Governance degli organi societari, escalation e processi decisionali giuridicamente difendibili nel 2027

Responsabilità degli organi di amministrazione nella gestione dei rischi di criminalità finanziaria

Nel 2027, la responsabilità degli organi di amministrazione in materia di rischi di criminalità finanziaria si afferma come una delle questioni più rilevanti nell’ambito della corporate governance, della vigilanza sull’integrità aziendale e della responsabilità degli amministratori. Per la Sua organizzazione, non è più sufficiente che la responsabilità generale per la conformità normativa, la gestione dei rischi o il controllo interno sia formalmente attribuita all’organo amministrativo, mentre l’intera esecuzione operativa venga demandata alle sole funzioni specialistiche. Una responsabilità effettiva richiede che l’organo competente comprenda quali forme di criminalità finanziaria siano rilevanti rispetto al modello di business, quali attività generino le esposizioni maggiori, dove si collochino le principali interdipendenze tra processi operativi e misure di controllo e in quali circostanze un determinato rischio non possa più essere mantenuto entro i limiti della propensione al rischio stabilita. Rientrano in tale ambito, tra gli altri, il riciclaggio di denaro, il finanziamento del terrorismo, le frodi, la corruzione, la dazione e ricezione di tangenti, le violazioni e l’elusione delle sanzioni internazionali, gli abusi di mercato, i reati tributari, l’utilizzo illecito di entità societarie, i conflitti di interesse e altre condotte lesive dell’integrità suscettibili di produrre conseguenze giuridiche, finanziarie o reputazionali. Non tutti questi rischi presentano la stessa rilevanza per ogni impresa; la natura e l’intensità delle responsabilità degli organi amministrativi devono essere valutate alla luce della normativa applicabile, del settore economico, della struttura societaria, della presenza geografica, della complessità dei prodotti e dei servizi e dell’esposizione effettiva. Un intermediario finanziario che gestisce pagamenti internazionali e intrattiene rapporti con clienti caratterizzati da strutture societarie complesse, ad esempio, affronta problematiche di controllo differenti rispetto a un’impresa industriale esposta principalmente a intermediari commerciali, rapporti con autorità pubbliche estere, appalti e restrizioni agli scambi transfrontalieri. L’esigenza comune di governance consiste nella capacità di tradurre tali differenze in un adeguato livello di attenzione degli organi dirigenti, nella disponibilità di risorse sufficienti, nella definizione chiara delle responsabilità e nell’attuazione dimostrabile delle misure necessarie. Nell’ambito dell’Integrated Financial Crime Risk Management, le responsabilità non devono quindi essere distribuite soltanto tra le diverse funzioni, ma anche collegate a specifici poteri decisionali, obblighi di reporting, soglie di escalation e forme identificabili di responsabilizzazione individuale. L’organo amministrativo deve poter stabilire chi sia responsabile dell’affidabilità delle valutazioni dei rischi, chi debba correggere le carenze del sistema di controllo interno, chi sia autorizzato ad approvare deroghe, quando sia necessaria un’escalation indipendente e quali questioni non possano essere definitivamente risolte a livello operativo. Parallelamente, occorre mantenere una rigorosa distinzione tra la responsabilità collegiale dell’organo societario, la ripartizione degli incarichi tra i singoli amministratori, il ruolo dei componenti degli organi di supervisione e gli autonomi obblighi normativi attribuiti a determinate figure responsabili. Il coinvolgimento dell’organo amministrativo non implica che ogni decisione operativa debba essere adottata al suo livello, bensì che la distribuzione dei poteri decisionali sia proporzionata alla gravità, alla complessità e alle potenziali conseguenze dei rischi interessati. Quando tale distribuzione non è sufficientemente chiara, le diverse funzioni possono presumere che la responsabilità appartenga ad altri settori dell’organizzazione, con la conseguenza che segnali significativi non vengono affrontati tempestivamente e le decisioni necessarie vengono rinviate oppure non vengono mai adottate.

Un aspetto particolarmente importante nel 2027 riguarda il rapporto tra responsabilità ultima degli organi amministrativi, delega delle attività operative e controllo effettivo della loro esecuzione. La Sua organizzazione può disporre di una ripartizione dettagliata delle competenze tra direzioni operative, compliance, risk management, funzione legale, internal audit, sicurezza delle informazioni, risorse umane e unità investigative specializzate, pur in assenza di chiarezza su quale soggetto sia, in ultima istanza, autorizzato e tenuto a intervenire quando gli interessi commerciali entrano in conflitto con i requisiti di integrità. Tale incertezza aumenta nelle strutture di gruppo internazionali, nei centri di servizi condivisi, nei processi esternalizzati di adeguata verifica della clientela, nei servizi esterni di monitoraggio delle transazioni, nelle attività centralizzate di controllo delle sanzioni e nelle imprese nelle quali le entità locali operano sulla base di politiche stabilite a livello di gruppo. Il fatto che un processo sia organizzato centralmente non significa necessariamente che ciascuna entità giuridica locale sia liberata dai propri obblighi di legge. Analogamente, la delega a una funzione specialistica di conformità non determina automaticamente il trasferimento di tutte le responsabilità dell’organo amministrativo. L’Integrated Financial Crime Risk Management deve pertanto prevedere una catena di responsabilità chiaramente identificabile, nella quale i poteri formali, l’influenza concretamente esercitata, l’accesso alle informazioni e la capacità effettiva di intervento risultino coerenti tra loro. Il regolamento europeo antiriciclaggio rafforza, per i soggetti obbligati interessati, l’importanza delle politiche, delle procedure e dei controlli interni, compresa l’approvazione delle politiche da parte degli organi dirigenti e l’attribuzione di specifiche responsabilità in materia di conformità. L’organizzazione della governance deve tuttavia essere sempre adeguata alle precise disposizioni normative e al pertinente contesto giuridico nazionale, poiché la responsabilità societaria, regolamentare, civile e penale non si fonda su presupposti identici. Per la Sua organizzazione è pertanto necessario esaminare periodicamente sia la distribuzione formale sia quella effettiva delle responsabilità. Particolare attenzione deve essere dedicata alle situazioni nelle quali le competenze si sovrappongono: un compliance officer che ritiene inaccettabile il rischio connesso a una relazione commerciale mentre la direzione commerciale ne richiede la prosecuzione; un organo dirigente regionale che non mette a disposizione risorse adeguate per un programma correttivo esteso all’intero gruppo; oppure un comitato di audit che individua carenze ricorrenti senza che sia chiaro chi possieda il potere di imporre i miglioramenti necessari. Tali situazioni richiedono un percorso decisionale esplicito nel quale i poteri non esistano soltanto sulla carta, ma possano essere esercitati tempestivamente. Il sistema di governance deve inoltre prevedere canali di escalation indipendenti quando i responsabili ordinariamente competenti siano essi stessi coinvolti nel rischio oppure non adottino le misure necessarie con sufficiente tempestività. L’efficacia della responsabilità degli organi amministrativi diventa evidente quando emerge una situazione critica e la Sua organizzazione può stabilire, senza controversie interpretative, chi debba intervenire, quali informazioni siano necessarie, quale decisione possa essere legittimamente adottata e chi sia successivamente incaricato di vigilare sulla sua esecuzione. Ciò richiede disciplina gestionale, competenze adeguate e un’organizzazione operativa nella quale la responsabilità non rimanga un principio astratto, ma venga costantemente verificata attraverso i comportamenti effettivi e i risultati dimostrabili.

L’espressione più convincente della responsabilità degli organi amministrativi si manifesta quando questi ultimi non si limitano a ricevere relazioni, ma valutano periodicamente se le misure di controllo disponibili continuino a essere adeguate all’evoluzione del profilo di rischio della Sua organizzazione. Nel 2027, assume quindi particolare rilevanza la qualità delle domande poste a livello degli organi dirigenti. Gli amministratori devono poter stabilire non soltanto quante transazioni potenzialmente sospette siano state esaminate, quanti clienti presentino un profilo di rischio elevato o quanti segnali generati dai sistemi di screening delle sanzioni siano stati gestiti, ma anche quali conclusioni possano ragionevolmente essere tratte da tali dati riguardo all’effettiva gestione della criminalità finanziaria. Un aumento del numero delle transazioni sottoposte a indagine può, ad esempio, indicare un miglioramento della capacità di individuazione, una crescita dell’esposizione sottostante oppure un cambiamento nelle prestazioni del sistema di monitoraggio. Senza ulteriori analisi, il significato di tale evoluzione per gli organi amministrativi rimane incerto. Lo stesso vale per la diminuzione del numero di segnalazioni, la chiusura dei rilievi di audit o il raggiungimento degli obiettivi formativi: questi indicatori possono riflettere sviluppi positivi, ma non forniscono, considerati isolatamente, prove conclusive dell’efficacia dei controlli. La responsabilità degli organi amministrativi richiede pertanto che le informazioni gestionali siano interpretate criticamente, che vengano discusse le limitazioni delle fonti di dati e che i segnali divergenti non scompaiano dietro indicatori aggregati di performance. Per la Sua organizzazione, ciò significa che le riunioni periodiche degli organi dirigenti devono affrontare espressamente le concentrazioni significative di rischio, le carenze strutturali, le dipendenze non adeguatamente governate, le pressioni operative e la questione se le decisioni precedentemente adottate continuino a fondarsi su ipotesi valide. Deve inoltre esistere uno spazio sufficiente per sottoporre a discussione scelte fondamentali, tra cui il mantenimento di determinati segmenti di clientela, l’ingresso in nuovi mercati, l’utilizzo di canali distributivi complessi, l’esternalizzazione di attività di controllo critiche e l’assegnazione di risorse alla gestione dei rischi di criminalità finanziaria. Un organo amministrativo che renda dimostrabili tali valutazioni non soltanto rafforza la qualità delle proprie decisioni, ma costituisce anche una base più affidabile per eventuali successive valutazioni regolamentari, civili o penali. Resta fermo, tuttavia, che qualsiasi responsabilità individuale deve essere valutata separatamente in base alle norme giuridiche applicabili, alle circostanze concrete e alla posizione della persona interessata. Il funzionamento inadeguato di un sistema di governance non determina automaticamente una responsabilità personale, così come l’esistenza di un sistema formalmente conforme non è necessariamente sufficiente a escluderla. L’obiettivo strategico della Sua organizzazione consiste quindi nello sviluppo di una cultura di governance nella quale conoscenza dei rischi, responsabilità, confronto critico, processo decisionale ed effettiva attuazione delle misure siano collegati in maniera dimostrabile. In questo modo, la responsabilità degli organi amministrativi diventa una componente attiva dell’Integrated Financial Crime Risk Management e fornisce una base più solida per la riduzione dei rischi, l’affidabilità istituzionale e l’adozione di decisioni aziendali giuridicamente difendibili.

Informazioni direzionali e visibilità dei rischi rilevanti di criminalità finanziaria

Nel 2027, la qualità delle decisioni adottate dagli organi amministrativi dipenderà in misura fondamentale dalla capacità della Sua organizzazione di trasformare volumi considerevoli di informazioni sulla criminalità finanziaria, spesso frammentate e tecnicamente complesse, in conoscenze affidabili e concretamente utilizzabili ai fini decisionali. Numerose imprese dispongono di grandi quantità di dati di compliance, relazioni operative, informazioni sulla clientela, dati transazionali, risultanze di audit, registrazioni di incidenti, analisi giuridiche e risultati investigativi, ma incontrano notevoli difficoltà nel ricondurre tali elementi a una rappresentazione coerente dell’effettiva esposizione ai rischi. Può così determinarsi una situazione nella quale l’organo amministrativo riceve periodicamente relazioni molto dettagliate, mentre rischi significativi rimangono insufficientemente visibili perché le singole funzioni adottano definizioni, periodi di riferimento, criteri di valutazione o modelli di rischio differenti. Un arretrato nelle procedure di adeguata verifica della clientela può, ad esempio, essere presentato come una semplice difficoltà relativa alla capacità operativa, sebbene lo stesso arretrato produca informazioni non aggiornate sui titolari effettivi, una riduzione dell’affidabilità del monitoraggio delle transazioni e una maggiore probabilità che determinati collegamenti rilevanti ai fini delle sanzioni internazionali non vengano identificati. Quando tali relazioni non vengono riconosciute, un cruscotto direzionale può presentare risultati rassicuranti per alcuni indicatori, mentre l’efficacia reale della gestione dei rischi di criminalità finanziaria continua a deteriorarsi. Nell’ambito dell’Integrated Financial Crime Risk Management, la priorità deve pertanto essere attribuita non alla quantità delle informazioni disponibili, bensì alla loro affidabilità, coerenza reciproca, rilevanza sostanziale e concreta utilità per il processo decisionale. La Sua organizzazione deve adottare standard di reporting nei quali i concetti essenziali siano definiti in modo uniforme, i dati provenienti da fonti diverse possano essere collegati e risulti chiaramente indicato su quali ipotesi, calcoli e valutazioni qualitative si fondino le conclusioni relative ai rischi. Ciò richiede particolare attenzione alla provenienza dei dati, alla loro completezza, tempestività, classificazione, alle deroghe, alle rettifiche manuali e all’affidabilità delle metodologie analitiche utilizzate. Quando i punteggi di rischio si basano su informazioni incomplete relative ai clienti oppure i sistemi operativi non scambiano correttamente determinati dati, l’organo amministrativo deve poter comprendere in che modo tali limitazioni influenzino l’interpretazione delle informazioni direzionali. Il reporting destinato agli organi societari deve pertanto rendere visibili anche le incertezze e i limiti delle informazioni disponibili. Una relazione che non consenta di formulare valutazioni affidabili sulla completezza del monitoraggio delle transazioni, sulla qualità dello screening delle sanzioni o sul numero di fascicoli ad alto rischio ancora in attesa di approfondimento deve evidenziare espressamente tale limitazione, anziché presentare una rappresentazione apparentemente esaustiva del profilo di rischio. Un reporting affidabile rivolto agli organi amministrativi distingue ciò che è effettivamente noto, ciò che può essere ragionevolmente dedotto dai dati, le incertezze ancora esistenti e le analisi supplementari necessarie prima che possa essere adottata una decisione adeguatamente informata. Per la Sua organizzazione, la qualità delle informazioni rappresenta un presupposto fondamentale per decisioni proporzionate, escalation efficaci e la possibilità di dimostrare successivamente che gli organi dirigenti disponevano di una base informativa sufficientemente solida.

