Mappatura e copertura dei rischi nella gestione aziendale

Introduzione: l’esposizione ai rischi nell’attività d’impresa

L’esercizio dell’attività d’impresa comporta inevitabilmente l’esposizione a rischi di diversa natura, capaci di produrre conseguenze economiche, patrimoniali, legali e reputazionali. Nella pratica, soprattutto nelle realtà meno strutturate, la loro gestione viene ancora frequentemente affidata all’esperienza dell’imprenditore e degli amministratori, senza un processo organico che consenta di individuare preventivamente le principali aree di vulnerabilità e definire gli strumenti più adeguati per limitarne gli effetti.

Nel precedente approfondimento dedicato allo spin-off immobiliare abbiamo affrontato la tutela del patrimonio sotto il profilo della struttura societaria, analizzando come la separazione degli immobili dall’attività operativa possa evitare che beni di particolare valore rimangano direttamente esposti ai rischi dell’impresa. La protezione del patrimonio, tuttavia, non può essere affidata esclusivamente a questo tipo di interventi.

Un contenzioso con un cliente o un fornitore strategico, un grave infortunio sul lavoro, una violazione normativa, una frode interna, una contestazione fiscale o un attacco informatico possono generare perdite, responsabilità e sanzioni e, nei casi più significativi, incidere sulla continuità dell’attività. Il tema si sposta quindi dalla struttura alla gestione: occorre comprendere quali eventi possano compromettere l’impresa e quali strumenti possano essere utilizzati per prevenirli, limitarne le conseguenze o trasferirne, quando possibile, l’impatto economico.

In questa prospettiva assume particolare importanza la mappatura dei rischi aziendali, attraverso la quale l’impresa può individuare le proprie aree di esposizione, valutarne la rilevanza e stabilire quali rischi possano essere accettati e quali richiedano invece specifici interventi.

Gli strumenti disponibili variano in funzione della natura dell’esposizione e delle caratteristiche dell’organizzazione. In alcuni casi sarà necessario intervenire attraverso procedure, deleghe e sistemi di controllo; in altri potrà essere opportuno trasferire determinate conseguenze economiche mediante coperture assicurative. Per le organizzazioni più strutturate assumono inoltre rilievo il Modello di Organizzazione, Gestione e Controllo previsto dal D.Lgs. 231/2001 e, con specifico riferimento al rischio fiscale, il Tax Control Framework.

L’obiettivo non è eliminare ogni elemento di incertezza, componente inevitabile dell’attività imprenditoriale, ma costruire un sistema proporzionato alle caratteristiche dell’impresa che consenta di conoscere le principali esposizioni e intervenire prima che un rischio gestibile si trasformi in un problema patrimoniale o organizzativo.

Le principali categorie di rischio aziendale

I rischi possono originarsi dai diversi ambiti dell’operatività aziendale: produzione, vendita, gestione del personale, rapporti con clienti e fornitori, Pubblica Amministrazione, gestione finanziaria e utilizzo dei sistemi informatici. Le conseguenze possono incidere sulla redditività e sulla liquidità, determinare perdite patrimoniali, generare responsabilità in capo alla società e ai suoi amministratori oppure compromettere la reputazione dell’impresa nei confronti del mercato.

Ai fini della mappatura è possibile ricondurre le principali esposizioni ad alcune categorie.

I rischi operativi riguardano gli eventi direttamente connessi allo svolgimento dell’attività, quali interruzioni dei processi produttivi, malfunzionamenti degli impianti, danni ai beni strumentali, errori umani o perdita di figure professionali essenziali per l’organizzazione.

I rischi legali e penali derivano invece dalle responsabilità alle quali possono essere esposti l’impresa e i suoi organi. Rientrano in quest’area, tra le altre, le violazioni della normativa in materia di lavoro, salute e sicurezza, ambiente e degli ulteriori obblighi previsti dalla disciplina applicabile allo specifico settore.

I rischi fiscali sono connessi alla possibilità che comportamenti, operazioni o procedure adottate dall’impresa risultino non conformi alla normativa tributaria, con conseguente recupero di maggiori imposte, applicazione di sanzioni e interessi o apertura di contenziosi con l’Amministrazione finanziaria.

