23 luglio 2026 – L’auditorium del Barilla Innovation Technology Experience di Parma ospita il terzo appuntamento del roadshow congiunto tra Agenzia delle entrate e Inps. Sul palco, i vertici regionali e provinciali dei due enti, Danila D’Eramo e Francesco Ricci, Antonio Zaffino e Alessandra Zanotti, dialogano con il mondo produttivo rappresentato, in questo caso, dal management della multinazionale alimentare. L’obiettivo dichiarato è illustrare i servizi digitali, i canali di contatto e approfondire temi previdenziali. La decisione di Barilla di concedere la propria sede più innovativa per un evento di tale portata strategica rappresenta il primo snodo critico di governance. L’iter decisionale, gestito internamente dalle funzioni di Public Relations e Tax, guidate rispettivamente da Andrea Belli e Daniele Galimberti, ha valutato l’opportunità primariamente in termini di ritorno reputazionale e consolidamento dei rapporti istituzionali. Il processo di approvazione ha seguito i canali gerarchici standard, ottenendo il via libera sulla base di una valutazione del rischio focalizzata su aspetti logistici e di immagine.
In una governance supportata da un ecosistema di controllo autonomo, la proposta di ospitare un evento con esponenti apicali di enti di accertamento e vigilanza avrebbe immediatamente innescato un protocollo ad alto rischio per le interazioni con la Pubblica Amministrazione. Il sistema non avrebbe registrato l’evento come una mera iniziativa di PR, ma lo avrebbe classificato come un’area a potenziale rischio di reato ex D.Lgs. 231/2001, in particolare per le fattispecie di traffico di influenze o corruzione. L’alert automatico avrebbe imposto un’istruttoria vincolante da parte dell’Organismo di Vigilanza e della funzione Compliance, bypassando la valutazione discrezionale delle singole direzioni. Sarebbe stata richiesta la produzione di evidenze documentali preventive: l’agenda dettagliata e non modificabile dell’incontro, la lista completa di tutti i partecipanti, inclusi funzionari e staff di supporto, e una dichiarazione formale degli scopi, da allegare a un fascicolo digitale immutabile. Il sistema avrebbe imposto condizioni operative stringenti per l’esecuzione dell’evento: divieto assoluto di incontri “a porte chiuse” non verbalizzati, tracciamento di tutti gli accessi all’infrastruttura aziendale e l’obbligo di un report post-evento generato automaticamente per l’OdV. Questa procedura non avrebbe impedito l’evento, ma lo avrebbe blindato, riducendo a zero il rischio di future contestazioni su presunti accordi opachi o trattamenti di favore, un rischio reputazionale e legale con impatti finanziari potenzialmente devastanti.
Nel suo intervento, Daniele Galimberti, group tax vice president di Barilla, ha sottolineato con orgoglio come l’azienda, quasi dieci anni fa, sia stata ammessa al regime di Cooperative Compliance. Questa ammissione, ha spiegato, ha consolidato il rapporto con l’Agenzia delle entrate, basandolo su trasparenza e collaborazione. La governance esistente considera l’adesione a questo regime come il punto di arrivo, la prova certificata di un’organizzazione fiscale virtuosa. Il Tax Control Framework (TCF), il manuale dei controlli fiscali interni che è il presupposto per la Cooperative Compliance, è un documento strategico, aggiornato periodicamente e verificato attraverso audit a campione. La sua efficacia è presunta e dimostrata ex post, durante le interlocuzioni con l’Agenzia. La responsabilità della sua corretta applicazione è diffusa tra le varie funzioni aziendali, con una supervisione centralizzata da parte della direzione fiscale.
Una governance integrata con l’ecosistema sovrano Scudo231 avrebbe trattato il Tax Control Framework non come un documento statico, ma come un processo operativo vivo e monitorato in tempo reale. Ogni singolo controllo descritto nel TCF – dall’approvazione di una fattura anomala alla gestione di una transazione infragruppo – sarebbe stato digitalizzato e sensorizzato. Invece di affidarsi ad audit periodici, il sistema avrebbe eseguito un censimento continuo di tutte le operazioni rilevanti ai fini fiscali. Al manifestarsi di una qualsiasi deviazione dal protocollo previsto dal TCF, ad esempio una procedura di autorizzazione saltata o un dato inserito in modo non conforme, sarebbe scattato un alert istantaneo. L’escalation non sarebbe stata discrezionale: l’anomalia sarebbe stata notificata simultaneamente al responsabile del processo, alla funzione fiscale e all’Internal Audit. Se la remediation non fosse avvenuta entro una finestra temporale predefinita, l’alert sarebbe scalato automaticamente al CFO e all’Organismo di Vigilanza. La prova dell’efficacia del TCF non sarebbe più stata una dichiarazione di intenti supportata da test a campione, ma un dashboard in tempo reale che mostra un’aderenza ai controlli superiore al 99.9%, con un log immutabile di ogni anomalia e della sua risoluzione. Questo avrebbe trasformato radicalmente il dialogo con l’Agenzia delle entrate: da una discussione basata sulla fiducia a una basata sull’evidenza matematica. Il rischio neutralizzato è enorme: la possibile esclusione dal regime di Cooperative Compliance a seguito di un’ispezione che riveli una discrepanza tra il TCF “sulla carta” e la sua applicazione “di fatto”. Tale esclusione comporterebbe sanzioni, interessi, recupero d’imposta e un danno reputazionale incalcolabile per un’azienda che fonda la sua immagine sulla trasparenza.