Una seconda evoluzione particolarmente rilevante riguarda il passaggio da indicatori di conformità prevalentemente descrittivi a una valutazione maggiormente integrata dell’esposizione ai rischi, dell’efficacia dei controlli e delle vulnerabilità emergenti. Le relazioni direzionali tradizionali si concentrano frequentemente sul numero di verifiche della clientela completate, sui controlli effettuati, sulle segnalazioni chiuse, sulle politiche approvate o sui programmi formativi conclusi. Tali informazioni rimangono necessarie per la supervisione operativa, ma offrono soltanto una visione limitata della capacità effettiva di individuare e ridurre i rischi di criminalità finanziaria. Nel 2027, la Sua organizzazione deve pertanto disporre di un sistema informativo capace di distinguere tra indicatori che evidenziano carenze già manifestatesi e indicatori che forniscono segnali anticipatori di un possibile deterioramento del sistema di controllo interno. L’aumento dei tempi medi di conclusione delle indagini interne, la crescita della percentuale di deroghe manuali, il ripetuto mancato rispetto delle scadenze di remediation, la disponibilità insufficiente di investigatori qualificati o una dipendenza eccessiva da personale temporaneo possono, ad esempio, preannunciare future carenze di controllo prima ancora che venga accertata una violazione formale. Le informazioni destinate agli organi amministrativi devono inoltre distinguere adeguatamente tra unità operative, mercati geografici, categorie di clienti, tipologie di transazioni, prodotti e modelli di erogazione dei servizi. Dati aggregati possono nascondere concentrazioni di rischio considerevoli quando una parte relativamente limitata dell’organizzazione è responsabile di una quota sproporzionata dell’esposizione potenziale. Un gruppo internazionale può, ad esempio, presentare indicatori di conformità accettabili a livello consolidato, mentre una determinata società controllata registra da tempo carenze nell’identificazione dei partner commerciali, nella valutazione degli intermediari o nell’esame di strutture di pagamento complesse. Analogamente, un livello medio relativamente basso di arretrati nell’adeguata verifica della clientela può nascondere una presenza sproporzionata di clienti classificati ad alto rischio tra i fascicoli che superano i termini previsti per il riesame. Nell’ambito dell’Integrated Financial Crime Risk Management, le relazioni devono quindi evidenziare non soltanto le performance medie, ma anche i valori anomali, le tendenze negative, le carenze interdipendenti e le concentrazioni di esposizioni significative. È altrettanto importante evitare che gli indicatori prescelti generino incentivi comportamentali indesiderati. Un’attenzione eccessiva al numero delle segnalazioni chiuse può, ad esempio, incoraggiare una gestione più rapida dei fascicoli senza migliorare la profondità o la qualità delle verifiche sottostanti. Un obiettivo volto a ridurre rapidamente gli arretrati può determinare l’assegnazione di tempi insufficienti per l’analisi dei casi più complessi. Il valore di un indicatore per gli organi amministrativi dipende pertanto anche dai comportamenti che esso incoraggia, dai rischi che non è in grado di rappresentare e dalla misura in cui i miglioramenti dichiarati corrispondono realmente a un rafforzamento dimostrabile del sistema di controllo. Per la Sua organizzazione, ciò implica una validazione continua delle relazioni, verifiche qualitative indipendenti e una rivalutazione periodica delle informazioni necessarie per esercitare un’efficace supervisione a livello degli organi dirigenti.

Il significato strategico delle informazioni direzionali risiede, in definitiva, nella loro capacità di favorire il passaggio dall’individuazione dei rischi all’adozione di decisioni mirate. Nel 2027, una relazione destinata all’organo amministrativo produce un valore sostanziale soltanto quando chiarisce quali circostanze richiedano attenzione, quali decisioni siano possibili, quali alternative operative esistano e quali conseguenze possano derivare da ritardi o omissioni. La Sua organizzazione deve quindi distinguere tra informazioni trasmesse esclusivamente a fini conoscitivi, informazioni che richiedono una valutazione esplicita degli organi amministrativi e questioni che necessitano di una deliberazione formale. Una relazione relativa all’aumento strutturale degli arretrati nei controlli sulle sanzioni, ad esempio, non dovrebbe concludersi con la semplice descrizione del numero delle segnalazioni ancora aperte, ma dovrebbe illustrare l’esposizione potenziale, le cause sottostanti, le risorse investigative disponibili, gli obblighi di legge applicabili, la fattibilità delle misure correttive e le conseguenze delle possibili alternative di intervento. Lo stesso principio vale per un programma di remediation in ritardo rispetto al calendario previsto: l’organo amministrativo deve essere in grado di valutare quali interdipendenze abbiano provocato il ritardo, se le misure originarie di attenuazione dei rischi rimangano efficaci, se siano necessari controlli temporanei aggiuntivi e quali poteri debbano essere esercitati per accelerare l’attuazione. Le relazioni orientate al processo decisionale devono inoltre fornire elementi utili a comprendere l’efficacia degli interventi precedenti. Quando una determinata carenza si manifesta ripetutamente, non è sufficiente registrarne la ricomparsa. Gli organi amministrativi devono comprendere perché le misure precedenti non abbiano prodotto risultati duraturi, se l’analisi iniziale delle cause profonde fosse inadeguata e se siano necessarie modifiche fondamentali ai processi, alle risorse o alla distribuzione delle responsabilità. Particolare attenzione deve essere inoltre dedicata all’asimmetria informativa e alla dipendenza degli organi amministrativi dalle interpretazioni formulate dal management. Gli amministratori e i componenti degli organi di supervisione dipendono in misura considerevole da informazioni selezionate, elaborate e illustrate da altre funzioni. Tale dipendenza può essere ridotta attraverso canali di reporting indipendenti, accesso diretto alle funzioni di controllo pertinenti, approfondimenti mirati e possibilità di richiedere informazioni supplementari. Nell’ambito dell’Integrated Financial Crime Risk Management, devono quindi essere chiaramente definite le circostanze nelle quali compliance, risk management, internal audit o funzioni investigative specialistiche possano rivolgersi direttamente agli organi amministrativi o ai comitati di supervisione. Si crea così un sistema informativo nel quale le valutazioni divergenti dei rischi non scompaiono nelle sintesi preparate dal management e le incertezze significative possono essere sottoposte tempestivamente all’attenzione degli organi competenti. L’obiettivo non consiste nella produzione di cruscotti direzionali sempre più voluminosi, ma nell’istituzione di un processo informativo capace di rendere visibili i rischi prima che la capacità di intervento della Sua organizzazione venga sensibilmente compromessa. Quando tale processo funziona efficacemente, gli organi amministrativi dispongono di una base più solida per stabilire le priorità, definire la propensione al rischio, assegnare le risorse, approvare gli interventi correttivi e rendere concretamente dimostrabile la difendibilità delle decisioni di governance.

Soglie di escalation e poteri decisionali degli organi amministrativi

Nel 2027, un sistema efficace di escalation costituisce il collegamento essenziale tra l’individuazione operativa dei rischi e la responsabilità degli organi amministrativi in materia di criminalità finanziaria. Per la Sua organizzazione, non è sufficiente adottare politiche generali che prevedano la tempestiva comunicazione agli organi dirigenti di incidenti gravi, questioni rilevanti di conformità o problematiche significative di integrità. Formulazioni di questo tipo forniscono spesso indicazioni insufficienti proprio nel momento in cui occorre stabilire se un determinato segnale richieda ulteriori approfondimenti, un intervento immediato oppure il coinvolgimento formale dell’organo amministrativo. La criminalità finanziaria si sviluppa frequentemente attraverso circostanze il cui significato iniziale rimane incerto. Una transazione insolita, una struttura proprietaria atipica, un rapporto non adeguatamente spiegato con un intermediario, un potenziale collegamento con soggetti sottoposti a sanzioni o una segnalazione interna riguardante un conflitto di interesse non dimostrano necessariamente che sia stato commesso un reato o una violazione regolamentare. Tuttavia, ritardare l’escalation può determinare la perdita di elementi probatori, l’esecuzione di transazioni, il trasferimento di beni, la scadenza di termini previsti dalla legge oppure un incremento sostanziale di un’esposizione che avrebbe potuto essere precedentemente controllata. L’Integrated Financial Crime Risk Management deve pertanto prevedere soglie di escalation che tengano conto sia della gravità delle possibili conseguenze sia del grado di incertezza relativo ai fatti. La Sua organizzazione dovrebbe distinguere tra rilevanza finanziaria, rilevanza giuridica, rilevanza operativa e rilevanza strategica. Un evento di valore economico relativamente limitato può, ad esempio, avere conseguenze gravi qualora riguardi una possibile violazione delle sanzioni, il coinvolgimento di un amministratore, un sospetto di corruzione o il rischio di manipolazione delle prove. Analogamente, un grave problema operativo può inizialmente non presentare una dimensione penale accertata e richiedere comunque l’attenzione immediata degli organi amministrativi perché minaccia la continuità o l’efficacia di controlli fondamentali. Le soglie di escalation devono quindi comprendere criteri quantitativi e qualitativi, riconoscendo espressamente l’importanza degli effetti cumulativi. Deroghe di modesta entità, accettate ripetutamente, possono generare nel loro insieme un’esposizione molto superiore a quella di un singolo evento eccezionale. Il sistema di governance deve inoltre specificare quali informazioni minime debbano accompagnare un’escalation, quali incertezze debbano essere esplicitamente indicate ed entro quale termine la funzione competente debba effettuare una prima valutazione. Un meccanismo efficace di escalation deve impedire che il processo decisionale dipenda da rapporti informali, interpretazioni personali o dalla disponibilità del singolo dipendente a portare una questione delicata all’attenzione dei responsabili. Deve offrire ai collaboratori e alle funzioni competenti un percorso affidabile per trasmettere i segnali rilevanti al livello decisionale appropriato, senza determinare un coinvolgimento inutilmente esteso degli organi amministrativi per ogni deviazione operativa.

Accanto alla definizione di criteri chiari di escalation, nel 2027 assume particolare importanza strategica la delimitazione dei poteri decisionali. La Sua organizzazione deve poter individuare quali soggetti siano autorizzati a sospendere temporaneamente una transazione, richiedere verifiche supplementari, limitare una relazione con un cliente, riesaminare una collaborazione commerciale, avviare un’indagine interna, incaricare esperti esterni oppure sottoporre direttamente una questione all’organo amministrativo. Tali poteri devono essere coerenti con gli obblighi di legge applicabili, con la natura del rischio interessato e con la necessità di assicurare una capacità di intervento indipendente. Quando, ad esempio, un dirigente commerciale è responsabile di un’importante relazione con un cliente internazionale e, contemporaneamente, esercita un’influenza determinante sulla valutazione delle criticità di integrità riguardanti tale relazione, può sorgere un conflitto di interesse tale da compromettere l’obiettività dell’analisi. Un problema analogo può verificarsi quando i dirigenti regionali siano autorizzati ad approvare autonomamente deroghe alle procedure sulle sanzioni applicabili a livello di gruppo oppure quando i responsabili dei risultati operativi possano decidere anche se determinate carenze debbano essere sottoposte a escalation. L’Integrated Financial Crime Risk Management deve pertanto prevedere una distribuzione dei poteri che chiarisca non soltanto chi possa approvare una decisione, ma anche chi possa impedirne l’esecuzione, chi debba formulare una valutazione indipendente e quali circostanze richiedano un’autorizzazione aggiuntiva. Deve essere mantenuta una distinzione fondamentale tra decisioni relative a rischi legittimamente valutabili entro i limiti della propensione al rischio stabilita e situazioni nelle quali la legge impone una specifica condotta. L’organo amministrativo non può, ad esempio, autorizzare una transazione vietata dalla normativa applicabile in materia di sanzioni semplicemente invocando una decisione relativa alla propensione al rischio. Analogamente, le procedure interne di autorizzazione non possono neutralizzare gli obblighi legali di segnalazione, i requisiti di riservatezza o gli obblighi di congelamento dei fondi e delle risorse economiche. Per la Sua organizzazione è quindi essenziale che la valutazione giuridica, la responsabilità per la conformità e l’autorità decisionale degli organi amministrativi operino in maniera coordinata. Quando un evento interessa più settori dell’ordinamento, occorre stabilire preventivamente quale funzione sia responsabile dell’analisi degli obblighi applicabili e in che modo debbano essere affrontate eventuali prescrizioni contrastanti tra diverse giurisdizioni. Il ruolo degli organi amministrativi non consiste nel sostituirsi alle valutazioni specialistiche delle funzioni legali o di compliance, bensì nell’assicurare che le questioni rilevanti ricevano l’attenzione, i poteri, le risorse e il controllo indipendente necessari. L’escalation è efficace soltanto quando un segnale raggiunge non semplicemente il soggetto formalmente competente, ma un decisore che sia effettivamente in grado di adottare tempestivamente una misura appropriata, giuridicamente sostenibile e concretamente eseguibile. Ciò richiede mandati chiari, sufficiente disponibilità dei decisori, modalità predeterminate di sostituzione e delega, nonché procedure esplicite per le circostanze nelle quali i normali processi decisionali non consentano un intervento abbastanza rapido.

L’efficacia reale delle procedure di escalation e dei poteri decisionali emerge soprattutto quando la Sua organizzazione deve operare in condizioni di maggiore pressione. Nel 2027, tale pressione può derivare da un’evoluzione inattesa dei regimi sanzionatori internazionali, da una segnalazione di frode di particolare gravità, da un incidente informatico con potenziali implicazioni di criminalità finanziaria, da un’ispezione o da una richiesta di informazioni delle autorità, da una grave segnalazione di whistleblowing, dal sospetto di coinvolgimento dell’alta direzione oppure dalla scoperta che controlli fondamentali hanno funzionato in maniera inadeguata per un periodo prolungato. In tali circostanze, la necessità di decidere rapidamente aumenta proprio mentre l’affidabilità e la completezza delle informazioni disponibili possono diminuire. Un sistema di escalation attentamente progettato deve quindi consentire l’adozione di decisioni basate su fatti ancora provvisori, garantendo che le incertezze siano espressamente documentate e che le misure adottate possano essere adeguate quando emergano ulteriori informazioni. Per la Sua organizzazione, ciò significa stabilire preventivamente quali eventi richiedano l’immediata informazione dell’organo amministrativo, quali funzioni possano adottare misure temporanee di riduzione dell’esposizione e quali decisioni debbano essere riservate all’organo dirigente, a un comitato competente oppure a un soggetto specificamente autorizzato. Devono inoltre essere disciplinate le modalità decisionali al di fuori delle riunioni ordinarie, in caso di assenza di figure essenziali e nelle situazioni nelle quali uno o più amministratori possano trovarsi in conflitto di interesse. Esercitazioni pratiche e valutazioni periodiche degli incidenti possono consentire di verificare se le procedure di escalation siano realmente applicabili. Una procedura apparentemente chiara sulla carta può risultare inadeguata nella pratica perché i recapiti sono obsoleti, i poteri delegati non corrispondono alle possibilità tecniche disponibili oppure le diverse funzioni interpretano in maniera differente la gravità di un determinato evento. L’Integrated Financial Crime Risk Management deve pertanto prevedere verifiche periodiche sia dei criteri di escalation sia dei processi decisionali concretamente applicati. Anche la qualità delle registrazioni assume particolare rilevanza: quando è stato ricevuto il primo segnale, quale valutazione è stata effettuata, quali informazioni supplementari sono state richieste, chi ha adottato la decisione e per quali ragioni è stata scelta una determinata linea di intervento? Tali informazioni non costituiscono esclusivamente uno strumento di rendicontazione in vista di possibili indagini future, ma consentono anche di individuare le debolezze del processo di escalation e di correggerle strutturalmente. La Sua organizzazione deve inoltre evitare che una segnalazione correttamente trasmessa sotto il profilo formale si traduca in una situazione di inattività degli organi amministrativi dopo che la questione è stata discussa. Ogni escalation significativa dovrebbe produrre, in funzione della natura dell’evento, una decisione identificabile relativa a ulteriori analisi, misure di mitigazione, indagini, interventi correttivi, comunicazioni esterne oppure una chiusura adeguatamente motivata. L’essenza di un sistema efficace di escalation consiste nella continuità tra individuazione del segnale, esercizio dell’autorità, adozione della decisione e verifica della sua effettiva esecuzione. Quando tale continuità è organizzata in maniera dimostrabile, si crea un contesto nel quale i rischi rilevanti di criminalità finanziaria non rimangono irrisolti tra diverse funzioni e nel quale, anche in presenza di forti pressioni temporali, viene preservata la possibilità di esercitare un giudizio rigoroso e giuridicamente difendibile.

