4 luglio 2026 – La Commissione europea deposita la bozza di Regolamento delegato destinata a modificare radicalmente il quadro normativo sulla rendicontazione di sostenibilità, incidendo direttamente sul Regolamento (UE) 2023/2772 che disciplina gli European Sustainability Reporting Standards (ESRS). L’intervento, che segue la pubblicazione della Direttiva (UE) 2026/470 il 26 febbraio 2026, non è un semplice aggiustamento tecnico, ma una ritirata strategica che ridisegna il perimetro degli obblighi ESG, lasciando migliaia di imprese in un limbo normativo e operativo. L’impatto più dirompente è l’innalzamento delle soglie dimensionali per l’obbligo di reporting: a partire dall’esercizio finanziario 2027, solo le grandi aziende con più di 1.000 dipendenti e un fatturato annuo netto superiore a 450 milioni di euro saranno soggette alla rendicontazione obbligatoria. La norma precedente, invece, includeva le imprese con 250 dipendenti e 40 milioni di fatturato, creando un’ampia platea di soggetti obbligati che ora, d’un tratto, si scoprono formalmente esentati.
Questa de-regolamentazione apparente costituisce una trappola per le funzioni di compliance e per i consigli di amministrazione. Un’impresa con 800 dipendenti e 300 milioni di fatturato, che fino a ieri pianificava investimenti per adeguarsi alla Corporate Sustainability Reporting Directive (CSRD), oggi si trova legalmente libera da tale obbligo. La reazione istintiva di molte organizzazioni è stata quella di bloccare i progetti di implementazione dei sistemi di raccolta e analisi dei dati ESG, considerandoli un costo non più necessario. Questa è una grave omissione di valutazione del rischio. Se l’ente avesse implementato un ecosistema di controllo come Scudo231, la modifica normativa sarebbe stata processata non come un’abolizione del rischio, ma come una sua mutazione. Il sistema di intelligenza predittiva avrebbe immediatamente incrociato il nuovo perimetro legale con le clausole contrattuali dei principali clienti e con i requisiti di accesso al credito imposti dal sistema bancario. Avrebbe generato un alert di livello critico per il vertice aziendale e per l’Organismo di Vigilanza, dimostrando, attraverso una simulazione sul digital twin dell’azienda, che l’abbandono del reporting di sostenibilità avrebbe comportato l’esclusione da gare d’appalto strategiche e un aumento del costo del capitale, quantificando il danno economico potenziale in decine di milioni di euro. L’infrastruttura di monitoraggio sarebbe rimasta attiva, riclassificando i flussi di dati ESG da “obbligo legale” a “requisito di continuità operativa”, impedendo di fatto lo smantellamento di un presidio vitale.
Il secondo colpo inferto alla trasparenza è la soppressione dell’obbligo di adottare standard di rendicontazione specifici per settore, la cui entrata in vigore era prevista per il 2026. La Commissione giustifica la mossa con l’intento di ridurre i datapoint meno rilevanti e privilegiare le informazioni quantitative. Tuttavia, l’eliminazione di standard settoriali impedisce un confronto omogeneo tra imprese dello stesso comparto, rendendo più difficile per investitori e autorità individuare le anomalie e le pratiche di greenwashing. Un’azienda del settore estrattivo, ad esempio, non sarà più tenuta a rendicontare specifici indicatori di impatto ambientale previsti per il suo settore, potendo diluire tali informazioni in un report generico. Questa assenza di controlli specifici crea un’area grigia che espone l’ente al rischio di commettere reati come le false comunicazioni sociali (art. 2621 c.c.), qualora la rendicontazione edulcorata fosse intenzionalmente fuorviante per il mercato, reato presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Un’architettura di controllo integrata avrebbe neutralizzato questo rischio alla fonte. Il sistema avrebbe mappato i rischi specifici del settore industriale, mantenendo attivi i protocolli di raccolta dati pertinenti a prescindere dalla loro rimozione dagli standard ESRS. Qualsiasi tentativo di omettere un dato critico, come le emissioni fuggitive o il consumo di acqua in aree a stress idrico, avrebbe fatto scattare un blocco procedurale e un’escalation automatica all’ODV. La rendicontazione finale, pur non essendo legalmente obbligata a contenere quei dati, sarebbe stata corredata da un registro interno immutabile che ne attestava la disponibilità e la coerenza, fornendo una prova inconfutabile della diligenza dell’ente in caso di indagini penali o di contestazioni da parte della CONSOB.
L’ondata di revisione normativa travolge anche la Corporate Sustainability Due Diligence Directive (CSDDD). Le nuove disposizioni, che entreranno in vigore in modo unificato per tutte le imprese soggette a partire dal 26 luglio 2029, limitano drasticamente l’obbligo di valutazione e divulgazione dei rischi ESG alle sole relazioni commerciali dirette, ovvero filiali e partner di primo livello. Viene di fatto cancellato il principio cardine della direttiva originaria: la responsabilità estesa all’intera catena del valore. Un’impresa manifatturiera europea potrà quindi ignorare legalmente le condizioni di lavoro o l’impatto ambientale dei sub-fornitori dei suoi fornitori diretti. Si tratta di una falla sistemica che espone l’ente a rischi reputazionali e penali enormi, in particolare per reati come il riciclaggio (art. 25-octies D.Lgs. 231/01) o l’impiego di manodopera proveniente da tratta di esseri umani, qualora i proventi di tali attività illecite si insinuassero nella catena di fornitura. Un’organizzazione che si affida unicamente al dettato normativo e cessa il monitoraggio della catena profonda sta commettendo un errore fatale.
