governance rimane vulnerabile alla reiterazione delle medesime carenze. Un’organizzazione resiliente utilizza gli incidenti gravi come fonte di apprendimento esecutivo, rafforza i meccanismi decisionali, migliora la qualità delle informazioni e sviluppa capacità di early warning più solide attraverso competenze concrete e meccanismi di monitoring. L’accountability non viene così ridotta all’attribuzione di colpe successivamente agli eventi. Diviene la capacità di identificare tempestivamente i rischi, assumere in modo visibile la responsabilità, porre rimedio alle carenze in maniera convincente e dimostrare che l’organizzazione sia divenuta sostanzialmente più forte a seguito dell’evento. La corporate governance evolve quindi in una disciplina continuativa che integra direzione strategica, supervisione indipendente, Gestione integrata dei rischi di criminalità finanziaria, difendibilità giuridica e fiducia istituzionale sostenibile.