Segnali di allarme, deroghe e accettazione dei rischi da parte degli organi amministrativi

Nel 2027, i segnali di allarme, le deroghe alle politiche interne e l’accettazione formale dei rischi rientrano tra le questioni più critiche della governance in materia di criminalità finanziaria. Per la Sua organizzazione, un’esposizione significativa non deriva esclusivamente dall’assenza di politiche o controlli, ma può manifestarsi anche quando i requisiti esistenti vengono progressivamente indeboliti attraverso deroghe individuali, soluzioni temporanee, pressioni commerciali o limitazioni operative. Una deroga può, in determinate circostanze, essere legittima e proporzionata, ad esempio quando una procedura debba essere temporaneamente modificata a causa di limitazioni tecniche dimostrabili e controlli supplementari assicurino un livello di protezione equivalente. Il problema di governance emerge quando tali deviazioni non vengono esaminate adeguatamente, non sono soggette a condizioni esplicite oppure rimangono in vigore oltre il periodo inizialmente autorizzato. Nell’ambito dell’Integrated Financial Crime Risk Management, occorre pertanto distinguere tra segnali di allarme che richiedono ulteriori accertamenti, deroghe per le quali esiste un formale potere di autorizzazione e situazioni nelle quali l’accettazione di una determinata esposizione è consentita entro i limiti previsti dalla normativa applicabile. Queste categorie non devono essere confuse. Un segnale di allarme non costituisce la prova di una violazione, ma può giustificare verifiche supplementari, un monitoraggio rafforzato o restrizioni temporanee. Una deroga alle politiche interne non comporta automaticamente l’autorizzazione ad accettare il rischio sottostante, ma richiede una valutazione separata delle disposizioni applicabili e delle possibili conseguenze. L’accettazione formale di un rischio può riguardare esclusivamente esposizioni la cui accettazione sia giuridicamente ammissibile e rispetto alle quali il decisore competente disponga di informazioni sufficienti. Gli interessi commerciali, le dipendenze strategiche o i costi operativi non possono, da soli, giustificare la disapplicazione degli obblighi di legge. Tale distinzione assume particolare rilevanza nell’acquisizione e nell’accettazione della clientela, nelle procedure di adeguata verifica rafforzata, nello screening delle sanzioni, nei pagamenti che presentano indicatori di rischio elevati, nei rapporti con persone politicamente esposte, nelle strutture complesse di titolarità effettiva, nelle verifiche di due diligence sui soggetti terzi e nelle decisioni relative alle indagini interne. Una relazione commerciale che genera ricavi significativi può, ad esempio, essere messa in discussione perché non risultano disponibili informazioni supplementari sulla struttura proprietaria o sull’origine dei fondi. Qualora il management decida di mantenere provvisoriamente tale relazione, deve risultare chiaro quali obblighi normativi si applichino, quali incertezze rimangano, quali misure aggiuntive siano necessarie e se la prosecuzione del rapporto sia effettivamente consentita dalle circostanze concrete. La valutazione degli organi amministrativi non deve concentrarsi esclusivamente sulla possibilità di autorizzare una deroga, ma soprattutto sulle conseguenze che essa produce per l’affidabilità dell’insieme dei controlli ancora operativi nella gestione dei rischi di criminalità finanziaria. L’attenzione si sposta così dalle singole autorizzazioni considerate isolatamente all’effetto cumulativo delle deroghe sull’efficacia complessiva del sistema di controllo.

Un solido approccio alla governance richiede che la Sua organizzazione consideri le deroghe come decisioni di rischio autonomamente verificabili, sottoposte a un ciclo di vita chiaramente definito. Tale ciclo prende avvio dalla descrizione precisa dell’obbligo originario o dello standard interno rispetto al quale viene proposta la deviazione e prosegue attraverso l’indicazione delle ragioni della deroga, delle attività interessate, della sua ammissibilità giuridica, della valutazione del rischio, delle possibili alternative e delle misure di controllo supplementari. Successivamente, deve essere stabilito quale funzione sia autorizzata ad approvare la deroga, quale esame indipendente risulti necessario e a quali condizioni debba essere subordinata l’autorizzazione. Nell’ambito dell’Integrated Financial Crime Risk Management, meritano particolare attenzione la durata delle deroghe, le date di riesame e le condizioni per la loro cessazione o revoca. Deviazioni inizialmente temporanee possono acquisire progressivamente carattere permanente quando vengono prorogate ripetutamente senza sottoporre a una nuova analisi critica la giustificazione originaria. Un processo manuale di controllo delle sanzioni introdotto temporaneamente a causa di limitazioni tecnologiche può, ad esempio, rimanere operativo per mesi, mentre i volumi delle transazioni aumentano e cresce la probabilità di errori nelle verifiche manuali. Analogamente, una deroga limitata relativa alla raccolta di documentazione supplementare sulla clientela può protrarsi a lungo quando diverse funzioni presumono che la responsabilità di ottenere le informazioni mancanti appartenga a un altro settore dell’organizzazione. La Sua organizzazione deve quindi mantenere una visione centralizzata delle deroghe significative, comprensiva dei soggetti responsabili, dei periodi di validità, delle misure compensative, dell’esposizione residua e delle ragioni di eventuali proroghe. Occorre inoltre prestare adeguata attenzione alle relazioni tra le singole deroghe. Quando più attività aziendali presentano deviazioni comparabili, la situazione può rivelare una carenza strutturale che non può più essere gestita attraverso una successione di autorizzazioni individuali. Devono inoltre essere definite espressamente le circostanze che determinano automaticamente il riesame di una deroga, quali una modifica del regime sanzionatorio, l’emergere di informazioni negative relative a una controparte, la disponibilità di nuovi dati sui titolari effettivi, il venir meno di un controllo compensativo oppure il superamento di una scadenza concordata per la remediation. Per l’organo amministrativo, la questione rilevante non consiste soltanto nel conoscere il numero delle deroghe ancora aperte, ma nell’individuare quelle che generano esposizioni significative, le ipotesi che avevano giustificato le autorizzazioni originarie e gli sviluppi che potrebbero invalidare le valutazioni precedentemente effettuate. Una deroga priva di una scadenza chiaramente definita, di un esame indipendente o di un monitoraggio efficace può trasformarsi progressivamente in un meccanismo permanente di aggiramento dei requisiti di controllo che l’organizzazione stessa ha stabilito. Per la Sua organizzazione è pertanto necessario integrare la gestione delle deroghe con il reporting agli organi amministrativi, la propensione al rischio, le attività di controllo e i processi decisionali periodici, affinché le eccezioni individuali non rimangano al di fuori del perimetro di supervisione degli organi responsabili.

La valutazione dei segnali di allarme e dell’accettazione dei rischi assume inoltre, nel 2027, particolare importanza quando diventa necessario stabilire retrospettivamente quali informazioni fossero disponibili prima che si verificassero una grave violazione, una perdita finanziaria o un incidente di integrità. Nell’ambito delle indagini delle autorità, dei procedimenti civili e delle verifiche interne, la distinzione tra un segnale non riconosciuto e un’esposizione consapevolmente accettata può avere una rilevanza considerevole. Quando la Sua organizzazione dispone di avvertimenti documentati riguardanti un partner commerciale, un possibile collegamento con soggetti sottoposti a sanzioni o presunte irregolarità in un flusso di pagamenti, diventa necessario esaminare quale valutazione sia stata effettuata, quali informazioni mancassero e per quali motivi sia stata eventualmente autorizzata la prosecuzione dell’attività interessata. Una decisione responsabile non richiede che ogni incertezza sia stata integralmente eliminata, ma presuppone che siano sufficientemente individuate le incertezze giuridicamente e operativamente accettabili e le circostanze che rendono indispensabili ulteriori verifiche o un intervento. Un’impresa internazionale può, ad esempio, trovarsi di fronte a spiegazioni contraddittorie circa il ruolo svolto da un intermediario in una relazione commerciale. La funzione commerciale può considerare tale intermediario indispensabile per l’accesso a un determinato mercato, mentre la funzione di compliance individua indizi di strutture proprietarie opache e condizioni di pagamento potenzialmente anomale. Una valutazione difendibile richiede allora un’analisi integrata delle prestazioni effettivamente fornite, della documentazione disponibile, delle persone coinvolte, delle norme anticorruzione e sanzionatorie applicabili, dei potenziali conflitti di interesse e dei rischi derivanti dalla prosecuzione del rapporto. Qualora l’organo amministrativo o un comitato competente decida di richiedere ulteriori verifiche, deve anche stabilire quali attività possano continuare durante l’indagine e quali limitazioni siano necessarie. Quando, a seguito di accertamenti sufficienti, venga accettato un rischio residuo giuridicamente ammissibile, devono rimanere chiaramente identificabili le informazioni sulle quali si fonda tale decisione e gli sviluppi che ne renderebbero necessario il riesame. Nell’ambito dell’Integrated Financial Crime Risk Management, è altresì fondamentale che l’accettazione del rischio non venga utilizzata per normalizzare le carenze del sistema di controllo interno. Un’organizzazione che non destina strutturalmente risorse investigative sufficienti non può neutralizzare in maniera duratura le conseguenti carenze di conformità classificandole semplicemente come rischi operativi accettati. In tali circostanze, gli organi amministrativi devono stabilire quali risorse, modifiche organizzative o limitazioni delle attività siano necessarie per rispettare effettivamente gli standard normativi e interni applicabili. L’accettazione del rischio costituisce un potere di governance esercitabile entro i limiti del diritto, non un’alternativa all’adempimento degli obblighi di legge o alla correzione delle carenze conosciute. Applicando coerentemente tale distinzione, la Sua organizzazione istituisce un processo di governance nel quale i segnali di allarme vengono esaminati tempestivamente, le deroghe rimangono sotto controllo e le decisioni relative ai rischi possono essere valutate successivamente alla luce delle informazioni disponibili, del diritto applicabile e della qualità del ragionamento che ne ha determinato l’adozione.

Esame critico degli organi amministrativi e dissenso costruttivo nei processi decisionali

Nel 2027, l’esame critico esercitato dagli organi amministrativi e la possibilità di esprimere un dissenso costruttivo diventano condizioni essenziali per una governance efficace, una valutazione affidabile dei rischi e l’adozione di decisioni giuridicamente difendibili nella gestione della criminalità finanziaria. Per la Sua organizzazione, esiste una differenza fondamentale tra un organo amministrativo che si limita a discutere formalmente le relazioni predisposte dal management e un organo che esamina concretamente se le conclusioni presentate siano sufficientemente sostenute da informazioni affidabili, ipotesi appropriate e valutazioni indipendenti. L’esistenza di fascicoli completi per le riunioni, presentazioni periodiche sulla conformità normativa o comitati rischi professionalmente organizzati non garantisce, di per sé, che le esposizioni significative siano effettivamente sottoposte a un esame critico approfondito. Soprattutto nell’ambito dei rischi complessi di criminalità finanziaria, le informazioni direzionali possono fornire una rappresentazione eccessivamente rassicurante quando le incertezze vengono ridimensionate, le difficoltà operative sono qualificate come temporanee oppure i diversi fattori di rischio vengono esaminati separatamente senza considerarne il significato complessivo. Il dissenso costruttivo richiede pertanto che gli amministratori e i componenti degli organi di supervisione non si limitino a prendere atto delle conclusioni proposte, ma dedichino esplicita attenzione alle spiegazioni alternative, alle informazioni mancanti, alle valutazioni divergenti degli esperti e alle possibili conseguenze qualora le ipotesi sottostanti si rivelassero insostenibili. Una relazione direzionale nella quale si afferma che l’efficacia del monitoraggio delle transazioni è migliorata dovrebbe, ad esempio, sollecitare domande sulle metodologie di misurazione utilizzate, sulla qualità dei fascicoli esaminati, sulle modifiche apportate alle regole di individuazione, sulle eventuali aree non adeguatamente coperte dai controlli e sulla misura in cui una riduzione del numero delle segnalazioni dimostri realmente una gestione più efficace dei rischi. Analogamente, una raccomandazione favorevole alla prosecuzione di una relazione con un cliente ad alto rischio dovrebbe essere confrontata con la completezza dell’adeguata verifica, l’affidabilità delle spiegazioni ricevute, l’origine degli interessi economici coinvolti e la possibile influenza della dipendenza commerciale sulla classificazione del rischio proposta. Nell’ambito dell’Integrated Financial Crime Risk Management, tale esame critico deve costituire una componente riconoscibile dei normali processi decisionali, anziché intervenire soltanto dopo che si sia già verificato un incidente. Occorre, a questo riguardo, distinguere tra domande critiche finalizzate a chiarire le informazioni disponibili e contestazioni sostanziali che mettono in discussione la decisione proposta. Entrambe le forme di valutazione possono essere necessarie, ma svolgono funzioni differenti. Le richieste di chiarimento contribuiscono a una migliore comprensione della questione, mentre le posizioni divergenti possono mettere in evidenza che la linea di intervento proposta non considera adeguatamente gli obblighi normativi, i rischi cumulativi, le limitazioni organizzative o le conseguenze strategiche. Un organo amministrativo che garantisce uno spazio effettivo al confronto critico adeguatamente motivato aumenta la probabilità che carenze significative vengano individuate prima di trasformarsi in procedimenti regolamentari, penali o civili. Per la Sua organizzazione, il confronto critico a livello degli organi amministrativi non deve quindi essere considerato un ostacolo all’efficienza decisionale, ma una garanzia indispensabile della qualità delle scelte suscettibili di produrre conseguenze rilevanti.

