I piani europei di vigilanza mettono sotto pressione i dati delle imprese olandesi

Le regole sono ancora in fase di negoziazione, ma l’AFM si aspetta già un collegamento chiaro tra registri, responsabilità e outsourcing.

Il fondatore di una piccola impresa regolamentata apre una richiesta del consulente compliance. Servono il registro aggiornato deifornitori, le evidenze del riesame da parte della direzione e le motivazioni alla base di un assetto più leggero per l’internal audit. Il fondatore sa perché ogni decisione è stata presa. Le risposte, però, sono sparse tra email, verbali di riunione e la memoria di un dipendente.

Non è successo nulla di visibilmente grave. Eppure il lavoro ordinario rallenta, perché l’impresa non riesce a ricostruire rapidamente le proprie decisioni.

È qui che il dibattito europeo sulla vigilanza arriva sulla scrivania delle imprese olandesi. Il 22 luglio, l’Autorità olandese per i mercati finanziari, AFM, e l’omologa francese, AMF, hanno indicato cinque condizioni per un’efficace vigilanza centralizzata a livello dell’UE. Chiedono una vigilanza adattiva e basata sul rischio, costi proporzionati e trasparenti, una governance responsabile, dati centralizzati e un’applicazione efficace delle regole.

Le due autorità sostengono un ruolo centrale più forte per l’Autorità europea degli strumenti finanziari e dei mercati, ESMA. I negoziati proseguono. La direzione intrapresa trasmette comunque un messaggio chiaro alle imprese regolamentate: le informazioni devono restare utilizzabili anche al di fuori della scrivania sulla quale sono state create.

Le informazioni che le autorità possono usare

La vigilanza centralizzata dipende da informazioni confrontabili tra imprese e Paesi. Una policy archiviata in una cartella serve a poco se nessuno sa collegarla al processo reale. Un registro perde valore quando i dati su cui si basa non sono aggiornati. Una decisione della direzione diventa difficile da spiegare quando non sono più rintracciabili il responsabile, la data e le motivazioni.

Il giorno seguente, l’AFM ha pubblicato i risultati della propria analisi sui gestori olandesi di fondi di investimento. La documentazione risultava talvolta obsoleta, incompleta o troppo generica. Pianificazione, monitoraggio e rendicontazione non erano sempre abbastanza collegati da consentire alla direzione di individuare le carenze e affrontarle in tempo.

L’AFM ha inoltre rilevato che le scelte fondate sul principio di proporzionalità spesso non erano adeguatamente motivate. Un’impresa più piccola o meno complessa può ragionevolmente adottare un assetto più leggero. La direzione deve comunque spiegare perché tale assetto sia adatto alle dimensioni, alle attività e ai rischi dell’organizzazione.

Tutto questo allontana dal modello di una compliance affidata alla memoria professionale. Finché il gruppo di lavoro resta stabile, la memoria può sostenere a lungo una piccola impresa. Diventa però fragile quando un collega se ne va, cambia un fornitore, si verifica un incidente o l’autorità chiede di ricostruire i fatti in forma strutturata.

La domanda utile non è più soltanto: «Abbiamo una policy?». È invece: «Possiamo dimostrare dove viene applicata, chi ne è responsabile e che cosa è accaduto quando il processo non ha funzionato?».

L’outsourcing non trasferisce la responsabilità

Le piccole imprese regolamentate ricorrono spesso a competenze esterne, perché mantenere internamente ogni funzione specialistica sarebbe uno spreco di risorse. Può essere una scelta sensata. L’AFM traccia però un confine netto: quando le attività di compliance o internal audit sono esternalizzate, la responsabilità resta in capo al gestore del fondo di investimento.

Lo stesso tema della responsabilità emerge nel Regolamento sulla resilienza operativa digitale, DORA. Il 6 agosto, l’AFM ha riferito che il 94 per cento dei registri informativi trasmessi era stato approvato dall’Autorità bancaria europea, rispetto al 40 per cento nel 2025. L’AFM ha sottolineato anche l’importanza della qualità dei registri e dei dati sottostanti.

Alcune imprese regolamentate erano prive delle policy o delle procedure richieste. Altre utilizzavano documenti non del tutto conformi alle norme applicabili. Il titolare di una licenza resta responsabile anche quando adotta policy definite a livello di gruppo. La direzione locale deve sapere che cosa si applica alla propria entità e come quella policy opera nella pratica quotidiana.

