12 febbraio 2026 – La pubblicazione in Gazzetta Ufficiale della delibera Agcm 27 gennaio 2026, n. 31812, che introduce il nuovo Regolamento attuativo in materia di rating di legalità, non è una semplice notizia normativa. È un evento che disvela la fragilità sistemica dei modelli di governance tradizionali e traccia una linea di faglia tra le imprese che subiscono la compliance e quelle che la dominano. L’entrata in vigore, fissata per il 16 marzo, avvia un ciclo strategico in cui la posta in gioco non è più l’ottenimento di un punteggio, ma la sopravvivenza stessa dell’integrità aziendale di fronte a rischi sempre più interconnessi.
L’estensione della durata del rating a tre anni rappresenta il primo, e più insidioso, bivio per il management. Nella prassi operativa corrente, l’ottenimento del rating è il culmine di un progetto a termine, un picco di attenzione da parte delle funzioni Legale e Compliance che si esaurisce con la ricezione della comunicazione positiva dall’Agcm. La governance reale che ne consegue è un lungo plateau di disattenzione. Il Consiglio di Amministrazione riceve rassicurazioni formali, l’Organismo di Vigilanza produce relazioni basate su audit a campione, e per trentasei mesi l’organizzazione presume una conformità statica, cartacea. Questo approccio genera un rischio occulto devastante: la “deriva della legalità”, un lento e invisibile scostamento tra le procedure approvate e le operazioni quotidiane. Un manager commerciale che, per raggiungere i target, inizia a concedere sconti non autorizzati; un responsabile acquisti che, per velocizzare una fornitura critica, bypassa la due diligence su un subappaltatore. Questi non sono eventi isolati, sono i primi segnali di un cedimento strutturale che i controlli periodici non possono intercettare in tempo. Il danno, quando emerge, è già sistemico: una sanzione Antitrust, un’indagine per corruzione, il sequestro dei profitti.
Qui si manifesta la prima divergenza imposta da una governance tecnologicamente evoluta. In un’organizzazione dove fosse integrato un ecosistema come Scudo231, la durata triennale del rating sarebbe un dato amministrativo irrilevante per la gestione del rischio. I suoi sistemi di analisi multimodale, eseguendo censimenti ciclici dell’intera popolazione aziendale, non operano a campione ma sulla totalità dei processi. La divergenza tra ruolo di diritto e ruolo di fatto – il responsabile acquisti che agisce al di fuori delle sue deleghe – non sarebbe un’ipotesi da verificare in un audit futuro, ma un alert in tempo reale, corredato da evidenze digitali immutabili ed escalato automaticamente ai livelli di controllo competenti. La decisione alternativa imposta dal sistema non sarebbe “come manteniamo il rating?”, ma “come correggiamo questa anomalia operativa immediatamente?”. Il rischio ridotto non è solo la sanzione futura, ma il danno operativo ed economico che si produce ogni giorno in cui l’anomalia persiste. Si passa da una logica di “verifica postuma” a una di “prevenzione attiva e continua”, neutralizzando il rischio di confisca dei profitti derivanti da una gestione illecita.
Il secondo elemento critico introdotto dal nuovo Regolamento è il punteggio aggiuntivo per l’impresa che ottiene il rating in via continuativa per almeno tre volte. A prima vista, un incentivo virtuoso. Nella realtà della governance debole, si trasforma in un potente incentivo alla dissimulazione. La pressione sui manager non è più solo quella di “essere conformi”, ma di “apparire conformi senza interruzioni”. Questo sposta il focus dalla sostanza alla forma, incentivando la cultura del “nascondere la polvere sotto il tappeto”. Un near miss, un’indagine interna su una potenziale frode, una criticità emersa su un fornitore strategico: eventi che dovrebbero innescare una revisione profonda dei controlli vengono minimizzati o non verbalizzati per non “sporcare” il percorso verso il rinnovo e il relativo punteggio premiale. Il board, privo di strumenti di verifica indipendenti, si basa su reporting narrativi ed edulcorati, prendendo decisioni strategiche su una rappresentazione falsata della realtà aziendale. Il rischio che si materializza è quello di una crisi improvvisa e apparentemente inspiegabile, nata da un problema noto ai livelli operativi ma silenziato per obiettivi di facciata.
Un’architettura di governance sovrana ribalta questa dinamica. La presenza di motori di ricostruzione causale scientifica, come quelli integrati in Scudo231, rende la dissimulazione un’opzione strategicamente fallimentare. Ogni transazione, ogni comunicazione, ogni decisione lascia una traccia digitale la cui catena causale può essere ricostruita matematicamente. Di fronte a un’anomalia, il sistema non chiede un’opinione, ma presenta una prova tecnologica. L’incentivo per il management non è più nascondere, ma risolvere, perché l’evento è già stato registrato, correlato e valutato nel suo potenziale impatto. L’escalation non è discrezionale, è automatica. In questo scenario, il punteggio aggiuntivo dell’Agcm diventa la naturale conseguenza di una resilienza operativa dimostrabile, non l’obiettivo di una recita organizzativa. Il rischio reputazionale e finanziario legato a uno scandalo improvviso viene annullato alla radice, perché l’organizzazione è costretta a una trasparenza interna radicale e continua.
