Energia e risorse naturali

Criminalità finanziaria e rischi di integrità nel settore dell’energia e delle risorse naturali

I rischi di criminalità finanziaria nel settore dell’energia e delle risorse naturali non sorgono generalmente ai margini dell’impresa, ma al centro dei processi commerciali e operativi in cui convergono capitale, materie prime, autorizzazioni, tecnologia, controparti e interessi pubblici. Un sistema integrato di gestione del rischio deve quindi partire dall’individuazione degli eventi economici concreti nei quali tali rischi possono manifestarsi. Può trattarsi dell’acquisizione di diritti di esplorazione, dello sviluppo di un parco eolico, della costruzione di una rete elettrica, del finanziamento di un progetto minerario, dell’acquisto di materie prime critiche, della vendita di petrolio o LNG, della conclusione di un power purchase agreement, dell’ingresso in una joint venture, della nomina di un agente locale, del regolamento di un’operazione su commodity o dell’ottenimento di una sovvenzione pubblica. Ogni evento presenta una propria razionalità commerciale, ma può simultaneamente coinvolgere diverse dimensioni giuridiche, finanziarie e di integrità. Un anticipo insolito a un contractor può essere spiegato da costi di mobilitazione, ma può anche costituire un veicolo per pagamenti impropri. Una complessa struttura offshore può essere funzionale a legittime esigenze di finanziamento, ma può anche occultare la titolarità effettiva. Una rotta commerciale attraverso un Paese intermediario può essere logisticamente efficiente e, nello stesso tempo, rilevante rispetto all’elusione delle sanzioni, alla falsificazione dell’origine o al riciclaggio basato sul commercio internazionale. La Sua organizzazione necessita pertanto di qualcosa di più rispetto a controlli AML, anticorruzione, sanzioni o antifrode tra loro separati. È necessario un quadro consolidato che colleghi controparti, beneficiari effettivi, flussi commerciali, contratti, pagamenti, merci, autorizzazioni, connessioni politiche, posizioni fiscali, esposizioni geografiche e performance operative. Categorie di rischio quali riciclaggio, elusione delle sanzioni, bribery and corruption, frode nel procurement, frode sulle commodity, beneficial ownership, trade-based money laundering, false invoicing, rischio di terze parti, integrità fiscale e criminalità ambientale non devono quindi essere trattate come semplici etichette di compliance, ma tradotte in specifici momenti decisionali lungo l’intero ciclo di vita di progetti e transazioni.

All’interno della Prima Linea, la responsabilità primaria di tale traduzione spetta alle funzioni che comprendono come un progetto, un contratto, una transazione o una relazione commerciale debbano effettivamente funzionare dal punto di vista economico. I project director conoscono quali contractor sono necessari; il procurement conosce i livelli di prezzo coerenti con il mercato; i trading desk comprendono i flussi delle commodity; la treasury conosce i circuiti di pagamento; la funzione tax comprende le strutture fiscali; le operations possono verificare se i servizi siano stati realmente prestati; la finance può accertare se fatture, accrual e allocazioni dei costi corrispondano alla realtà economica. La gestione integrata dei rischi richiede che tali conoscenze vengano utilizzate prima che le anomalie divengano progressivamente normalizzate. Quando un fornitore richiede il pagamento a un’entità diversa dalla controparte contrattuale, un agente pretende una success fee insolitamente elevata, un partner di joint venture non fornisce trasparenza sufficiente sugli azionisti, un trader propone una rotta atipica o un project team esercita pressioni per evitare la due diligence a causa di una scadenza, la Prima Linea deve comprendere che non si tratta esclusivamente di una questione commerciale. Il rischio deve essere valutato, documentato, gestito ed eventualmente sottoposto a escalation. La Seconda Linea aggiunge una valutazione specialistica strutturando gli indicatori di rischio, stabilendo quando sia necessaria enhanced due diligence, effettuando sanctions screening, applicando criteri anticorruzione, valutando le conseguenze legali e identificando pattern tra progetti differenti. La finalità non consiste nel sostituire il processo decisionale commerciale con la compliance, ma nell’aumentarne la qualità. Un project team deve essere in grado di spiegare perché una controparte sia necessaria; la compliance deve valutare i relativi rischi di integrità; la funzione legale deve individuare le protezioni contrattuali richieste; la finance deve valutare se i flussi finanziari abbiano una logica economica; il management deve decidere consapevolmente quale rischio residuo possa essere accettato.

La Terza Linea fornisce successivamente assurance indipendente circa l’effettivo esercizio di tali responsabilità. Una policy formale di third-party due diligence ha un valore limitato quando i team commerciali ottengono sistematicamente eccezioni senza motivazioni adeguate, gli esiti dello screening non vengono approfonditi, i beneficiari effettivi non vengono verificati o i pagamenti anomali vengono processati al di fuori dei workflow ordinari. L’internal audit deve quindi verificare non soltanto l’esistenza delle procedure, ma anche se queste incidano realmente sui contratti, sui pagamenti e sulle decisioni. Ciò richiede di ricostruire l’intera catena che conduce dall’identificazione del rischio all’approvazione finale: quali informazioni erano disponibili, quali red flag erano state individuate, quale challenge è stata esercitata, chi ha accettato il rischio residuo, quale monitoraggio è stato concordato e se tale monitoraggio sia stato effettivamente svolto. Per la Sua organizzazione ciò crea una control trail dimostrabile, attraverso la quale può essere spiegato a un investigatore interno, a un’autorità di vigilanza, a un revisore, a un finanziatore, a un pubblico ministero, a un partner di joint venture o a un giudice come sia stata adottata una decisione ad alto rischio. Il governo integrato del rischio rafforza quindi sia la prevenzione sia la capacità difensiva. L’obiettivo non è eliminare ogni possibile rischio, ma impedire che segnali rilevanti rimangano frammentati tra procurement, finance, legal, tax, compliance, operations e senior management. Una visione integrata consente di individuare situazioni nelle quali diverse anomalie, singolarmente limitate, costituiscono nel loro insieme una questione di integrità sostanziale e quelle nelle quali un problema operativo può evolvere in esposizione finanziaria, penale, regolamentare, contrattuale o reputazionale.