L’efficacia del dissenso costruttivo dipende in misura considerevole dall’indipendenza, dalle competenze e dalla posizione istituzionale delle funzioni interessate. La Sua organizzazione può disporre di compliance officer, risk manager, revisori interni, consulenti legali e investigatori specializzati altamente qualificati, mentre la loro effettiva possibilità di sollevare criticità significative rimane limitata da rapporti gerarchici, pressioni commerciali, dipendenza dalle valutazioni del management oppure da poteri di escalation insufficientemente definiti. Quando le risultanze negative vengono sistematicamente attenuate prima di raggiungere gli organi amministrativi, questi ultimi rischiano di adottare decisioni sulla base di una rappresentazione incompleta dell’esposizione reale. Una vulnerabilità analoga si manifesta quando le opinioni divergenti possono essere formalmente espresse, ma non producono alcuna influenza riconoscibile sul processo decisionale. Il dissenso costruttivo richiede pertanto molto più di una cultura aziendale nella quale i dipendenti siano genericamente incoraggiati a porre domande. Nell’ambito dell’Integrated Financial Crime Risk Management, occorre determinare in quali circostanze le funzioni di controllo dispongano di un accesso diretto agli organi societari competenti, quando sia necessaria una valutazione giuridica indipendente e in che modo debbano essere affrontati i disaccordi tra il management operativo e le funzioni specialistiche di gestione dei rischi. Per la Sua organizzazione, meritano particolare attenzione la posizione della seconda e della terza linea di controllo, fermo restando che la distribuzione effettiva delle responsabilità deve essere coerente con il modello di governance e supervisione adottato. Le funzioni di compliance e risk management devono godere di un’indipendenza sufficiente per valutare se le attività proposte siano compatibili con gli obblighi applicabili e con la propensione al rischio stabilita. L’internal audit deve successivamente poter esaminare in maniera indipendente la progettazione e il funzionamento effettivo dei controlli rilevanti, senza assumere direttamente la responsabilità dell’attuazione delle misure di cui è chiamato a valutare l’efficacia. Inoltre, gli amministratori, i componenti degli organi di supervisione e i membri dei comitati di audit o dei rischi devono disporre di un accesso adeguato alle competenze specialistiche necessarie per valutare le questioni complesse nel merito. Le indagini transfrontaliere, le problematiche articolate in materia di sanzioni, i sistemi automatizzati di selezione dei rischi, le questioni relative alle prove digitali o il possibile coinvolgimento dell’alta direzione possono richiedere un supporto specialistico. L’esercizio del confronto critico a livello degli organi societari deve inoltre essere protetto da forme indirette di influenza, tra cui la limitazione delle possibilità di intervento, la presentazione selettiva delle informazioni, la subordinazione delle funzioni di controllo all’approvazione delle direzioni commerciali o la sistematica marginalizzazione dei dipendenti che segnalano risultanze sfavorevoli. La qualità di una cultura di governance non si misura dall’assenza di disaccordi, ma dal modo in cui le opinioni divergenti, quando adeguatamente argomentate, vengono accolte, esaminate e concretamente considerate nelle decisioni adottate. Per la Sua organizzazione è quindi strategicamente essenziale attribuire alle funzioni incaricate dell’esame critico i poteri, le risorse, l’accesso alle informazioni e le garanzie professionali necessari per esercitare efficacemente le proprie responsabilità. Si crea così un contesto decisionale nel quale il confronto specialistico rafforza la qualità sostanziale delle decisioni ed evita che un’interpretazione dominante del management determini la valutazione dei rischi da parte degli organi amministrativi senza verifiche sufficienti.

Un ultimo aspetto, particolarmente importante, riguarda le modalità con le quali l’esame critico degli organi amministrativi, le posizioni divergenti e le decisioni conseguenti vengono documentati. Nel 2027, aumenta l’importanza di un fascicolo decisionale affidabile, capace di fornire una rappresentazione delle informazioni disponibili agli organi dirigenti, delle alternative considerate, delle principali incertezze e delle ragioni che hanno condotto alla scelta finale. Per la Sua organizzazione, ciò non significa che ogni riunione dell’organo amministrativo debba trasformarsi in un complesso procedimento di giustificazione giuridica oppure che i verbali debbano essere ricostruiti retrospettivamente in previsione di eventuali controversie. Un simile approccio potrebbe persino compromettere l’efficacia della governance qualora l’attenzione si spostasse dall’analisi sostanziale dei rischi alla produzione di una documentazione amministrativa apparentemente impeccabile. Il requisito fondamentale consiste nell’organizzare con cura il processo decisionale stesso e nell’assicurare che la relativa documentazione rappresenti fedelmente e proporzionatamente quanto realmente accaduto. Quando, ad esempio, una funzione di compliance formula gravi obiezioni alla prosecuzione di una relazione commerciale, il fascicolo decisionale pertinente dovrebbe consentire di identificare quali obiezioni siano state sollevate, quali informazioni supplementari siano state esaminate, quali vincoli giuridici risultassero applicabili e attraverso quale percorso sia stata raggiunta la decisione finale. Ciò non richiede che ogni discussione informale o ogni osservazione individuale venga trascritta integralmente. È tuttavia necessario che la documentazione consenta di comprendere quali considerazioni significative abbiano influenzato la decisione e quali condizioni siano state collegate alla soluzione prescelta. Nelle situazioni particolarmente delicate può inoltre rendersi necessaria una distinzione tra la normale documentazione degli organi amministrativi, i materiali investigativi riservati e i pareri legali, nel rispetto delle disposizioni applicabili in materia di riservatezza, protezione dei dati, conservazione documentale ed eventuale tutela delle comunicazioni confidenziali tra avvocato e cliente. Tali protezioni variano tra gli ordinamenti giuridici e non possono essere presunte per il solo fatto che un documento interno riporti la dicitura «riservato». Nell’ambito dell’Integrated Financial Crime Risk Management, devono quindi essere chiaramente disciplinate le modalità di conservazione delle informazioni relative alle decisioni, i soggetti autorizzati ad accedere ai documenti pertinenti e le misure destinate a garantirne l’integrità. È altrettanto importante che una posizione divergente non determini automaticamente una paralisi degli organi amministrativi. L’esistenza di un confronto critico costruttivo non implica la necessità di raggiungere il consenso tra tutte le funzioni interessate, ma richiede che le obiezioni significative siano seriamente esaminate prima dell’adozione di una decisione. Quando un organo amministrativo, a seguito di un approfondimento sufficiente, adotta una decisione lecita e proporzionata che si discosta da un parere specialistico, le ragioni di tale divergenza devono poter essere spiegate e le eventuali incertezze residue devono essere affrontate mediante misure appropriate. Viceversa, l’insufficienza delle informazioni disponibili può giustificare il rinvio di una decisione, la richiesta di ulteriori verifiche oppure l’adozione temporanea di misure di mitigazione dei rischi. Una decisione degli organi amministrativi diventa giuridicamente difendibile quando il confronto critico può influenzare concretamente la qualità della valutazione, senza rendere ambigua la responsabilità della decisione definitivamente adottata. Per la Sua organizzazione, questo approccio rappresenta un importante rafforzamento dell’affidabilità istituzionale. Contribuisce a scelte strategiche maggiormente fondate, all’individuazione più tempestiva delle carenze, a una collaborazione più efficace tra gli organi amministrativi e le funzioni di controllo, nonché a una posizione più solida sul piano della rendicontazione e della responsabilità qualora le autorità di vigilanza, le autorità investigative, gli azionisti o altri soggetti interessati richiedano successivamente chiarimenti sulle modalità con le quali i rischi rilevanti di criminalità finanziaria siano stati valutati e gestiti.

Fascicoli decisionali, integrità probatoria e tracciabilità delle valutazioni degli organi amministrativi

Nel 2027, la qualità dei processi decisionali degli organi amministrativi nell’ambito della prevenzione e della gestione della criminalità finanziaria sarà valutata sempre più in funzione della capacità dell’organizzazione di ricostruire in maniera accurata, affidabile e verificabile le modalità attraverso le quali i segnali di rischio rilevanti siano stati ricevuti, interpretati, discussi e tradotti in decisioni concrete. Per la Sua organizzazione, ciò significa che una deliberazione dell’organo amministrativo non deve essere valutata esclusivamente sulla base delle competenze formali del soggetto che l’ha adottata o dell’esito finale dell’indirizzo prescelto, ma anche in relazione alla qualità delle informazioni disponibili, alla completezza della ponderazione degli interessi rilevanti, all’indipendenza delle verifiche effettuate e alla dimostrabilità della successiva attuazione delle misure deliberate. Un fascicolo decisionale giuridicamente difendibile deve consentire di stabilire quali circostanze fossero conosciute nel momento rilevante, quali incertezze permanessero, quali alternative fossero disponibili, quali obiezioni fossero state formulate e per quali ragioni una determinata decisione fosse considerata ragionevole, diligente e appropriata entro i limiti giuridici e operativi applicabili. Tale approccio assume particolare importanza poiché i rischi di criminalità finanziaria si sviluppano frequentemente attraverso molteplici funzioni aziendali, sistemi informativi, unità operative e livelli decisionali. Un potenziale incidente di integrità può, ad esempio, essere inizialmente individuato da un dipendente impegnato nell’elaborazione dei pagamenti, successivamente esaminato dalla funzione di compliance, sottoposto a un’ulteriore valutazione giuridica e, infine, sfociare in una decisione dell’organo amministrativo relativa alla prosecuzione di una relazione con un cliente, alla sospensione di determinate attività oppure all’avvio di un’indagine interna approfondita. Quando le singole fasi vengono documentate separatamente senza che sia chiaramente identificabile il collegamento tra il segnale originario e la decisione definitiva, si determina una frammentazione documentale che rende difficile stabilire su quali informazioni gli organi amministrativi si siano effettivamente basati. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto essere garantita una continuità coerente tra gli elementi probatori operativi, le risultanze investigative, le valutazioni giuridiche, le classificazioni dei rischi, gli eventi che hanno determinato l’escalation, la documentazione sottoposta agli organi societari e le decisioni relative alla loro esecuzione. Tale esigenza richiede molto più della semplice centralizzazione dell’archiviazione documentale. La Sua organizzazione deve essere in grado di stabilire quali documenti fossero disponibili in un determinato momento, quali versioni fossero state sottoposte all’esame dei decisori, quali informazioni siano state aggiunte successivamente, quali ipotesi siano state modificate durante il procedimento decisionale e quali soggetti fossero responsabili dell’affidabilità delle conclusioni presentate. Gli elementi probatori digitali, quali corrispondenza elettronica, comunicazioni tramite sistemi di messaggistica, registrazioni delle transazioni, log degli accessi, relazioni investigative, notifiche generate dai sistemi e risultanze di audit, possono assumere un’importanza determinante. Parallelamente, deve essere mantenuta una distinzione tra i dati che documentano materialmente gli eventi e i documenti che riflettono l’interpretazione degli stessi da parte degli organi amministrativi. Una relazione investigativa può, ad esempio, dimostrare l’esistenza di determinate anomalie, mentre i verbali delle riunioni degli organi dirigenti consentono di comprendere come tali risultanze siano state valutate e quali misure siano state successivamente adottate. Entrambe le categorie documentali svolgono funzioni probatorie distinte, ma reciprocamente complementari. Quando le informazioni pertinenti risultano mancanti, contraddittorie oppure non possono essere ricostruite retrospettivamente in maniera affidabile, diventa più difficile dimostrare che gli organi competenti abbiano effettivamente agito con la diligenza richiesta. Per la Sua organizzazione, la predisposizione di fascicoli decisionali affidabili costituisce pertanto una componente strategica della gestione dei rischi di criminalità finanziaria, nella quale l’attenzione deve concentrarsi sulla documentazione tempestiva, accurata e fedele delle decisioni realmente adottate, anziché sulla predisposizione retrospettiva di una giustificazione amministrativa apparentemente esaustiva.

La rilevanza giuridica e istituzionale della dimostrabilità delle decisioni diventa particolarmente evidente quando la Sua organizzazione si trova ad affrontare indagini delle autorità di vigilanza, azioni di responsabilità civile, procedimenti penali, controversie tra azionisti oppure verifiche interne relative a possibili inadempimenti nell’esercizio delle funzioni amministrative. In tali circostanze, può rendersi necessario ricostruire non soltanto la decisione formalmente adottata, ma anche le conoscenze individualmente possedute dai soggetti coinvolti, gli avvertimenti disponibili, le informazioni effettivamente pervenute all’organo amministrativo e le circostanze che avrebbero ragionevolmente potuto giustificare una diversa linea di intervento. Ciò richiede un approccio differenziato alla gestione delle prove, nel quale integrità documentale, autenticità, completezza, provenienza e affidabilità cronologica assumono un ruolo fondamentale. Nell’ambito dell’Integrated Financial Crime Risk Management, particolare attenzione deve essere dedicata alla tracciabilità delle informazioni digitali. Le decisioni degli organi amministrativi vengono formulate sempre più frequentemente attraverso una combinazione di riunioni, fascicoli elettronici, ambienti digitali di collaborazione, sistemi di gestione dei rischi, piattaforme di messaggistica sicura e strumenti automatizzati di reporting. Di conseguenza, elementi essenziali di una stessa decisione possono essere distribuiti tra ambienti tecnologici differenti, soggetti a diversi periodi di conservazione, diritti di accesso e procedure di trattamento dei dati. La Sua organizzazione deve pertanto assicurare che le informazioni rilevanti per il processo decisionale possano essere conservate e recuperate in maniera lecita e proporzionata, senza che ciò legittimi una raccolta non necessaria di informazioni oppure una conservazione illimitata dei dati personali. Il Regolamento generale sulla protezione dei dati, le disposizioni settoriali applicabili, gli obblighi legali di conservazione e gli eventuali doveri processuali devono essere considerati in maniera coordinata. Quando un’indagine interna o una specifica controversia diventa ragionevolmente prevedibile, può inoltre rendersi necessario adottare misure volte a impedire la distruzione o l’alterazione delle informazioni pertinenti, purché sussistano una base giuridica appropriata e garanzie adeguate. Tali misure devono essere attentamente adattate alle giurisdizioni interessate, poiché gli obblighi di conservazione delle prove, i diritti dei soggetti coinvolti e le limitazioni ai trasferimenti internazionali dei dati possono variare. Anche la protezione delle comunicazioni giuridiche riservate richiede particolare cautela. Non tutti i documenti interni predisposti da una funzione legale o contrassegnati come riservati beneficiano automaticamente del segreto professionale forense o di una tutela giuridica equivalente. Il regime applicabile dipende, tra l’altro, dalla natura del documento, dalla qualifica professionale del consulente coinvolto, dal contenuto della comunicazione e dalla normativa pertinente. Per la Sua organizzazione, ciò significa che i fascicoli decisionali non devono essere progettati esclusivamente secondo criteri di efficienza amministrativa, ma devono tenere conto anche della protezione delle informazioni riservate, dell’integrità delle indagini, dei diritti dei soggetti interessati e dei rischi contenziosi. Un fascicolo probatorio convincente si fonda su elementi accuratamente conservati nel momento in cui si verificano gli eventi rilevanti, la cui provenienza e integrità rimangano verificabili, e su una documentazione che rappresenti fedelmente il processo decisionale così come si è effettivamente svolto. Particolare attenzione deve essere riservata ai rischi derivanti da modifiche retrospettive, versioni documentali mancanti, autorizzazioni non chiaramente identificabili oppure sintesi nelle quali siano state omesse incertezze significative. Tali carenze possono compromettere la credibilità di una decisione altrimenti difendibile nel merito e sollevare ulteriori interrogativi sull’affidabilità del processo di governance sottostante.

