Che cos’è il rischio di compliance?

Il rischio di compliance è la possibilità che un’organizzazione subisca sanzioni, perdite economiche o danni reputazionali perché non ha rispettato una norma a cui era soggetta. Non è il rischio di perdere una causa: è il rischio di essere fuori regola, che qualcuno se ne accorga o meno.

La definizione che conta

La formulazione più usata in Italia è quella di Banca d’Italia, nata per il settore bancario ma ormai adottata come standard trasversale:

Due cose la rendono utile. Primo: mette sullo stesso piano la multa e il danno d’immagine, che nella pratica è spesso il più caro dei due. Secondo: include l’autoregolamentazione. Se il tuo codice etico promette un canale di segnalazione e quel canale non funziona, sei esposto anche se nessuna legge te lo imponeva.

Le quattro forme di danno

Quando si materializza, il rischio di compliance non arriva mai in una sola forma:

1. Sanzione amministrativa o penale. L’importo è la parte prevedibile e spesso la più piccola.
2. Interruzione dell’attività. Sospensione di autorizzazioni, esclusione da gare pubbliche, blocco di una linea produttiva.
3. Responsabilità personale. Amministratori, dirigenti e in certi casi il datore di lavoro rispondono in proprio.
4. Danno reputazionale. Non ha un tetto massimo e non si estingue con un pagamento. In settori dove la fiducia è il prodotto — sanità, servizi alla persona, finanza — è quello che pesa di più.

Esempi concreti

Tre situazioni ordinarie, tutte con esposizione reale:

Il terzo caso è il più insidioso, perché nasce dalla buona fede: qualcuno ha allestito una casella dedicata pensando di risolvere e ha creato un’esposizione nuova.

Come si misura

La misurazione formale si chiama compliance risk assessment e nella sostanza è semplice: per ogni obbligo applicabile stimi probabilità di violazione e impatto, poi ordini per prodotto dei due.

La parte difficile non è il calcolo, è il primo passo: sapere quali norme ti si applicano. La maggior parte delle PMI italiane scopre di essere fuori regola su un adempimento di cui ignorava l’esistenza, non su uno che aveva deciso di trascurare.

Come si riduce

Il rischio di compliance non si azzera: si presidia. Le leve che funzionano davvero sono quattro.

• Mappatura degli obblighi — sapere per iscritto quali norme ti si applicano e chi risponde di ciascuna.
• Procedure scritte e conosciute — una procedura che esiste solo nel raccoglitore non riduce nulla.
• Un canale per far emergere i problemi — le violazioni le vedono per primi i dipendenti, non il consulente esterno.
• Tracciabilità di ciò che è stato fatto — in sede di ispezione conta la prova documentale, non il ricordo.

La terza leva è quella che le aziende sottovalutano di più. Un canale di whistleblowing conforme fa due cose insieme: intercetta i problemi finché sono ancora gestibili internamente, ed è esso stesso un obbligo per chi ha 50 o più dipendenti o un Modello 231. Non averlo è contemporaneamente un rischio non presidiato e una violazione in atto.

Questo articolo ha scopo informativo e non costituisce parere legale. La normativa evolve e ogni situazione aziendale ha specificità proprie: per la valutazione del tuo caso rivolgiti al tuo consulente o a un legale.