{"id":38340,"date":"2026-11-08T13:50:37","date_gmt":"2026-11-08T12:50:37","guid":{"rendered":"https:\/\/vanleeuwenlawfirm.eu\/it\/?p=38340"},"modified":"2026-11-08T13:52:33","modified_gmt":"2026-11-08T12:52:33","slug":"corporate-governance-responsabilita-del-consiglio-e-supervisione-esecutiva","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/it\/approfondimenti\/notizie-approfondimenti-personalizzati\/governance-rischi-assurance\/corporate-governance-responsabilita-del-consiglio-e-supervisione-esecutiva\/","title":{"rendered":"Corporate Governance, responsabilit\u00e0 del consiglio e supervisione esecutiva"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La corporate governance si sta evolvendo sempre pi\u00f9 da un sistema formale di organi societari, deleghe di poteri, regolamenti interni, comitati e linee di reporting verso una disciplina dimostrabile di guida istituzionale, nella quale la Sua organizzazione deve essere in grado di comprovare che le decisioni strategiche siano state adottate sulla base di informazioni sufficientemente affidabili, che i rischi materiali siano stati correttamente identificati, che le responsabilit\u00e0 siano state chiaramente attribuite e che i segnali indicativi di possibili carenze abbiano raggiunto tempestivamente il livello decisionale appropriato. La mera esistenza di un consiglio di amministrazione, di un consiglio di sorveglianza, di un comitato audit, di un comitato rischi, di una funzione compliance, di una funzione di internal audit e di flussi periodici di reporting gestionale non consente, di per s\u00e9, di rispondere alla questione pi\u00f9 importante: se la governance funzioni realmente quando la Sua organizzazione \u00e8 sottoposta a pressioni commerciali, finanziarie, giuridiche, regolamentari o sociali. Il criterio determinante consiste nella capacit\u00e0 di tali strutture di consentire agli organi di vertice di acquisire tempestiva visibilit\u00e0 sugli sviluppi suscettibili di incidere sulla continuit\u00e0 aziendale, sull\u2019affidabilit\u00e0 finanziaria, sull\u2019integrit\u00e0 organizzativa, sulla reputazione, sullo status autorizzativo o sulla resilienza giuridica. Tali sviluppi possono comprendere debolezze nell\u2019informativa finanziaria, flussi transazionali anomali, ricavi insufficientemente supportati, incidenti di integrit\u00e0, minacce cyber, rischi di corruzione, esposizione a sanzioni, carenze nei processi di accettazione di clienti o fornitori, informazioni di sostenibilit\u00e0 non sufficientemente affidabili, incidenti nella catena di fornitura, controlli interni inadeguati, responsabilit\u00e0 non chiaramente definite rispetto a tecnologie critiche, deroghe non autorizzate alle policy o segnali secondo cui le informazioni gestionali rappresentano sistematicamente una situazione pi\u00f9 favorevole di quanto la realt\u00e0 sottostante consenta. La responsabilit\u00e0 del consiglio, pertanto, non si esaurisce nella ricezione di report. Richiede sempre pi\u00f9 una valutazione attiva circa il fatto che le informazioni utilizzate a fondamento delle decisioni siano sufficientemente complete, aggiornate, indipendenti, pertinenti e affidabili. La corporate governance \u00e8 quindi direttamente connessa alla Gestione integrata dei rischi di criminalit\u00e0 finanziaria, poich\u00e9 i Rischi di criminalit\u00e0 finanziaria difficilmente possono essere governati in modo efficace da una funzione compliance operante in isolamento. Frode, corruzione, riciclaggio, elusione delle sanzioni, conflitti di interesse, manipolazione dell\u2019informativa finanziaria, abuso di persone giuridiche, pagamenti indebiti, collusione interna e altre forme di criminalit\u00e0 finanziaria ed economica si manifestano frequentemente all\u2019intersezione tra strategia, attivit\u00e0 commerciale, finanza, procurement, funzione legale, compliance, operations, tecnologia e management esecutivo. Una Gestione integrata dei rischi di criminalit\u00e0 finanziaria realmente efficace richiede dunque che il consiglio non si limiti ad approvare policy e procedure, ma comprenda quali Rischi di criminalit\u00e0 finanziaria siano insiti nel modello di business, quale livello di tolleranza al rischio sia concretamente applicato, quali eccezioni vengano autorizzate, dove i controlli siano carenti, quali incidenti si stiano verificando e se le responsabilit\u00e0 relative alla remediation vengano effettivamente esercitate. Lo stesso principio si applica al consiglio di sorveglianza. Una supervisione indipendente richiede molto pi\u00f9 della semplice ricezione dei board pack o della partecipazione a riunioni periodiche. La funzione di supervisione deve essere in grado di mettere in discussione le assunzioni sottese alle decisioni significative, individuare lacune informative, valutare se determinati interessi possano compromettere l\u2019obiettivit\u00e0 del giudizio, verificare l\u2019indipendenza dei meccanismi di assurance e stabilire se il consiglio di amministrazione intervenga con sufficiente tempestivit\u00e0 quando le evidenze disponibili indicano debolezze strutturali del sistema di controllo. Per la Sua organizzazione, ci\u00f2 significa che la governance deve essere sempre pi\u00f9 organizzata attorno a un\u2019attenzione consiliare dimostrabile: chi sapeva cosa, in quale momento, sulla base di quali informazioni, quali domande sono state poste, quali alternative sono state considerate, quali obiezioni sono state sollevate, quali misure sono state adottate, quali rischi residui sono stati accettati e su quali basi tale accettazione \u00e8 stata ritenuta difendibile. Una decisione non deve necessariamente rivelarsi favorevole ex post per essere stata adottata responsabilmente, ma la qualit\u00e0 del processo che ha condotto a tale decisione assume un peso crescente nelle valutazioni relative alla responsabilit\u00e0 degli amministratori, alla supervisione regolamentare, all\u2019enforcement, al contenzioso societario, all\u2019esposizione penale e, pi\u00f9 in generale, alla legittimit\u00e0 della condotta degli organi di vertice. La governance deve quindi consentire il processo decisionale, organizzare il contraddittorio interno, ridurre le asimmetrie informative, rafforzare la consapevolezza dei rischi e creare una documentazione difendibile dalla quale risulti che amministratori e membri del consiglio di sorveglianza abbiano effettivamente esercitato le proprie responsabilit\u00e0.<\/p>

Questa evoluzione rende Corporate Governance, responsabilit\u00e0 del consiglio e supervisione esecutiva una componente centrale della resilienza giuridica, strategica e istituzionale della Sua organizzazione. Gli amministratori operano sempre pi\u00f9 frequentemente in contesti nei quali le decisioni devono essere prese sotto pressione temporale, in condizioni di incertezza e sulla base di informazioni incomplete, mentre le medesime decisioni possono successivamente essere sottoposte a scrutinio disponendo del senno di poi, di un quadro fattuale molto pi\u00f9 completo e di una prospettiva giuridica notevolmente pi\u00f9 rigorosa. Un investimento che appariva commercialmente difendibile al momento della decisione pu\u00f2 successivamente essere analizzato sotto il profilo della responsabilit\u00e0 degli amministratori; un\u2019acquisizione inizialmente considerata strategicamente attrattiva pu\u00f2 essere successivamente contestata per insufficiente due diligence, esposizione a rischi di corruzione o inadeguata integrazione dei controlli successivamente all\u2019operazione; una deroga temporanea in materia di compliance pu\u00f2 divenire parte di un procedimento di enforcement regolamentare; una misura di liquidit\u00e0 pu\u00f2 essere esaminata sotto il profilo del pregiudizio arrecato ai creditori; un incidente cyber pu\u00f2 sollevare interrogativi circa precedenti segnalazioni ricevute dal senior management; un\u2019indagine per frode pu\u00f2 infine dimostrare che diversi segnali di allarme erano presenti in differenti aree dell\u2019organizzazione senza essere mai stati aggregati o elevati a livello consiliare. La valutazione giuridica della condotta manageriale si concentra pertanto sempre pi\u00f9 sulla qualit\u00e0 del processo decisionale cos\u00ec come esso poteva essere ragionevolmente valutato al momento rilevante. La Sua organizzazione deve essere in grado di ricostruire quali informazioni fossero disponibili, quali informazioni avrebbero dovuto ragionevolmente essere acquisite, quali esperti o funzioni di controllo siano stati consultati, quali rischi siano stati espressamente portati all\u2019attenzione del consiglio, quali conflitti di interesse esistessero, quali alternative siano state discusse e per quali ragioni sia stata infine selezionata una determinata linea d\u2019azione. Ci\u00f2 richiede un collegamento molto pi\u00f9 stretto tra corporate governance, enterprise risk management, Gestione integrata dei rischi di criminalit\u00e0 finanziaria, controllo interno, compliance, funzione legale, finanza, internal audit, crisis management e protezione giuridica degli amministratori. L\u2019obiettivo non consiste nel creare la massima prudenza possibile da parte del management n\u00e9 nel rallentare le decisioni attraverso il tentativo di eliminare ogni incertezza mediante procedure legali. Una governance efficace deve, al contrario, consentire alla Sua organizzazione di agire con determinazione quando le circostanze lo richiedono, purch\u00e9 i rischi materiali siano stati resi visibili, le responsabilit\u00e0 siano chiare, le competenze necessarie siano disponibili, le obiezioni significative siano state ascoltate e la valutazione finale sia stata documentata con sufficiente rigore. \u00c8 precisamente in questo ambito che il tone at the top e la cultura del rischio acquisiscono rilevanza operativa. Un\u2019organizzazione nella quale i dipendenti dispongono formalmente di canali speak-up ma percepiscono in concreto che le informazioni negative non siano ben accolte non dispone di una governance efficace. Un\u2019organizzazione nella quale gli obiettivi finanziari prevalgono sistematicamente sui limiti di compliance pu\u00f2 disporre di policy, ma non di un effettivo controllo esecutivo. Un\u2019organizzazione nella quale gli indicatori di rischio circolano esclusivamente all\u2019interno delle funzioni operative mentre il senior management riceve prevalentemente informazioni aggregate e positive pu\u00f2 sviluppare una grave asimmetria tra la percezione del consiglio e l\u2019effettivo profilo di rischio. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria offre in questo contesto un quadro di collegamento essenziale, perch\u00e9 non tratta i Rischi di criminalit\u00e0 finanziaria come categorie isolate di incidenti, ma come rischi da collegare alla governance, alla strategia, alle persone, ai processi, ai dati, alla tecnologia, ai flussi finanziari, alle relazioni esterne e alla responsabilit\u00e0 esecutiva. La corporate governance diventa cos\u00ec una forma di leadership istituzionale difendibile: la Sua organizzazione deve preservare lo spazio necessario all\u2019iniziativa imprenditoriale, alla scelta strategica e al giudizio commerciale, dimostrando al contempo che amministratori e membri del consiglio di sorveglianza abbiano esercitato un adeguato livello di comprensione, controllo effettivo, contraddittorio indipendente e giudizio motivato in relazione alle decisioni pi\u00f9 rilevanti. Il criterio ultimo non \u00e8 quindi rappresentato dalla quantit\u00e0 di documentazione di governance prodotta, bens\u00ec dalla capacit\u00e0 della Sua organizzazione di dimostrare, anche sotto esame critico, che i rischi rilevanti siano stati individuati tempestivamente, che le informazioni siano state analizzate con sufficiente profondit\u00e0, che i segnali critici non siano stati ignorati, che le responsabilit\u00e0 siano state realmente esercitate e che le decisioni possano essere difese sul piano giuridico, finanziario e istituzionale.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Corporate Governance Code 2025, doveri del consiglio e responsabilit\u00e0 nella gestione dei rischi<\/h4>

