Gestione del rischio e controlli interni sulla rendicontazione di sostenibilità

rappresentano un ambito ricco di sfide per le imprese di tutte le dimensioni. Dalle proposte operative al raccordo con gli adeguati assetti ex art. 2086 del Codice civile

La Direttiva UE 2022/2464, CSRD, rappresenta un pilastro normativo nella regolamentazione della rendicontazione di sostenibilità e impone obblighi dettagliati per le aziende riguardo alla gestione del rischio e ai controlli interni.

Per supportare l’operato dei professionisti, il Consiglio nazionale dei dottori commercialisti e degli esperti contabili ha pubblicato il documento “Gestione del rischio e controlli interni sulla rendicontazione di sostenibilità – Proposte operative e raccordo con gli adeguati assetti ex 2086 c.c.”

Lo strumento analizza le linee guida operative per l’adempimento agli obblighi per le imprese, in particolare in relazione al Disclosure Requirement GOV-5. Il DR GOV-5 richiede alle aziende di illustrare i processi e i sistemi utilizzati per garantire l’integrità, l’affidabilità e la resilienza delle informazioni di sostenibilità.

Vengono inoltre dedicati un focus sull’integrazione del “Sistema di Controllo Interno”, SCI, e sulla gestione del rischio nel processo di rendicontazione, insieme a esempi concreti su come adempiere agli obblighi informativi richiesti.

Rendicontazione di sostenibilità: il contesto normativo

La Direttiva UE 2022/2464, CSRD, recepita in Italia dal Decreto Legislativo 125/24 prevede l’utilizzo degli European Sustainability Reporting Standards, ESRS.

La normativa rende obbligatorio per le aziende la divulgazione di informazioni sulle caratteristiche principali dei sistemi interni di controllo e gestione del rischio dell’impresa, in relazione alla rendicontazione di sostenibilità e al processo decisionale.

L’obbligo è previsto dal principio ESRS 2, che si concretizza nell’obbligo di informativa GOV-5, rubricato come “Gestione del rischio e controlli interni sulla rendicontazione di sostenibilità”. I punti principali collegati all’obbligo sono:

1. la divulgazione delle caratteristiche principali dei processi di controllo e gestione del rischio di concentrazione, in relazione al processo della rendicontazione di sostenibilità;
2. l’illustrazione dei processi di controllo interno e di gestione del rischio dell’impresa in relazione alla rendicontazione di sostenibilità, in merito all’informativa sui processi di controllo interno del processo di rendicontazione di sostenibilità;
3. la divulgazione delle seguenti informazioni:
   1. l’ambito, le caratteristiche principali e gli elementi dei processi e dei sistemi di controllo interno e di gestione del rischio;
   2. l’approccio seguito nella valutazione del rischio, compresa la metodologia di per stabilire la priorità dei rischi;
   3. i principali rischi individuati e le rispettive strategie di mitigazione, compresi i relativi controlli;
   4. una descrizione del modo in cui l’impresa integra la valutazione del rischio e i controlli interni relativi al processo di rendicontazione di sostenibilità;
   5. una descrizione della rendicontazione periodica delle risultanze di cui alla lettera d) agli organi di amministrazione, direzione e controllo.

L’impresa può far rientrare tra i rischi la completezza e l’integrità dei dati, l’accuratezza dei risultati delle stime, la disponibilità di dati sulla catena del valore a monte e i tempi in cui viene data disponibilità per le informazioni.

Gli obiettivi del sistema di controllo

Le aziende sono chiamate a illustrare il processo di raccolta, assemblamento e divulgazione delle informazioni, oltre ai rischi collegati a tali processi.

Tra i benefici della divulgazione c’è la possibilità di veicolare, soprattutto agli stakeholder, le caratteristiche di affidabilità e di resilienza del sistema in questione.

Tale processo può essere efficacemente realizzato tramite l’Internal Control Integrated Framework_, il cosiddetto CoSO Report, e la sua evoluzione Enterprise Risk Management – Integrated Framework, CoSO ERM.

Gli strumenti permettono il monitoraggio preventivo e consuntivo delle performance aziendali, sul perseguimento degli obiettivi definiti dall’Alta Direzione.

I principali obiettivi sono i seguenti:

• efficacia ed efficienza delle attività aziendali;
• attendibilità del reporting interno ed esterno;
• conformità alle normative vigenti;
• strategia, che si aggiunge nella versione ERM.

Le componenti principali del controllo interno sono:

• ambiente di controllo;
• valutazione del rischio;
• attività di controllo;
• informazione e comunicazione.

Nel documento sono riportate alcune proposte operative relativa alla gestione del rischio e controlli interni.