I rischi reputazionali comprendono gli eventi capaci di compromettere la credibilità dell’impresa nei confronti di clienti, fornitori, istituti di credito, investitori e altri stakeholder, producendo conseguenze economiche anche in assenza di un danno patrimoniale immediato.

Infine, i rischi informatici o Cyber Risk riguardano la sicurezza dei sistemi e dei dati aziendali. Attacchi informatici, perdita o sottrazione di informazioni e indisponibilità delle infrastrutture possono interrompere l’operatività, determinare costi di ripristino e generare responsabilità nei confronti di terzi, oltre agli obblighi derivanti dalla normativa sulla protezione dei dati personali.

Queste categorie non devono essere considerate compartimenti separati. Uno stesso evento può produrre conseguenze su più livelli: un incidente informatico, ad esempio, può determinare contemporaneamente un’interruzione operativa, una violazione dei dati personali, richieste risarcitorie e un danno reputazionale. L’analisi deve quindi considerare l’impresa nel suo complesso ed essere adattata alla sua effettiva struttura, anche nelle PMI nelle quali più responsabilità sono spesso concentrate nelle stesse persone.

Rimane invece fuori dall’ambito del presente approfondimento il rischio di perdita della continuità aziendale derivante dall’andamento negativo della gestione, riconducibile alla disciplina della crisi d’impresa, già affrontata dallo Studio in precedenti contributi.

La mappatura dei rischi: metodo e finalità

La mappatura dei rischi (risk mapping) costituisce una delle principali fasi del processo di risk assessment e consiste nell’analisi sistematica dei processi aziendali finalizzata a individuare le aree di vulnerabilità, valutando per ciascuna di esse la probabilità di accadimento di eventi avversi e le relative conseguenze economiche, patrimoniali, legali o reputazionali.

L’analisi deve essere costruita sulla concreta organizzazione dell’impresa, tenendo conto delle dimensioni, del settore di appartenenza e delle caratteristiche dell’attività. Il suo risultato consente all’organo amministrativo di stabilire le priorità di intervento e individuare le misure più appropriate rispetto alle esposizioni rilevate.

La mappatura assume rilievo anche rispetto agli obblighi organizzativi previsti dall’art. 2086, secondo comma, del Codice Civile, come modificato dal D.Lgs. 12 gennaio 2019, n. 14 – Codice della Crisi d’Impresa e dell’Insolvenza. La disposizione impone all’imprenditore che operi in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa, anche ai fini della tempestiva rilevazione della crisi e della perdita della continuità aziendale.

Pur non coincidendo con gli adeguati assetti previsti dalla normativa, la mappatura rappresenta uno strumento utile per supportare le decisioni degli amministratori e verificare la coerenza dei controlli adottati rispetto alle caratteristiche della gestione.

Le fasi della mappatura

Il processo di risk mapping può essere articolato in quattro fasi principali, tra loro collegate.

1. Identificazione dei processi e delle aree sensibili

Il primo passaggio consiste nell'esaminare le attività concretamente svolte dall'impresa, individuando i processi nei quali possono verificarsi eventi potenzialmente dannosi. A seconda del settore, l'analisi potrà interessare la produzione, gli acquisti, la gestione dei fornitori, le vendite, il personale, i sistemi informativi, gli adempimenti fiscali e i rapporti con la Pubblica Amministrazione.

2. Valutazione della probabilità e dell'impatto

Per ciascun rischio vengono valutate la probabilità che l'evento si verifichi e la gravità delle conseguenze che potrebbe produrre. La combinazione dei due parametri permette di costruire una matrice probabilità/impatto e distinguere:

• Rischi critici: caratterizzati da elevata probabilità ed elevato impatto, per i quali è necessario prevedere interventi prioritari.
• Rischi rilevanti: nei quali almeno uno dei due parametri assume valori medio-alti e che richiedono specifici presìdi.
• Rischi a bassa esposizione: caratterizzati da probabilità e conseguenze contenute, generalmente gestibili attraverso controlli meno intensi.