Il Corporate Governance Code 2025 rafforza, per le societ\u00e0 quotate e indirettamente per le altre organizzazioni che si conformano a standard di governance comparabili, l\u2019evoluzione verso un modello nel quale la gestione dei rischi non pu\u00f2 pi\u00f9 essere considerata esclusivamente una responsabilit\u00e0 operativa della funzione finance, risk, compliance o internal audit. La responsabilit\u00e0 per la progettazione, la valutazione e l\u2019efficacia continuativa dei sistemi interni di gestione dei rischi e di controllo riguarda direttamente il corretto esercizio dei doveri del consiglio. Per la Sua organizzazione, ci\u00f2 significa che il consiglio deve essere in grado di spiegare come gli obiettivi strategici siano collegati ai principali rischi, come venga determinata la propensione al rischio, quali controlli interni siano considerati necessari, quali informazioni gestionali vengano utilizzate per valutarne l\u2019efficacia e in che modo le carenze siano sottoposte a escalation e remediation. Il cambiamento \u00e8 sostanziale: la governance non pu\u00f2 pi\u00f9 considerarsi adeguatamente dimostrata soltanto attraverso la descrizione dei sistemi o la constatazione che esistano policy, matrici di controllo e report periodici. La questione centrale consiste nel comprendere se il consiglio, sulla base di informazioni sufficientemente affidabili, sia effettivamente in grado di valutare se l\u2019organizzazione operi entro i limiti definiti. Ci\u00f2 richiede un approccio integrato nel quale informativa finanziaria, rischio operativo, compliance, resilienza cyber, sostenibilit\u00e0, rischi legati alle persone, outsourcing, rischio di supply chain e Rischi di criminalit\u00e0 finanziaria siano considerati congiuntamente. Nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria, ci\u00f2 implica che il consiglio comprenda quali parti del modello di business siano esposte a frode, corruzione, riciclaggio, violazioni delle sanzioni, conflitti di interesse, manipolazione o transazioni improprie; quali controlli siano destinati a mitigare tali rischi; quali rischi residui siano accettati; quali incidenti si siano verificati; quali cause strutturali ne siano alla base; e se i dati disponibili siano sufficientemente affidabili da supportare conclusioni a livello esecutivo. Un board paper che si limiti a indicare che la compliance presenta uno stato \u201cverde\u201d fornisce un livello di assurance significativamente inferiore rispetto a un reporting che renda visibili gli indicatori di rischio rilevanti, le eccezioni, le azioni di remediation scadute, le carenze dei controlli, gli incidenti significativi e i risultati delle attivit\u00e0 di assurance. La sfida per il Suo consiglio non consiste quindi soltanto nel ricevere informazioni, ma anche nel definire requisiti chiari rispetto alla qualit\u00e0, al livello di aggregazione, all\u2019indipendenza e alla tempestivit\u00e0 di tali informazioni. La responsabilit\u00e0 di governance si sposta cos\u00ec dalla mera ricezione verso una comprensione dimostrabile.<\/p>

Ne deriva una relazione diretta tra doveri del consiglio, propensione al rischio e intervento esecutivo. La gestione del rischio \u00e8 efficace soltanto quando il consiglio definisce preventivamente quali rischi siano accettabili nel quadro della strategia adottata e quando gli scostamenti rispetto a tali limiti producano conseguenze effettive nel processo decisionale. Un risk appetite framework formalmente approvato ha valore limitato se le eccezioni commerciali vengono sistematicamente autorizzate senza un\u2019escalation esplicita o se limiti rilevanti vengono ripetutamente superati senza conseguenze a livello esecutivo. La Sua organizzazione deve quindi essere in grado di distinguere chiaramente tra i rischi insiti nella strategia selezionata, i rischi che possono essere ricondotti entro parametri accettabili mediante misure di mitigazione efficaci e i rischi che non dovrebbero essere accettati in ragione delle loro implicazioni giuridiche, finanziarie, reputazionali o di integrit\u00e0. Tale distinzione assume particolare rilievo con riferimento ai Rischi di criminalit\u00e0 finanziaria. Un\u2019organizzazione pu\u00f2, ad esempio, ritenere commercialmente interessante un determinato mercato geografico, mentre l\u2019esposizione a sanzioni, il rischio di corruzione, strutture proprietarie opache, intermediari anomali o una debole attivit\u00e0 di enforcement locale possono richiedere una due diligence rafforzata e un monitoraggio transazionale pi\u00f9 intenso. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria impone che tali circostanze siano considerate come parte della stessa scelta strategica e non come un tema di compliance da affrontare dopo che la decisione commerciale \u00e8 stata sostanzialmente adottata. Il consiglio deve essere in grado di stabilire se i controlli aggiuntivi siano realmente sufficienti, se siano disponibili le competenze richieste, se i dati e i meccanismi di monitoraggio funzionino in modo affidabile e se l\u2019esposizione residua sia coerente con la propensione al rischio dichiarata dall\u2019organizzazione. La propensione al rischio non dovrebbe quindi trasformarsi in un documento astratto aggiornato periodicamente senza conseguenze operative. Il suo valore emerge quando viene tradotta in concrete regole decisionali, soglie di escalation, poteri autorizzativi, criteri per le eccezioni e informazioni gestionali. La Sua organizzazione deve, ad esempio, essere in grado di stabilire quando una transazione, un cliente, un fornitore, un investimento, una partnership o l\u2019ingresso in un nuovo mercato richiedano l\u2019approvazione del consiglio; quando sia necessaria una revisione giuridica rafforzata; quando la funzione compliance disponga di un diritto di escalation o veto; e quando un rischio precedentemente accettato debba essere riesaminato alla luce di mutate circostanze. La governance acquisisce in questo modo rilevanza operativa e crea un collegamento diretto tra strategia, Gestione integrata dei rischi di criminalit\u00e0 finanziaria e responsabilit\u00e0 individuale degli amministratori.<\/p>

La crescente enfasi sulla responsabilit\u00e0 del consiglio aumenta altres\u00ec l\u2019importanza delle evidenze di governance. Quando, in un momento successivo, viene messa in discussione l\u2019adeguatezza della supervisione esercitata dal consiglio sul controllo interno, l\u2019analisi raramente si limita ai soli documenti di policy. Verbali del consiglio, board paper, risk report, rilievi di audit, management representation, pareri di compliance, memorandum decisionali, remediation tracker e corrispondenza relativa alle escalation possono complessivamente divenire centrali per valutare se gli amministratori abbiano correttamente adempiuto ai propri doveri. Per la Sua organizzazione, la documentazione non dovrebbe quindi essere considerata una semplice registrazione amministrativa successiva all\u2019evento, ma una componente integrante di una governance responsabile. Un solido decision record dimostra quali rischi siano stati discussi, quali domande siano state poste, quali informazioni aggiuntive siano state richieste, quali incertezze siano state riconosciute e quali azioni di follow-up siano state imposte. Al contempo, occorre evitare una documentazione eccessiva nella quale gli elementi decisionali essenziali vengano oscurati dal volume delle informazioni. Le informazioni destinate al consiglio devono consentire agli amministratori di individuare rapidamente quali questioni richiedano una decisione, quali rischi siano materiali, dove i controlli non operino efficacemente e quali temi richiedano un intervento immediato. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria deve occupare una posizione riconoscibile e proporzionata all\u2019interno di tale flusso informativo. Non ogni singolo incidente deve necessariamente essere sottoposto all\u2019intero consiglio, ma pattern, carenze sistemiche dei controlli, indagini materiali, aumento dell\u2019esposizione al rischio, rilevanti questioni sanzionatorie e gravi incidenti di integrit\u00e0 devono essere visibili al livello di governance appropriato. Ci\u00f2 riduce il rischio che il consiglio scopra in seguito che informazioni rilevanti erano presenti in diverse parti dell\u2019organizzazione, ma non erano mai state aggregate o analizzate in modo da consentire una risposta esecutiva efficace. La responsabilit\u00e0 per la gestione dei rischi richiede in definitiva che la Sua organizzazione dimostri non soltanto che le informazioni siano state riportate, ma che quelle materiali siano state comprese, valutate e, ove necessario, tradotte in decisioni correttive.<\/p>

Doveri degli amministratori, responsabilit\u00e0 esecutiva ed esposizione giuridica personale<\/h4>