Il Regolamento, si legge, è stato aggiornato tenendo conto delle osservazioni degli stakeholder durante la Consultazione pubblica. Anche questo processo rappresenta uno snodo cruciale di governance. Tipicamente, le aziende partecipano a queste consultazioni attraverso i loro uffici legali o associazioni di categoria. Il contributo è teorico, basato su interpretazioni normative e non su dati operativi aggregati. Il feedback inviato all’Autorità è disconnesso dalle reali frizioni e dalle vulnerabilità che si manifestano nei processi di produzione, logistica o vendita. È un esercizio di forma che manca di sostanza. Il risultato è una normativa che, pur migliorata, può contenere ancora delle zone d’ombra o dei requisiti la cui implementazione pratica genera nuovi rischi imprevisti.
Un’impresa la cui governance si fonda su un monitoraggio massivo e in tempo reale parteciperebbe alla consultazione pubblica in modo radicalmente diverso. Non presenterebbe un parere legale, ma un’analisi quantitativa. Potrebbe, ad esempio, dimostrare con dati aggregati e anonimizzati come un certo requisito di due diligence sulla catena di fornitura, così come formulato, sia inapplicabile per il 90% dei fornitori sotto una certa soglia di fatturato, generando un’enorme area di rischio non presidiato. Il suo contributo non sarebbe un’opinione, ma un data-driven policy paper che aiuta il regolatore a scrivere norme più efficaci. La decisione alternativa non è “cosa scriviamo all’Agcm?”, ma “quali evidenze oggettive estratte dai nostri sistemi possiamo fornire per migliorare la regolamentazione a vantaggio dell’intero mercato?”. Il rischio che viene abbattuto è quello normativo: il pericolo di trovarsi soggetti a regole inefficaci o inapplicabili che creano un falso senso di sicurezza e lasciano scoperte le reali vulnerabilità operative. L’azienda si trasforma da soggetto passivo a contributore attivo della qualità regolatoria.
Infine, la pubblicazione del Regolamento e dei documenti correlati sul sito dell’Autorità innesca l’ultimo, e più comune, punto di rottura della governance: la comunicazione e la formazione interna. La prassi standard vede la funzione Compliance diramare una circolare, forse organizzare un webinar per i quadri dirigenti, e aggiornare una serie di procedure archiviate sulla intranet aziendale. L’impatto reale sul comportamento dei dipendenti è prossimo allo zero. La nuova regola rimane un concetto astratto, confinato nelle menti di pochi specialisti, senza tradursi in modifiche concrete delle routine lavorative quotidiane. L’addetto al procurement continua a usare la stessa checklist di prima, il venditore non modifica il suo processo di approvazione degli sconti. L’azienda è formalmente “aggiornata”, ma operativamente identica a prima, con tutti i rischi connessi.
Una governance supportata da un ecosistema sovrano gestisce la diffusione della nuova norma come un aggiornamento di sistema operativo. La delibera Agcm n. 31812 non viene semplicemente comunicata: viene tradotta in nuovi controlli automatici, nuove soglie di allarme, nuovi workflow obbligatori all’interno dei sistemi gestionali. Se il nuovo regolamento impone un controllo più stringente su una certa categoria di consulenti, il sistema ERP bloccherà fisicamente il pagamento di fatture a consulenti di quella categoria se non è stato completato il nuovo processo di qualifica digitale. La formazione non è un’aula, ma un’interazione con il sistema che impedisce l’errore. La decisione che l’ecosistema impone è quella di una remediation operativa immediata e misurabile. Il rischio evitato è quello, fondamentale, della “colpa di organizzazione” ai sensi del D.Lgs. 231/2001. Di fronte a un giudice, l’azienda non si limiterà a mostrare la procedura aggiornata, ma fornirà la prova tecnologica, tramite log immodificabili estratti da Scudo231, che l’intera organizzazione è stata materialmente costretta ad operare secondo le nuove regole dal 16 marzo in poi. L’onere della prova si inverte. Non è l’azienda a dover dimostrare di aver fatto tutto il possibile per prevenire l’illecito; è l’accusa a dover dimostrare come l’illecito sia stato possibile in un sistema progettato per impedirlo. La nuova delibera Agcm, in questa luce, cessa di essere un adempimento e diventa un’opportunità per testare e validare la superiorità di un modello di governo che non si limita a rispettare le regole, ma le incorpora nel proprio DNA operativo.