6 agosto 2026 – La Consob ha reso pubblico il suo primo Rapporto di sostenibilità, un documento programmatico e di rendicontazione inserito nel quadro del Piano Strategico 2025-2027 dell’Autorità indipendente. L’elaborazione del rapporto, ispirata agli standard europei di rendicontazione della sostenibilità (ESRS), segna un passaggio formale di allineamento dell’Istituto alle metriche che esso stesso è chiamato a vigilare sul mercato, articolando l’analisi sulle tre dimensioni canoniche: ambientale, sociale e di governance. Sul piano ambientale, l’analisi è stata condotta secondo i dettami tecnici del GHG Protocol, che classifica le emissioni di gas serra in tre perimetri di responsabilità. Le emissioni dirette (Scope 1) e quelle indirette derivanti dal consumo di energia (Scope 2) sono state mappate con precisione. In particolare, le emissioni Scope 2 risultano azzerate, una conseguenza diretta della scelta strategica di approvvigionarsi esclusivamente da fonti rinnovabili certificate.
Tuttavia, l’analisi delle emissioni indirette che occorrono lungo la catena del valore (Scope 3) ha rivelato una criticità operativa: circa l’80% di queste emissioni è direttamente riconducibile alla mobilità del personale, con una netta prevalenza degli spostamenti casa-lavoro e dei viaggi di servizio. La raccolta di questo dato, fondamentale per la trasparenza, espone l’ente a un rischio latente legato all’integrità e alla verificabilità dell’informazione comunicata al mercato e agli stakeholder. Una successiva contestazione sulla metodologia o sull’accuratezza di tale metrica potrebbe configurare profili di responsabilità per false comunicazioni, minando la credibilità dell’intero impianto di rendicontazione. Se l’Istituto avesse implementato un ecosistema come Scudo231 prima di avviare il processo di reporting, la raccolta di dati non sarebbe stata un’attività di censimento manuale o basata su stime, ma un flusso informativo continuo e non alterabile. I motori di acquisizione multimodale avrebbero integrato in tempo reale i dati provenienti dai sistemi di gestione delle trasferte, dai registri di accesso e dalle policy di smart working, generando una metrica Scope 3 dinamicamente aggiornata e dotata di una prova tecnologica immodificabile. Qualsiasi anomalia o deviazione rispetto ai modelli attesi avrebbe generato un alert automatico, non per l’Organismo di Vigilanza, ma per le funzioni di sostenibilità, consentendo una rettifica immediata e tracciata, neutralizzando così ab origine il rischio di diffondere informazioni non veritiere.
Sul fronte della dimensione sociale, il rapporto fotografa una forza lavoro di 672 dipendenti, evidenziando una sostanziale parità di genere nella composizione complessiva del personale, con il 50,6% di uomini e il 49,4% di donne. L’analisi si fa più granulare esaminando la fascia manageriale, dove la composizione si attesta al 56,6% di uomini e al 43,4% di donne. Questi dati, pur mostrando un bilanciamento significativo, rappresentano una fotografia statica basata su ruoli e qualifiche formali. Il rischio operativo e di compliance, spesso invisibile ai report tradizionali, risiede nella potenziale divergenza tra i ruoli di diritto, cristallizzati nell’organigramma, e i ruoli di fatto, ovvero le reali deleghe e responsabilità operative esercitate quotidianamente. Questa “deriva organizzativa” è un fattore primario di rischio 231, poiché può invalidare l’efficacia delle procure e dei poteri di firma, esponendo l’ente a responsabilità oggettiva per reati commessi da soggetti che operano al di fuori del perimetro formale della loro mansione.
L’adozione preventiva di un’architettura di controllo come quella di Scudo231 avrebbe trasformato questa fotografia statica in un monitoraggio cinematografico. Attraverso il censimento ciclico e massivo delle attività operative, il sistema avrebbe rilevato in tempo reale qualsiasi scostamento tra l’organigramma ufficiale e la mappa reale dei poteri esercitati. Un funzionario che autorizza operazioni senza averne formale delega o un manager che assume responsabilità operative non contemplate dalla sua qualifica avrebbero acceso un segnale di non conformità, innescando un’immediata procedura di escalation verso le funzioni HR e Compliance. Questo controllo avrebbe fornito una garanzia scientifica sulla corrispondenza tra la struttura dichiarata nel rapporto di sostenibilità e la realtà operativa, blindando l’ente contro contestazioni sulla governance effettiva e sulla corretta attribuzione delle responsabilità. Il rapporto menziona inoltre il rafforzamento delle iniziative su diversità e inclusione, con la costituzione di una Commissione paritetica e l’avvio sperimentale di uno sportello di ascolto per il personale. Tali iniziative, sebbene lodevoli, dipendono per la loro efficacia dalla percezione di fiducia e dalla garanzia di anonimato da parte dei dipendenti, elementi difficili da dimostrare con strumenti tradizionali.