La responsabilit\u00e0 giuridica degli amministratori richiede una distinzione rigorosa tra legittimo rischio d\u2019impresa, discrezionalit\u00e0 manageriale e condotta personalmente censurabile. Gli amministratori sono chiamati ad assumere decisioni in circostanze nelle quali gli esiti non sono sempre prevedibili e nelle quali opportunit\u00e0 commerciali, pressioni finanziarie, interessi dei dipendenti, aspettative degli azionisti, obblighi legali e conseguenze sociali pi\u00f9 ampie devono essere contemperati simultaneamente. Il fatto che una strategia si riveli successivamente infruttuosa, che un investimento subisca una svalutazione, che un\u2019acquisizione performi al di sotto delle attese o che si verifichi un incidente non determina, di per s\u00e9, una responsabilit\u00e0 personale. Al tempo stesso, la discrezionalit\u00e0 manageriale non protegge gli amministratori quando rischi essenziali vengono ignorati, conflitti evidenti non vengono correttamente gestiti, informazioni critiche vengono deliberatamente escluse dalla valutazione o non vengono adottate misure nonostante segnali chiari circa una significativa esposizione giuridica o finanziaria dell\u2019organizzazione. Per il Suo consiglio, la questione centrale consiste quindi nella possibilit\u00e0 di valutare il processo decisionale alla luce delle circostanze esistenti al momento rilevante. Quali informazioni erano disponibili? Quali incertezze erano note? Quali informazioni aggiuntive avrebbero potuto ragionevolmente essere acquisite? Quali alternative esistevano? Quali esperti sono stati consultati? Quali interessi dovevano essere contemperati? Qual era il livello di urgenza? Quali rischi sono stati accettati e per quali ragioni? La qualit\u00e0 di questa documentazione contemporanea alla decisione pu\u00f2 assumere rilievo decisivo quando, anni dopo, la condotta venga scrutinata sotto il profilo della mala gestio, dell\u2019illecito, della supervisione inadeguata o di un potenziale coinvolgimento penale. La Sua organizzazione ha quindi un forte interesse a garantire che le decisioni significative non siano soltanto adottate, ma anche preparate e documentate in modo da consentire la successiva ricostruzione della loro razionalit\u00e0 fattuale e giuridica.<\/p>

Nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria, l\u2019esposizione personale degli amministratori assume un\u2019ulteriore dimensione, poich\u00e9 la criminalit\u00e0 finanziaria ed economica solleva frequentemente questioni relative a conoscenza, istruzioni impartite, controllo effettivo, omissione, supervisione ed escalation. Quando un\u2019organizzazione registra pagamenti sospetti ripetuti, elusione di sanzioni, commissioni anomale corrisposte a intermediari, manipolazione dei ricavi o frodi interne persistenti nonostante precedenti segnalazioni, la valutazione giuridica difficilmente si concentrer\u00e0 esclusivamente sulla persona giuridica. L\u2019attenzione potr\u00e0 rivolgersi anche a quali amministratori fossero responsabili dell\u2019area interessata, quali informazioni abbiano ricevuto, quale influenza potessero esercitare, quali avvertimenti siano stati formulati e se siano state adottate misure adeguate. Sarebbe pertanto rischioso presumere che una delega formale determini automaticamente un allontanamento dell\u2019amministratore dall\u2019esposizione giuridica. Gli amministratori possono distribuire compiti e responsabilit\u00e0, ma in numerose circostanze restano responsabili di assicurare che l\u2019organizzazione disponga di adeguati meccanismi informativi, di controllo e di escalation. Per la Sua organizzazione, la mappatura delle responsabilit\u00e0 nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria non \u00e8 quindi soltanto rilevante sul piano operativo, ma costituisce anche una componente importante della protezione giuridica del management. Deve essere chiaro quale amministratore sia responsabile della finanza, della compliance, della tecnologia, delle operations o delle attivit\u00e0 internazionali; quali materie coinvolgano una responsabilit\u00e0 collegiale del consiglio; quali trigger di escalation trovino applicazione; e in che modo l\u2019organizzazione reagisca quando l\u2019amministratore funzionalmente competente non affronti adeguatamente un rischio materiale. Strutture di governance complesse non dovrebbero produrre una situazione nella quale tutti siano parzialmente responsabili ma nessuno abbia una titolarit\u00e0 effettiva della questione. In presenza di incidenti gravi, l\u2019incertezza circa le responsabilit\u00e0 pu\u00f2 indebolire sensibilmente la posizione sia dell\u2019organizzazione sia dei singoli amministratori.<\/p>

Una protezione efficace degli amministratori non richiede quindi di minimizzare la documentazione n\u00e9 di sottrarre le questioni difficili a una valutazione formale. Richiede, al contrario, un processo decisionale disciplinato nel quale i dilemmi siano esplicitamente identificati e il quadro giuridico pertinente sia considerato nel momento appropriato. Quando il consiglio si confronta con un\u2019acquisizione ad alto rischio, un\u2019indagine interna per frode, una possibile violazione di sanzioni, una grave segnalazione whistleblowing o una rilevante irregolarit\u00e0 contabile, l\u2019organizzazione deve valutare non soltanto ci\u00f2 che debba essere fatto sul piano operativo, ma anche come debbano essere attribuite le responsabilit\u00e0, se sia necessaria competenza indipendente, quali conflitti di interesse esistano, quali obblighi di notifica o disclosure possano sorgere e quali informazioni debbano essere preservate e documentate. Un simile approccio rafforza sia la qualit\u00e0 della risposta del consiglio sia la sua difendibilit\u00e0 giuridica. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria pu\u00f2 operare quale quadro di collegamento, perch\u00e9 accertamento dei fatti, valutazione del rischio, analisi giuridica, governance, remediation e responsabilit\u00e0 esecutiva non dovrebbero essere trattati come attivit\u00e0 separate e non coordinate. La Sua organizzazione pu\u00f2 cos\u00ec evitare che una questione grave venga affrontata soltanto come incidente di compliance mentre restano insufficientemente valutate rilevanti conseguenze societarie, regolamentari, penali o reputazionali. Nelle questioni maggiormente sensibili, deve essere valutata sin dall\u2019inizio la posizione della persona giuridica, l\u2019eventuale divergenza degli interessi dei singoli amministratori, la possibile necessit\u00e0 di rappresentanza indipendente e la conservazione delle evidenze senza compromettere inutilmente la continuit\u00e0 operativa. La protezione degli amministratori non costituisce pertanto un\u2019attivit\u00e0 difensiva separata che inizia soltanto dopo l\u2019insorgere di una pretesa; essa prende avvio dalla qualit\u00e0 quotidiana della governance, dei flussi informativi, dei processi decisionali e della Gestione integrata dei rischi di criminalit\u00e0 finanziaria.<\/p>

Efficacia del consiglio di sorveglianza, comitati audit e supervisione indipendente<\/h4>

L\u2019efficacia del consiglio di sorveglianza \u00e8 sempre pi\u00f9 determinata dalla qualit\u00e0 del contraddittorio sostanziale che esso \u00e8 in grado di esercitare nei confronti del management esecutivo. Una supervisione indipendente non equivale a una supervisione distante. Il consiglio di sorveglianza deve mantenere una distanza sufficiente per valutare le questioni in modo obiettivo, sviluppando al tempo stesso una comprensione abbastanza approfondita delle materie sottostanti da poter mettere realmente in discussione assunzioni, qualit\u00e0 delle informazioni e conclusioni del management. Per la Sua organizzazione, ci\u00f2 significa che la supervisione non pu\u00f2 limitarsi a una revisione periodica della performance finanziaria o alla discussione di informazioni selezionate dal management. I membri del consiglio di sorveglianza devono essere in grado di acquisire una comprensione dei principali rischi strategici, della qualit\u00e0 del controllo interno, dell\u2019evoluzione dei Rischi di criminalit\u00e0 finanziaria, dell\u2019efficacia della compliance, dei principali rilievi di internal audit, del contenzioso materiale, della resilienza cyber, degli incidenti di integrit\u00e0, delle vulnerabilit\u00e0 legate alle persone e del grado di effettiva realizzazione delle misure di remediation precedentemente concordate. Il valore della supervisione non risiede nell\u2019assumere le responsabilit\u00e0 del management, ma nel porre domande che obblighino quest\u2019ultimo a esplicitare le proprie assunzioni, affrontare le debolezze e valutare alternative credibili. Quando il consiglio di sorveglianza riceve prevalentemente conferme di conclusioni gi\u00e0 raggiunte dal management, sorge un rischio di cattura informativa. Una supervisione efficace richiede quindi accesso a fonti informative sufficientemente indipendenti, un\u2019interazione diretta e sostanziale con le funzioni di controllo e la possibilit\u00e0 di ricorrere a competenze aggiuntive quando la materia oltrepassi il normale perimetro informativo.<\/p>

I comitati audit e rischio rivestono una posizione particolarmente importante in ragione del loro maggiore coinvolgimento nell\u2019informativa finanziaria, nel controllo interno, nell\u2019assurance, nel risk management e nell\u2019audit esterno. Tale posizione pu\u00f2 tuttavia generare un ulteriore rischio di governance qualora gli altri membri del consiglio di sorveglianza ritengano che rischi complessi siano stati cos\u00ec integralmente delegati a tali comitati. Il sistema di governance della Sua organizzazione deve pertanto chiarire quali questioni siano oggetto di preparazione o approfondimento specialistico all\u2019interno di un comitato e quali richiedano, in ultima analisi, comprensione e giudizio da parte del consiglio di sorveglianza nel suo complesso. I Rischi di criminalit\u00e0 finanziaria offrono un chiaro esempio. Un comitato audit pu\u00f2 essere strettamente coinvolto nella valutazione dei rischi di frode, delle carenze di controllo interno o dei rilievi dell\u2019auditor esterno, ma questioni gravi di corruzione, sanzioni, riciclaggio o integrit\u00e0 possono avere anche conseguenze strategiche, giuridiche e reputazionali tali da coinvolgere la responsabilit\u00e0 dell\u2019intero organo di supervisione. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria deve quindi essere coordinata con la struttura dei comitati senza frammentare artificialmente le responsabilit\u00e0. La Sua organizzazione deve determinare quali report debbano essere trasmessi direttamente al comitato audit, quali escalation richiedano l\u2019esame del consiglio di sorveglianza nel suo complesso e quali incidenti giustifichino il coinvolgimento immediato del presidente o di altri membri designati. Possono inoltre essere appropriate periodiche analisi approfondite su aree quali esposizione alla frode, rischio sanzioni, integrit\u00e0 dei terzi, whistleblowing, indicatori culturali, criminalit\u00e0 finanziaria agevolata dalle tecnologie digitali e qualit\u00e0 delle indagini e della remediation. La supervisione evolve cos\u00ec da una generica ricezione di informazioni verso una forma di assurance mirata sui settori nei quali le carenze dei controlli possono produrre conseguenze particolarmente gravi.<\/p>

