La LkSG è ancora in vigore nel 2026, ma con controlli più leggeri. Cosa si applica oggi, cosa è cambiato e come si collega alla direttiva europea CSDDD.
Il DORA impone alle entità finanziarie interessate di gestire il rischio derivante dai fornitori terzi di servizi ICT e di conservare le informazioni sui relativi accordi contrattuali ICT, con requisiti rafforzati laddove i fornitori supportino funzioni critiche o importanti. La NIS2 richiede alle entità essenziali e importanti di affrontare la sicurezza della catena di approvvigionamento, in particolare i rischi che coinvolgono fornitori diretti e prestatori di servizi. I due regimi si sovrappongono, ma il DORA è più prescrittivo sulla gestione del rischio ICT delle terze parti.
Il MiCA disciplina l’autorizzazione e l’operatività dei fornitori di servizi per le cripto-attività nell’UE, mentre il quadro AML dell’UE regola il modo in cui tali imprese prevengono il riciclaggio di denaro e il finanziamento del terrorismo. Il MiCA non sostituisce i requisiti AML: i CASP autorizzati devono conformarsi a entrambi, inclusi la customer due diligence, i controlli sui titolari effettivi, le verifiche su sanzioni e PEP, il monitoraggio delle transazioni e la segnalazione di attività sospette.
La conformità EUDR non richiede alle PMI di acquistare cacao tramite un commerciante: un produttore piccolo o medio può comunque importare direttamente.
Il periodo transitorio di MiCA che consentiva ai fornitori di servizi per cripto-attività preesistenti di continuare a operare senza autorizzazione è terminato il 1° luglio 2026 in tutti gli Stati membri, senza alcun meccanismo di proroga previsto dal regolamento. I CASP autorizzati continuano a operare in tutta l’UE con diritti di passaporto. I CASP senza autorizzazione devono cessare immediatamente di servire clienti UE e procedere a una chiusura ordinata, oppure affrontare sanzioni, sospensione o chiusura forzata da parte delle autorità nazionali.
La gestione del rischio di terze parti nel DORA è condivisa tra le entità finanziarie e i loro fornitori ICT. Dal 17 gennaio 2025, l’Articolo 13(6) richiede a banche, assicurazioni e imprese di investimento di organizzare programmi di sensibilizzazione sulla sicurezza ICT e formazione sulla resilienza e, ove opportuno, di includervi i propri fornitori ICT; l’Articolo 30(2)(i) richiede che ogni contratto ICT stabilisca le modalità di partecipazione del fornitore. I fornitori in grado di dimostrare tale conformità mantengono il contratto.
La formazione sulla compliance per i dipendenti funziona quando misura la comprensione, non la partecipazione. Trusty Compliance App trasforma qualsiasi policy o documento in un modulo di formazione in pochi minuti, con domande generate dall’IA, spiegazioni per ogni risposta e un certificato al superamento, così può dimostrare che le persone hanno capito le regole che proteggono l’organizzazione, e non solo che hanno fatto clic sulle slide.
I dipendenti non leggono le policy di compliance perché sono difficili da consultare, troppo lunghe, scritte in un linguaggio legale complesso e sparse tra PDF, allegati e-mail e cartelle condivise, non perché non ci tengano. La soluzione non è un altro documento: mettere ogni policy in un unico posto accessibile da qualsiasi dispositivo, mettere la regola stessa al primo posto, offrire guida pratica invece di testo, e misurare chi ha effettivamente letto e compreso i contenuti.
Il test delle prove della SFO è semplice: una politica antifrode scritta su cui nessuno è formato, che non viene monitorata e che non lascia traccia del proprio funzionamento non soddisferà la difesa delle procedure ragionevoli ai sensi della sezione 199 dell’ECCTA, in vigore dal 1º settembre 2025. Ciò che protegge un’organizzazione è la prova che la procedura funziona davvero: registri di formazione, monitoraggio, canali di segnalazione e follow-up documentato.
Il moderno scenario aziendale richiede programmi di compliance efficaci per evitare la responsabilità penale e garantire un funzionamento etico e conforme alla legge. Inoltre, questo adempimento normativo rafforza l’immagine e la reputazione aziendale di fronte alla società. Tuttavia, non è privo di sfide.