Corruzione e rapporti con autorità e settore pubblico

Bribery e corruption rappresentano tra i rischi di criminalità finanziaria più strutturali nel settore dell’energia, del mining e delle risorse naturali, poiché l’accesso al valore economico dipende frequentemente da decisioni pubbliche. Diritti di esplorazione, mining licence, environmental permit, assegnazioni fondiarie, connessioni alla rete, incentivi fiscali, autorizzazioni all’esportazione, diritti sull’acqua, concessioni, infrastructure agreement e appalti pubblici possono richiedere interazioni dirette o indirette con ministeri, amministrazioni locali, autorità di regolamentazione, imprese statali, autorità doganali, autorità portuali e altri organismi pubblici. In numerosi mercati vengono inoltre impiegati consulenti locali, agenti, customs broker, lobbyist, rappresentanti delle comunità, security provider e business introducer che offrono accesso ai decisori o conoscenza del contesto locale. Tali funzioni possono essere del tutto legittime, ma il rischio cresce significativamente quando le prestazioni economiche risultano poco chiare, la remunerazione appare sproporzionata, l’incarico viene attribuito immediatamente prima di una decisione pubblica, i pagamenti transitano attraverso Paesi terzi o le persone coinvolte presentano connessioni politiche. Un presidio integrato del rischio non considera tali circostanze come red flag anticorruzione isolate, ma analizza l’intero contesto: chi ha selezionato il service provider, perché l’intervento fosse necessario, quali attività siano state svolte, come sia stato determinato il compenso, chi riceva in ultima analisi il beneficio economico, quale decisione pubblica fosse rilevante e quali evidenze comprovino le prestazioni effettuate. Nei grandi progetti energetici, un advisory agreement apparentemente limitato può rivelarsi un anello fondamentale all’interno di una più ampia catena di concessioni, procurement e autorizzazioni.

La Prima Linea assume in questo ambito una responsabilità particolarmente importante, poiché i team di progetto e le funzioni commerciali sono solitamente i primi a sapere quando un soggetto terzo viene proposto specificamente per il proprio accesso, network o capacità di influenza. Una Prima Linea efficace non deve valutare un pagamento, una commission agreement o un incarico di consulenza esclusivamente in base alla validità del contratto. Deve poter spiegare perché l’intermediario sia necessario, per quale motivo sia stato selezionato, quali deliverable concreti siano attesi e perché la remunerazione sia coerente con il mercato. Procurement, business development, project management e finance devono riconoscere le anomalie quando, ad esempio, un consulente non possiede competenze tecniche dimostrabili, richiede una significativa success fee, pretende pagamenti verso un’entità offshore o rifiuta di fornire informazioni sugli ultimate beneficial owner. La Seconda Linea supporta e sottopone tali decisioni a challenge applicando standard anticorruzione, due diligence sulle terze parti, PEP screening, adverse-media research, conflict-of-interest control, soglie autorizzative e criteri di monitoraggio. La qualità della challenge è determinante. Un’affermazione generica secondo cui un consulente sarebbe “normalmente utilizzato nel mercato locale” non deve essere considerata sufficiente quando altri elementi indicano un rischio di corruzione elevato. La Seconda Linea deve saper distinguere tra reale urgenza commerciale e pressione impropria volta a ridurre i controlli di integrità, mentre la funzione legal può introdurre garanzie contrattuali quali audit rights, representations and warranties, termination rights, obblighi di trasparenza nei pagamenti e doveri di collaborazione con eventuali indagini.

La gestione coordinata dei rischi richiede inoltre che il rischio di corruzione non venga limitato alle sole tangenti esplicite. Gifts, hospitality, sponsorship, charitable contribution, community investment, opportunità di impiego, stage, travel arrangement, facilitation mechanism, donation e altri vantaggi commerciali possono essere rilevanti quando destinati a persone in grado di influenzare decisioni pubbliche o commerciali. Nei grandi progetti energetici e minerari, il community engagement è spesso necessario per costruire consenso locale e legittimità sociale. Quando tuttavia progetti locali, fondazioni o investimenti sociali risultano direttamente o indirettamente controllati da funzionari pubblici o da persone in grado di incidere sull’ottenimento di autorizzazioni, emerge una diversa dinamica di rischio. La Terza Linea deve pertanto svolgere verifiche tematiche e risk-based sull’effettivo funzionamento dei controlli anticorruzione nell’ambito del project development, del procurement, delle community spending e delle government relations. Tali verifiche devono riguardare non soltanto i pagamenti, ma anche eccezioni, approval pattern, utilizzo di intermediari, note spese, modifiche contrattuali e concentrazioni di vantaggi commerciali attorno a determinate decisioni pubbliche. Per il consiglio di amministrazione e gli organi di controllo ciò genera informazioni di gestione rilevanti su dove l’esposizione alla corruzione si manifesti concretamente, quali Paesi, progetti o terze parti presentino rischi elevati e se target commerciali o sistemi incentivanti possano favorire involontariamente comportamenti impropri. Il presidio della criminalità finanziaria diventa così una componente del project management responsabile e non un controllo effettuato soltanto dopo la sottoscrizione dei contratti.

Sanzioni, geopolitica ed esposizione transfrontaliera nel settore dell’energia e delle commodity

Le sanzioni e i rischi geopolitici nel settore dell’energia e delle risorse naturali sono direttamente connessi a proprietà, origine, destinazione, tecnologia, finanziamento, assicurazione, trasporto, prestazioni e pagamenti. Petrolio, gas, LNG, uranio, metalli, materie prime critiche, prodotti petrolchimici, equipment, tecnologie di perforazione, turbine, software e servizi specializzati di ingegneria possono rientrare in differenti regimi sanzionatori, export control o restrizioni commerciali. Parallelamente, imprese statali, sovereign wealth fund, holding collegate a oligarchi, politically exposed person e altri stakeholder possono partecipare direttamente o indirettamente a joint venture, project finance o commodity trading. La gestione integrata dei rischi richiede pertanto qualcosa di più rispetto allo screening della controparte contrattuale sulle sanction list. L’analisi deve comprendere ownership and control, partecipazioni indirette, beneficial ownership, diritti gestionali, fonti di finanziamento, navi, shipping route, punti di transhipment, banche, assicuratori, end user, origine delle commodity, classificazione delle tecnologie e modifiche nelle strutture delle transazioni. Una controparte contrattuale può non essere direttamente sanzionata, mentre un ultimate stakeholder, un azionista di controllo, un finanziatore o un beneficiario economico può essere soggetto a restrizioni. Una commodity può risultare formalmente originaria di un Paese consentito, mentre documentazione, pattern di trasporto o pratiche di blending sollevano dubbi circa l’origine effettiva. Un pagamento può transitare attraverso una banca non sanzionata mentre il finanziamento sottostante o il beneficio economico finale attivano comunque restrizioni. Nei mercati delle commodity, l’analisi giuridica delle sanzioni non può quindi essere separata dai dati commerciali e dalla realtà operativa.