La supervisione indipendente richiede inoltre che il consiglio di sorveglianza metta in discussione la qualit\u00e0 stessa delle informazioni ricevute. Grandi quantit\u00e0 di dati possono creare un\u2019apparenza di trasparenza pur omettendo le informazioni necessarie a un giudizio realmente consapevole. I membri del consiglio di sorveglianza devono pertanto valutare non soltanto quali KPI e KRI vengano riportati, ma anche in che modo tali indicatori siano costruiti, quali fonti di dati vengano utilizzate, quali anomalie possano scomparire attraverso l\u2019aggregazione e quali giudizi manageriali incidano sul quadro presentato. Nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria, ad esempio, una diminuzione del numero degli incidenti segnalati pu\u00f2 apparire positiva ma potrebbe anche indicare minore fiducia nei meccanismi di reporting, insufficiente capacit\u00e0 di detection o carenza di risorse investigative. Un numero ridotto di alert sanzioni pu\u00f2 indicare una bassa esposizione, ma pu\u00f2 altrettanto riflettere un sistema di screening inadeguato. Un\u2019elevata percentuale di azioni di remediation dichiarate concluse pu\u00f2 apparire rassicurante mentre la loro efficacia non \u00e8 ancora stata oggetto di verifica indipendente. Una supervisione efficace richiede quindi triangolazione: il reporting del management dovrebbe, quando appropriato, essere confrontato con internal audit, compliance, audit esterno, indagini legali, segnalazioni dei dipendenti, dati operativi e sviluppi esterni. Ci\u00f2 consente al consiglio di sorveglianza di valutare se la situazione riportata corrisponda effettivamente all\u2019ambiente di controllo reale. La Sua organizzazione rafforza cos\u00ec non soltanto l\u2019efficacia della supervisione, ma anche la posizione giuridica dei membri del consiglio di sorveglianza, poich\u00e9 diviene pi\u00f9 agevole dimostrare che essi non si siano limitati a fare affidamento passivamente su attestazioni formali del management, ma abbiano attivamente verificato se i rischi materiali fossero adeguatamente governati.<\/p>

Propensione al rischio, processo decisionale strategico e qualit\u00e0 delle informazioni destinate al consiglio<\/h4>

Processo decisionale strategico e propensione al rischio sono inseparabili. Ogni scelta strategica significativa implica una valutazione su quali rischi la Sua organizzazione sia disposta ad assumere nella ricerca di valore economico, sociale o istituzionale. Ingresso in nuovi mercati, acquisizioni, nuovi prodotti, digitalizzazione, automazione, espansione internazionale, outsourcing, ristrutturazioni e nuove forme di partnership possono offrire opportunit\u00e0 rilevanti, ma possono al contempo modificare sensibilmente il profilo di rischio dell\u2019organizzazione. Una governance efficace richiede quindi che la propensione al rischio non venga utilizzata soltanto come esercizio annuale di governance, ma come vero strumento pratico di decisione. Quando il consiglio valuta proposte significative, deve essere in grado di stabilire quali rischi vengano generati, come tali rischi si collochino rispetto alle tolleranze definite, quali controlli siano necessari, quali esposizioni residue permangano e quali indicatori debbano determinare una revisione della strategia. Per la Sua organizzazione, la qualit\u00e0 delle informazioni destinate al consiglio diviene decisiva. Gli amministratori possono assumere decisioni responsabili soltanto quando le informazioni messe a loro disposizione siano sufficientemente complete e sufficientemente critiche da consentire di comprendere tanto le opportunit\u00e0 quanto le downside exposure. Board paper che sostengano prevalentemente una soluzione gi\u00e0 preferita senza rappresentare con chiarezza alternative rilevanti, sensitivit\u00e0, incertezze e implicazioni di compliance limitano la possibilit\u00e0 di un autentico giudizio esecutivo. Un processo decisionale robusto richiede pertanto che le proposte strategiche affrontino esplicitamente rischi principali, assunzioni, scenari alternativi, conseguenze finanziarie, vincoli giuridici, fattibilit\u00e0 operativa, questioni di integrit\u00e0 e opzioni disponibili di uscita o mitigazione.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria deve essere incorporata in tale analisi strategica sin dalle fasi iniziali. I Rischi di criminalit\u00e0 finanziaria spesso non emergono dopo l\u2019implementazione della strategia, ma derivano dal modo stesso in cui il valore viene creato, le transazioni vengono eseguite, i mercati vengono raggiunti e le relazioni d\u2019affari vengono selezionate. Un modello di business caratterizzato da elevata velocit\u00e0 transazionale, intermediari complessi, pagamenti transfrontalieri, strutture proprietarie difficilmente verificabili o incentivi commerciali particolarmente aggressivi pu\u00f2 richiedere controlli sui Rischi di criminalit\u00e0 finanziaria radicalmente differenti rispetto a un modello operativo domestico pi\u00f9 semplice. Lo stesso vale quando la Sua organizzazione diventa dipendente da partner strategici operanti in giurisdizioni con elevata esposizione a corruzione, sanzioni o riciclaggio. In tali circostanze, la Gestione integrata dei rischi di criminalit\u00e0 finanziaria deve costituire parte del business case strategico e non essere aggiunta soltanto dopo che la decisione commerciale sia stata di fatto adottata. Risk assessment, due diligence, requisiti di controllo, capacit\u00e0 di monitoraggio e competenze necessarie devono quindi essere considerati sufficientemente presto da incidere sulla fattibilit\u00e0, sul pricing e sull\u2019implementazione. Quando investimenti aggiuntivi in compliance siano necessari per svolgere un\u2019attivit\u00e0 in modo responsabile, tali costi non sono esterni al business case; costituiscono parte della realt\u00e0 economica della decisione. Il Suo consiglio pu\u00f2 cos\u00ec ridurre il rischio di perseguire una crescita commerciale che non possa essere adeguatamente supportata dal sistema dei controlli, evitando che in seguito divengano necessarie costose attivit\u00e0 di remediation, restrizioni transazionali, interventi regolamentari o la gestione di significativi danni reputazionali.<\/p>

La qualit\u00e0 delle informazioni destinate al consiglio determina in ultima analisi se questo collegamento tra strategia e rischio operi realmente. Una buona informazione non deve soltanto essere completa, ma anche sufficientemente selettiva da consentire agli amministratori di identificare ci\u00f2 che \u00e8 veramente materiale. Un board pack di centinaia di pagine pu\u00f2 formalmente contenere un\u2019enorme quantit\u00e0 di informazioni e tuttavia avere un valore decisionale limitato se eccezioni, trend e rischi emergenti non vengono evidenziati con chiarezza. La Sua organizzazione necessita quindi di un quadro disciplinato di information governance che definisca quali informazioni debbano essere disponibili a quale livello, quali data owner siano responsabili dell\u2019affidabilit\u00e0, quali controlli indipendenti trovino applicazione e in che modo debbano essere interpretati indicatori contrastanti. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria pu\u00f2 essere supportata da dashboard che non riportino soltanto volumi, ma anche indicatori di efficacia, quali trend di transazioni anomale, relazioni ad alto rischio, ageing delle investigation, control override, eccezioni di compliance, incidenti ricorrenti, anomalie nei pagamenti, terze parti con elevata esposizione a rischi di integrit\u00e0 e azioni di remediation scadute. Anche i segnali qualitativi devono essere protetti dal rischio di scomparire dietro l\u2019aggregazione quantitativa. Una sola segnalazione credibile di misconduct da parte del senior management pu\u00f2 assumere maggiore rilevanza sotto il profilo della governance rispetto a centinaia di alert di routine. Il consiglio deve quindi disporre di meccanismi mediante i quali informazioni qualitative materiali possano essere sottoposte a escalation al di fuori dei normali cicli di reporting. Si crea in questo modo un ambiente di governance nel quale il processo decisionale strategico \u00e8 alimentato non soltanto dai risultati gi\u00e0 conseguiti dall\u2019organizzazione, ma anche dalla comprensione dei settori nei quali potrebbero svilupparsi futuri problemi giuridici, finanziari o di integrit\u00e0.<\/p>

Dichiarazione sulla gestione dei rischi, controllo interno e assurance del consiglio<\/h4>