La valutazione deve considerare entrambi i parametri: un evento poco probabile ma capace di provocare una perdita patrimoniale particolarmente elevata può richiedere misure più incisive rispetto a un evento frequente ma con conseguenze economiche limitate.

3. Definizione delle misure di mitigazione e controllo

Individuate le esposizioni, occorre verificare quali presìdi siano già presenti nell'organizzazione e se risultino adeguati. In questa fase assume rilievo la distinzione tra rischio inerente, ossia il livello di esposizione prima dell'applicazione dei controlli, e rischio residuo, che permane dopo l'introduzione delle misure di prevenzione.

I presìdi possono comprendere procedure operative, sistemi autorizzativi, verifiche, deleghe e separazione delle funzioni. La loro efficacia determina il livello di rischio che l'impresa continua a sostenere: due aziende con attività analoghe possono infatti presentare esposizioni residue differenti in funzione dell'organizzazione e dei controlli adottati.

4. Monitoraggio e aggiornamento

La mappatura richiede un aggiornamento periodico, poiché i fattori di rischio possono modificarsi insieme all'attività e al contesto normativo ed economico.

Oltre alle verifiche ordinarie, una revisione può rendersi necessaria in occasione di acquisizioni, fusioni, riorganizzazioni, ingresso in nuovi mercati, introduzione di sistemi informatici, modifiche normative rilevanti, incidenti o contenziosi. Il monitoraggio consente di verificare se le misure adottate mantengano nel tempo la propria efficacia e se siano emerse nuove aree di esposizione.

Le strategie di gestione del rischio

Completata la valutazione, l'organo amministrativo può individuare la strategia più appropriata rispetto alle singole esposizioni. Il rischio può essere accettato, quando risulta compatibile con l'attività e con la capacità dell'impresa di sostenerne le eventuali conseguenze, oppure mitigato, mediante l'introduzione di procedure e controlli finalizzati a ridurne la probabilità o l'impatto.

In altri casi può essere opportuno trasferirne le conseguenze economiche attraverso coperture assicurative o specifiche clausole contrattuali. Quando invece l'esposizione risulta eccessiva rispetto agli obiettivi aziendali, l'impresa può decidere di evitare il rischio, modificando determinate scelte operative, ad esempio rinunciando a commesse o mercati particolarmente critici.

La mappatura permette così di passare dalla conoscenza dei rischi alla definizione di interventi concreti, fornendo agli amministratori gli elementi necessari per orientare le decisioni e destinare le risorse alle aree maggiormente esposte.

Le coperture assicurative nella gestione dei rischi aziendali

Le coperture assicurative rappresentano uno degli strumenti attraverso i quali l'impresa può contenere le conseguenze patrimoniali derivanti dal verificarsi di determinati eventi. La loro efficacia dipende tuttavia dalla corretta individuazione delle esposizioni da assicurare, dalla definizione di massimali adeguati e dalla verifica delle condizioni contrattuali, comprese eventuali esclusioni, franchigie e limitazioni.

Una polizza sottoscritta in passato può infatti risultare non più coerente con l'attività svolta, soprattutto quando siano intervenuti cambiamenti nel volume d'affari, nel valore dei beni, nell'organizzazione del lavoro o nelle responsabilità assunte dall'impresa. Tra le principali coperture da valutare rientrano la Responsabilità Civile aziendale, le polizze relative ai danni ai beni strumentali, le coperture Directors & Officers (D&O) e quelle dedicate al Cyber Risk.

La Responsabilità Civile aziendale

La polizza di Responsabilità Civile aziendale è finalizzata a proteggere l'impresa dalle conseguenze economiche delle richieste di risarcimento avanzate da terzi per danni provocati nello svolgimento dell'attività.

L'adeguatezza della copertura dipende principalmente dalla natura delle operazioni svolte, dall'entità dei danni potenzialmente provocabili e dai massimali previsti. Questi ultimi non dovrebbero essere determinati esclusivamente sulla base del volume d'affari, ma tenendo conto delle caratteristiche del settore e delle responsabilità che possono derivare dall'attività.