All’interno della Prima Linea, trading, procurement, treasury, shipping, logistics, operations e project team svolgono un ruolo centrale nell’individuare cambiamenti in grado di rendere obsoleta una precedente valutazione del rischio. Il rischio sanzionatorio è raramente statico. Le strutture proprietarie cambiano, vengono introdotti nuovi intermediari, le navi cambiano bandiera o proprietà, i pagamenti vengono reindirizzati, le controparti richiedono fatturazioni tramite diverse giurisdizioni e gli sviluppi geopolitici possono modificare in pochi giorni la posizione giuridica di una relazione esistente. La Prima Linea deve quindi attivare event-driven review quando le circostanze rilevanti cambiano. La Seconda Linea integra analisi giuridica delle sanzioni, screening, trade control, export control, analisi della titolarità effettiva, valutazione del rischio geografico e criteri di escalation. La challenge deve andare oltre la semplice verifica di un match su una lista sanzionatoria. Quando una controparte modifica la propria struttura di ownership poco dopo nuove misure sanzionatorie, introduce una diversa banca o chiede che le merci vengano consegnate attraverso una nuova rotta, deve essere analizzata la combinazione di tali indicatori. Un approccio integrato consente di valutare le transazioni attraverso l’interrelazione tra necessità commerciale, struttura contrattuale, percorso logistico, flussi finanziari e destinazione economica finale.

La Terza Linea deve valutare in maniera indipendente se i controlli in materia di sanzioni e geopolitica siano sufficientemente incorporati nella governance delle transazioni. Uno screening tool può funzionare tecnicamente in maniera corretta mentre l’organizzazione rimane comunque esposta a rischi sostanziali perché i dati sull’ownership sono incompleti, le eccezioni non vengono monitorate, la trade documentation non viene confrontata con i dati effettivi di trasporto o la consulenza in materia di sanzioni interviene troppo tardi nel deal lifecycle. Per la Sua organizzazione è quindi essenziale che l’internal audit abbia visibilità sull’intera catena di onboarding, screening, contracting, shipment, payment e ongoing monitoring. Le scenario analysis possono inoltre valutare cosa accadrebbe qualora un fornitore strategico, un partner di joint venture essenziale, un finanziatore, una shipping route o un mercato di destinazione venissero improvvisamente colpiti da sanzioni. Il consiglio di amministrazione deve comprendere quali contratti potrebbero essere sospesi, quali pagamenti potrebbero essere bloccati, quali clausole di force majeure o termination potrebbero rilevare, quali disclosure obligation potrebbero emergere e quali alternative operative sarebbero disponibili. La gestione integrata collega così le sanzioni direttamente a business continuity, strategic resilience, treasury, contracting, supply chain e crisis decision-making. Per le imprese energetiche e resource-intensive tale connessione è essenziale, poiché un evento geopolitico non costituisce esclusivamente un compliance event, ma può modificare la sostenibilità economica di interi progetti e flussi commerciali.

Project finance, titolarità effettiva e integrità degli investimenti

Il project finance costituisce un meccanismo fondamentale per lo sviluppo di progetti energetici e legati alle risorse naturali, ma genera al contempo relazioni complesse tra sponsor, lender, export credit agency, development bank, investitori istituzionali, private equity, sovereign investor, special purpose vehicle, guarantor, contractor, offtaker e autorità pubbliche. Grandi parchi eolici offshore, progetti minerari, terminal LNG, progetti sull’idrogeno, centrali elettriche, infrastrutture di rete e altri asset ad alta intensità di capitale vengono frequentemente finanziati tramite molteplici entità giuridiche, holding structure, security arrangement e contractual waterfall. Questa complessità può essere economicamente e giuridicamente necessaria, ma rende fondamentale la trasparenza sulla beneficial ownership, sul controllo, sulla source of funds, sulla source of wealth e sulla destinazione finale del beneficio economico. Un presidio integrato richiede che la Sua organizzazione vada oltre i registri formali degli azionisti o la documentazione KYC e comprenda chi possa esercitare un’influenza effettiva, chi benefici economicamente della struttura, quali flussi di finanziamento siano utilizzati e quali modifiche della proprietà o del controllo possano intervenire durante il project lifecycle. Nominee arrangement, trust, layered holding, entità offshore, shareholder loan, convertible instrument e particolari governance right possono determinare una divergenza tra titolarità giuridica e controllo economico effettivo. Ciò non costituisce di per sé un’irregolarità, ma deve essere sufficientemente trasparente da consentire una valutazione responsabile di sanzioni, AML, corruption, tax, governance e reputational risk.

La Prima Linea deve comprendere e presidiare la razionalità economica degli investimenti e delle strutture di project finance. Corporate development, finance, treasury, M&A, project team e senior management devono sapere perché determinati investitori, finanziatori o co-shareholder vengano coinvolti e quali diritti acquisiscano. Un investitore che offre capitale economicamente attraente, ma richiede governance right sproporzionati, mantiene opacità sulle fonti finali di finanziamento o effettua pagamenti tramite entità inattese richiede maggiore attenzione. La Seconda Linea aggiunge challenge indipendente dalle prospettive AML, sanctions, anti-bribery, legal, tax, regulatory compliance e governance. Una gestione coordinata consente di consolidare tali analisi all’interno di un’unica decisione di investimento. Il profilo di un investitore non deve pertanto essere valutato esclusivamente in base alla solvibilità o alla reputazione, ma anche considerando political exposure, adverse media, struttura proprietaria, transazioni pregresse, source of wealth, esposizione geografica e potenziali conflitti con interessi pubblici o strategici. La qualità della decisione aumenta quando i vantaggi commerciali e i rischi di integrità vengono posti esplicitamente uno accanto all’altro, anziché definire prima commercialmente il finanziamento e trattare successivamente la valutazione del rischio come una mera questione esecutiva.