La Dichiarazione sulla gestione dei rischi porta direttamente la qualit\u00e0 del controllo interno e dell\u2019assurance esecutiva nell\u2019ambito della responsabilit\u00e0 del consiglio e dell\u2019informativa esterna. Per la Sua organizzazione, una simile dichiarazione non dovrebbe essere trattata come la fase conclusiva di un processo annuale di reporting nel quale agli amministratori venga richiesto, poco prima della pubblicazione, di confermare che la documentazione esistente sui controlli fornisca supporto sufficiente. La dichiarazione dovrebbe poggiare su un processo dimostrabile attraverso il quale i rischi rilevanti siano stati identificati, i key control definiti, la loro efficacia operativa valutata, le carenze classificate, la remediation monitorata e le incertezze residue esplicitamente considerate. La questione centrale riguarda pertanto il livello e la qualit\u00e0 dell\u2019assurance di cui il consiglio effettivamente dispone quando formula dichiarazioni sulla progettazione e sull\u2019efficacia dei sistemi di gestione dei rischi e controllo interno. Un management self-assessment pu\u00f2 fornire elementi utili, ma pu\u00f2 non essere sufficiente quando esistano rischi significativi o siano note precedenti carenze dei controlli. L\u2019internal audit pu\u00f2 fornire assurance aggiuntiva, ma \u00e8 necessario comprenderne scope, tempistica, materialit\u00e0 e rilievi ancora aperti. Gli auditor esterni valutano determinati aspetti nel quadro del proprio mandato e delle proprie soglie di materialit\u00e0, ma il loro lavoro non pu\u00f2 essere automaticamente assimilato a un\u2019assurance completa del consiglio rispetto a tutti i rischi rilevanti. Il Suo consiglio necessita quindi di un quadro coerente di assurance che individui quali funzioni valutino quali aree, quale livello di indipendenza possiedano, quali limitazioni trovino applicazione e in che modo eventuali conclusioni contrastanti debbano essere risolte.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria richiede particolare attenzione all\u2019interno di tale processo di assurance, perch\u00e9 i Rischi di criminalit\u00e0 finanziaria comprendono dimensioni sia finanziarie sia non finanziarie e possono generare conseguenze gravi prima di divenire visibili attraverso i tradizionali controlli sull\u2019informativa finanziaria. La frode pu\u00f2 incidere sui bilanci, ma pu\u00f2 manifestarsi anche nel procurement, negli incentivi commerciali, nei pagamenti a terze parti, nelle note spese, nelle sovvenzioni, nella gestione dei sinistri, nell\u2019amministrazione di progetti o in transazioni esterne al sistema contabile principale. I rischi di corruzione possono essere occultati in consulenze, sponsorship, commissioni o joint venture. L\u2019esposizione a sanzioni pu\u00f2 derivare da strutture proprietarie, forniture indirette, intermediari o complesse rotte di pagamento. Il rischio di riciclaggio pu\u00f2 aumentare quando vi sia un\u2019insufficiente conoscenza delle controparti, dei titolari effettivi, della provenienza dei fondi o della finalit\u00e0 economica delle transazioni. Se la Gestione integrata dei rischi di criminalit\u00e0 finanziaria non viene adeguatamente incorporata nella base di assurance che supporta la Dichiarazione sulla gestione dei rischi, pu\u00f2 emergere un divario significativo tra la qualit\u00e0 formalmente dichiarata del controllo interno e l\u2019effettiva esposizione dell\u2019organizzazione ai rischi di integrit\u00e0. La Sua organizzazione deve quindi stabilire quali controlli in materia di criminalit\u00e0 finanziaria debbano essere considerati key control, come la loro efficacia debba essere testata, quali dati sostengano tale valutazione e quale livello di revisione indipendente sia necessario. L\u2019esistenza di una procedura non \u00e8 sufficiente. Deve essere possibile accertare se lo screening venga realmente eseguito in modo completo, se gli alert vengano analizzati tempestivamente e nel merito, se le eccezioni siano autorizzate in modo appropriato, se la capacit\u00e0 investigativa sia sufficiente, se le escalation raggiungano il livello di governance corretto e se gli incidenti conducano a miglioramenti strutturali.<\/p>

L\u2019assurance del consiglio richiede infine disciplina nella gestione delle carenze e delle incertezze. Un problema ricorrente di governance emerge quando singole carenze dei controlli vengono ciascuna valutate separatamente come non materiali, mentre il loro insieme evidenzia una debolezza pi\u00f9 profonda. Il Suo consiglio deve quindi valutare non soltanto rilievi isolati, ma anche la loro interazione, ricorrenza, durata, cause e potenziale impatto. Pi\u00f9 debolezze apparentemente limitate nei processi di accettazione dei clienti, nei controlli sui pagamenti, nella segregazione delle funzioni e nelle possibilit\u00e0 di management override possono complessivamente indicare una significativa crescita dell\u2019esposizione ai Rischi di criminalit\u00e0 finanziaria. Lo stesso vale quando le azioni di remediation vengono ripetutamente rinviate, i rilievi di audit si ripresentano o le funzioni operative richiedono sistematicamente eccezioni rispetto a controlli formalmente qualificati come essenziali. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria consente una valutazione pi\u00f9 efficace collegando incidenti, carenze dei controlli, root cause e remediation anzich\u00e9 trattarli come fascicoli separati. Il Suo consiglio deve essere in grado di distinguere tra carenze che richiedono una remediation immediata, carenze che possono essere temporaneamente accettate purch\u00e9 accompagnate da controlli compensativi e situazioni nelle quali la prosecuzione di una determinata attivit\u00e0 non sia pi\u00f9 difendibile. Quando tale valutazione viene eseguita e documentata con sufficiente rigore, la Dichiarazione sulla gestione dei rischi acquisisce una base sostanziale che va ben oltre la compliance formale. Essa diventa il risultato di un processo esecutivo continuativo nel quale strategia, controllo interno, assurance indipendente, Gestione integrata dei rischi di criminalit\u00e0 finanziaria e responsabilit\u00e0 del management risultano dimostrabilmente connessi.<\/p>

Conflitti di interesse, operazioni con parti correlate e integrit\u00e0 della governance<\/h4>

I conflitti di interesse rientrano tra i rischi di governance pi\u00f9 frequentemente sottovalutati, poich\u00e9 non si manifestano soltanto nelle situazioni evidenti in cui un amministratore possa ottenere un vantaggio finanziario diretto da una decisione societaria. Nelle organizzazioni complesse, essi possono emergere anche quando relazioni personali, incarichi esterni, interessi azionari, sistemi di remunerazione variabile, obiettivi commerciali, legami familiari, relazioni d\u2019affari di lunga durata, investimenti privati o dipendenze istituzionali siano idonei a influenzare l\u2019obiettivit\u00e0 del giudizio o a creare la percezione che una decisione non sia stata adottata esclusivamente nell\u2019interesse dell\u2019organizzazione. Per la Sua organizzazione, i conflitti di interesse non dovrebbero quindi essere valutati unicamente sulla base di obblighi formali di disclosure, ma come una questione sostanziale di governance che incide sulla qualit\u00e0 delle decisioni, sull\u2019integrit\u00e0, sui flussi informativi e sulla difendibilit\u00e0 giuridica. La questione rilevante non consiste soltanto nello stabilire se un amministratore o un membro del consiglio di sorveglianza abbia formalmente dichiarato un interesse confliggente, ma se la Sua organizzazione abbia identificato tempestivamente che una posizione personale, finanziaria o istituzionale potesse compromettere l\u2019indipendenza del giudizio, quali salvaguardie siano state successivamente introdotte e se il processo decisionale abbia creato una distanza sufficiente tra l\u2019interesse rilevante e la decisione finale. Ci\u00f2 assume particolare importanza in acquisizioni, joint venture, management buy-out, finanziamenti da parte di azionisti, prestiti a parti correlate, selezione di consulenti, procurement, decisioni in materia di remunerazione, rapporti con fornitori strategici e transazioni che coinvolgano amministratori, membri del consiglio di sorveglianza, azionisti o soggetti a essi collegati. Il sistema di governance della Sua organizzazione dovrebbe essere in grado di identificare tali situazioni in una fase precoce e prevedere procedure chiare per disclosure, valutazione indipendente, astensione dalla deliberazione o dal voto, approvazioni aggiuntive e documentazione adeguata. L\u2019integrit\u00e0 di una decisione esecutiva non \u00e8 determinata soltanto dal suo risultato economico, ma anche dal modo in cui le potenziali influenze sono state riconosciute e governate. Una decisione commercialmente attraente pu\u00f2 divenire giuridicamente e reputazionalmente vulnerabile qualora emerga successivamente che interessi rilevanti non siano stati dichiarati, che un amministratore interessato abbia esercitato un\u2019influenza determinante o che la revisione indipendente sia risultata inadeguata. Al contrario, un processo accuratamente strutturato, nel quale i potenziali conflitti siano stati esplicitamente identificati e l\u2019indipendenza della decisione sia stata dimostrabilmente preservata, pu\u00f2 offrire una protezione significativa qualora l\u2019operazione venga successivamente scrutinata da azionisti, autorit\u00e0 di vigilanza, curatori, autorit\u00e0 investigative o altri stakeholder.<\/p>

Nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria, i conflitti di interesse assumono un\u2019importanza ancora maggiore perch\u00e9 costituiscono frequentemente un fattore sottostante in casi di frode, corruzione, pagamenti impropri, misconduct nei processi di procurement, uso indebito di informazioni riservate, trattamento preferenziale di terzi e manipolazione delle decisioni commerciali. Un fornitore che riceva sistematicamente incarichi mentre un dipendente o un amministratore intrattenga con esso una relazione finanziaria non dichiarata non rappresenta soltanto un problema di procurement o governance, ma pu\u00f2 anche indicare un\u2019esposizione a frode, corruzione o vantaggi privati indebiti. Lo stesso vale per transazioni che coinvolgano intermediari il cui contributo economico sia poco chiaro, joint venture nelle quali un amministratore detenga un interesse indiretto o contratti di consulenza con soggetti collegati a decisori all\u2019interno di un\u2019organizzazione cliente. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria richiede pertanto che tali conflitti non vengano trattati come semplici voci isolate in un registro, ma siano collegati alla customer due diligence, alla third-party due diligence, ai controlli di procurement, all\u2019analisi dei pagamenti, alle informazioni sui titolari effettivi, allo screening sanzioni, alle valutazioni del rischio di frode, ai dati provenienti dalle indagini interne e alle segnalazioni dei canali speak-up. Per la Sua organizzazione, ci\u00f2 consente di ottenere una visione del rischio significativamente pi\u00f9 ricca. Una singola dichiarazione relativa a un incarico esterno pu\u00f2 sembrare di per s\u00e9 poco significativa, ma pu\u00f2 assumere una rilevanza sostanzialmente diversa se analizzata insieme a flussi di pagamento, decisioni relative alla selezione dei fornitori o eccezioni alle procedure di procurement. Una Gestione integrata dei rischi di criminalit\u00e0 finanziaria efficace richiede pertanto che i dati di governance rilevanti possano essere collegati e analizzati e che siano disponibili poteri adeguati per investigare pattern emergenti quando pi\u00f9 indicatori convergano. Deve inoltre essere chiaro quale funzione o quale organo di governance sia autorizzato a valutare in modo indipendente un potenziale conflitto. Quando siano coinvolti il senior management o un amministratore, una revisione ordinaria da parte della linea gerarchica pu\u00f2 non essere sufficiente, rendendo necessaria un\u2019escalation verso il presidente del consiglio di sorveglianza, il comitato audit o un altro organo dotato dell\u2019indipendenza richiesta. In tal modo si riduce il rischio che gerarchia, pressione commerciale o lealt\u00e0 personale interferiscano con la valutazione obiettiva di una questione di integrit\u00e0.<\/p>