Protezione dei dati e compliance si basano su due figure distinte. Il Compliance Officer garantisce che l’azienda rispetti la normativa vigente e gestisce programmi che riducono il rischio legale e reputazionale. Il DPO vigila affinché i dati personali siano trattati in conformità al GDPR e alle norme nazionali. Le loro funzioni sono diverse ma complementari e vanno coordinate in ambiti come i canali di segnalazione interni.
Trattiamo ciò che devi sapere per la conformità MiCA quest’anno. Il regolamento sui mercati delle cripto-attività è in vigore dal 30 dicembre 2024. Il Digital
Il Trusty FinTech Booster Pack standardizza la compliance in tutta una rete di partner: un unico set di policy distribuito a commercianti, agenti, distributori e fornitori terzi, la prova che ogni partner le abbia lette e sia stato formato su di esse, controlli integrati su sanzioni e PEP, e visibilità in tempo reale per l’istituzione autorizzata. Trasforma una supervisione dei partner frammentata e manuale in un sistema verificabile dalle autorità di regolamentazione.
Lo screening PEP identifica se un cliente, un fornitore o un partner commerciale è una persona politicamente esposta: un individuo che ricopre o ha ricoperto una posizione pubblica di rilievo, oppure un suo familiare o stretto collaboratore. La corrispondenza di un nome è solo l’inizio. Uno screening efficace verifica il ruolo, il livello di influenza, il paese e se la persona è ancora in carica, documentando poi la decisione sul rischio e ripetendo il controllo al variare delle circostanze.
La Direttiva UE anticorruzione armonizza i reati di corruzione tra gli Stati membri, aggiungendo alla corruzione attiva e passiva il traffico di influenze, l’appropriazione indebita, l’ostruzione alla giustizia e l’occultamento di beni legati alla corruzione, ed estende la responsabilità aziendale agli atti commessi a vantaggio della società. Le sanzioni possono raggiungere il cinque per cento del fatturato globale, oltre all’esclusione dagli appalti pubblici. Le aziende necessitano di politiche anticorruzione efficaci, formazione e un canale di segnalazione, non di documenti chiusi in un cassetto.
La conformità nella gestione delle policy significa dimostrare che le policy sono seguite, aggiornate e applicate in modo coerente, non semplicemente che esistono. Le autorità di regolamentazione ora osservano tre aspetti che la maggior parte delle organizzazioni non riesce a vedere: se i dipendenti accedono effettivamente alle policy, se tutti lavorano con l’ultima versione approvata e se i team le applicano allo stesso modo. Colmare queste lacune richiede distribuzione, controllo delle versioni e conferma di lettura, non altri documenti.
Le PMI possono soddisfare le aspettative ESG senza un team di compliance mantenendo una struttura leggera: un breve codice di condotta, alcune policy chiare che le persone leggano davvero, una formazione di base, un canale per segnalare preoccupazioni e un rapido controllo di due diligence su fornitori e partner commerciali, dove risiede la maggior parte dell’esposizione ESG. L’obiettivo è ridurre il rischio reale e fornirne prova, non replicare un dipartimento ESG di livello enterprise.
La conformità alle sanzioni per le PMI non è più facoltativa nel 2026. La Direttiva 2024/1226 rende le violazioni gravi delle sanzioni reati penali in tutta l’UE, stabilisce sanzioni minime ed estende la responsabilità alle aziende, quindi l’applicazione ora raggiunge anche le piccole imprese che commerciano, esportano o si approvvigionano a livello internazionale. Ciò di cui le PMI hanno bisogno è un processo chiaro e ripetibile: verificare ogni controparte rispetto alle liste delle sanzioni, registrare il risultato e monitorare i cambiamenti nel tempo.
La formazione sulla compliance aziendale per le PMI spesso fallisce non per mancanza di impegno, ma perché viene erogata tramite PDF generici, lunghe presentazioni o sessioni registrate che i dipendenti confermano senza assimilare, e nulla verifica l’effettiva comprensione. Nel 2026, una formazione efficace è breve, pertinente a scenari reali, si adatta al modo di lavorare delle persone e produce prove di comprensione che l’organizzazione può esibire in caso di richiesta.