Il monitoraggio continuo è altrettanto necessario nelle strutture di progetto complesse. La beneficial ownership può cambiare dopo il financial close; le partecipazioni possono essere date in pegno o cedute; gli strumenti di debito possono essere trasferiti; nuovi finanziatori possono entrare; un sovereign investor può diventare oggetto di crescente attenzione geopolitica; un partner di joint venture può essere coinvolto in un’indagine penale; oppure un azionista può essere colpito da nuove sanzioni. La Terza Linea deve pertanto valutare se ownership monitoring, change-of-control procedure, investor due diligence e covenant monitoring funzionino effettivamente per tutta la durata del progetto. Per amministratori e organi di controllo, la tracciabilità delle decisioni è particolarmente rilevante. Per quale motivo un investitore è stato accettato? Quali informazioni erano disponibili? Quali red flag erano state individuate? Quali misure di mitigazione sono state concordate? Chi ha accettato il rischio residuo? La gestione integrata di tali elementi consente di creare una governance trail attraverso la quale dimostrare successivamente a finanziatori, autorità, revisori, azionisti o organi investigativi che un investimento non è stato valutato esclusivamente in funzione della sua attrattività finanziaria. L’integrità degli investimenti diventa così una disciplina di governance nella quale capitale, proprietà, controllo, geopolitica, integrità e indipendenza strategica vengono esaminati congiuntamente.

Attività minerarie, materie prime critiche e integrità delle catene internazionali di approvvigionamento

La transizione energetica globale ha accresciuto significativamente l’importanza strategica di litio, cobalto, nickel, rame, grafite, terre rare e altre materie prime critiche. Elettrificazione, tecnologia delle batterie, energie rinnovabili, semiconduttori, tecnologie per la difesa, data center e reti elettriche stanno incrementando la domanda di risorse la cui produzione è spesso geograficamente concentrata e può dipendere da giurisdizioni politicamente sensibili, imprese statali, attività mineraria artigianale, trading chain complesse e limitata trasparenza della supply chain. Per la Sua organizzazione ciò genera rischi di criminalità finanziaria che superano ampiamente il perimetro del fornitore diretto. Bribery, corruption, smuggling, customs fraud, falsa documentazione sull’origine, money laundering, sanctions evasion, environmental crime, illegal mining, human-rights violations, tax evasion e occultamento della titolarità effettiva possono verificarsi diversi livelli a monte della relazione contrattuale. Un trader può presentare una documentazione apparentemente affidabile mentre l’origine effettiva dei minerali rimane scarsamente verificabile. Una raffineria può mescolare materie prime provenienti da fonti diverse, indebolendo le informazioni sulla chain of custody. Un fornitore locale può apparire formalmente indipendente mentre gli interessi economici finali appartengono a funzionari pubblici o soggetti collegati allo Stato. La gestione integrata dei rischi collega pertanto supplier due diligence, commodity traceability, origin verification, sanctions screening, customs data, garanzie contrattuali, payment analytics, ESG due diligence e analisi della titolarità effettiva.

La Prima Linea svolge un ruolo centrale perché procurement, sourcing, logistics, operations e quality team dispongono di informazioni che non sono necessariamente immediatamente visibili alle funzioni legal o compliance. Tali funzioni sanno quali volumi siano economicamente realistici, quali produttori dispongano di capacità effettive, quali tempi di trasporto siano ordinari, quali certificati debbano accompagnare una determinata materia prima e quando prezzi o condizioni commerciali si discostino significativamente dalle pratiche di mercato. Questa conoscenza operativa può rendere visibili rischi di criminalità finanziaria prima che un processo formale di due diligence generi un alert. Quando un piccolo fornitore propone improvvisamente volumi eccezionalmente elevati, la documentazione di origine viene modificata ripetutamente, i pagamenti transitano attraverso entità inattese o le merci seguono rotte geograficamente illogiche, la Prima Linea deve riconoscere ed escalare tali anomalie. La Seconda Linea può quindi esaminare se esista un’esposizione elevata a sanctions, smuggling, corruption, environmental violations, forced labour, customs fraud o beneficial ownership risk. La supplier due diligence cessa così di essere un processo statico di onboarding e diviene una valutazione continua nella quale segnali operativi, informazioni finanziarie e indicatori esterni di rischio si completano reciprocamente.

La Terza Linea deve valutare indipendentemente se i controlli sulla supply chain vadano oltre la semplice compliance documentale. Certificati, supplier declaration e contractual warranty sono strumenti importanti, ma offrono una garanzia limitata quando manca una verifica fattuale o le red flag note non vengono approfondite. L’internal audit può quindi esaminare se supplier segmentation, enhanced due diligence, site visit, chain-of-custody control, audit rights, grievance mechanism, payment monitoring e corrective-action procedure vengano effettivamente applicati ai fornitori e alle giurisdizioni ad alto rischio. Per il consiglio di amministrazione ciò consente di comprendere in quale misura la dipendenza strategica dalle materie prime critiche si accompagni a vulnerabilità finanziarie, giuridiche e geopolitiche. Una gestione integrata connette inoltre supply security e integrità. Un fornitore può essere finanziariamente attraente e operativamente necessario, ma comportare contemporaneamente un’esposizione in materia di sanzioni, corruzione, ambiente o diritti umani tale da rendere difficilmente difendibile la prosecuzione della relazione nel lungo termine. Viceversa, un’interruzione immediata della relazione può produrre gravi conseguenze operative. Il processo decisionale integrato deve pertanto comprendere alternative di sourcing, strategie di inventario, possibilità contrattuali di exit, supplier remediation, enhanced monitoring e accettazione del rischio a livello executive. Per la Sua organizzazione si crea così una base più solida per la sicurezza strategica delle risorse, nella quale continuità commerciale, supply-chain resilience, presidio dei rischi di criminalità finanziaria, integrità ambientale e resilienza geopolitica vengono governati congiuntamente.