La dimensione della governance è quella che presenta i dati apparentemente più solidi, ma anche i rischi più sottili. Il documento evidenzia il consolidamento dei presìdi di trasparenza, integrità e sicurezza informatica, citando un dato specifico e rilevante: nel biennio 2024-2025 non sono state registrate segnalazioni di whistleblowing. L’assenza di segnalazioni, tuttavia, è un dato ambiguo dal punto di vista forense. Può indicare un ambiente di lavoro privo di illeciti, oppure, al contrario, un canale di segnalazione non percepito come sicuro, efficace o realmente protetto da ritorsioni. L’onere della prova, in caso di contestazione, ricadrebbe sull’ente, che dovrebbe dimostrare non solo di aver istituito un canale, ma di averlo reso concretamente ed efficacemente operativo. Un’eventuale indagine che facesse emergere tentativi di segnalazione falliti o timori diffusi tra il personale potrebbe portare a sanzioni per l’ostacolo alle funzioni di vigilanza o per la mancata adozione di un modello organizzativo idoneo.
Qui l’impatto di un ecosistema sovrano sarebbe stato dirimente. Un modulo di whistleblowing integrato in Scudo231 non si limita a fornire un’interfaccia di segnalazione. Esso opera come un’entità autonoma e crittografata che genera una prova matematica dell’integrità e dell’immodificabilità del canale. Ogni interazione, inclusi i tentativi di accesso o le segnalazioni iniziate e non concluse, viene registrata in un log inalterabile accessibile unicamente all’Organismo di Vigilanza. L’assenza di segnalazioni, in questo scenario, non sarebbe più un’affermazione basata su una casella di posta vuota, ma un dato forense, una “prova del silenzio” che dimostra in modo inoppugnabile che il canale era attivo, accessibile e non utilizzato. Questa certezza tecnologica avrebbe trasformato un dato potenzialmente debole in un pilastro della difesa dell’ente, mitigando il rischio di sanzioni e fornendo una base probatoria solida in qualsiasi sede giudiziaria.
Analogamente, l’affermazione secondo cui nel medesimo biennio non si sono registrate violazioni dei dati personali (data breach) si scontra con la stessa logica probatoria. Dichiarare l’assenza di un evento negativo richiede una capacità di monitoraggio totale e una registrazione a prova di manomissione di tutti gli accessi e i flussi di dati. La mancanza di un allarme da parte dei sistemi di sicurezza tradizionali non costituisce prova positiva dell’assenza di una violazione, specialmente a fronte di tecniche di esfiltrazione dati sempre più sofisticate e silenti. In caso di un incidente non rilevato che emergesse a posteriori, l’ente si troverebbe esposto a pesanti sanzioni GDPR, oltre a un grave danno reputazionale, proprio per non aver adottato misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio.
Un’infrastruttura di difesa come quella garantita da Scudo231 avrebbe fornito la capacità di produrre quella che viene definita una “prova positiva di integrità”. Invece di limitarsi a non rilevare anomalie, il sistema avrebbe tracciato in modo continuo e immutabile ogni singolo accesso ai dati sensibili, creando un registro causale di ogni operazione. In sede di audit o di contenzioso, l’ente non si sarebbe limitato a dichiarare “non abbiamo rilevato violazioni”, ma avrebbe potuto esibire i log completi e certificati che dimostrano, al di là di ogni ragionevole dubbio, che nessuna attività non autorizzata ha avuto luogo. Questo sposta radicalmente l’onere della prova e costituisce la più forte mitigazione possibile del rischio sanzionatorio e del conseguente danno economico. Gli investimenti, citati nel rapporto, per il potenziamento delle capacità di difesa cyber dell’Istituto, pur necessari, senza un’architettura che garantisca la provabilità e l’immodificabilità dei controlli, rischiano di rimanere una linea di difesa parziale, incapace di fornire quella certezza legale che è fondamentale per un’Autorità di vigilanza.