La conformità della catena di fornitura per le PMI cambia nel 2026, perché le norme UE ora si estendono oltre l’azienda regolamentata fino ai suoi fornitori: le richieste di informazioni su approvvigionamento, proprietà e rischio arrivano da clienti e partner, non dai regolatori, e si fanno sempre più frequenti e strutturate. Le PMI non hanno bisogno di un grande team, ma di un processo chiaro per sapere con chi lavorano, raccogliere le informazioni una sola volta e rispondere a ogni richiesta sulla base di queste.
Le PMI possono soddisfare i requisiti NIS2 per la gestione delle vulnerabilità con un processo di segnalazione semplice e strutturato: un unico canale attraverso cui dipendenti, fornitori e ricercatori possono segnalare una debolezza di sicurezza, una gestione riservata, un responsabile definito che valuta e risolve il problema, e una documentazione di quanto fatto. Un sistema di whistleblowing fornisce già questo flusso di lavoro, quindi lo stesso canale può servire entrambi i regimi.
La UNI/PdR 125:2022 è la prassi di riferimento italiana per la certificazione della parità di genere. Valuta l’azienda tramite KPI in sei aree (cultura e strategia, governance, processi HR, opportunità di carriera per le donne, equità remunerativa e conciliazione vita-lavoro) e rilascia una certificazione formale al superamento della soglia. Per le PMI può significare un vantaggio nei bandi di gara pubblici, possibili sgravi fiscali e un profilo ESG più solido, e richiede un canale riservato per segnalare le discriminazioni.
Le catene di fornitura globali stanno cambiando. Stanno diventando contemporaneamente più fragili, più trasparenti e più regolamentate. Le tensioni geopolitiche stanno spostando le relazioni commerciali.
L’ultimo miglio della compliance è il divario tra scrivere una policy e farla arrivare nelle mani delle persone che prendono decisioni ogni giorno. La maggior parte dei fallimenti di compliance avviene proprio lì: la policy esiste, ma i dipendenti non la vedono mai, non la trovano o non la capiscono. Chiudere il divario significa distribuire le policy in digitale su ogni dispositivo, confermarne la lettura e misurare chi le consulta.
La formazione e il protocollo di whistleblowing sono i due pilastri di un ambiente di lavoro sano ed etico. Il protocollo stabilisce come viene gestito il canale interno: riservatezza per il segnalante, procedura di ricezione e seguito delle segnalazioni e sanzioni in caso di illecito confermato. La formazione assicura che i dipendenti conoscano il canale, si fidino di esso e sappiano cosa segnalare, affinché i problemi emergano precocemente invece di degenerare.
La direttiva (UE) 2024/1226 impone a ogni Stato membro di configurare come reato le violazioni gravi e l’elusione delle sanzioni dell’UE, armonizza le definizioni di tali reati e fissa sanzioni minime, inclusa la responsabilità delle imprese. Per le PMI che commerciano o si approvvigionano oltre confine, trasforma lo screening delle sanzioni di clienti, fornitori e partner da prassi delle grandi aziende in un controllo aziendale di base, proporzionato e documentato.
Per le PMI, lo screening dei partner commerciali non è più opzionale.
Non ha bisogno di un dipartimento di conformità dedicato. Ma ha bisogno di un processo difendibile e strutturato.
I fondi di venture capital calcolano attentamente il rischio di prodotto, di mercato e del fondatore, ma lasciano senza valutazione la compliance del portafoglio. La mancata imposizione di un codice di condotta, della formazione e di un canale di whistleblowing in tutte le società in portafoglio è un rischio fiduciario: le autorità di regolamentazione applicano standard di “mancata prevenzione” a sistemi e prove, i fallimenti della governance ostacolano exit e valutazioni e, senza policy e registri, non c’è nulla con cui difendersi. La soluzione è una base minima di governance per tutto il portafoglio.