Conformità ambientale, emissioni e integrità delle informazioni climatiche e di sostenibilità

La conformità ambientale rappresenta, nei settori dell’energia e delle risorse naturali, un punto di connessione diretto tra realtà operativa, condizioni autorizzative, vigilanza amministrativa e regolamentare, rendicontazione finanziaria, project finance, legittimità sociale e presidio dei rischi di criminalità finanziaria. La Sua organizzazione può essere soggetta a obblighi complessi relativi a emissioni, flussi di rifiuti, suolo, acqua, biodiversità, autorizzazioni ambientali e naturalistiche, sicurezza industriale, emissioni di metano, intensità carbonica, decommissioning, bonifiche ambientali, sostanze pericolose e reporting sugli obiettivi climatici e di sostenibilità. Tali obblighi sono sempre più strettamente collegati a condizioni di finanziamento, decisioni di investimento, sovvenzioni pubbliche, sustainability-linked financing, coperture assicurative e dichiarazioni rese dal management. Di conseguenza, informazioni ambientali o sulle emissioni inesatte o insufficientemente affidabili possono superare ampiamente la dimensione di un mero problema tecnico di compliance. Quando le emissioni vengono sistematicamente sottostimate, le passività ambientali non sono adeguatamente riconosciute, i dati di monitoraggio vengono modificati per soddisfare formalmente requisiti autorizzativi oppure le performance climatiche vengono rappresentate in termini più favorevoli rispetto ai fatti sottostanti, possono emergere simultaneamente rischi di misrepresentation, frode, false accounting, greenwashing, violazioni degli obblighi informativi, inosservanza delle condizioni di finanziamento e responsabilità degli amministratori. Una gestione integrata dei rischi richiede pertanto che l’integrità ambientale non venga trattata come un ambito ESG isolato, ma sia direttamente collegata a controlli finanziari, data governance, legal review, reporting interno e processi decisionali del management. La questione centrale consiste nello stabilire se le informazioni sulle quali la Sua organizzazione fonda affermazioni economiche, giuridiche o pubbliche siano complete, tracciabili, verificabili e difendibili. In un grande progetto energetico, un singolo parametro emissivo può incidere contemporaneamente sulla compliance regolamentare, sulla contabilizzazione dei carbon credit, sui covenant finanziari, sulle posizioni fiscali, sui sistemi di remunerazione, sulle comunicazioni agli investitori e sulla rendicontazione esterna di sostenibilità. L’affidabilità di tale parametro diventa quindi una questione di integrità a livello dell’intera impresa.

All’interno della Prima Linea, la responsabilità primaria per l’integrità ambientale ricade sulle funzioni operative e tecniche che generano, raccolgono, valutano e utilizzano i dati sottostanti. Engineering, operations, asset management, environmental team, sustainability function, project management e finance devono comprendere quali dati possano assumere rilevanza giuridica o finanziaria e quali controlli siano necessari per prevenire manipolazioni, incompletezze o interpretazioni errate. Quando gli strumenti di misurazione cessano di funzionare, le metodologie emissive vengono modificate, vengono applicate correzioni manuali, si verificano condizioni produttive eccezionali oppure consulenti esterni adottano ipotesi scarsamente documentate, la Prima Linea deve determinare quale livello di incertezza ne derivi e come debba essere documentato. Un presidio coordinato dei rischi collega così direttamente la qualità tecnica dei dati alla responsabilità del management. La Seconda Linea definisce criteri per environmental compliance, reporting ESG, disclosure legale, climate claims, qualità dei dati ed escalation. La funzione legal può valutare le conseguenze di un’anomalia in termini autorizzativi, di responsabilità e di obblighi informativi; compliance può stabilire se emerga un problema di integrità; finance può verificare se siano interessati accantonamenti, impairment o calcoli dei covenant; gli specialisti di sostenibilità possono valutare se le dichiarazioni pubbliche rimangano difendibili; risk management può determinare l’impatto sul profilo complessivo di rischio dell’organizzazione. La challenge esercitata dalla Seconda Linea deve essere sufficientemente indipendente da resistere a pressioni commerciali o reputazionali che possano influire sulla rendicontazione ambientale. Un obiettivo climatico ambizioso, un green bond o un sustainability-linked loan non devono mai determinare, neppure indirettamente, l’adattamento delle metodologie di misurazione al solo fine di preservare determinati indicatori di performance.

La Terza Linea valuta successivamente, in modo indipendente, se i controlli ambientali, la governance delle emissioni e i processi relativi ai dati climatici funzionino effettivamente in maniera affidabile. L’internal audit può andare oltre la verifica formale delle policy ed esaminare come vengono creati i dati sorgente, quali soggetti abbiano accesso ai sistemi di misurazione e reporting, come vengano approvate le eccezioni, quali riconciliazioni siano effettuate e in quale misura le dichiarazioni esterne sulla sostenibilità possano essere ricondotte ai dati operativi. La data lineage assume quindi particolare rilevanza: un dato emissivo pubblicato o un sustainability KPI deve poter essere ricondotto a informazioni sorgente affidabili, metodologie validate e decisioni documentate. Per il consiglio di amministrazione e gli organi di controllo è inoltre essenziale che la management information distingua chiaramente le performance effettivamente conseguite da ipotesi, incertezze, stime e obiettivi prospettici. Quando tali categorie vengono confuse, aspettative commerciali possono finire per essere rappresentate come risultati già ottenuti. Una governance efficace richiede pertanto challenge periodiche sui climate claim, scenario analysis, materiality assessment, environmental provision e coerenza tra reporting tecnico, bilancio, documentazione finanziaria e comunicazione esterna. La gestione integrata dei rischi trasforma così environmental compliance, integrità dei dati emissivi e climate disclosure da semplici obblighi verso le autorità in componenti di un unico sistema di controllo, attraverso il quale la Sua organizzazione può dimostrare che le informazioni utilizzate da investitori, finanziatori, autorità pubbliche e altri stakeholder siano sostanzialmente affidabili e adeguatamente governate.