Nel 2027, il valore strategico dei fascicoli decisionali supera ampiamente la preparazione a eventuali procedimenti giudiziari. Per la Sua organizzazione, una documentazione accurata delle valutazioni degli organi amministrativi costituisce anche uno strumento attraverso il quale esaminare periodicamente la qualità delle decisioni relative ai rischi, individuare errori di valutazione ricorrenti e migliorare strutturalmente l’efficacia della governance. Un organo amministrativo capace di ricostruire le ipotesi sulle quali si fondavano precedenti accettazioni di rischio, le misure correttive precedentemente approvate e le circostanze che avrebbero dovuto determinarne il riesame dispone di una base più solida per l’esercizio delle proprie funzioni di supervisione e per eventuali interventi correttivi. Tale capacità risulta particolarmente importante nei programmi di remediation di lunga durata, nelle relazioni commerciali con clienti strategici, nelle attività transfrontaliere e nelle deroghe ricorrenti ai sistemi di controllo interno. Quando, ad esempio, una deviazione temporanea da una procedura di adeguata verifica della clientela sia stata autorizzata a condizione che ulteriori accertamenti vengano completati entro un termine specifico, il fascicolo deve consentire di individuare il soggetto responsabile delle verifiche, la scadenza prevista, le restrizioni applicabili durante il periodo transitorio e l’effettivo rispetto delle condizioni stabilite. Lo stesso principio si applica alle decisioni degli organi amministrativi riguardanti l’espansione verso mercati caratterizzati da rischi di integrità elevati. La valutazione originaria può essere stata formulata sulla base di specifiche ipotesi relative alla normativa locale, alle competenze investigative disponibili, all’affidabilità dei prestatori esterni oppure alla possibilità di condurre verifiche sufficientemente approfondite sui partner commerciali. Quando tali circostanze cambiano, la Sua organizzazione deve poter stabilire se la decisione iniziale richieda una nuova valutazione. Nell’ambito dell’Integrated Financial Crime Risk Management, i fascicoli decisionali possono pertanto essere collegati a scadenze periodiche di riesame, soglie di rischio, impegni di remediation e specifici eventi che rendano necessaria una rivalutazione. Deve tuttavia essere mantenuto un equilibrio tra il livello di dettaglio indispensabile per una ricostruzione attendibile e la necessità pratica di processi decisionali efficienti. Non tutte le decisioni operative richiedono un identico grado di documentazione. L’estensione e l’approfondimento del fascicolo devono essere proporzionati all’esposizione rilevante, alla complessità giuridica, all’incertezza e alle possibili conseguenze della decisione. Le deliberazioni concernenti deviazioni operative limitate possono essere adeguatamente documentate attraverso registrazioni sintetiche, mentre decisioni relative a possibili violazioni delle sanzioni, sospetti di corruzione, coinvolgimento dell’alta direzione oppure prosecuzione di attività nonostante gravi carenze nei controlli possono richiedere motivazioni significativamente più approfondite. L’organo amministrativo deve inoltre poter fare affidamento su meccanismi che garantiscano che le decisioni rilevanti non siano semplicemente registrate, ma vengano associate a responsabili dell’attuazione, momenti di verifica e scadenze esplicite di riesame. Si realizza così una continuità tra il segnale iniziale, la valutazione degli organi dirigenti, l’esecuzione delle misure e l’accertamento della loro efficacia. L’essenza di una governance dimostrabile non risiede nella quantità della documentazione conservata, ma nell’affidabilità con la quale tale documentazione dimostra che i rischi rilevanti sono stati esaminati con diligenza e che le decisioni conseguenti hanno concretamente influenzato il comportamento della Sua organizzazione. La documentazione diventa quindi una componente attiva della gestione dei rischi, dell’apprendimento istituzionale e della capacità degli organi amministrativi di rendere conto delle proprie decisioni.

Supervisione degli interventi correttivi da parte degli organi amministrativi e responsabilità individuale dell’esecuzione

Nel 2027, la supervisione dei programmi di remediation da parte degli organi amministrativi si sposta progressivamente dall’approvazione formale dei piani di miglioramento alla verifica dimostrabile dell’effettiva riduzione dei rischi rilevanti di criminalità finanziaria. Per la Sua organizzazione, tale evoluzione introduce una distinzione fondamentale tra la chiusura amministrativa di un intervento correttivo e la dimostrazione che la carenza sottostante sia stata risolta in maniera strutturale e duratura. Numerose imprese dispongono di registri dettagliati dei rilievi di audit, delle carenze di compliance, delle osservazioni delle autorità di vigilanza e dei piani di azione interni, ma rimangono vulnerabili quando tali registrazioni non consentono di comprendere adeguatamente le cause profonde delle carenze, le interdipendenze operative e l’efficacia reale delle misure attuate. Un’azione può, ad esempio, essere classificata come completata perché una procedura è stata aggiornata, una formazione è stata erogata oppure è stato introdotto un nuovo controllo, sebbene le circostanze che avevano determinato la carenza originaria siano rimaste sostanzialmente invariate. Quando gli arretrati nelle procedure di adeguata verifica della clientela derivano da una carenza strutturale di risorse, la revisione delle istruzioni operative non costituisce, di per sé, una soluzione duratura. Quando i sistemi di screening delle sanzioni risultano insufficientemente affidabili a causa della scarsa qualità dei dati, la modifica di alcune regole di individuazione può rivelarsi inadeguata finché le informazioni essenziali di origine rimangono incomplete. Analogamente, quando le indagini interne subiscono ritardi ricorrenti a causa di una ripartizione poco chiara delle responsabilità, l’introduzione di ulteriori obblighi di reporting produrrà effetti limitati in assenza di una corrispondente revisione dei poteri decisionali e dei processi operativi. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto essere mantenuta una distinzione esplicita tra l’individuazione di una carenza, l’identificazione delle cause sottostanti, la progettazione di misure correttive adeguate, la realizzazione delle modifiche necessarie e la verifica indipendente dell’effettivo conseguimento della riduzione del rischio prevista. Tale approccio richiede un coinvolgimento degli organi amministrativi che vada ben oltre il semplice monitoraggio della data finale di completamento. La Sua organizzazione deve essere in grado di valutare quali carenze determinino le esposizioni giuridiche e operative maggiori, quali misure debbano essere attuate immediatamente e quali miglioramenti strutturali dipendano da sistemi tecnologici, qualità dei dati, competenze specialistiche, disponibilità di personale oppure decisioni appartenenti ad altre unità aziendali. Deve inoltre risultare chiaramente identificabile quali rischi persistano durante l’intero periodo di remediation e quali misure temporanee siano necessarie per limitarne gli effetti. Un programma destinato a correggere carenze nel monitoraggio delle transazioni può, ad esempio, richiedere restrizioni provvisorie, controlli manuali supplementari oppure il rafforzamento delle capacità investigative mentre vengono realizzate soluzioni tecnologiche permanenti. Tali misure transitorie devono essere sottoposte a una propria valutazione di efficacia, sostenibilità e possibili conseguenze indesiderate. Gli organi amministrativi devono anche poter stabilire se gli interventi previsti affrontino integralmente il rischio originario oppure correggano soltanto una manifestazione circoscritta di una debolezza più ampia del sistema di controllo. Questa distinzione assume particolare importanza quando le carenze si sono sviluppate per un periodo prolungato, hanno interessato più entità oppure sono derivate da debolezze interdipendenti nella governance dei dati, nei processi operativi, nella supervisione della compliance e nell’informazione direzionale. La remediation deve quindi iniziare attraverso un’analisi sufficientemente approfondita delle cause profonde, anziché muovere dalla presunzione immediata che il problema possa essere risolto mediante ulteriori politiche, corsi di formazione o modifiche procedurali. Un programma di remediation può essere considerato efficace soltanto quando esistano elementi dimostrabili che la vulnerabilità sottostante sia stata affrontata, che il controllo interessato funzioni nelle condizioni operative effettive e che l’esposizione residua sia nuovamente gestita entro i limiti giuridici e organizzativi applicabili. Per la Sua organizzazione, ciò significa che la supervisione degli organi amministrativi deve concentrarsi sulla solidità sostanziale e sull’efficacia operativa degli interventi correttivi, non esclusivamente sul progresso amministrativo delle singole attività.

Una seconda questione fondamentale riguarda la responsabilità individuale dell’esecuzione nell’ambito dei programmi complessi di remediation. La Sua organizzazione può realizzare contemporaneamente diversi programmi riguardanti l’adeguata verifica della clientela, il monitoraggio delle transazioni, il rispetto delle sanzioni internazionali, la prevenzione delle frodi, la qualità dei dati, la sicurezza digitale e il miglioramento delle procedure investigative interne. Sebbene tali programmi possano perseguire obiettivi formalmente distinti, la loro realizzazione concreta dipende spesso dalle medesime piattaforme tecnologiche, dagli stessi professionisti specializzati, dalle stesse risorse finanziarie e dalla medesima capacità decisionale degli organi dirigenti. Possono pertanto verificarsi ritardi che rimangono invisibili quando ciascun programma viene monitorato e rendicontato separatamente. Una misura correttiva relativa al monitoraggio delle transazioni può, ad esempio, dipendere da un miglioramento generale delle informazioni sulla clientela, mentre la funzione responsabile della qualità dei dati deve contemporaneamente attribuire priorità a progetti di migrazione tecnologica oppure a nuovi requisiti normativi. Quando gli organi amministrativi ricevono esclusivamente percentuali di avanzamento riferite ai singoli programmi, può rimanere nascosto il fatto che diverse misure critiche dipendano tutte dalle stesse risorse limitate. Nell’ambito dell’Integrated Financial Crime Risk Management, a ciascun programma di remediation rilevante deve pertanto essere assegnato un responsabile esecutivo chiaramente identificabile, dotato di poteri sufficienti, risorse adeguate e accesso effettivo ai decisori competenti per realizzare gli interventi necessari. Questa responsabilità complessiva non deve essere confusa con quella dei dipendenti incaricati dell’esecuzione di specifiche attività. Il responsabile di un programma deve poter illustrare le relazioni tra le diverse misure, gli investimenti necessari, le dipendenze operative, i rischi di esecuzione e le conseguenze potenziali di eventuali ritardi. Deve inoltre essere chiaro quali funzioni siano responsabili della valutazione dell’efficacia sostanziale della remediation e chi sia autorizzato ad approvarne la chiusura formale. Quando la stessa funzione è responsabile sia dell’attuazione degli interventi sia della valutazione definitiva dei propri risultati, la procedura di chiusura può risultare insufficientemente indipendente. La Sua organizzazione deve quindi garantire che le misure correttive rilevanti siano sottoposte a un’adeguata verifica indipendente, la cui intensità sia proporzionata alla gravità della carenza originaria e alle possibili conseguenze di una remediation inefficace. Nei programmi di particolare ampiezza, tale verifica può richiedere il coinvolgimento dell’internal audit, di una funzione indipendente di gestione dei rischi oppure di specialisti esterni. La validazione deve accertare non soltanto l’esistenza dei risultati formalmente previsti, ma anche che essi siano sufficientemente completi, operativamente efficaci e in grado di mantenere nel tempo i miglioramenti perseguiti. Occorre inoltre evitare che il coinvolgimento di soggetti esterni renda meno trasparenti le responsabilità. L’esternalizzazione delle attività correttive o della loro valutazione indipendente non elimina automaticamente la responsabilità degli organi amministrativi e dei dirigenti interni competenti a decidere in materia di risorse, priorità e approvazione dei risultati. Nei gruppi multinazionali, ulteriori difficoltà possono emergere quando un programma viene progettato centralmente, ma attuato da entità locali soggette a obblighi normativi, sistemi tecnologici o limitazioni di risorse differenti. La distribuzione delle responsabilità deve quindi riflettere sia le esigenze di coordinamento a livello di gruppo sia gli obblighi propri delle singole entità giuridiche. La responsabilità esecutiva assume significato concreto quando ogni impegno correttivo rilevante viene associato a un soggetto chiaramente responsabile, a un calendario realistico, a risorse la cui disponibilità possa essere dimostrata, a risultati misurabili e a una chiusura verificata in maniera indipendente. Tale impostazione riduce il rischio che i programmi di remediation evidenzino progressi formali mentre vulnerabilità fondamentali continuano a rimanere irrisolte.

La sfida di governance più significativa emerge quando le misure correttive non procedono secondo il calendario stabilito e diventa necessario un intervento degli organi amministrativi. Nel 2027, la qualità delle decisioni relative ai programmi di remediation in ritardo merita particolare attenzione, poiché la persistenza di carenze non risolte può accrescere l’esposizione alla criminalità finanziaria e, a seconda delle circostanze, determinare un’intensificazione della vigilanza regolamentare, l’adozione di misure sanzionatorie oppure questioni di responsabilità. Per la Sua organizzazione, è quindi essenziale distinguere tempestivamente tra ritardi occasionali che possono essere risolti nell’ambito dei poteri operativi esistenti e difficoltà strutturali di esecuzione che richiedono ulteriori decisioni degli organi amministrativi. Un programma che non rispetta ripetutamente le proprie scadenze può, ad esempio, essere condizionato da personale insufficiente, ipotesi iniziali irrealistiche, dipendenza da fornitori esterni, complessità tecnologica oppure priorità aziendali contrastanti. In tali circostanze, l’organo amministrativo non deve limitarsi a richiedere una nuova data di completamento. Deve esaminare perché gli impegni precedenti non siano stati rispettati, in che modo i ritardi incidano sull’esposizione attuale ai rischi e quali modifiche fondamentali siano necessarie per impedire ulteriori peggioramenti. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto esistere un meccanismo di escalation che impedisca la riprogrammazione automatica degli interventi in ritardo e determini invece un esame esplicito della necessità di ridefinire le priorità, destinare risorse aggiuntive, introdurre misure provvisorie di mitigazione oppure limitare determinate attività commerciali. Ciò è particolarmente rilevante quando gli interventi correttivi derivano da rilievi formali delle autorità di vigilanza, provvedimenti vincolanti, impegni assunti nei confronti delle autorità oppure altri obblighi associati a termini giuridicamente significativi. A seconda della base normativa applicabile e della natura dell’obbligo, il mancato rispetto degli impegni di remediation può produrre conseguenze giuridiche autonome. Anche in assenza di un provvedimento formale di enforcement, il protrarsi di carenze conosciute e non corrette può sollevare seri interrogativi sulla qualità della supervisione degli organi amministrativi e sull’efficacia del sistema di controllo interno. La Sua organizzazione deve pertanto poter dimostrare che i ritardi rilevanti siano stati riconosciuti tempestivamente, che le loro cause siano state sottoposte a un esame critico e che i decisori responsabili abbiano valutato e adottato misure appropriate. La valutazione degli organi amministrativi deve inoltre considerare l’affidabilità dei progressi dichiarati. Un programma presentato come completato al novanta per cento può continuare a rappresentare un rischio considerevole quando le attività rimanenti riguardano i processi più critici oppure quando le verifiche essenziali di efficacia non sono ancora state effettuate. Analogamente, la chiusura di un gran numero di interventi relativamente semplici può generare un’impressione complessiva favorevole mentre un numero limitato di carenze fondamentali rimane irrisolto. La Sua organizzazione deve quindi attribuire priorità a un reporting sull’avanzamento ponderato in funzione dei rischi, nel quale siano chiaramente visibili la rilevanza delle azioni ancora aperte, l’esposizione residua e le interdipendenze operative. Particolare attenzione deve essere dedicata anche alla distinzione tra completamento dell’attuazione ed efficacia operativa duratura. Un nuovo controllo può risultare tecnicamente funzionante, ma richiedere un ulteriore periodo di osservazione prima che la sua affidabilità possa essere accertata in condizioni rappresentative dell’attività aziendale. Finché tale validazione non sia stata completata, la chiusura amministrativa non deve essere confusa con una dimostrazione conclusiva del successo della remediation. Una supervisione efficace degli interventi correttivi richiede che le misure approvate non scompaiano dall’attenzione degli organi amministrativi fino a quando non sia stato dimostrato, in maniera sufficientemente convincente e indipendente, che il miglioramento previsto funziona effettivamente nella pratica. Quando tale principio viene applicato coerentemente, la remediation diventa una componente integrante della responsabilità degli organi amministrativi, della resilienza operativa e della sostenibilità dell’Integrated Financial Crime Risk Management.