Le operazioni con parti correlate meritano un\u2019attenzione particolare in questo contesto, perch\u00e9 presentano rischi maggiori di conflitto, trasferimento di valore, condizioni non di mercato, trattamento preferenziale e insufficiente trasparenza. La Sua organizzazione dovrebbe garantire che tali operazioni non vengano semplicemente registrate sul piano amministrativo, ma siano valutate in modo sostanziale in relazione alla loro logica economica, al pricing, ai poteri decisionali applicabili, alle alternative disponibili, alla documentazione e alla coerenza con gli interessi dell\u2019organizzazione e degli stakeholder rilevanti. Questo aspetto assume particolare rilievo nelle societ\u00e0 controllate, nelle imprese familiari, nei gruppi societari complessi, nelle strutture di private equity, nei finanziamenti infragruppo transfrontalieri e nelle transazioni che coinvolgano amministratori comuni. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria dovrebbe inoltre valutare se operazioni con parti correlate possano essere utilizzate per occultare pagamenti, trasferire profitti, concedere vantaggi indebiti, sottrarre attivi ai creditori o aggirare restrizioni derivanti da sanzioni o da requisiti di compliance. La qualit\u00e0 della governance diviene visibile, in tali circostanze, nella capacit\u00e0 della Sua organizzazione di imporre uno scrutinio indipendente anche quando le operazioni siano commercialmente sensibili o internamente scomode. Ci\u00f2 richiede pi\u00f9 di un registro e di una dichiarazione standard. Richiede una cultura nella quale i potenziali conflitti siano dichiarati tempestivamente, la trasparenza non venga interpretata come espressione di sfiducia e amministratori e membri del consiglio di sorveglianza comprendano che l\u2019astensione e la decisione indipendente rafforzano, anzich\u00e9 indebolire, la legittimit\u00e0 istituzionale e la protezione giuridica individuale. Un processo di governance solido dovrebbe quindi consentire di stabilire quali interessi esistessero, chi ne fosse a conoscenza, quali misure siano state adottate per neutralizzare eventuali influenze, quali informazioni siano state messe a disposizione dei decisori indipendenti e perch\u00e9 l\u2019operazione finale sia stata considerata conforme agli interessi dell\u2019organizzazione. L\u2019integrit\u00e0 della governance diviene cos\u00ec concreta, verificabile e giuridicamente difendibile.<\/p>

Dossier decisionali del management, difendibilit\u00e0 giuridica e governance basata sulle evidenze<\/h4>

La difendibilit\u00e0 giuridica delle decisioni degli organi di vertice dipende sempre pi\u00f9 dalla qualit\u00e0 del contemporaneous record: la documentazione predisposta al momento della decisione o in prossimit\u00e0 di essa e idonea a dimostrare quali informazioni fossero disponibili, quali domande siano state poste, quali alternative siano state considerate e quali rischi siano stati consapevolmente accettati. Spiegazioni elaborate dopo gli eventi possono conservare una certa rilevanza, ma possiedono generalmente un diverso valore probatorio rispetto ai documenti che mostrano come il processo decisionale si sia effettivamente sviluppato prima che l\u2019esito fosse noto. Per la Sua organizzazione, verbali del consiglio, decision paper, memorandum sui rischi, pareri legali, presentazioni del management, audit report, corrispondenza e-mail, documentazione relativa alle escalation e materiali di assurance possono complessivamente costituire il dossier esecutivo sulla base del quale verr\u00e0 successivamente valutata la qualit\u00e0 della governance. Ci\u00f2 non richiede la creazione di un apparato documentale difensivo eccessivo che rallenti le decisioni o offuschi il giudizio commerciale. Richiede, invece, una registrazione sistematica degli elementi essenziali di una governance responsabile. Un dossier decisionale robusto dovrebbe identificare la ragione della decisione proposta, i fatti materiali, le principali incertezze, le alternative credibili, le conseguenze giuridiche e finanziarie, gli interessi rilevanti, le consulenze specialistiche richieste, i principali controargomenti e la motivazione della soluzione finale. Quando la decisione riguarda un\u2019operazione eccezionale, un investimento rilevante, una ristrutturazione, l\u2019ingresso in un nuovo mercato, una misura di crisi o una deroga in materia di compliance, il dossier dovrebbe inoltre spiegare perch\u00e9 la scelta effettuata sia stata considerata proporzionata rispetto alle alternative disponibili. Ci\u00f2 consente alla Sua organizzazione di dimostrare successivamente che la decisione non sia stata arbitraria, negligente o guidata esclusivamente dall\u2019esito desiderato, ma sia derivata da una valutazione informata delle circostanze esistenti al momento rilevante.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria rafforza tale approccio, perch\u00e9 i Rischi di criminalit\u00e0 finanziaria diventano spesso pienamente visibili soltanto quando pi\u00f9 fonti informative vengono collegate tra loro. Una decisione relativa a un nuovo distributore pu\u00f2, ad esempio, apparire commercialmente razionale finch\u00e9 una due diligence non riveli una struttura di titolarit\u00e0 effettiva opaca, pagamenti indirizzati attraverso una giurisdizione terza, precedenti questioni di integrit\u00e0 o strette relazioni tra l\u2019intermediario e funzionari pubblici. Un dossier decisionale ben strutturato dovrebbe allora documentare non soltanto la logica commerciale, ma anche il modo in cui tali Rischi di criminalit\u00e0 finanziaria siano stati valutati, quali controlli aggiuntivi siano stati richiesti e perch\u00e9 l\u2019eventuale esposizione residua sia stata ritenuta accettabile. Lo stesso principio vale per le decisioni di proseguire una relazione con un cliente nonostante indicatori di rischio elevati, autorizzare una transazione dopo un alert sanzioni, chiudere un\u2019indagine per insufficienza di elementi probatori o consentire una deroga temporanea ai controlli standard per ragioni di urgenza operativa. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria dovrebbe garantire che tali eccezioni siano supportate da una giustificazione dimostrabile e basata sul rischio. Ci\u00f2 \u00e8 particolarmente rilevante perch\u00e9 le eccezioni diventano spesso punti focali nelle indagini successive. Quando la Sua organizzazione pu\u00f2 dimostrare che una deroga era basata su fatti documentati, competenze appropriate, controlli compensativi chiaramente definiti e una precisa limitazione temporale, la posizione giuridica risulta significativamente diversa rispetto a quella in cui un responsabile commerciale abbia semplicemente autorizzato l\u2019eccezione senza un\u2019analisi sostanziale. La documentazione decisionale non costituisce quindi un mero supporto amministrativo della governance, ma una componente essenziale della Gestione integrata dei rischi di criminalit\u00e0 finanziaria e della protezione giuridica del management.<\/p>

Una governance basata sulle evidenze richiede inoltre che la documentazione rifletta la realt\u00e0 e non produca un\u2019immagine artificialmente ottimizzata degli eventi. Verbali troppo sintetici possono rendere invisibili aspetti importanti del processo decisionale, mentre una documentazione eccessivamente dettagliata pu\u00f2 creare altri rischi, rimuovendo il contesto o rappresentando riflessioni provvisorie come se fossero posizioni definitive. La Sua organizzazione necessita quindi di uno standard coerente di governance che definisca quali temi debbano essere registrati espressamente, quali documenti di supporto facciano parte del dossier decisionale e come debbano essere gestiti i pareri legali riservati. \u00c8 altrettanto importante che i verbali riflettano la presenza di un effettivo contraddittorio quando esso sia stato materialmente rilevante. Il dissenso costruttivo non dovrebbe essere attenuato artificialmente per proiettare un\u2019immagine di unit\u00e0 del consiglio. Al contrario, un dossier che dimostri come amministratori o membri del consiglio di sorveglianza abbiano esaminato alternative, richiesto informazioni supplementari o imposto condizioni pu\u00f2 sostenere la conclusione che l\u2019organo interessato abbia esercitato attivamente le proprie responsabilit\u00e0. La stessa disciplina si applica nell\u2019ambito della Gestione integrata dei rischi di criminalit\u00e0 finanziaria. Quando viene discussa una carenza di controllo, la documentazione dovrebbe identificare l\u2019impatto valutato, le misure temporanee, il responsabile della remediation, la relativa scadenza e il momento previsto per una nuova valutazione. Si crea cos\u00ec una governance trail coerente che dimostra non soltanto ci\u00f2 che sia stato deciso, ma anche in che modo siano stati organizzati il follow-up e l\u2019accountability. La Sua organizzazione rafforza quindi la propria capacit\u00e0 di dimostrare, in caso di successivo scrutinio, che le decisioni siano state assunte con attenzione, sulla base di informazioni adeguate, con consapevolezza dei rischi e in condizioni giuridicamente difendibili.<\/p>

Cultura del rischio nel consiglio, tone at the top e contraddittorio costruttivo<\/h4>