Sovvenzioni, governance fiscale e integrità della finanza sostenibile

La transizione energetica e la trasformazione del settore delle risorse naturali sono sostenute in misura significativa da sovvenzioni, incentivi fiscali, garanzie pubbliche, investimenti pubblici, finanziamenti agevolati, tax credit, contract for difference, sustainability-linked facility, green bond e altri strumenti mediante i quali autorità pubbliche e mercati dei capitali incentivano investimenti in nuove tecnologie e infrastrutture strategiche. Per la Sua organizzazione, tali meccanismi possono essere determinanti per la sostenibilità economica di progetti di energia eolica, solare, idrogeno, carbon capture, battery storage, ampliamento delle reti, efficienza energetica, economia circolare e sviluppo di critical minerals. Allo stesso tempo, tali strumenti generano specifici rischi di criminalità finanziaria e di integrità. Una domanda di sovvenzione può dipendere da costi di progetto, capacità installata, milestone tecniche, riduzioni delle emissioni, requisiti di local content o altre condizioni che dovranno essere dimostrate successivamente. Una sustainability-linked facility può collegare direttamente le condizioni economiche del finanziamento alle performance ESG. Un incentivo fiscale può dipendere dal luogo effettivo in cui vengono svolte le attività, dalla qualificazione dell’investimento o dalla sostanza economica di determinate entità. Quando dati, allocazioni di costi, strutture contrattuali o performance dichiarate non corrispondono alla realtà economica, la distinzione tra divergenza interpretativa, non-compliance, strutturazione aggressiva e frode può diventare rapidamente determinante. Una gestione integrata dei rischi collega quindi integrità delle sovvenzioni, tax governance, financial reporting, project control, transfer pricing, dati ESG e responsabilità del management all’interno di un unico quadro di valutazione.

La Prima Linea deve assumere la responsabilità per l’accuratezza delle informazioni operative e finanziarie che costituiscono il fondamento di domande, dichiarazioni e posizioni fiscali connesse a finanziamenti pubblici e incentivi. I project team devono sapere quali costi siano ammissibili; procurement e finance devono poter dimostrare quali beni e servizi siano stati effettivamente forniti; tax deve valutare quali attività economiche giustifichino un determinato trattamento fiscale; i sustainability team devono verificare che i KPI siano misurati correttamente; il senior management deve comprendere quali dichiarazioni vengano rese per conto dell’organizzazione. Il presidio di tali rischi richiede che ipotesi e calcoli siano esaminati non soltanto sotto il profilo di ciò che risulta tecnicamente o fiscalmente possibile, ma anche in termini di trasparenza, sostanza economica e difendibilità. La Seconda Linea traduce le condizioni applicabili alle sovvenzioni, i principi di tax control, gli obblighi di reporting, i controlli antifrode e le aspettative di governance in criteri di valutazione concreti. Quando i costi di progetto vengono ripartiti tra diverse entità, si utilizzano related-party transaction, vengono addebitate management fee oppure i risultati di progetto sono collegati a sustainability target, deve essere esercitata una challenge specialistica. Occorre verificare se le transazioni abbiano una reale giustificazione commerciale, se la documentazione corrisponda alla realtà economica e se la metodologia utilizzata sia coerente con gli obblighi contrattuali, fiscali e con le condizioni dei finanziamenti pubblici. Il rischio cresce quando i benefici finanziari dipendono direttamente da dati prodotti internamente e il management dispone quindi di un incentivo economico a influenzare classificazioni, tempistiche o metodologie in senso favorevole.

La Terza Linea deve valutare in modo indipendente se i processi relativi a sovvenzioni, fiscalità e finanza sostenibile siano sufficientemente controllati. L’internal audit può esaminare se cost allocation, milestone verification, calcoli dei sustainability KPI, tax control framework, document retention e management sign-off funzionino concretamente in maniera affidabile. Particolare attenzione deve essere riservata a manual adjustment, modifiche tardive, management override, eccezioni e situazioni nelle quali più benefici si fondano sugli stessi costi o sulle stesse performance di progetto. Per il consiglio di amministrazione è importante disporre di una chiara visibilità sui rischi di clawback, controversie fiscali, covenant breach, indagini in materia di sovvenzioni e danno reputazionale qualora risultati di sostenibilità precedentemente comunicati debbano essere successivamente corretti. Una governance efficace evita inoltre che fiscalità, sovvenzioni e sustainable finance vengano gestite come ambiti specialistici del tutto separati. Lo stesso investimento può infatti essere rilevante contemporaneamente per un incentivo fiscale, una sovvenzione pubblica, un green bond framework, un sustainability-linked loan e il reporting ESG esterno. Quando ciascuno di questi ambiti utilizza dati, definizioni e ipotesi differenti, il rischio di incoerenza cresce significativamente. Un approccio integrato crea quindi una base unica e verificabile per fatti economici, costi di progetto, performance di sostenibilità e dichiarazioni finanziarie, consentendo alla Sua organizzazione di individuare più rapidamente deviazioni che richiedono attenzione da parte del management e di dimostrare con maggiore solidità che i benefici finanziari pubblici o privati ottenuti si fondano su informazioni affidabili, trasparenti e difendibili.

Infrastrutture critiche, cybersecurity e resilienza operativa

Le infrastrutture energetiche costituiscono una delle componenti più strategiche dell’economia contemporanea. Reti elettriche, impianti di generazione, piattaforme offshore, terminal LNG, pipeline, raffinerie, siti minerari, reti per l’idrogeno, impianti di stoccaggio, charging infrastructure, sistemi di gestione delle acque e altre infrastrutture critiche dipendono in misura crescente da tecnologie digitali, remote access, cloud environment, industrial control system, operational technology, sensori, sistemi automatizzati di trading e complessi provider tecnologici esterni. Cybersecurity, operational resilience, sicurezza nazionale e presidio dei rischi di criminalità finanziaria risultano pertanto sempre più strettamente collegati. Un cyber attack può non soltanto interrompere sistemi essenziali, ma anche manipolare pagamenti, intercettare trading information, influenzare processi di procurement, sottrarre intellectual property, compromettere controlli ambientali o fornire accesso a informazioni sensibili relative a infrastrutture strategiche. Ransomware, business email compromise, credential theft, supplier compromise, insider threat, manipolazione di operational technology e cyber-enabled fraud possono convergere all’interno di un medesimo incidente. Un governo coordinato del rischio non può quindi considerare gli incidenti cyber come meri problemi tecnici di sicurezza. Il quadro rilevante comprende perdite finanziarie, rischio di frode, implicazioni sanzionatorie, obblighi in materia di privacy, regulatory reporting, responsabilità contrattuale, esposizione connessa alla sicurezza nazionale, business continuity e integrità dei dati operativi.