In questo ambito assumono rilievo anche le coperture relative alla responsabilità verso i prestatori di lavoro (RCO), con particolare riferimento agli infortuni e alle eventuali responsabilità riconducibili al datore di lavoro.

Le coperture per i danni ai beni aziendali

Un secondo ambito riguarda la protezione dei beni necessari allo svolgimento dell'attività. Fabbricati, impianti, macchinari e attrezzature possono essere esposti a incendi, eventi atmosferici, furti o altri eventi capaci di determinarne il danneggiamento o la perdita.

La valutazione assicurativa non dovrebbe limitarsi al valore del bene, ma considerare anche le conseguenze della sua eventuale indisponibilità. Il danneggiamento di un impianto essenziale, ad esempio, può determinare perdite superiori al costo della riparazione qualora provochi una prolungata interruzione della produzione. Per questo motivo, accanto alle coperture per i danni materiali diretti, può essere opportuno valutare quelle relative ai danni indiretti da interruzione dell'attività (Business Interruption), verificando le condizioni e gli eventi che ne consentono l'attivazione.

La responsabilità degli organi sociali e la polizza D&O

Un'area distinta riguarda la responsabilità personale degli amministratori e degli altri organi sociali. Ai sensi dell'art. 2392 del Codice Civile, gli amministratori devono adempiere ai doveri loro imposti con la diligenza richiesta dalla natura dell'incarico e dalle loro specifiche competenze e possono essere chiamati a rispondere dei danni derivanti dall'inosservanza di tali obblighi. L'art. 2407 c.c. disciplina invece la responsabilità dei sindaci in relazione ai doveri connessi all'attività di vigilanza.

Le esposizioni possono derivare da errori od omissioni nella gestione, contestazioni da parte di soci o investitori, operazioni societarie e violazioni di specifici obblighi. In queste circostanze, le conseguenze possono interessare direttamente il patrimonio personale dei soggetti coinvolti.

La polizza D&O – Directors & Officers è finalizzata a proteggere amministratori, sindaci e dirigenti rispetto a determinate richieste risarcitorie connesse all'esercizio delle rispettive funzioni. Nei limiti e alle condizioni previste dal contratto, la copertura può comprendere sia le spese di difesa legale sia gli importi eventualmente dovuti a titolo di risarcimento. La valutazione di questa forma di protezione assume particolare importanza nelle società caratterizzate da una struttura organizzativa articolata o da una significativa esposizione degli organi amministrativi e di controllo.

Il Cyber Risk

La crescente digitalizzazione dei processi aziendali ha reso la sicurezza informatica un elemento rilevante anche sotto il profilo della tutela patrimoniale. Un attacco informatico, la compromissione dei sistemi o la sottrazione di dati possono determinare l'interruzione dell'attività, costi di ripristino, richieste risarcitorie e responsabilità nei confronti di clienti, fornitori o dipendenti. Quando l'incidente coinvolge dati personali, possono inoltre trovare applicazione gli obblighi previsti dal Regolamento (UE) 2016/679 (GDPR), comprese le notifiche e comunicazioni richieste nei casi disciplinati dalla normativa.

Le polizze Cyber Risk possono prevedere, in funzione delle condizioni contrattuali, la copertura dei costi di gestione dell'incidente e ripristino dei sistemi, delle richieste risarcitorie di terzi, delle spese relative agli obblighi di notifica e degli interventi necessari alla gestione della comunicazione conseguente alla violazione. La scelta della copertura deve considerare il grado di dipendenza dell'impresa dalle infrastrutture digitali, la tipologia dei dati trattati e le possibili conseguenze economiche di un'interruzione dei sistemi.

Il rapporto tra prevenzione e copertura assicurativa

La presenza di una polizza non sostituisce l'adozione di adeguate misure organizzative e di controllo. Le procedure interne intervengono sulla probabilità che un evento si verifichi o sulla gravità delle sue conseguenze, mentre l'assicurazione consente, entro i limiti contrattualmente previsti, di trasferire una parte dell'esposizione economica che permane.