Responsabilità dell’impresa e responsabilità personale degli amministratori e dell’alta direzione

Nel 2027, la distinzione tra responsabilità dell’impresa e responsabilità personale degli amministratori, dei componenti degli organi di supervisione e degli altri dirigenti apicali assume un’importanza crescente nella valutazione giuridica dei rischi rilevanti di criminalità finanziaria. Per la Sua organizzazione, è fondamentale riconoscere che la responsabilità di una persona giuridica per carenze di governance, violazioni normative o insufficienze dei controlli interni non coincide automaticamente con la responsabilità personale di ogni soggetto che ricopra una posizione dirigenziale in relazione alle attività interessate. Allo stesso tempo, l’esistenza di una personalità giuridica distinta non può essere considerata una protezione generale contro qualsiasi responsabilità individuale quando specifiche condotte, omissioni consapevoli oppure altre circostanze giuridicamente rilevanti giustifichino un esame della posizione personale del soggetto coinvolto. Il regime di responsabilità applicabile determina quali comportamenti, conoscenze, poteri e gradi di colpevolezza o rimproverabilità debbano essere accertati. Occorre pertanto distinguere tra la responsabilità interna degli amministratori nei confronti della società, l’eventuale responsabilità civile verso terzi, la responsabilità nell’ambito della vigilanza regolamentare, le possibili sanzioni amministrative e la responsabilità penale delle persone fisiche. Questi diversi settori giuridici sono disciplinati da presupposti, standard probatori, competenze delle autorità e garanzie procedurali differenti. Nell’ordinamento societario olandese, ad esempio, l’articolo 2:9 del Codice civile dei Paesi Bassi rappresenta un importante fondamento dell’obbligo di corretto adempimento delle funzioni amministrative, mentre la responsabilità interna dipende dai criteri applicabili, compresa la necessità di poter formulare nei confronti dell’amministratore un addebito di particolare gravità. Nelle categorie pertinenti di casi, anche la responsabilità civile esterna degli amministratori fondata sull’illecito civile è soggetta a una soglia di responsabilità rafforzata, per la cui valutazione assumono rilevanza la natura e la gravità della violazione, nonché le ulteriori circostanze concrete. La Corte Suprema dei Paesi Bassi ha sottolineato che la posizione personale dei singoli amministratori deve essere esaminata separatamente e che la responsabilità della società non comporta, di per sé, quella individuale di un amministratore. Per la Sua organizzazione, ciò evidenzia la necessità di analizzare con precisione la ripartizione effettiva delle responsabilità, le informazioni disponibili ai soggetti interessati, la loro capacità di influenzare gli eventi e la natura delle decisioni da essi adottate oppure omesse. Un amministratore responsabile dell’espansione commerciale può, ad esempio, trovarsi in una posizione giuridica differente rispetto a un amministratore al quale siano state espressamente attribuite competenze in materia di compliance e gestione dei rischi. Tuttavia, una distribuzione formale delle funzioni può offrire una protezione insufficiente quando un amministratore sia effettivamente a conoscenza di gravi carenze e disponga dei poteri o delle possibilità concrete per favorire l’adozione delle misure necessarie. Nell’ambito dell’Integrated Financial Crime Risk Management, è quindi essenziale evitare che le responsabilità individuali siano dedotte esclusivamente dalle denominazioni degli incarichi, dai regolamenti degli organi societari o da matrici generali di attribuzione delle competenze. Occorre considerare anche l’esercizio effettivo dei poteri, la partecipazione alle decisioni rilevanti, la conoscenza dei segnali di allarme, le possibilità di intervento correttivo e l’eventuale mancato esercizio di competenze che, alla luce delle circostanze, avrebbero potuto ragionevolmente essere utilizzate. La valutazione giuridica della responsabilità personale richiede un esame integrato dei compiti formali, del coinvolgimento effettivo, delle informazioni disponibili, dei comportamenti rilevanti, delle possibilità concrete di agire e degli specifici presupposti previsti dal regime di responsabilità applicabile. Tale approccio impedisce che carenze collettive di governance vengano attribuite a singole persone in assenza di un fondamento giuridico sufficiente, rendendo al tempo stesso identificabili le responsabilità concrete effettivamente assunte dai dirigenti apicali.

L’evoluzione della normativa europea antiriciclaggio rafforza ulteriormente, nel 2027, la rilevanza di una distribuzione esplicita delle responsabilità gestionali e di una responsabilizzazione individuale chiaramente riconoscibile nell’ambito della conformità. Per i soggetti rientranti nell’ambito di applicazione del Regolamento (UE) 2024/1624, l’articolo 11 prevede una distinzione tra il compliance manager, individuato tra i componenti dell’organo di gestione nella sua funzione esecutiva, e il compliance officer, responsabile dello svolgimento quotidiano di specifici obblighi. Il compliance manager assume, tra l’altro, responsabilità riguardanti la coerenza delle politiche, delle procedure e dei controlli interni rispetto all’esposizione ai rischi dell’entità interessata, la loro effettiva attuazione e la disponibilità di risorse umane e materiali sufficienti. Svolge inoltre un ruolo nella ricezione delle informazioni relative a carenze significative o rilevanti. Il compliance officer esercita una funzione differente, maggiormente orientata all’esecuzione operativa degli obblighi previsti dal sistema antiriciclaggio applicabile. Tuttavia, l’attribuzione normativa di tali responsabilità non determina automaticamente un fondamento uniforme di responsabilità personale per qualsiasi possibile carenza. L’eventuale responsabilità deve comunque essere valutata separatamente sulla base delle disposizioni sanzionatorie e dei regimi di responsabilità applicabili. Per la Sua organizzazione, tale sviluppo significa che la distribuzione formale delle responsabilità di compliance deve essere sostenuta da poteri effettivi, informazioni direzionali affidabili e risorse organizzative adeguate. Un soggetto ritenuto responsabile dell’efficacia di determinati controlli, ma privo di accesso ai dati rilevanti, di influenza sull’assegnazione delle risorse oppure di un meccanismo efficace per sottoporre a escalation carenze critiche, si trova in una posizione di governance particolarmente vulnerabile. Una criticità analoga si manifesta quando le responsabilità siano state formalmente assegnate, ma le decisioni effettive vengano assunte da altri organi oppure a livello di gruppo, senza sufficiente trasparenza sui mandati interessati. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto essere stabilito quali persone e funzioni siano responsabili della definizione delle politiche, dell’attuazione operativa, delle verifiche indipendenti, dell’escalation e dell’approvazione da parte degli organi amministrativi. Devono inoltre essere esaminati i potenziali conflitti di interesse, soprattutto quando un dirigente sia contemporaneamente tenuto a realizzare obiettivi commerciali e autorizzato ad approvare deroghe riguardanti requisiti di integrità. Particolare attenzione merita la distribuzione delle responsabilità all’interno dei gruppi societari internazionali. Politiche comuni a livello di gruppo, funzioni di compliance centralizzate e comitati dei rischi condivisi possono migliorare la coerenza dei sistemi di prevenzione e gestione della criminalità finanziaria, ma non eliminano automaticamente gli obblighi normativi distinti delle singole entità giuridiche. Gli amministratori locali possono conservare determinate responsabilità ai sensi delle rispettive legislazioni nazionali, mentre anche i dirigenti a livello di gruppo possono assumere rilevanza, in particolari circostanze, a causa della loro influenza effettiva sulla strategia, sulla distribuzione delle risorse o sul processo decisionale. L’esame di queste situazioni richiede una conoscenza approfondita del funzionamento reale dell’impresa e del quadro normativo pertinente. La Sua organizzazione deve quindi distinguere tra coordinamento centrale, direzione operativa, responsabilità legale e poteri effettivamente esercitati dalle diverse persone coinvolte. Quando tali elementi non risultano coerenti tra loro, possono emergere lacune di governance nelle quali la responsabilità è formalmente attribuita, ma non può essere esercitata in maniera efficace. Una responsabilizzazione individuale efficace richiede coerenza tra gli obblighi assegnati, le competenze professionali, l’accesso alle informazioni, i poteri decisionali e le possibilità concrete di intervento. Per la Sua organizzazione, ciò non rappresenta soltanto una questione di limitazione dell’esposizione ad azioni di responsabilità, ma costituisce anche un presupposto indispensabile per un sistema di governance realmente capace di attuare le misure necessarie.

La sfida strategica nel 2027 consiste nell’istituire un contesto di governance nel quale la responsabilizzazione individuale rafforzi la qualità delle decisioni senza incentivare comportamenti eccessivamente difensivi, escalation non necessarie oppure l’elusione di scelte commerciali e operative difficili. Un’enfasi sproporzionata sulla responsabilità personale può indurre i dirigenti a concentrare la propria attenzione soprattutto sulla produzione di documenti che dimostrino la loro estraneità a determinate decisioni, mentre la collaborazione sostanziale e la risoluzione condivisa dei problemi passano in secondo piano. Allo stesso modo, non sarebbe auspicabile che gli amministratori deferissero sistematicamente ogni questione complessa ad altri comitati per timore di successive contestazioni, rallentando così i processi decisionali e rendendo meno chiara l’attribuzione delle responsabilità effettive. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto essere mantenuto un equilibrio adeguato tra responsabilizzazione individuale, responsabilità collegiale degli organi amministrativi e necessità di adottare tempestivamente decisioni ragionevoli sulla base di informazioni che possono rimanere incomplete. Per la Sua organizzazione, ciò implica che i processi di governance debbano stabilire quali informazioni un soggetto possa ragionevolmente essere tenuto a ricevere, quali segnali richiedano approfondimenti supplementari, quali decisioni rientrino in uno specifico mandato e quando sia necessario ricorrere a un’assistenza giuridica o specialistica indipendente. Particolare attenzione deve essere dedicata alle situazioni nelle quali un dirigente si trovi ad affrontare responsabilità potenzialmente contrastanti. Un amministratore può, ad esempio, essere chiamato a valutare l’interruzione di una relazione commerciale redditizia a causa di gravi rischi di integrità, mentre un altro amministratore è responsabile del raggiungimento degli obiettivi strategici di crescita. In tali circostanze, il processo decisionale deve garantire che gli obblighi normativi applicabili non vengano subordinati alle considerazioni commerciali e che i conflitti di interesse rilevanti siano individuati e gestiti. Parallelamente, la protezione delle posizioni giuridiche individuali richiede attenzione quando un’indagine interna riguarda il possibile coinvolgimento di amministratori o altri dirigenti apicali. Gli interessi della società e quelli delle persone fisiche interessate possono divergere, ad esempio nella valutazione delle condotte personali, nella comunicazione di informazioni alle autorità, nell’accesso all’assistenza legale oppure nell’adozione di misure disciplinari. La Sua organizzazione deve quindi valutare tempestivamente se siano necessari una rappresentanza legale indipendente, mandati investigativi separati oppure specifiche garanzie dirette ad assicurare un’indagine corretta e imparziale. Anche il rapporto tra responsabilità, assicurazione della responsabilità civile degli amministratori e dirigenti, meccanismi di indennizzo e politiche di governance richiede un esame distinto, poiché non ogni forma di responsabilità o sanzione può essere legittimamente oppure efficacemente trasferita, garantita contrattualmente o coperta da assicurazione. L’attenzione deve concentrarsi, in definitiva, sulla creazione di condizioni nelle quali i dirigenti responsabili possano intervenire tempestivamente, affrontare apertamente questioni difficili e assumere decisioni adeguatamente motivate, senza ridurre la responsabilizzazione individuale a una ricerca retrospettiva di colpe personali. Ciò richiede un ambiente nel quale le responsabilità siano sufficientemente definite, le informazioni critiche possano essere sottoposte a escalation senza interferenze inappropriate e i decisori dispongano delle competenze e delle risorse necessarie per affrontare i rischi rilevanti. Il sistema di governance deve preservare la distinzione tra una decisione che abbia successivamente prodotto un risultato sfavorevole e una condotta che integri gli specifici presupposti giuridici della responsabilità personale. La protezione più efficace contro i rischi di responsabilità individuale si fonda su un processo decisionale il cui funzionamento possa essere dimostrato, nel quale gli obblighi di legge siano rispettati, i segnali di allarme siano esaminati tempestivamente e le responsabilità vengano concretamente esercitate. Un sistema di governance attentamente progettato contribuisce quindi non soltanto alla tutela degli amministratori e dei dirigenti apicali, ma soprattutto all’affidabilità istituzionale, all’integrità e alla resilienza duratura della Sua organizzazione.