In questo contesto, la Prima Linea deve essere responsabile non soltanto della disponibilità dei sistemi, ma anche dell’integrità e dell’affidabilità dei processi che vengono eseguiti attraverso tali sistemi. Operations, engineering, IT, OT security, procurement, treasury, trading e facility management devono essere in grado di individuare anomalie che possano indicare compromissione o utilizzo improprio. Una modifica improvvisa delle coordinate bancarie di un fornitore costituisce un classico indicatore di frode; quando però lo stesso fornitore dispone anche di accesso remoto a un critical control system, emerge un profilo di rischio significativamente più ampio. Un contractor compromesso può non soltanto presentare fatture fraudolente, ma anche avere accesso a configurazioni tecniche, dati di manutenzione o infrastrutture fisiche. La gestione integrata dei rischi collega pertanto supplier cybersecurity, third-party risk, access management, identity control, payment control e procurement governance. La Seconda Linea definisce requisiti in materia di cyber risk, privacy, third-party control, operational resilience, incident reporting e regulatory compliance e sottopone a challenge le funzioni operative rispetto alle dipendenze critiche. La valutazione pertinente non riguarda soltanto la robustezza tecnica delle misure di sicurezza, ma anche chi disponga di accesso, perché tale accesso sia necessario, come vengano monitorati i privilegi, come siano governate le terze parti e quali conseguenze possano derivare dall’indisponibilità di sistemi o fornitori critici.

La Terza Linea valuta in maniera indipendente se l’organizzazione sia realmente in grado di resistere a una significativa compromissione cyber o a un’interruzione delle infrastrutture. L’internal audit può verificare se incident response plan, backup strategy, segregation of duties, privileged-access control, supplier security, crisis exercise, recovery procedure e meccanismi di escalation verso il board funzionino effettivamente. Un approccio integrato aggiunge a tale valutazione una dimensione finanziaria e di integrità. Quando un ransomware attack determina una richiesta di pagamento, possono divenire immediatamente rilevanti questioni relative a sanzioni, fraud risk, condizioni assicurative, diritto penale e rapporti con le autorità investigative. Quando vengono manipolati dati operativi, le conseguenze possono estendersi a emissions reporting, energy trading, settlement, regulatory reporting e sicurezza degli impianti. Per il consiglio di amministrazione, operational resilience significa quindi molto più della mera continuità tecnica. Riguarda la capacità di adottare decisioni affidabili in circostanze eccezionali, mantenere le attività essenziali, proteggere le informazioni, controllare i flussi finanziari e rispettare gli obblighi giuridici. Gli scenario exercise non devono perciò limitarsi a simulare un guasto tecnico, ma devono includere situazioni in cui cybercrime, frode, tensioni geopolitiche, sanzioni, disinformazione o sabotaggio fisico si manifestano simultaneamente. Un modello integrato consente di identificare in anticipo quali funzioni, soggetti esterni e decisori debbano cooperare sotto forte pressione temporale e rafforza così la resilienza della Sua organizzazione rispetto a eventi in grado di produrre contemporaneamente conseguenze operative, finanziarie, giuridiche e sociali.

Indagini, enforcement e risposta strategica alle crisi nel settore energetico

Quando segnali di frode, corruzione, elusione delle sanzioni, environmental misconduct, irregolarità relative a sovvenzioni, cybercrime, market manipulation o altri rischi di criminalità finanziaria diventano sufficientemente concreti, un’impresa attiva nel settore energetico o delle risorse naturali può trovarsi, in tempi estremamente rapidi, a dover gestire simultaneamente esigenze di internal investigation, autorità di vigilanza, autorità penali, finanziatori, partner di joint venture, assicuratori, dipendenti, media e altri stakeholder. Data la dimensione e la rilevanza pubblica dei progetti energetici, un incidente inizialmente circoscritto può rapidamente evolvere in una crisi che coinvolge l’intera impresa. Un sospetto di bribery nell’ottenimento di un’autorizzazione può porre in discussione la legittimità dell’intero progetto. Una questione sanzionatoria può bloccare pagamenti, consegne e finanziamenti. Un incidente ambientale può determinare sospensione delle attività, enforcement amministrativo, indagini penali e civil claim. Un cyber attack può compromettere contemporaneamente sistemi operativi, dati personali, informazioni commerciali riservate e processi di pagamento. Una gestione strutturata dei rischi richiede pertanto l’esistenza preventiva di un investigation and response framework nel quale fact-finding, evidence preservation, legal privilege, regulatory strategy, communication, business continuity e governance escalation siano coordinati. La prima domanda non consiste soltanto nello stabilire che cosa sia accaduto, ma anche nell’identificare rapidamente quali processi, persone, transazioni, sistemi e obblighi giuridici possano essere stati coinvolti.

All’interno della Prima Linea, una responsabilità essenziale riguarda la rapida segnalazione, la preservation e il supporto fattuale all’indagine. Operations, finance, procurement, trading, project management, environmental team e IT devono essere in grado di identificare documenti e dati pertinenti e impedire che informazioni essenziali vadano perdute. E-mail, messaging platform, payment record, procurement file, tender documentation, autorizzazioni, dati sulle emissioni, trading log, access log, contratti, fatture, board material e technical record possono tutti diventare parte del quadro probatorio. Il presidio integrato dei rischi richiede che gli incidenti vengano valutati attraverso criteri di escalation coerenti, evitando che le funzioni operative classifichino autonomamente eventi suscettibili di produrre conseguenze giuridiche o di integrità rilevanti. La Seconda Linea determina, insieme alla funzione legal e agli altri specialisti coinvolti, investigation strategy, scope, posizione rispetto al privilege, metodologia delle interview, data analysis, rapporti con le autorità e possibili valutazioni in materia di self-reporting. L’indipendenza è essenziale. Quando senior executive, importanti partner di joint venture o clienti strategici rientrano nel perimetro fattuale, il coinvolgimento di external legal counsel o forensic specialist può essere necessario per tutelare credibilità, riservatezza e integrità procedurale dell’indagine. Devono inoltre essere anticipate le procedure parallele. Un’indagine interna può svolgersi contemporaneamente a vigilanza amministrativa, indagine penale, civil litigation, arbitration, insurance claim o misure di natura giuslavoristica.