La qualit\u00e0 effettiva della corporate governance \u00e8 determinata in misura significativa dai comportamenti. Le strutture formali possono essere accuratamente progettate, ma quando gli amministratori scoraggiano la comunicazione di informazioni negative, considerano le domande critiche come un ostacolo, privilegiano sistematicamente la performance commerciale rispetto all\u2019integrit\u00e0 o non prendono seriamente in considerazione analisi divergenti, i rischi possono accumularsi al di fuori dell\u2019effettivo campo visivo del consiglio. Il tone at the top non \u00e8 quindi semplicemente un concetto di comunicazione o un insieme di valori contenuti in un codice di condotta. Esso riguarda i segnali concreti che amministratori e senior management trasmettono, attraverso decisioni e comportamenti, su ci\u00f2 che viene realmente premiato, tollerato, investigato e corretto all\u2019interno dell\u2019organizzazione. Per la Sua organizzazione, i dipendenti non dovrebbero soltanto disporre formalmente di canali per segnalare preoccupazioni; dovrebbero anche poter confidare nel fatto che informazioni scomode vengano considerate seriamente senza conseguenze negative per chi le segnala. Lo stesso principio vale all\u2019interno del consiglio. Un organo nel quale i membri siano attesi a sostenere senza ulteriore confronto le strategie gi\u00e0 adottate pu\u00f2 incontrare difficolt\u00e0 nel riconoscere tempestivamente un deterioramento delle circostanze. Il contraddittorio costruttivo richiede che le assunzioni rilevanti possano essere riesaminate, che il dissenso non venga automaticamente interpretato come mancanza di lealt\u00e0 e che il mutare dei fatti possa realmente condurre alla revisione di decisioni precedenti. Il medesimo principio si applica al consiglio di sorveglianza: la supervisione indipendente perde significato quando le domande critiche vengono poste soltanto in modo rituale o quando il management controlla i flussi informativi in modo tale da rendere quasi impossibile un contraddittorio sostanziale. Una solida cultura del rischio si manifesta quindi nel modo in cui la Sua organizzazione gestisce l\u2019incertezza, gli errori, le opinioni divergenti e le informazioni sfavorevoli.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria dipende in modo particolare da tale cultura, poich\u00e9 i Rischi di criminalit\u00e0 finanziaria diventano spesso visibili attraverso segnali deboli prima che esistano evidenze sufficienti per formulare una conclusione definitiva. Un dipendente pu\u00f2, ad esempio, rilevare che un responsabile sales richieda ripetutamente eccezioni per un determinato intermediario, che i pagamenti vengano frazionati in modo insolito, che un fornitore venga sistematicamente selezionato attraverso lo stesso dipendente o che determinati dossier clienti vengano approvati con una velocit\u00e0 anomala. Se la cultura organizzativa consente l\u2019escalation soltanto quando l\u2019illecito sia quasi provato, tali indicatori possono rimanere non trattati per un periodo prolungato. Una Gestione integrata dei rischi di criminalit\u00e0 finanziaria efficace richiede pertanto una cultura nella quale le anomalie possano essere esaminate senza che sia necessario formulare immediatamente un\u2019accusa. Ci\u00f2 richiede canali di escalation chiari, competenze investigative indipendenti, protezione per chi effettua segnalazioni e un consiglio che dimostri interesse concreto per la qualit\u00e0 dei sistemi di detection e follow-up. Anche le strutture di incentivazione meritano particolare attenzione. Quando la remunerazione commerciale dipende fortemente dalla crescita dei ricavi, dalla chiusura delle operazioni o dai risultati di breve termine, senza un\u2019attenzione equivalente alla qualit\u00e0 della compliance, pu\u00f2 sorgere un incentivo strutturale a eludere i controlli o a minimizzare i rischi. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria dovrebbe quindi essere collegata al performance management, alla remunerazione, ai criteri di promozione e alla management accountability. Un dipendente che generi ricavi eccezionali ma violi ripetutamente i limiti di compliance non dovrebbe ricevere implicitamente il messaggio che i risultati economici prevalgano sull\u2019integrit\u00e0. Attraverso tali scelte concrete, il Suo consiglio definisce i limiti effettivi dei comportamenti accettabili.<\/p>

Il contraddittorio costruttivo deve inoltre essere organizzato intenzionalmente, poich\u00e9 non nasce automaticamente, soprattutto nelle organizzazioni caratterizzate da forte gerarchia, leadership dominante o una lunga storia di successo strategico. La Sua organizzazione pu\u00f2 quindi necessitare di meccanismi specifici di governance che facilitino il challenge. Tali meccanismi possono includere review indipendenti, red-team analysis, pre-mortem assessment, accesso diretto delle funzioni di controllo ai comitati del consiglio, executive session senza la presenza del management o periodiche deep dive nelle quali le assunzioni di fondo vengano esplicitamente messe alla prova. La forma specifica \u00e8 meno importante della capacit\u00e0 di ridurre blind spot cognitivi e istituzionali. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria offre una prospettiva particolarmente importante in questo ambito, poich\u00e9 i Rischi di criminalit\u00e0 finanziaria sorgono spesso proprio in situazioni nelle quali la logica commerciale \u00e8 divenuta progressivamente dominante. Un mercato in rapida crescita, una relazione cliente altamente redditizia o un distributore di particolare successo possono ricevere meno scrutiny di una nuova attivit\u00e0 o di un\u2019area in perdita. Il contraddittorio costruttivo contribuisce a evitare che il successo commerciale diventi un\u2019esenzione dal controllo. Ci\u00f2 rafforza non soltanto la prevenzione dei rischi, ma anche la difendibilit\u00e0 giuridica del consiglio. Se una decisione produce successivamente un esito negativo, la Sua organizzazione sar\u00e0 meglio posizionata per dimostrare che le obiezioni materiali siano state ascoltate, che i rischi siano stati espressamente discussi e che la decisione finale non sia derivata da groupthink, soppressione delle informazioni o dominio incontrollato del management. La cultura del rischio diventa in questo modo una componente dimostrabile della qualit\u00e0 della governance, anzich\u00e9 un concetto comportamentale astratto.<\/p>

Indagini interne, carenze di governance ed enforcement regolamentare<\/h4>

Un incidente grave costituisce spesso il momento nel quale emerge con maggiore chiarezza la reale qualit\u00e0 della governance. Frode, corruzione, irregolarit\u00e0 contabili, violazioni delle sanzioni, uso improprio di dati, criminalit\u00e0 cyber, conflitti di interesse o gravi segnalazioni relative al senior management possono sollevare questioni che vanno ben oltre l\u2019accertamento della condotta di singoli individui. La Sua organizzazione potrebbe dover stabilire non soltanto che cosa sia accaduto e chi sia stato coinvolto, ma anche perch\u00e9 i meccanismi esistenti di governance e controllo non abbiano prevenuto o individuato il problema in una fase precedente. Le corporate investigation non dovrebbero quindi essere strutturate soltanto come esercizi di fact-finding, ma anche come revisioni della governance. Un\u2019indagine robusta dovrebbe essere in grado di stabilire quali warning signal fossero disponibili in precedenza, come siano stati valutati, quali escalation siano avvenute, quali individui o funzioni fossero responsabili, quali controlli abbiano fallito e se precedenti raccomandazioni siano state effettivamente implementate. Fin dall\u2019inizio, l\u2019indagine dovrebbe tenere conto della possibile responsabilit\u00e0 civile, dell\u2019enforcement regolamentare, di eventuali procedimenti penali, delle conseguenze in materia di lavoro, delle implicazioni sull\u2019informativa finanziaria, degli obblighi di disclosure e degli effetti reputazionali. La struttura dell\u2019indagine deve pertanto essere proporzionata alla natura e alla gravit\u00e0 della questione. Quando possa essere coinvolto il senior management, l\u2019indipendenza pu\u00f2 richiedere che l\u2019incarico venga conferito dal consiglio di sorveglianza o da un comitato indipendente. Quando esista una potenziale esposizione penale, legal privilege, conservazione delle evidenze, strategia degli interview e comunicazione con le autorit\u00e0 possono assumere importanza determinante. Un\u2019indagine condotta rapidamente sul piano operativo ma senza un adeguato presidio giuridico pu\u00f2 generare complicazioni significative in una fase successiva. Al contrario, un\u2019indagine guidata esclusivamente da logiche difensive pu\u00f2 non essere in grado di individuare le cause strutturali. Un\u2019indagine efficace richiede pertanto un approccio integrato nel quale fatti, governance, rischio giuridico e remediation vengano considerati congiuntamente.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria svolge un ruolo centrale in tali indagini, poich\u00e9 i Rischi di criminalit\u00e0 finanziaria raramente possono essere compresi attraverso l\u2019analisi di una singola transazione o di una singola carenza di controllo. Un incidente pu\u00f2 derivare da una combinazione di due diligence insufficiente, segregazione dei compiti inadeguata, responsabilit\u00e0 poco chiare, monitoring carente, pressione commerciale e una cultura nella quale le eccezioni siano progressivamente divenute routine. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria consente di esaminare tali fattori in combinazione. Per la Sua organizzazione, ci\u00f2 pu\u00f2 richiedere l\u2019integrazione di data analytics, transaction review, analisi delle comunicazioni elettroniche, interview, policy review, governance mapping e control testing all\u2019interno di una metodologia investigativa coerente. L\u2019obiettivo non consiste soltanto nello stabilire se un illecito si sia verificato, ma anche nel comprendere il sistema all\u2019interno del quale tale illecito sia divenuto possibile. Questo aspetto assume particolare importanza quando autorit\u00e0 di vigilanza o autorit\u00e0 investigative pongano domande sull\u2019efficacia dei controlli interni. Un\u2019organizzazione che possa dimostrare soltanto l\u2019esistenza di policy, ma non che la loro efficacia sia stata testata o che debolezze note siano state oggetto di remediation, si trova generalmente in una posizione pi\u00f9 vulnerabile rispetto a un\u2019organizzazione capace di dimostrare che le questioni siano state identificate autonomamente, investigate in modo indipendente, sottoposte a root-cause analysis e seguite da una remediation sostanziale. La qualit\u00e0 della risposta pu\u00f2 quindi influenzare il modo in cui le autorit\u00e0 esterne valutano la governance, l\u2019ambiente di controllo e la responsabilit\u00e0 dell\u2019organizzazione.<\/p>