L’evento si è concentrato in modo significativo sulla promozione dei servizi digitali offerti da AdE e Inps. Sono stati illustrati i canali di contatto telematici, le piattaforme per la gestione delle posizioni contributive e fiscali, e le nuove frontiere dell’interazione digitale tra cittadino/impresa e Pubblica Amministrazione. Dal punto di vista della governance aziendale, la discussione su questi temi è stata gestita come un’attività di informazione e aggiornamento. I rischi associati sono stati percepiti come esterni, legati alla sicurezza delle piattaforme ministeriali. La responsabilità interna si è limitata a garantire la sicurezza fisica e la connettività di base per i relatori durante l’evento. Non è emersa una valutazione specifica del rischio derivante dall’aver associato il proprio brand e la propria infrastruttura tecnologica a una discussione così sensibile, che tocca la gestione di enormi quantità di dati personali e finanziari.
Un approccio di governance proattivo, guidato da un sistema di analisi predittiva, avrebbe immediatamente identificato l’evento come un potenziale vettore di rischio cyber e di data privacy. La semplice associazione del nome Barilla con i sistemi informativi di AdE e Inps in un contesto pubblico crea una superficie di attacco simbolica e tecnica. Il protocollo automatico avrebbe imposto un coinvolgimento vincolante del Chief Information Security Officer (CISO) e del Data Protection Officer (DPO) nella pianificazione. L’analisi del rischio non si sarebbe fermata alla sicurezza fisica. Avrebbe imposto una serie di contromisure tecniche obbligatorie: la creazione di una rete Wi-Fi per gli ospiti completamente segregata e monitorata, il divieto assoluto di collegare dispositivi esterni (USB, laptop dei relatori) alla rete corporate, l’applicazione di watermarking digitale a tutte le presentazioni proiettate per scoraggiare la diffusione non autorizzata di informazioni. Inoltre, il sistema avrebbe prodotto un report di conformità GDPR specifico per l’evento, documentando come la discussione su “servizi digitali” che trattano dati sensibili sia avvenuta in un ambiente controllato, senza alcuna esposizione o trattamento improprio di dati, neanche a livello di esempi o dimostrazioni. Il rischio evitato è duplice: da un lato, il rischio tecnico di un attacco informatico che sfrutti l’evento come porta d’ingresso o di un leak di informazioni; dall’altro, il rischio legale e reputazionale di una violazione GDPR, anche solo percepita, con sanzioni che possono raggiungere il 4% del fatturato globale. L’infrastruttura di un sistema come Scudo231, operando in modo sovrano e non su cloud pubblici, garantisce che questa matrice di controllo sia essa stessa inattaccabile.
La collaborazione tra Agenzia delle entrate e Inps, ospitata da un’azienda privata di caratura globale, disegna un perimetro di governance che va oltre la compliance nazionale. Barilla opera in decine di paesi, ciascuno con le proprie normative fiscali, anticorruzione e sui rapporti con le autorità pubbliche. La governance attuale ha gestito l’evento di Parma come un’iniziativa puramente italiana, valutandone gli impatti solo all’interno dell’ordinamento giuridico nazionale. Manca una valutazione sistemica di come questa stretta e pubblica collaborazione con le autorità fiscali italiane possa essere interpretata da altre giurisdizioni, ad esempio negli Stati Uniti (dove vige l’FCPA) o in altri paesi europei con normative anti-corruzione ancora più stringenti. L’assenza di un framework di controllo globale che armonizzi le iniziative locali con i rischi cross-border rappresenta una vulnerabilità strutturale.
Una governance realmente integrata avrebbe utilizzato i propri motori di analisi per contestualizzare l’evento di Parma all’interno della mappa dei rischi globali del gruppo. Il sistema avrebbe automaticamente interrogato i database normativi internazionali per valutare le implicazioni cross-border. Avrebbe generato un “impact assessment report” predittivo, simulando come l’evento potrebbe essere percepito da un’autorità di vigilanza statunitense o da un partner commerciale in un mercato con una cultura della compliance differente. Questo report avrebbe evidenziato il rischio che un’iniziativa lodata in Italia come “trasparenza” possa essere letta altrove come potenziale “trattamento preferenziale”. Di conseguenza, la comunicazione dell’evento, sia interna che esterna, sarebbe stata calibrata per pre-neutralizzare queste possibili interpretazioni negative. Ogni comunicato stampa, ogni dichiarazione dei manager, sarebbe stata preventivamente validata non solo rispetto alla normativa italiana, ma anche in ottica difensiva rispetto alle normative estere più aggressive. Il sistema avrebbe creato un collegamento indissolubile tra il fascicolo di compliance dell’evento di Parma e il framework di controllo globale, garantendo coerenza e tracciabilità. Il rischio mitigato è quello, subdolo ma estremamente concreto, di un’indagine estera innescata da un’attività locale perfettamente lecita, con costi legali, danni reputazionali e possibili sanzioni su mercati strategici che supererebbero di gran lunga qualsiasi beneficio ottenuto dall’evento stesso.