Il risk assessment costituisce quindi anche il riferimento per verificare periodicamente l'adeguatezza del programma assicurativo, individuando eventuali rischi non sufficientemente coperti, massimali inadeguati o sovrapposizioni tra polizze. L'obiettivo è costruire un sistema di protezione nel quale le coperture siano effettivamente collegate alle caratteristiche dell'attività e alle conseguenze economiche dei rischi individuati.

Governance aziendale e sistemi di controllo

La gestione dei rischi costituisce una componente della governance aziendale e rientra tra le responsabilità dell'organo amministrativo, chiamato a verificare che l'impresa disponga di strumenti organizzativi adeguati rispetto alle principali esposizioni connesse all'attività svolta.

L'efficacia dei controlli dipende dalla capacità di definire responsabilità, procedure e modalità decisionali coerenti con la struttura aziendale. Organigrammi, sistemi di deleghe, regolamenti interni e strumenti di controllo di gestione consentono di individuare i soggetti responsabili dei diversi processi, rendere tracciabili le decisioni e ridurre il rischio che errori o comportamenti non conformi rimangano privi di verifica.

Il livello di formalizzazione deve essere proporzionato alle dimensioni e alla complessità dell'organizzazione. Nelle imprese meno strutturate possono risultare sufficienti procedure essenziali e responsabilità chiaramente attribuite, mentre nelle realtà più articolate diventa necessario prevedere sistemi di controllo maggiormente formalizzati e una più precisa separazione delle funzioni. In questo contesto assume particolare rilievo il Modello di Organizzazione, Gestione e Controllo previsto dal D.Lgs. 231/2001, finalizzato alla prevenzione di specifiche fattispecie di reato che possono determinare una responsabilità direttamente riferibile all'ente.

Il Modello Organizzativo ex D.Lgs. 231/2001

Il D.Lgs. 8 giugno 2001, n. 231 ha introdotto nell'ordinamento italiano un regime di responsabilità amministrativa degli enti per determinati reati commessi nel loro interesse o vantaggio da soggetti che ricoprono posizioni apicali oppure da persone sottoposte alla loro direzione o vigilanza.

La disciplina prevede che, accanto alla responsabilità individuale della persona fisica, possa configurarsi una responsabilità dell'ente, con conseguenze che comprendono sanzioni pecuniarie e interdittive, confisca e pubblicazione della sentenza. Le sanzioni interdittive possono incidere significativamente sull'operatività aziendale, prevedendo, nei casi stabiliti dalla normativa, misure quali la sospensione o la revoca di autorizzazioni, licenze e concessioni.

Il catalogo dei cosiddetti reati presupposto comprende diverse fattispecie, tra cui reati societari, tributari, di corruzione, ambientali e informatici, oltre a quelli connessi alla tutela della salute e della sicurezza sul lavoro. Le aree potenzialmente interessate possono quindi coincidere con attività ordinarie dell'impresa, rendendo necessario valutare l'esposizione anche in organizzazioni che non operano in settori particolarmente regolamentati.

L'adozione e l'efficace attuazione del Modello 231

L'art. 6, comma 1, del D.Lgs. 231/2001 prevede, per i reati commessi da soggetti in posizione apicale, specifiche condizioni al ricorrere delle quali l'ente può essere esonerato dalla responsabilità. Tra queste assumono rilievo l'adozione e l'efficace attuazione, prima della commissione del fatto, di un modello organizzativo idoneo a prevenire reati della stessa specie, nonché l'affidamento dei compiti di vigilanza a un organismo dotato di autonomi poteri di iniziativa e controllo.

L'esimente richiede anche la sussistenza degli ulteriori presupposti previsti dalla disposizione, tra cui l'elusione fraudolenta del modello da parte degli autori del reato e l'assenza di omessa o insufficiente vigilanza da parte dell'organismo incaricato. La sola adozione formale del modello non determina quindi automaticamente l'esclusione della responsabilità dell'ente. Per svolgere concretamente la propria funzione preventiva, il modello deve essere costruito sulla base dell'analisi dei processi aziendali, individuando le attività nelle quali possono essere commessi i reati presupposto e definendo i controlli necessari a limitarne il rischio.