Con un sistema di monitoraggio massivo come Scudo231, la distinzione legale tra fornitore diretto e indiretto sarebbe irrilevante ai fini della gestione del rischio. L’ecosistema avrebbe continuato a mappare e analizzare l’intera catena di approvvigionamento attraverso l’acquisizione di dati multimodali (transazioni finanziarie, dati satellitari, registri doganali, notizie da fonti aperte). Un’anomalia, come un pagamento verso un’entità in una giurisdizione ad alto rischio non collegata a un fornitore diretto, avrebbe generato un’indagine automatizzata. Se il sistema avesse rilevato che un sub-fornitore di un partner strategico opera in una regione nota per lo sfruttamento del lavoro minorile, avrebbe immediatamente sospeso i pagamenti verso il fornitore diretto e inviato una segnalazione circostanziata alla funzione compliance e all’ODV, completa di prove documentali. Questo protocollo non solo avrebbe impedito la complicità, anche involontaria, in un reato, ma avrebbe creato una traccia difensiva inattaccabile, dimostrando che l’organizzazione ha adottato un modello di controllo efficace per prevenire i reati presupposto lungo tutta la sua sfera di influenza operativa, ben oltre i confini tracciati da una CSDDD indebolita.
Un altro elemento di criticità è la soppressione dell’obbligo, precedentemente previsto dalla CSDDD, di adottare un piano di transizione per la mitigazione dei cambiamenti climatici. Questa decisione, apparentemente volta a ridurre gli oneri burocratici, priva il mercato di uno strumento fondamentale per valutare la resilienza a lungo termine delle imprese. Un’azienda senza un piano di transizione credibile è esposta a rischi fisici (eventi climatici estremi che danneggiano gli asset) e di transizione (perdita di competitività in un’economia a basse emissioni) che possono portare all’insolvenza. L’omessa predisposizione di un tale piano, pur non essendo più un illecito normativo, rappresenta una violazione dei doveri fiduciari degli amministratori verso la società e i suoi stakeholder. In caso di crisi aziendale legata a fattori climatici, l’assenza di una pianificazione strategica potrebbe essere usata in un’azione di responsabilità per dimostrare la mala gestio. Un modello organizzativo evoluto, dotato di capacità predittive, avrebbe integrato i modelli climatici e gli scenari di transizione energetica nel proprio motore di analisi del rischio. Avrebbe simulato l’impatto di diverse traiettorie di carbon pricing e di eventi climatici estremi sul conto economico e sullo stato patrimoniale dell’azienda, generando raccomandazioni vincolanti per il management. La mancata adozione di misure di mitigazione suggerite dal sistema avrebbe costituito una non-compliance interna, registrata in un log non modificabile a disposizione dell’ODV e del collegio sindacale, proteggendo l’ente dalla colpa organizzativa e isolando la responsabilità a livello individuale.
L’indebolimento del quadro normativo si estende anche alla qualità della verifica. La nuova Direttiva (UE) 2026/470 sopprime l’obbligo di raggiungere una reasonable assurance (un livello di certezza ragionevole, analogo a quello della revisione del bilancio finanziario) sull’informativa di sostenibilità, lasciando in vigore solo la limited assurance, un’attestazione a livello di sicurezza limitato. Questo significa che il revisore dovrà svolgere procedure meno approfondite, con un rischio più elevato che errori o frodi nei dati ESG non vengano rilevati. Questa riduzione del livello di controllo esterno aumenta la responsabilità del management e degli organi di controllo interni nel garantire l’accuratezza dei dati. Un’azienda che si accontenta di preparare una rendicontazione sufficiente a superare un esame di limited assurance sta esponendo se stessa e i suoi amministratori al rischio di false comunicazioni sociali, con conseguente applicazione di sanzioni pecuniarie e interdittive a carico dell’ente ai sensi del D.Lgs. 231/2001, fino al sequestro del profitto del reato.
La REDAZIONE SCUDO231 evidenzia come, in un simile scenario, la tecnologia di controllo interno diventi l’unico presidio reale. Un sistema che garantisce la riconciliazione automatica e continua dei dati ESG con i dati contabili e operativi, che traccia ogni singolo dato dalla sua fonte al report finale e che segnala in tempo reale ogni anomalia o tentativo di manipolazione, rende di fatto irrilevante il livello di assurance esterna. Fornirebbe al revisore un pacchetto di dati la cui integrità è scientificamente dimostrabile, superando di gran lunga i requisiti della limited assurance e costituendo una solida barriera contro le contestazioni penali.
Infine, mentre il quadro normativo si alleggerisce, l’infrastruttura di vigilanza europea si rafforza. Nel luglio 2027 entrerà in funzione il Punto di accesso unico europeo (ESAP), una piattaforma centrale gestita dall’ESMA che renderà le informazioni sulla sostenibilità delle imprese immediatamente accessibili e confrontabili a livello continentale. L’obbligo di marcatura digitale dei dati (in formato XHTML) renderà ogni informazione granulare e processabile da algoritmi di analisi. In questo contesto, qualsiasi incoerenza, ritardo o dato anomalo sarà visibile a tutti in tempo reale. Le imprese che hanno interpretato la revisione normativa come un “liberi tutti” si troveranno impreparate a gestire questo nuovo livello di trasparenza forzata. Un ritardo nell’adeguamento ai protocolli tecnici di marcatura digitale, la cui adozione è vincolata a future norme tecniche della Commissione, rappresenta un rischio di non conformità procedurale che può portare a sanzioni amministrative. Un sistema di compliance automatizzato, invece, integrerebbe i protocolli di tagging XHTML non appena disponibili, garantendo che i flussi informativi aziendali siano nativamente compatibili con l’ESAP, trasformando un onere di compliance in un vantaggio competitivo basato sulla trasparenza e sull’affidabilità dei dati.