La Terza Linea assume, durante o dopo l’incidente, un ruolo più ampio rispetto alla mera verifica dell’eventuale fallimento di un singolo controllo. L’internal audit può valutare se la governance sottostante e il control environment presentassero debolezze strutturali che abbiano favorito il verificarsi dell’incidente. La segregation of duties era insufficiente? Le third-party red flag erano state ignorate? La management information era incompleta? La pressione commerciale è stata privilegiata rispetto ai requisiti di compliance? Erano già emersi in precedenza segnali analoghi? Una gestione integrata distingue tra incident response e root-cause remediation, mantenendo al tempo stesso un collegamento diretto tra queste dimensioni. Per il consiglio di amministrazione questa distinzione è fondamentale. Un’autorità di vigilanza, un finanziatore o un giudice non chiederanno soltanto che cosa sia accaduto durante l’incidente, ma anche quali warning signal fossero disponibili in precedenza, dove fosse collocata la responsabilità e quali misure siano state adottate successivamente. Una risposta credibile alla crisi richiede pertanto governance dimostrabile: preservation, independent fact-finding, rapida risk analysis, decisioni coerenti, stakeholder management disciplinato e remediation concreta. Tale remediation può comprendere modifica delle deleghe di potere, revisione dei processi di procurement, rafforzamento del monitoring, cessazione di rapporti con terze parti, modifica di contratti, disciplinary measure, recupero di somme, rafforzamento dei data control o consolidamento strutturale della Seconda Linea. La risposta alla crisi supera così la mera limitazione immediata del danno e diviene uno strumento per rafforzare in modo durevole integrità, governabilità e capacità difensiva della Sua organizzazione.

Governance integrata e resilienza strategica nel settore dell’energia e delle risorse naturali

La gestione integrata dei rischi produce il massimo valore nei settori dell’energia e delle risorse naturali quando il presidio della criminalità finanziaria, la geopolitica, l’integrità ambientale, la cybersecurity, la tax governance, il project finance, il supply-chain risk, la corporate governance e l’operational resilience cessano di essere gestiti come ambiti di controllo separati. Il reale profilo di rischio della Sua organizzazione nasce infatti dall’interazione tra tali dimensioni. Un nuovo investimento in un progetto relativo a critical minerals può contemporaneamente coinvolgere beneficial ownership, corruption, sanctions, environmental compliance, human rights, incentivi fiscali, government relations e strategic supply security. Un progetto eolico offshore può dipendere da sovvenzioni pubbliche, componenti internazionali, strutture finanziarie complesse, grid access, sistemi di controllo esposti a cyber risk e fornitori operanti in mercati geopoliticamente sensibili. Una transazione LNG può concentrare in un unico flusso commerciale rischi contrattuali, sanzionatori, di shipping, assicurativi, doganali e di pagamento. Un approccio integrato consolida tali segnali attorno a entità, transazioni, progetti, terze parti, asset e decisori, consentendo al consiglio di amministrazione di comprendere l’esposizione cumulativa anziché ricevere esclusivamente report separati per categoria di rischio. L’obiettivo è creare una integrated risk intelligence: informazioni in grado di mostrare come diversi fattori di rischio si rafforzino reciprocamente e quali combinazioni di circostanze richiedano enhanced review, escalation o approvazione a livello executive.

Il modello delle Tre Linee fornisce una base organizzativa chiara per tale approccio. La Prima Linea resta proprietaria dei rischi e li gestisce nell’ambito della strategia, degli investimenti, dei progetti, del procurement, del trading, delle operations, della treasury e del processo decisionale quotidiano. Deve identificare i rischi nel punto in cui sorgono, applicare adeguate misure di controllo, documentare le deviazioni ed escalare tempestivamente i segnali significativi. La Seconda Linea definisce la direzione, fornisce consulenza, monitora ed esercita challenge critica attraverso risk management, regulatory compliance, presidio della criminalità finanziaria, integrità, sanzioni, anti-bribery and corruption, privacy, cybersecurity, ESG, competenze legali, tax governance e altre funzioni specialistiche di supervisione. Essa definisce framework coerenti, stabilisce il risk appetite, determina escalation threshold, analizza le interdipendenze tra diverse categorie di rischio e verifica che le decisioni commerciali rimangano giuridicamente, finanziariamente ed eticamente difendibili. La Terza Linea fornisce assurance indipendente sull’efficacia della governance, del risk management e dei controlli interni e valuta se Prima e Seconda Linea funzionino realmente nella pratica. La forza del modello non risiede nella separazione organizzativa in quanto tale, ma nella chiarezza delle responsabilità, nell’effettivo scambio di informazioni e nella challenge dimostrabile. Quando ciascuna Linea opera esclusivamente nel proprio ambiente informativo, connessioni rilevanti rimangono invisibili. Il governo trasversale del rischio richiede pertanto risk taxonomy condivise, management information coerente, escalation route chiaramente definite e processi decisionali nei quali opportunità commerciali e rischi di integrità vengano valutati in maniera esplicita e congiunta.

Per il consiglio di amministrazione, gli organi di controllo, il general counsel, il chief financial officer, il chief risk officer, la compliance leadership e gli altri decision-maker responsabili, la resilienza strategica si traduce infine in una domanda fondamentale: la Sua organizzazione è in grado di dimostrare in modo convincente di comprendere e governare i rischi di criminalità finanziaria, le dipendenze geopolitiche, le esposizioni ambientali, le minacce cyber, le strutture finanziarie e le vulnerabilità delle supply chain che incidono sulla sua strategia? Ciò richiede molto più di policy, screening tool e periodici compliance report. Richiede management information affidabile, chiara risk ownership, challenge indipendente, scenario analysis, event-driven monitoring, decisioni tracciabili e remediation efficace. Una gestione coordinata sostiene così prevention, detection, investigation, response, remediation e strategic decision-making all’interno di un unico quadro coerente. Evoluzioni geopolitiche, sanzioni, scarsità di risorse, cyber incident, climate litigation, environmental enforcement e cambiamenti nelle aspettative degli investitori possono modificare rapidamente la posizione economica e giuridica di interi progetti energetici. La Sua organizzazione deve pertanto essere in grado non soltanto di reagire ai rischi già noti, ma anche di riconoscere quando sviluppi distinti si combinino generando una nuova configurazione di rischio. Van Leeuwen Law Firm considera quindi il presidio integrato dei rischi di criminalità finanziaria nei settori dell’energia e delle risorse naturali come una disciplina strategica di governance capace di collegare project economics, ownership, capital flow, geopolitica, integrità ambientale, supply chain, cybersecurity, investigation ed executive accountability all’interno di un’unica visione utilizzabile a livello decisionale. Il risultato è un’organizzazione capace di individuare prima i rischi, escalare con maggiore precisione, condurre indagini più rigorose e dimostrare in modo più convincente perché decisioni commerciali e manageriali complesse fossero responsabili, proporzionate e difendibili.