L\u2019enforcement regolamentare aumenta inoltre la necessit\u00e0 di collegare fin dall\u2019inizio le indagini a una chiara engagement strategy. Quando viene individuata una potenziale violazione, la Sua organizzazione pu\u00f2 dover stabilire se una notifica a un\u2019autorit\u00e0 di vigilanza o ad altra autorit\u00e0 sia obbligatoria, opportuna o strategicamente rilevante; quali fatti siano sufficientemente accertati; quali aspetti restino incerti; e in che modo le comunicazioni debbano essere coordinate con eventuali procedimenti paralleli. Conclusioni premature possono essere difficili da correggere successivamente, mentre comunicazioni tardive o incomplete possono generare rischi ulteriori. La governance assume in questo contesto un ruolo determinante. Deve essere chiaro quale organo sia competente a decidere in materia di disclosure, settlement strategy, remediation ed eventuali misure disciplinari. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria contribuisce a strutturare tali decisioni mettendo in relazione la gravit\u00e0 dei Rischi di criminalit\u00e0 finanziaria, la possibile ampiezza delle violazioni, l\u2019eventuale coinvolgimento di senior personnel, le carenze dei controlli e la capacit\u00e0 di remediation. La Sua organizzazione dovrebbe inoltre evitare di equiparare la conclusione dell\u2019indagine alla risoluzione del problema sottostante. I risultati investigativi devono essere tradotti in miglioramenti della governance, controlli modificati, responsabilit\u00e0 pi\u00f9 chiare, formazione supplementare, monitoring rafforzato e, quando necessario, cambiamenti nella leadership o nei sistemi di incentivazione. Un\u2019indagine genera valore sostenibile per la governance soltanto quando l\u2019organizzazione non si limita a comprendere ci\u00f2 che sia accaduto, ma affronta anche le condizioni che abbiano consentito alle debolezze sottostanti di emergere e persistere.<\/p>

Accountability del consiglio, remediation della governance e resilienza istituzionale<\/h4>

La remediation della governance inizia spesso dove termina la tradizionale risposta all\u2019incidente. Quando un\u2019indagine, un audit, una revisione regolamentare o un grave evento interno evidenziano carenze, non \u00e8 sufficiente limitarsi a gestire l\u2019incidente specifico e modificare alcune procedure. La Sua organizzazione deve identificare quali fattori di governance sottostanti abbiano contribuito alla nascita o alla persistenza del problema. Tali fattori possono comprendere poteri decisionali poco chiari, informazioni gestionali deboli, insufficiente challenge indipendente, inadeguata segregazione delle funzioni, scarsa qualit\u00e0 dei dati, capacit\u00e0 di controllo insufficiente, escalation inefficace, incentivi inappropriati o una cultura nella quale deviazioni ripetute rispetto agli standard attesi siano divenute progressivamente normalizzate. La remediation della governance dovrebbe affrontare tali cause in modo sistematico. Ci\u00f2 richiede ownership chiara, scadenze precise, criteri misurabili di completamento e validazione indipendente che dimostri non soltanto che le misure di remediation siano state implementate, ma anche che funzionino effettivamente nella pratica. Il consiglio dovrebbe distinguere tra immediate containment, remediation strutturale e rafforzamento istituzionale di pi\u00f9 lungo periodo. L\u2019introduzione di un\u2019ulteriore fase autorizzativa immediatamente dopo un incidente pu\u00f2, ad esempio, essere necessaria come misura temporanea di riduzione del rischio, ma non costituisce automaticamente una soluzione sostenibile quando il problema sottostante derivi da dati inadeguati, staffing insufficiente o sistemi carenti. Il consiglio di sorveglianza dovrebbe essere in grado di monitorare se la remediation sia sufficientemente profonda, se il management destini risorse adeguate e se determinati rischi vengano qualificati come \u201cchiusi\u201d prematuramente. L\u2019accountability del consiglio diviene cos\u00ec visibile nella disponibilit\u00e0 ad affrontare non soltanto singoli errori, ma anche debolezze strutturali della governance.<\/p>

La Gestione integrata dei rischi di criminalit\u00e0 finanziaria offre un quadro particolarmente importante per la remediation, perch\u00e9 evita che singoli Rischi di criminalit\u00e0 finanziaria vengano affrontati attraverso workstream isolati. Se, ad esempio, un episodio di corruzione conduce al rafforzamento della third-party due diligence, ma non produce cambiamenti nei sistemi di incentivazione, nella governance del procurement, nei controlli sui pagamenti o nelle possibilit\u00e0 di management override, una parte significativa della vulnerabilit\u00e0 originaria pu\u00f2 rimanere intatta. Lo stesso vale quando un caso di frode determina l\u2019introduzione di ulteriore transaction monitoring senza affrontare problemi relativi alla qualit\u00e0 dei dati, alla segregazione delle funzioni o alla capacit\u00e0 investigativa. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria collega quindi governance, persone, processi, tecnologia, dati e controlli all\u2019interno di una strategia di remediation coerente. Per la Sua organizzazione, ci\u00f2 significa che la remediation dovrebbe essere fondata su una root-cause analysis e non soltanto sulla manifestazione immediata dell\u2019incidente. Quando una carenza di controllo deriva da responsabilit\u00e0 non chiaramente definite, la governance deve essere riprogettata. Quando il problema sia collegato a competenze inadeguate, capacit\u00e0 ed expertise devono essere rafforzate. Quando la pressione commerciale rappresenti una causa materiale, obiettivi, sistemi di remunerazione e management accountability devono essere riesaminati. Quando le informazioni risultino inaffidabili, l\u2019information governance deve essere migliorata. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria diviene cos\u00ec parte del rafforzamento istituzionale anzich\u00e9 un mero esercizio di riparazione della compliance. Il consiglio dovrebbe essere in grado di stabilire periodicamente quali azioni di remediation rimangano aperte, quali dipendenze ne condizionino il completamento, quali rischi siano temporaneamente accettati e se siano necessarie ulteriori misure di salvaguardia fino al completamento della remediation strutturale.<\/p>

La resilienza istituzionale emerge, in ultima analisi, quando la Sua organizzazione \u00e8 in grado di assorbire una perturbazione grave senza perdere il controllo esecutivo, la coerenza giuridica o la direzione strategica. La governance deve quindi funzionare non soltanto in condizioni operative normali, ma anche durante crisi, indagini, improvvisa pressione finanziaria, incidenti cyber, danni reputazionali o interventi regolamentari inattesi. Ruoli e responsabilit\u00e0 devono essere immediatamente chiari, il processo decisionale deve potersi accelerare senza eliminare controlli essenziali e le informazioni critiche devono continuare a circolare in modo affidabile. La Gestione integrata dei rischi di criminalit\u00e0 finanziaria contribuisce direttamente a tale resilienza, perch\u00e9 collega i Rischi di criminalit\u00e0 finanziaria con crisis management, business continuity, strategia legale, comunicazione e accountability esecutiva. La Sua organizzazione dovrebbe, ad esempio, sapere preventivamente chi disponga dell\u2019autorit\u00e0 per sospendere transazioni, limitare determinate relazioni con clienti, avviare un\u2019indagine interna, informare un\u2019autorit\u00e0 di vigilanza o incaricare ulteriori esperti esterni. \u00c8 altrettanto importante che, dopo la fase acuta della crisi, vi sia una transizione controllata verso la remediation strutturale e la valutazione successiva dell\u2019evento. Un\u2019organizzazione che ritorni ogni volta al business as usual senza incorporare sistematicamente gli insegnamenti di governance rimane vulnerabile alla reiterazione delle medesime carenze. Un\u2019organizzazione resiliente utilizza gli incidenti gravi come fonte di apprendimento esecutivo, rafforza i meccanismi decisionali, migliora la qualit\u00e0 delle informazioni e sviluppa capacit\u00e0 di early warning pi\u00f9 solide attraverso competenze concrete e meccanismi di monitoring. L\u2019accountability non viene cos\u00ec ridotta all\u2019attribuzione di colpe successivamente agli eventi. Diviene la capacit\u00e0 di identificare tempestivamente i rischi, assumere in modo visibile la responsabilit\u00e0, porre rimedio alle carenze in maniera convincente e dimostrare che l\u2019organizzazione sia divenuta sostanzialmente pi\u00f9 forte a seguito dell\u2019evento. La corporate governance evolve quindi in una disciplina continuativa che integra direzione strategica, supervisione indipendente, Gestione integrata dei rischi di criminalit\u00e0 finanziaria, difendibilit\u00e0 giuridica e fiducia istituzionale sostenibile.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

La corporate governance si sta evolvendo sempre pi\u00f9 da un sistema formale di organi societari, deleghe di poteri, regolamenti interni, comitati e linee di reporting verso una disciplina dimostrabile di guida istituzionale, nella quale la Sua organizzazione deve essere in grado di comprovare che le decisioni strategiche siano state adottate sulla base di informazioni sufficientemente affidabili, che i rischi materiali siano stati correttamente identificati, che le responsabilit\u00e0 siano state chiaramente attribuite e che i segnali indicativi di possibili carenze abbiano raggiunto tempestivamente il livello decisionale appropriato. La mera esistenza di un consiglio di amministrazione, di un consiglio di sorveglianza, di<\/p>\n","protected":false},"author":1,"featured_media":36159,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[246],"tags":[],"class_list":["post-38340","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-governance-rischi-assurance"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/posts\/38340","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/comments?post=38340"}],"version-history":[{"count":4,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/posts\/38340\/revisions"}],"predecessor-version":[{"id":38344,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/posts\/38340\/revisions\/38344"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/media\/36159"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/media?parent=38340"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/categories?post=38340"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/it\/wp-json\/wp\/v2\/tags?post=38340"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}