Ai sensi dell'art. 6, comma 2, il modello deve in particolare prevedere:

• l'individuazione delle attività nell'ambito delle quali possono essere commessi i reati;
• specifici protocolli per la formazione e l'attuazione delle decisioni dell'ente;
• modalità di gestione delle risorse finanziarie idonee a impedire la commissione dei reati;
• obblighi informativi nei confronti dell'Organismo di Vigilanza;
• un sistema disciplinare idoneo a sanzionare il mancato rispetto delle misure previste.

L'efficacia del modello dipende inoltre dalla sua applicazione effettiva, dalla conoscenza delle procedure da parte dei soggetti coinvolti e dall'aggiornamento rispetto alle modifiche dell'attività e dell'organizzazione. Un documento non applicato o non adeguatamente aggiornato rischia infatti di non assolvere alla funzione preventiva richiesta dalla normativa.

Un modello proporzionato alle caratteristiche dell'impresa

La disciplina consente di adattare il sistema organizzativo alle caratteristiche dell'ente. Nelle imprese di dimensioni contenute, le misure possono essere articolate attraverso procedure essenziali, regole interne definite e controlli concentrati sulle attività maggiormente sensibili. Per gli enti di piccole dimensioni, l'art. 6, comma 4, del D.Lgs. 231/2001 prevede inoltre la possibilità che i compiti dell'Organismo di Vigilanza siano svolti direttamente dall'organo dirigente.

Nelle organizzazioni più complesse, invece, la presenza di numerosi processi e livelli decisionali richiede normalmente una maggiore formalizzazione, con procedure specifiche, deleghe chiaramente definite e sistemi di verifica adeguati alle diverse aree di esposizione.

Il collegamento tra mappatura dei rischi e Modello 231 assume quindi un valore operativo: l'analisi dei processi permette di individuare le attività sensibili e concentrare le misure di prevenzione sulle fattispecie effettivamente rilevanti per l'impresa, evitando l'introduzione di procedure generiche o non funzionali. In questa prospettiva, il Modello 231 rappresenta uno strumento specifico di prevenzione che si inserisce nel più ampio sistema di organizzazione e controllo aziendale, contribuendo a rafforzare la gestione delle responsabilità e la tracciabilità dei processi decisionali.

Il Tax Control Framework e l’adempimento collaborativo

La gestione del rischio fiscale assume particolare rilevanza nelle imprese caratterizzate da operazioni complesse e da una struttura organizzativa articolata. In questo ambito, uno degli strumenti principali è rappresentato dal Tax Control Framework (TCF), un sistema interno finalizzato alla rilevazione, misurazione, gestione e controllo delle esposizioni di natura tributaria.

Il TCF costituisce uno dei requisiti fondamentali per l'accesso al regime di adempimento collaborativo (cooperative compliance), introdotto dal D.Lgs. 5 agosto 2015, n. 128. Tale regime è finalizzato a instaurare un rapporto continuativo e trasparente tra contribuente e Agenzia delle Entrate, favorendo un confronto preventivo sulle operazioni che presentano profili di rischio fiscale significativo.

La logica è quella di anticipare l'individuazione delle criticità rispetto alla fase dell'eventuale accertamento, integrando la valutazione del rischio tributario nei processi decisionali dell'impresa. Attraverso il TCF, le operazioni caratterizzate da incertezza interpretativa o particolare complessità possono essere esaminate preventivamente, documentando le valutazioni effettuate e le responsabilità coinvolte.

Gli elementi del Tax Control Framework

Il funzionamento del TCF si fonda sulla predisposizione di un sistema organizzativo che consenta di individuare e monitorare le principali esposizioni fiscali. Un primo elemento è rappresentato dalla mappatura dei rischi fiscali (tax risk mapping), attraverso la quale vengono analizzati i processi aziendali potenzialmente rilevanti sotto il profilo tributario, individuando le attività che possono generare errori, omissioni o contestazioni.