Come Implementare un Programma di Conformità in una Piccola Impresa Le aspettative normative per le piccole imprese stanno aumentando, in particolare riguardo alla segnalazione interna,
Il reato di Failure to Prevent Fraud dell’ECCTA si applica alle grandi organizzazioni, ma raggiunge le PMI attraverso i loro contratti. Poiché l’unica difesa prevista dalla legge consiste nel dimostrare l’adozione di procedure ragionevoli, le imprese britanniche chiedono ora ai fornitori di provare la formazione antifrode, i sistemi di whistleblowing, i diritti di audit e le clausole di risoluzione. I piccoli fornitori sono vincolati nella pratica, non dallo statuto.
Scalare un’azienda non dovrebbe scalare la sua responsabilità. La crescita aggiunge dipendenti, partner, sistemi e livelli decisionali, e la compliance informale che funzionava con 20 persone si rompe con 200: le policy restano chiuse in PDF, nessuno può dimostrare chi ha letto cosa, e le prove richieste da un regolatore o da un assicuratore semplicemente non esistono. Le aziende che scalano in sicurezza gestiscono la compliance come un sistema: policy distribuite, formazione tracciata e due diligence documentata.
Nella gestione della supply chain, la proporzionalità significa concentrare la due diligence sui fornitori più grandi e strategici, ma non deve tradursi nell’ignorare quelli più piccoli. I piccoli fornitori comportano rischi nascosti di compliance, continuità e reputazione, ma offrono anche flessibilità, specializzazione e innovazione. Una strategia equilibrata esamina ogni fornitore a un livello base e adegua i controlli in base al rischio, non alle dimensioni dell’azienda.
L’etica della catena di fornitura si accompagna ora a precisi obblighi legali. La Corporate Sustainability Due Diligence Directive, approvata dal Parlamento Europeo il 24 aprile 2024, rende le grandi aziende responsabili dell’individuazione, prevenzione e riparazione dei danni ai diritti umani e all’ambiente lungo l’intera catena del valore, e tale obbligo si estende ai fornitori tramite contratti e questionari. Le aziende che mappano la propria catena e documentano le verifiche sui fornitori soddisfano questo requisito e ottengono un vantaggio competitivo.
Presso Trusty AG, la nostra sede è immersa a Zugo, in Svizzera, una pittoresca cittadina lacustre circondata da montagne. I turisti accorrono qui per gite
Cerchi un software per la conformità EUDR? Scopri EUDR Passport, la piattaforma di conformità EUDR di Trusty. La conformità all’EUDR diventa obbligatoria per le grandi
La formazione sulla compliance dei dipendenti funziona quando ogni politica diventa un modulo breve e personalizzato, fruibile da qualsiasi dispositivo e nella propria lingua, con domande e spiegazioni per verificare la comprensione e un registro di chi ha superato il test e quando. Trusty Compliance App fa tutto questo con l’IA: carica la politica, ottiene il modulo, monitora il completamento e la certificazione in tempo reale, e conserva le prove richieste da revisori e clienti.
Lo screening PEP e delle sanzioni consente di valutare le terze parti prima della firma del contratto e di continuare a monitorarle successivamente: controlla venditori, fornitori e partner rispetto alle liste di sanzioni, alle liste PEP e ai media avversi, documenta i risultati e ripeti i controlli al variare delle liste. Trusty QuickScreen360 esegue queste verifiche con un monitoraggio continuo, controlli personalizzabili e meno falsi positivi, affinché la decisione sul rischio si basi su prove attuali.
Gestire il rischio fornitori in modo proattivo significa agire prima di un incidente, non dopo: mappare i fornitori per categoria e criticità affinché lo sforzo di monitoraggio corrisponda al rischio, valutare ogni fornitore prima, durante e dopo la relazione, sottoporre a screening per sanzioni, proprietà e questioni reputazionali, e mantenere una traccia documentata. Il rischio fornitori non può essere eliminato, ma un processo strutturato e ripetibile lo mantiene visibile e gestibile.