Governance in situazioni di crisi e sotto una maggiore pressione delle autorità di vigilanza e di contrasto

Nel 2027, la capacità della Sua organizzazione di assumere decisioni rigorose, tempestive e risolutive in situazioni di crisi diventa una componente sempre più importante della prevenzione e della gestione dei rischi di criminalità finanziaria. Una grave crisi di integrità si manifesta frequentemente in un momento nel quale i fatti rilevanti non sono ancora stati completamente accertati, le diverse funzioni interne perseguono priorità concorrenti e devono essere assunte simultaneamente decisioni urgenti sul piano giuridico, operativo e reputazionale. Una simile situazione può derivare da sospetti di frode su larga scala, da una possibile violazione delle sanzioni internazionali, da una segnalazione di corruzione che coinvolga l’alta direzione, da un grave incidente informatico associato a pagamenti fraudolenti, dalla scoperta di carenze strutturali nel monitoraggio delle transazioni oppure dall’avvio inatteso di un’indagine da parte delle autorità di vigilanza o degli organi investigativi. In tali circostanze, aumenta il rischio che i processi decisionali siano dominati dalla pressione temporale, dall’incompletezza delle informazioni, dal coinvolgimento personale di determinati responsabili oppure dal desiderio di contenere immediatamente il danno reputazionale. Per la Sua organizzazione, è pertanto essenziale che la governance delle situazioni di crisi non venga sviluppata soltanto dopo il verificarsi di un incidente, ma costituisca preventivamente una componente consolidata dell’Integrated Financial Crime Risk Management. I poteri decisionali, le soglie di escalation, le responsabilità investigative, i canali informativi e le procedure di gestione dei potenziali conflitti di interesse devono essere sufficientemente chiari da consentirne l’immediata applicazione. Una prima valutazione degli organi amministrativi deve distinguere tra fatti accertati con un ragionevole grado di certezza, sospetti che richiedono ulteriori indagini, obblighi normativi immediatamente applicabili e misure necessarie per impedire ulteriori danni o violazioni. Quando, ad esempio, emergano indizi secondo cui un flusso di pagamenti internazionali potrebbe coinvolgere un soggetto sottoposto a sanzioni, può rendersi necessario sospendere o bloccare determinate transazioni, verificare le informazioni disponibili, acquisire una consulenza giuridica specialistica e valutare gli obblighi applicabili in materia di segnalazione o congelamento dei beni. La condotta appropriata dipende dal regime sanzionatorio pertinente, dalle giurisdizioni interessate e dalle circostanze concrete. In presenza di sospetti di frode interna, possono prevalere priorità differenti, tra cui la conservazione delle informazioni rilevanti, la limitazione degli accessi non autorizzati, la prevenzione di ulteriori perdite economiche e la tutela dell’indipendenza dell’indagine. In entrambe le situazioni, l’adozione delle misure protettive necessarie non deve essere rinviata fino all’accertamento definitivo di ogni circostanza. Allo stesso tempo, sospetti ancora preliminari non devono essere trattati come conclusioni definitive di responsabilità oppure di violazione della legge in assenza di elementi sufficienti. La governance delle crisi deve quindi saper operare in presenza di differenti livelli di certezza e mantenere una distinzione tra interventi precauzionali, accertamenti investigativi e conclusioni definitive. Ciò richiede un sistema decisionale che consenta l’adozione di misure provvisorie proporzionate, preservando al contempo la possibilità di riesaminarle quando diventino disponibili nuove informazioni. Una governance efficace in situazioni di crisi richiede la capacità di adottare misure proporzionate in condizioni di incertezza, nel rispetto dei limiti giuridici, dell’affidabilità dell’accertamento dei fatti e dei diritti delle persone interessate. Per la Sua organizzazione, ciò significa che i processi decisionali sotto pressione devono essere sostenuti da responsabilità preventivamente definite e da un procedimento chiaramente identificabile di rivalutazione continua alla luce delle informazioni successivamente acquisite.

Una seconda questione fondamentale riguarda la supervisione delle indagini interne da parte degli organi amministrativi, la comunicazione esterna e le relazioni con le autorità di vigilanza, gli organi investigativi e gli altri soggetti pubblici competenti. Quando la Sua organizzazione viene confrontata con una richiesta formale di informazioni, un’ispezione presso le proprie sedi, un possibile obbligo normativo di segnalazione oppure un procedimento di enforcement transfrontaliero, diversi interessi giuridici e operativi devono essere valutati simultaneamente. Da un lato, può essere necessario mettere a disposizione informazioni pertinenti, adempiere agli obblighi legali di collaborazione e informare tempestivamente le autorità competenti di determinate circostanze. Dall’altro, devono essere tutelati con adeguata diligenza le informazioni commerciali riservate, i dati personali, le comunicazioni giuridiche, i diritti dei dipendenti e l’affidabilità degli elementi probatori. Gli obblighi applicabili e le garanzie disponibili variano in funzione del settore normativo, dell’autorità coinvolta e della natura del procedimento. Una richiesta di informazioni formulata nell’ambito di un’attività di vigilanza regolamentare può, ad esempio, essere disciplinata da presupposti differenti rispetto a una perquisizione penale oppure a un’indagine interna concernente presunte violazioni dei requisiti di integrità. Nell’ambito dell’Integrated Financial Crime Risk Management, la Sua organizzazione deve quindi disporre di procedure chiare per la ricezione e la valutazione delle richieste ufficiali, l’individuazione degli obblighi giuridici applicabili, la legittima conservazione delle informazioni pertinenti, il ricorso a competenze esterne e il coordinamento delle comunicazioni tra le diverse funzioni interessate. Le imprese multinazionali possono inoltre incontrare difficoltà particolari riguardanti il trasferimento transfrontaliero dei dati, le differenti disposizioni sulla riservatezza, l’accesso alle comunicazioni elettroniche e la conduzione di indagini parallele in più giurisdizioni. Gli organi amministrativi devono poter determinare quali informazioni siano necessarie per l’accertamento interno dei fatti, quali dati possano essere legittimamente comunicati e quali garanzie debbano essere predisposte per evitare incongruenze tra le diverse trasmissioni informative. È essenziale che l’impresa non fornisca informazioni false o fuorvianti, non distrugga o manipoli documenti e non sottragga indebitamente elementi a legittime attività investigative. La valutazione giuridica degli obblighi di comunicazione deve essere distinta da qualsiasi forma illecita di ostacolo alle indagini. Una strategia contenziosa e regolamentare attentamente elaborata può tenere conto dei diritti applicabili e delle garanzie di riservatezza senza compromettere l’adempimento degli obblighi normativi vincolanti. Per la Sua organizzazione, la definizione di mandati investigativi indipendenti merita particolare attenzione quando sussistano motivi per sospettare che amministratori, altri dirigenti apicali oppure soggetti in grado di influenzare l’indagine possano essere personalmente coinvolti nei fatti esaminati. In tali circostanze, la costituzione di un comitato indipendente, il ricorso a consulenti legali esterni oppure la designazione di una direzione investigativa separata possono risultare necessari per prevenire conflitti di interesse e salvaguardare la credibilità dell’accertamento dei fatti. L’oggetto dell’indagine, le modalità di reporting, i diritti di accesso alle informazioni e i poteri di adottare le decisioni conseguenti devono essere sufficientemente definiti fin dall’inizio. Parallelamente, quando necessario, devono essere distinti gli interessi dell’impresa da quelli dei singoli dipendenti, dei potenziali testimoni e degli altri soggetti coinvolti. La gestione dei verbali di colloquio, delle prove digitali, dei materiali protetti dal segreto professionale e delle informazioni trasmesse alle autorità può richiedere specifiche garanzie giuridiche. La supervisione degli organi amministrativi sotto pressione regolamentare o investigativa consiste nella gestione integrata degli obblighi legali, dell’integrità delle indagini, della continuità operativa e degli interessi istituzionali, senza compromettere l’indipendenza e l’affidabilità dell’accertamento dei fatti. Ciò richiede una ripartizione chiara delle responsabilità tra organi amministrativi, organi di supervisione, funzioni legali, compliance, unità investigative interne, comunicazione aziendale ed eventuali consulenti esterni.

La terza dimensione della governance delle crisi riguarda la capacità di collegare la risposta immediata agli interventi strutturali di remediation e al riesame delle decisioni precedentemente adottate dagli organi amministrativi. Un grave evento connesso alla criminalità finanziaria può indurre la Sua organizzazione a indagare su uno specifico incidente, ma può contemporaneamente rivelare che le valutazioni dei rischi esistenti, i controlli interni, le procedure di escalation oppure la distribuzione delle responsabilità non hanno funzionato adeguatamente. Un’importante frode può, ad esempio, dimostrare che i poteri di autorizzazione dei pagamenti non erano sufficientemente separati, che gli avvertimenti relativi a transazioni anomale non erano stati sottoposti tempestivamente a escalation oppure che diversi dipartimenti possedevano informazioni incomplete sulla medesima controparte. Un’indagine relativa alle sanzioni internazionali può evidenziare che l’identificazione dei titolari effettivi era inadeguata oppure che determinate deroghe manuali non erano sottoposte a controlli sufficienti. Un’indagine interna su sospetti di corruzione può far emergere che pressioni commerciali, responsabilità poco chiare oppure una protezione insufficiente dei segnalanti abbiano contribuito alla persistenza di comportamenti impropri. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto essere stabilita, al momento appropriato, una distinzione tra il contenimento immediato dell’incidente, la ricostruzione indipendente degli eventi rilevanti e la valutazione strutturale delle carenze sottostanti. L’organo amministrativo deve essere in grado di individuare quali interventi siano immediatamente necessari per limitare ulteriori esposizioni e quali modifiche supplementari debbano essere realizzate per impedire il ripetersi di situazioni analoghe. È necessaria particolare cautela quando i programmi correttivi si concentrano soprattutto su modifiche visibili delle politiche interne senza approfondire sufficientemente le cause reali dell’incidente. Occorre inoltre riconoscere che precedenti decisioni relative ai rischi possono richiedere un riesame quando nuove informazioni dimostrino che le ipotesi originarie erano incomplete oppure non risultino più sostenibili. Per la Sua organizzazione, ciò può produrre conseguenze sulle procedure di accettazione della clientela, sulle collaborazioni con soggetti esterni, sullo sviluppo dei prodotti, sull’accesso ai mercati, sulla disponibilità di capacità investigative e sulla distribuzione delle responsabilità amministrative. Una questione importante riguarda anche la rivalutazione delle decisioni di crisi adottate sotto una forte pressione temporale, una volta che la situazione si sia stabilizzata. Restrizioni provvisorie, poteri aggiuntivi, procedure di emergenza e misure eccezionali di trattamento dei dati non devono trasformarsi in caratteristiche permanenti dell’attività aziendale senza essere sottoposte a una nuova valutazione. La Sua organizzazione deve quindi stabilire condizioni esplicite per la cessazione o la proroga delle misure temporanee di crisi e per il ritorno ai normali processi decisionali. La valutazione condotta dagli organi amministrativi deve inoltre esaminare l’efficacia della risposta alla crisi stessa: i segnali rilevanti sono stati riconosciuti con sufficiente tempestività? Le responsabilità e i poteri erano chiaramente definiti? I decisori disponevano di informazioni adeguate? I canali di comunicazione interni ed esterni hanno funzionato efficacemente? Gli obblighi normativi sono stati valutati nei termini necessari? I risultati di tale esame devono successivamente essere tradotti in miglioramenti concreti nell’ambito dell’Integrated Financial Crime Risk Management. Ciò può richiedere la modifica delle procedure di escalation, una distribuzione più precisa delle responsabilità, il miglioramento dell’informazione direzionale, il rafforzamento delle competenze specialistiche oppure l’introduzione di controlli più efficaci sulle attività maggiormente esposte ai rischi. Quando una crisi rivela carenze sistemiche, la risposta correttiva deve essere proporzionata all’esposizione complessiva e non limitarsi all’evento specifico che ha determinato l’avvio dell’indagine. La qualità della governance in situazioni di crisi non si misura esclusivamente dalla capacità di contenere un incidente, ma anche dall’abilità dell’organizzazione di trasformare l’esperienza acquisita in miglioramenti duraturi dei processi decisionali, della responsabilizzazione e della gestione dei rischi di criminalità finanziaria. Stabilendo con continuità tale collegamento, la Sua organizzazione rafforza le proprie capacità di recupero istituzionale, la credibilità della rendicontazione verso i soggetti esterni e la riduzione delle future esposizioni giuridiche e operative.

Processi decisionali giuridicamente difendibili come componente strutturale della governance societaria

Nel 2027, i processi decisionali giuridicamente difendibili saranno sempre meno considerati come una strategia autonoma di difesa legale, destinata ad assumere rilevanza soltanto quando si verifichi un incidente, venga avviata un’indagine regolamentare oppure sorga una controversia in materia di responsabilità. Essi si affermeranno progressivamente come una caratteristica fondamentale della qualità della corporate governance. Per la Sua organizzazione, il loro significato strategico risiede nella predisposizione preventiva di processi decisionali all’interno dei quali le informazioni rilevanti, gli obblighi normativi, la valutazione dei rischi, l’esame critico indipendente, i poteri decisionali e le responsabilità di esecuzione siano collegati in modo tale da rendere la diligenza e il rigore professionale componenti riconoscibili e riproducibili della normale attività aziendale. Il principio del Defensible Decision-Making by Design significa che le condizioni necessarie per adottare decisioni affidabili, proporzionate e giuridicamente difendibili devono essere già presenti prima che un rischio rilevante di criminalità finanziaria si concretizzi. Tale approccio si distingue profondamente da un modello di governance nel quale le procedure vengono progettate principalmente per dimostrare retrospettivamente il rispetto di un percorso formale di approvazione. Una deliberazione sottoscritta, un’autorizzazione registrata oppure un modulo di valutazione dei rischi compilato integralmente non costituiscono, di per sé, una prova convincente del fatto che un amministratore disponesse di informazioni sufficientemente rilevanti, avesse riconosciuto le incertezze sostanziali oppure avesse effettivamente valutato le conseguenze della linea di intervento proposta. Nell’ambito dell’Integrated Financial Crime Risk Management, i processi decisionali devono pertanto stabilire non soltanto chi sia autorizzato ad adottare una decisione, ma anche quali informazioni siano indispensabili, quali limiti giuridici debbano essere rispettati, quali questioni critiche richiedano un esame, in quali circostanze una valutazione indipendente sia obbligatoria e quali incertezze debbano essere esplicitamente identificate prima che la decisione venga assunta. Per la Sua organizzazione, ciò richiede un quadro decisionale integrato nel quale differenti categorie di rischi siano sottoposte a criteri di valutazione appropriati. Una decisione relativa all’accettazione di un cliente che presenta un rischio elevato di riciclaggio, ad esempio, richiede un’analisi sostanziale differente rispetto a quella necessaria per decidere se proseguire una relazione commerciale caratterizzata da una potenziale esposizione alle sanzioni internazionali, gestire una segnalazione interna di corruzione oppure autorizzare temporaneamente una deroga operativa nell’ambito di un processo di prevenzione delle frodi. Tali decisioni devono tuttavia rispettare principi comuni di governance: una base fattuale affidabile, una valutazione giuridica chiara, responsabilità identificabili, misure proporzionate di mitigazione, escalation appropriate ed esecuzione verificabile. Gli organi amministrativi devono essere in grado di distinguere tra decisioni che possono essere adottate ordinariamente nell’ambito dei poteri delegati e situazioni che richiedono un coinvolgimento esplicito degli organi dirigenti a causa della loro rilevanza, dell’incertezza, delle implicazioni strategiche oppure delle potenziali conseguenze individuali. Una simile differenziazione basata sui rischi impedisce che gli organi amministrativi siano gravati da un numero eccessivo di decisioni operative relativamente limitate, assicurando contemporaneamente che le esposizioni significative non rimangano fuori dal loro campo di supervisione. Il collegamento con le evoluzioni della regolamentazione europea nel 2027 assume particolare importanza in tale contesto. Il Regolamento (UE) 2024/1624 rafforza, per i soggetti obbligati interessati, i requisiti relativi alle politiche, alle procedure, ai controlli interni e alle specifiche responsabilità in materia di compliance, mentre il regolamento DORA, applicabile dal 17 gennaio 2025, collega espressamente la responsabilità degli organi amministrativi alla gestione dei rischi delle tecnologie dell’informazione e della comunicazione e alla resilienza operativa digitale delle entità finanziarie comprese nel suo ambito di applicazione. Sebbene tali discipline regolamentari riguardino materie differenti e presentino diversi ambiti di applicazione, esse riflettono un’evoluzione più ampia nella quale il coinvolgimento degli organi dirigenti deve tradursi in maniera dimostrabile in un’effettiva gestione dei rischi. Per la Sua organizzazione, ciò significa che l’Integrated Financial Crime Risk Management non deve essere organizzato come una raccolta di processi di compliance separati, ma come un sistema coerente di processi decisionali e misure di controllo nel quale le informazioni provenienti dall’adeguata verifica della clientela, dal monitoraggio delle transazioni, dal rispetto delle sanzioni, dalla prevenzione delle frodi, dalle indagini interne, dalla gestione dei rischi e dalla sicurezza digitale possano contribuire in maniera appropriata alle valutazioni degli organi amministrativi. L’obiettivo consiste nella creazione di un ambiente di governance nel quale i soggetti responsabili dispongano, al momento rilevante, delle informazioni necessarie, dei poteri appropriati, di competenze sufficienti e di un obbligo chiaramente definito di valutare e affrontare i rischi significativi. In tal modo, la difendibilità giuridica delle decisioni cessa di essere prevalentemente una questione di documentazione legale e diventa una caratteristica strutturale di un’efficace prevenzione e gestione della criminalità finanziaria.