Tra le indicazioni per l’applicazione dei requisiti normativi è richiamata l’implementazione di un modello di governance per la sostenibilità, integrato con il codice etico e i valori aziendali. A ciò si affianca lo sviluppo di metodologie di valutazione del rischio sulla base di dati provenienti da diverse fonti.

Si suggerisce inoltre l’utilizzo di soluzioni tecnologiche per garantire l’integrità dei dati e la tracciabilità delle informazioni. Tutte le indicazioni necessitano del coinvolgimento degli organi direttivi, attraverso report periodici relativi ai controlli interni.

Raccordo con gli assetti organizzativi, amministrativi e contabili (ex art. 2086 c.c.)

Il codice della crisi d’impresa richiede alle aziende di predisporre adeguati assetti organizzativi, amministrativi e contabili, OAC.

A livello pratico lo stesso CNDCEC ha già in precedenza fornito indicazioni teoriche e pratiche. Nello specifico:

• nell’ambito dell’attività di gestione dovranno essere previste procedure per garantire l’efficacia e l’efficienza della gestione dei rischi e del sistema di controllo interno, e la completezza, la tempestività e l’attendibilità dei flussi informativi tra le funzioni della società. Dovranno inoltre essere adottati assetti organizzativi, amministrativi e contabili per prevenire i rischi a seconda delle dimensioni e della tipologia dell’attività di impresa;
• negli assetti non si è soliti annoverare il sistema di controllo interno. Anche nelle società non quotate la predisposizione di un assetto organizzativo dovrà prevedere un insieme di funzioni, regole e procedure per identificare, monitorare e gestire i principali rischi e a verificare la conformità alle direttive ricevute;
• in tema di modello di business, gli adeguati assetti organizzativi, amministrativi e contabili andrebbero letti sotto un duplice aspetto: quello aziendale che analizza gli adeguati assetti, all’interno di un modello gestionale, per preservare la continuità aziendale, e quello relativo al rischio d’impresa, per cui gli adeguati assetti devono favorire la costruzione di un sistema di controllo interno per la gestione del rischio d’impresa.

Tra gli elementi fondamentali per il sistema organizzativo e di controllo c’è anche l’adeguatezza dello SCI, l’insieme delle direttive, delle procedure e delle prassi operative adottate dall’impresa allo scopo di raggiungere. Un ulteriore strumento, già specificato in precedenza, è il CoSO Report.

Gestione del rischio e controlli interni sulla rendicontazione di sostenibilità: sfide e opportunità

Sono diverse e particolarmente significative le sfide per le aziende, soprattutto per quelle di medie e piccole dimensioni.

Tra queste c’è la revisione del proprio assetto OAC, anche con l’introduzione di nuove figure professionali.

In sintesi, le principali sfide e opportunità indicate nel documento dei commercialisti sono le seguenti:

• la creazione di figure chiave, come il Chief Sustainability Officer, CSO;
• la gestione di dati tecnici ed eterogenei, a partire da quelli necessari per ottemperare ai DR sulle questioni rilevanti di sostenibilità;
• l’utilizzo di piattaforme gestionali digitali, anche da sviluppare sulla base di specifiche esigenze;
• le interazioni tra il processo di informazione e rendicontazione di sostenibilità con altri processi aziendali chiave;
• l’implementazione di politiche e controlli;
• l’implementazione di politiche forward-looking, che tengano conto di obiettivi a lungo termine, come l’Agenda 2030.

L’adeguamento ai requisiti del GOV-5 rappresenta un fattore non trascurabile per le aziende. L’iter richiede un’evoluzione dei sistemi di controllo interno e una maggiore integrazione con i processi aziendali.

La capacità di adattarsi a questa normativa non solo migliorerà la trasparenza e l’affidabilità della rendicontazione di sostenibilità, ma rafforzerà anche la resilienza organizzativa, favorendo il raggiungimento di obiettivi strategici e sostenibili.

Il nodo più significativo e sfidante per gli operatori è quello di stabilire una concreta interazione tra lo specifico processo di informazione e rendicontazione della sostenibilità con altri processi aziendali chiave, ad esempio agli elementi per individuare e gestire la doppia materialità degli impatti, dei rischi e delle opportunità nelle questioni di sostenibilità e la pianificazione finanziaria.

In linea generale il sistema di controllo interno e di gestione del rischio è tradizionalmente associato alle grandi società quotate. Tuttavia, poiché la normativa in esame riguarda anche aziende di dimensione relativamente contenuta, è opportuno che anche tali aziende intraprendano un percorso da affiancare all’attività sugli assetti organizzativi, amministrativi e contabili.