A questa analisi si affianca la definizione delle responsabilità interne e dei relativi flussi informativi, affinché le operazioni fiscalmente significative possano essere sottoposte a una valutazione adeguata. Il sistema deve inoltre prevedere procedure di controllo, attività di monitoraggio continuo e meccanismi di reporting che consentano agli organi amministrativi di conoscere le esposizioni più rilevanti.

Nell'ambito dell'adempimento collaborativo, il sistema permette inoltre di instaurare un'interlocuzione preventiva con l'Agenzia delle Entrate, secondo le modalità previste dalla disciplina applicabile. Il TCF non si limita quindi a verificare la correttezza degli adempimenti tributari, ma introduce un modello di gestione nel quale il rischio fiscale viene considerato anche nella fase di pianificazione e realizzazione delle operazioni aziendali.

Le soglie dimensionali e l’evoluzione del regime

L'accesso al regime di adempimento collaborativo è subordinato al possesso di specifici requisiti, tra cui quelli dimensionali, oggetto di progressivo ampliamento nell'ambito della riforma introdotta dal D.Lgs. 221/2023. Per il periodo 2026-2027, la soglia prevista è pari a 500 milioni di euro di volume d'affari o ricavi; dal 2028 è prevista un'ulteriore riduzione a 100 milioni di euro, secondo la disciplina vigente.

L'utilità del Tax Control Framework non è tuttavia limitata alle imprese che possono accedere formalmente all'adempimento collaborativo. Anche le realtà di dimensioni inferiori possono adottare, in forma semplificata, procedure di identificazione e controllo del rischio fiscale, definendo responsabilità e verifiche coerenti con la propria organizzazione.

Il TCF rappresenta pertanto uno strumento attraverso il quale rafforzare il controllo delle esposizioni tributarie e migliorare la qualità delle informazioni disponibili per le decisioni aziendali, con un livello di formalizzazione adeguato alla complessità dell'impresa.

Un sistema integrato di gestione del rischio

La mappatura dei rischi, le coperture assicurative, il Modello Organizzativo 231 e il Tax Control Framework intervengono su ambiti differenti, ma la loro efficacia dipende anche dalla capacità dell'impresa di coordinarli all'interno di un sistema unitario di gestione e controllo.

In questa prospettiva si inserisce l'Enterprise Risk Management (ERM), un approccio che considera complessivamente le esposizioni aziendali, superando una gestione limitata alle singole funzioni. Un evento può infatti produrre conseguenze contemporaneamente operative, economiche, legali e reputazionali, rendendo necessario valutare non soltanto il rischio originario, ma anche gli effetti che potrebbe determinare sulle altre aree dell'organizzazione.

L'integrazione permette di utilizzare le informazioni raccolte attraverso il risk assessment per orientare strumenti con finalità specifiche. La mappatura dei processi può contribuire all'individuazione delle attività sensibili ai fini del D.Lgs. 231/2001, alla valutazione delle esposizioni tributarie nell'ambito del TCF e alla definizione delle coperture assicurative più appropriate.

Anche gli adeguati assetti organizzativi, amministrativi e contabili previsti dall'art. 2086 c.c. si inseriscono in questo quadro, poiché richiedono un'organizzazione capace di fornire agli amministratori informazioni attendibili sull'andamento della gestione e di consentire la tempestiva rilevazione delle situazioni che possono compromettere l'equilibrio dell'impresa.

Un sistema integrato non deve tuttavia tradursi nella moltiplicazione degli adempimenti. L'obiettivo è piuttosto coordinare procedure, responsabilità e flussi informativi, evitando duplicazioni e utilizzando, quando possibile, controlli comuni a più ambiti. Una procedura autorizzativa o un sistema di deleghe, ad esempio, può assumere rilievo sia ai fini della governance generale sia nell'ambito del Modello 231.

L'adozione di questo approccio consente quindi di migliorare la coerenza dei controlli e la qualità delle informazioni disponibili, mantenendo un livello di complessità organizzativa adeguato alle caratteristiche dell'impresa.

-

Lo Studio Folicaldi assiste le imprese nell'analisi delle proprie esposizioni e nella definizione di strategie di protezione coerenti con le caratteristiche patrimoniali, organizzative e operative della singola realtà aziendale.