Torniamo così al fondatore davanti alla sua scrivania. Un consulente esterno può gestire il calendario della compliance. Un fornitore ICT può custodire i dati sui fornitori. La sede centrale del gruppo può redigere la policy. Nessuno di loro sostituisce la persona interna all’entità olandese capace di spiegare che cosa si applica, che cosa è cambiato e quali decisioni ha preso la direzione.

I dati conservati altrove devono poter tornare a casa

La centralizzazione crea una seconda questione pratica. Le autorità di vigilanza olandesi hanno messo in guardia dalla dipendenza da un numero ristretto di fornitori ICT. Cambiare fornitore può essere costoso e complesso. Standard aperti, interoperabilità e opzioni di migrazione realmente praticabili devono quindi entrare nelle discussioni della direzione, non restare confinate al piano tecnologico.

Un sistema informativo centralizzato è utile soltanto se l’impresa dispone di un accesso affidabile, autorizzazioni chiare e un percorso praticabile per recuperare o trasferire i propri dati. Anche da questo dipende la capacità della direzione di continuare ad agire quando il rapporto con un fornitore cambia sotto pressione.

La risposta più ovvia potrebbe essere acquistare un’altra piattaforma. È opportuno fermarsi a riflettere. Il costo più difficile da sostenere spesso risiede nel lavoro ricorrente: aggiornare i registri, riconciliare i dati, riesaminare i fornitori, documentare le eccezioni e chiudere le azioni correttive.

Evidenze mal collegate possono assorbire liquidità in modo indiretto. L’onboarding dei clienti richiede più tempo. Il consulente deve dedicare ore aggiuntive. La due diligence si blocca mentre la direzione cerca decisioni che tutti ricordano, ma che nessuno riesce a produrre. Sono effetti commerciali ben noti quando le informazioni non riescono a muoversi alla stessa velocità delle decisioni.

Per migliorare, un’impresa non ha bisogno di una trasformazione grandiosa. Può iniziare da un processo importante, come un servizio ICT esternalizzato, un percorso di accettazione della clientela o una procedura di gestione degli incidenti. Occorre seguire il processo dalla policy all’operatività quotidiana, individuare il responsabile interno e verificare le evidenze più recenti, le eccezioni, la relazione alla direzione e le azioni ancora aperte.

Poi si può porre una domanda semplice: un’altra persona riuscirebbe a ricostruire la sequenza senza telefonare al dipendente che di solito se ne occupa?

Il fascicolo dei controlli è il registro dell’impresa

Per una piccola impresa che applica il principio di proporzionalità, anche la motivazione merita la stessa attenzione. La spiegazione dovrebbe riflettere i prodotti, il personale, i sistemi e i fornitori di oggi, non l’impresa com’era tre anni fa.

Il segnale riguarda più direttamente le imprese finanziarie regolamentate e le organizzazioni che le assistono. Anche i fornitori dovrebbero prestare attenzione. I loro clienti regolamentati avranno sempre più bisogno di contratti chiari, accesso affidabile ai dati, evidenze sulle prestazioni del servizio e percorsi di escalation efficaci quando qualcosa non funziona.

Il fondatore della scena iniziale non ha bisogno di una biblioteca documentale più grande. L’impresa ha bisogno di una linea più pulita tra decisione, responsabile, evidenza e risposta.

L’Europa sta ancora definendo l’architettura della vigilanza. All’interno dell’impresa, la domanda pratica è già sul tavolo: se qualcuno chiedesse spiegazioni domani, l’organizzazione saprebbe mostrare con calma come ha funzionato davvero il controllo di oggi?

I dati, le fonti e l’analisi di questo articolo sono stati curati da Paolo Maria Pavan. L’IA non è stata usata per individuare le fonti, costruire la base fattuale o produrre il giudizio analitico. L’IA è stata usata solo come aiuto di redazione. Il testo italiano finale è stato rivisto, corretto e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.

Riferimenti

• Van ontwerp tot uitvoering: AFM en AMF identificeren vijf randvoorwaarden voor effectief toezicht op EU-niveau
• Rijksoverheid - Dutch policy supports stronger ESMA supervision, but the architecture is still developing
• Autoriteit Financiële Markten - Current Dutch supervisory findings on documentation, outsourcing and proportionality
• Autoriteit Financiële Markten - Data quality is already a supervisory condition, not back-office housekeeping
• Autoriteit Financiële Markten - Later AFM evidence pressure under DORA
• Autoriteit Financiële Markten - Centralised information increases dependence on outsourced digital infrastructure