Una seconda evoluzione determinante riguarda la possibilità di sostenere processi decisionali giuridicamente difendibili attraverso una gestione integrata delle informazioni, procedure di valutazione standardizzate e strumenti digitali, senza tuttavia sostituire il giudizio professionale con meccanismi automatici di approvazione. Nel 2027, numerose organizzazioni utilizzano una vasta gamma di sistemi destinati alla registrazione dei rischi, alla valutazione della clientela, alle segnalazioni interne, al monitoraggio delle transazioni, allo screening delle sanzioni, alla gestione dei fascicoli investigativi, al monitoraggio delle risultanze di audit, all’autorizzazione delle deroghe e alla conduzione dei programmi di remediation. Tuttavia, il valore di tali sistemi rimane limitato quando essi operano separatamente e non consentono di individuare in maniera sufficientemente chiara i collegamenti tra segnali di rischio, decisioni precedentemente adottate e obblighi ancora da adempiere. Per la Sua organizzazione, un’importante opportunità strategica consiste pertanto nello sviluppo di un supporto digitale coordinato all’Integrated Financial Crime Risk Management, nel quale le decisioni rilevanti siano collegate alle informazioni originarie pertinenti, ai poteri decisionali, alle condizioni di approvazione, ai controlli supplementari e alle scadenze esplicite di riesame. Un simile sistema deve garantire che un segnale di rischio non venga semplicemente registrato, ma sia effettivamente assegnato a un soggetto responsabile della valutazione e collegato a una successiva attività chiaramente identificabile. Quando, ad esempio, un fascicolo relativo a un cliente contiene nuove informazioni concernenti un titolare effettivo, tale sviluppo può incidere sulla classificazione del rischio esistente, sull’affidabilità dello screening delle sanzioni, sulla necessità di applicare misure di adeguata verifica rafforzata e sulla validità delle deroghe precedentemente autorizzate. Un processo integrato deve rendere sufficientemente visibili tali interdipendenze e, quando appropriato, favorire una nuova valutazione oppure un’escalation. Lo stesso principio si applica a nuove risultanze investigative riguardanti un partner commerciale, a una modifica sostanziale del profilo di rischio di un mercato geografico oppure al ripetuto malfunzionamento di una determinata misura di controllo. Per la Sua organizzazione, è essenziale non confondere il supporto digitale alle decisioni con un processo decisionale giuridico completamente automatizzato. I punteggi di rischio automatizzati, i modelli di individuazione e le regole decisionali possono contribuire alla coerenza delle valutazioni e al tempestivo riconoscimento delle anomalie, ma la loro affidabilità dipende dalla qualità dei dati originari, dall’appropriatezza dei criteri adottati e dall’integrità dell’implementazione tecnica. Quando un modello non riesce a riconoscere determinati rischi oppure una classificazione si fonda su informazioni non aggiornate, un processo digitale può creare l’impressione fuorviante che una decisione sia integralmente e adeguatamente motivata. Nell’ambito dell’Integrated Financial Crime Risk Management, deve pertanto rimanere uno spazio sufficiente per la valutazione umana, per deroghe motivate alle conclusioni prodotte dai sistemi, per la validazione indipendente dei modelli e per l’individuazione esplicita delle incertezze rilevanti. L’utilizzo dell’intelligenza artificiale e dell’analisi avanzata dei dati può offrire ulteriori possibilità per individuare segnali di allarme interdipendenti, riconoscere modelli comportamentali anomali e attribuire priorità ai rischi significativi. Parallelamente, tali tecnologie introducono nuove questioni di governance, tra cui la spiegabilità dei risultati, la protezione dei dati personali, i limiti dei modelli, le possibili distorsioni, l’utilizzo responsabile e la capacità di sottoporre le conclusioni automatizzate a un esame critico. Gli obblighi applicabili devono essere determinati in relazione allo specifico impiego della tecnologia, alla normativa pertinente e alla natura della decisione interessata. Un’analisi assistita dall’intelligenza artificiale non può, ad esempio, essere considerata una prova conclusiva di frode o corruzione senza ulteriori verifiche sufficienti. È altrettanto importante impedire che l’automazione determini una diluizione delle responsabilità, inducendo i decisori a fare affidamento sui risultati dei sistemi senza comprenderne adeguatamente il significato o le limitazioni. Tali rischi diventano particolarmente rilevanti quando gli strumenti automatizzati influenzano decisioni riguardanti relazioni con clienti, pagamenti, priorità investigative oppure il trattamento di persone fisiche. In tali circostanze, la Sua organizzazione deve poter spiegare come siano state prodotte le conclusioni rilevanti, quali informazioni siano state considerate, quali limiti fossero conosciuti e quali verifiche umane siano state effettuate. I sistemi digitali devono inoltre preservare i collegamenti tra le prove originarie, le valutazioni successive, le autorizzazioni, le misure di esecuzione e i cambiamenti intervenuti nelle circostanze. Diventa così possibile ricostruire non soltanto la decisione finale, ma anche il processo attraverso il quale essa si è progressivamente sviluppata. La tecnologia rafforza la difendibilità giuridica delle decisioni quando migliora l’affidabilità, la tempestività, la trasparenza e la tracciabilità delle informazioni; indebolisce invece la governance quando nasconde le incertezze oppure sostituisce la responsabilità professionale con conclusioni generate da sistemi che non possono essere sottoposti a un esame critico significativo. La Sua organizzazione deve quindi valutare continuativamente gli strumenti digitali in funzione del loro contributo all’adozione di decisioni di rischio effettivamente migliori. La responsabilità ultima delle valutazioni rilevanti a livello degli organi amministrativi deve rimanere chiaramente attribuibile alle persone e agli organi competenti, mentre la tecnologia deve svolgere una funzione di supporto all’affidabilità delle informazioni, alla coerenza dell’esecuzione e alla dimostrabilità dell’effettiva attuazione delle misure.

Il significato più profondo del Defensible Decision-Making by Design nel 2027 risiede nell’istituzione di un sistema di governance societaria capace di valutare, adattare e migliorare continuamente la propria efficacia sulla base dell’evoluzione effettiva dei rischi, delle esperienze operative e dei risultati delle decisioni precedentemente adottate. Per la Sua organizzazione, ciò significa che l’Integrated Financial Crime Risk Management non deve essere valutato esclusivamente in funzione dell’esistenza di politiche interne, distribuzioni di responsabilità, relazioni e misure di controllo, ma soprattutto in relazione alla capacità di tali elementi di produrre congiuntamente un’individuazione tempestiva dei rischi, una valutazione rigorosa, interventi efficaci e una riduzione dimostrabile delle esposizioni. Un’organizzazione può, ad esempio, disporre di procedure di escalation formalmente molto chiare, mentre nella pratica gli avvertimenti significativi raggiungono gli organi amministrativi troppo tardi. Può conservare fascicoli decisionali estremamente dettagliati, mentre le informazioni sottostanti risultano insufficientemente affidabili. Analogamente, un organo amministrativo può esaminare periodicamente i programmi di remediation senza intervenire efficacemente quando emergono ritardi strutturali. La semplice presenza di singoli strumenti di governance non è pertanto sufficiente a dimostrare l’efficacia del sistema complessivo. La Sua organizzazione deve essere in grado di verificare se le informazioni raggiungano effettivamente i decisori competenti, se il confronto critico influenzi le decisioni, se le misure approvate vengano attuate tempestivamente e se le decisioni precedenti siano rivalutate quando nuove informazioni o cambiamenti delle circostanze rendano necessario tale riesame. Nell’ambito dell’Integrated Financial Crime Risk Management, questa valutazione può essere sostenuta attraverso esami mirati dei fascicoli, verifiche indipendenti dei processi decisionali, analisi periodiche dei casi sottoposti a escalation ed esercitazioni pratiche nelle quali le funzioni responsabili siano confrontate con scenari complessi di integrità. Tali verifiche possono esaminare come la Sua organizzazione reagisca quando emergano simultaneamente diversi segnali di allarme, quando gli interessi commerciali entrino in conflitto con le obiezioni della funzione di compliance, quando un controllo fondamentale diventi temporaneamente indisponibile oppure quando un programma di remediation continui a subire ritardi nonostante ripetuti avvertimenti. I risultati possono evidenziare carenze che rimangono invisibili attraverso i normali indicatori di performance, tra cui poteri decisionali non sufficientemente definiti, competenze inadeguate, trasferimenti inefficaci delle informazioni e riluttanza a sottoporre questioni delicate ai livelli superiori. Un’ulteriore componente importante riguarda i comportamenti incentivati dagli obiettivi interni e dai sistemi retributivi. Quando le prestazioni commerciali vengono fortemente valorizzate, mentre i dirigenti sono valutati soltanto in misura limitata sulla qualità delle proprie decisioni riguardanti i rischi, può determinarsi una tensione strutturale tra gli obiettivi di sviluppo aziendale e l’efficace prevenzione e gestione della criminalità finanziaria. La Sua organizzazione deve pertanto assicurare che le aspettative relative all’integrità, alla consapevolezza dei rischi, alla trasparenza informativa e alla responsabilità decisionale siano integrate nella valutazione della leadership, nei meccanismi interni di responsabilizzazione e negli indicatori di performance appropriati. È importante evitare che la valutazione delle responsabilità si fondi esclusivamente sull’assenza di incidenti, poiché un numero limitato di segnalazioni registrate può indicare controlli efficaci, ma può anche riflettere capacità di individuazione insufficienti oppure un ambiente nel quale i collaboratori non si sentono liberi di esprimere le proprie preoccupazioni. Una valutazione più affidabile esamina se i rischi diventino visibili tempestivamente, se dipendenti e dirigenti possano formulare obiezioni significative, se vengano messe a disposizione le risorse necessarie e se le carenze individuate siano effettivamente corrette. Il ruolo degli amministratori e dei componenti degli organi di supervisione consiste quindi nel vigilare sulle interazioni tra tali elementi e nel valutare periodicamente se il sistema di governance rimanga adeguato all’evoluzione delle attività e del profilo di rischio dell’organizzazione. L’ingresso in nuovi mercati, i modelli di business digitali, le collaborazioni internazionali, le catene di fornitura complesse, l’evoluzione dei regimi sanzionatori e l’emergere di nuove forme di criminalità finanziaria favorite dalla tecnologia possono rendere necessaria una revisione degli standard decisionali, delle procedure di escalation e dei requisiti informativi. Tale rivalutazione continua non deve limitarsi a revisioni formali delle politiche interne, ma deve integrare gli insegnamenti derivanti da incidenti reali, indagini interne, verifiche sui controlli, risultati dei programmi di remediation e precedenti decisioni degli organi amministrativi. In particolare, deroghe ripetute, carenze ricorrenti e persistenti lacune informative devono indurre a esaminare se i meccanismi di governance originariamente adottati continuino a offrire una protezione adeguata. L’efficacia del sistema deve essere valutata, in ultima analisi, stabilendo se i decisori responsabili ricevano le informazioni sufficientemente presto per intervenire, dispongano dei poteri necessari per agire e possano dimostrare che le loro decisioni abbiano prodotto conseguenze operative appropriate. Nel 2027, un processo decisionale giuridicamente difendibile non si fonda quindi su un insieme statico di procedure, ma su un sistema di governance il cui funzionamento possa essere dimostrato e nel quale le informazioni sui rischi, le valutazioni giuridiche, il confronto critico indipendente, la responsabilizzazione, l’esecuzione e il miglioramento continuo si rafforzino reciprocamente. Per la Sua organizzazione, tale approccio dà origine a una forma integrata di governance della criminalità finanziaria che supera ampiamente la prevenzione delle singole violazioni o la limitazione dell’esposizione alla responsabilità personale. Essa sostiene la qualità delle decisioni strategiche, migliora l’affidabilità dei controlli interni, rafforza la fiducia dei soggetti interessati e fornisce una base più convincente per rendere conto delle decisioni nei confronti delle autorità di vigilanza, degli organi investigativi, degli azionisti e degli altri stakeholder. Il criterio definitivo consiste nello stabilire se la Sua organizzazione possa dimostrare, tanto nelle normali condizioni operative quanto in presenza di una maggiore pressione giuridica, commerciale o organizzativa, che i rischi rilevanti di criminalità finanziaria siano stati individuati tempestivamente, sottoposti a un esame critico e tradotti in decisioni appropriate, lecite ed effettivamente attuate. L’Integrated Financial Crime Risk Management diventa così una componente essenziale dell’efficacia degli organi amministrativi, dell’integrità aziendale, della resilienza strategica e della capacità istituzionale duratura di giustificare e difendere le decisioni adottate.