Un processo di due diligence dei fornitori protegge la catena di fornitura verificando i fornitori oltre il prezzo e la consegna: stabilisca criteri chiari in linea con le Sue priorità ESG e di compliance, esegua una valutazione strutturata con questionari, controlli documentali e screening, e mantenga aggiornata la valutazione al variare di fornitori ed elenchi. La prevenzione è protezione: un processo documentato è ciò che autorità di regolamentazione, clienti e revisori chiedono di vedere.
I casi Apple e John Deere dimostrano che la compliance della catena di fornitura non si ferma alla casa madre. Entrambe hanno dovuto rispondere pubblicamente per minerali provenienti da zone di conflitto come la Repubblica Democratica del Congo. La lezione vale per ogni azienda: conoscere l’origine dei materiali, verificare e monitorare i fornitori a ogni anello della catena e documentare tutto, perché il danno reputazionale colpisce il marchio.
Il rischio della supply chain non si ferma ai fornitori strategici. Monitorare solo i partner più grandi lascia punti d’ombra tra le centinaia di fornitori più piccoli, subappaltatori e fornitori occasionali dove tendono a nascondersi l’esposizione alle sanzioni, le frodi e i problemi lavorativi e ambientali. Gestire il rischio lungo l’intera catena significa effettuare un controllo di base su ogni fornitore, uno scrutinio più approfondito dove il profilo di rischio lo giustifica e un monitoraggio continuo piuttosto che una singola revisione in fase di onboarding.
Un software di due diligence della catena di fornitura dovrebbe svolgere nove funzioni: automatizzare la raccolta dati dai fornitori, eseguire valutazioni del rischio personalizzate per settore e normative, archiviare le prove con piena tracciabilità, monitorare costantemente e generare avvisi, integrarsi con i sistemi già in uso, scalare con la crescita della base fornitori, fornire report in tempo reale tramite dashboard, includere supporto e aggiornamenti continui e operare in diverse lingue e regimi normativi. Qualsiasi mancanza si traduce nuovamente in lavoro manuale.
La legge sugli obblighi di diligenza dovuta nelle catene di approvvigionamento (LkSG), la normativa tedesca del luglio 2021, coinvolge i fornitori diretti attraverso la sezione 6, paragrafo 4: le aziende devono selezionare i fornitori in base a criteri relativi ai diritti umani e all’ambiente, non solo al prezzo, garantire impegni contrattuali che si estendano lungo la catena, formare i fornitori e verificare la compliance con controlli basati sul rischio. La difficoltà pratica risiede nel monitoraggio continuo di centinaia di fornitori, ed è qui che intervengono lo screening strutturato e la documentazione.
Le catene di fornitura sono diventate una componente chiave per il successo di qualsiasi azienda. Tuttavia, la loro complessità comporta anche rischi significativi che possono
Il Regime Generale di Prevenzione della Corruzione (RGPC) del Portogallo, Decreto-Legge 109-E/2021, si applica agli enti pubblici e alle entità private con 50 o più dipendenti, comprese le filiali locali di società estere. Richiede un piano di prevenzione dei rischi di corruzione, un codice di condotta, un canale di segnalazione riservato conforme alla Legge 93/2021 e una formazione obbligatoria per dirigenti e personale, con sanzioni per la mancata compliance supervisionate dal MENAC.
La Compliance 2.0 parte dalle terze parti perché è lì che oggi si concentra il rischio: il 62% delle violazioni di dati passa attraverso fornitori esterni, oltre l’80% delle aziende condivide dati sensibili con loro e il 98% è collegato ad almeno un fornitore vittima di una violazione negli ultimi due anni, secondo il Data Breach Investigations Report di Verizon. Estendere i controlli di compliance e sicurezza a fornitori, partner e provider è il fulcro di questo approccio.
La direttiva sulla dovuta diligenza delle imprese ai fini della sostenibilità (Direttiva (UE) 2024/1760, CSDDD) impone alle aziende che rientrano nell’ambito di applicazione di predisporre un canale informativo attraverso il quale dipendenti, fornitori e altri stakeholder possano segnalare rischi e violazioni in materia di diritti umani e ambientale. Il canale deve essere accessibile a tutti gli stakeholder, riservato, protetto da ritorsioni e dotato di un adeguato follow-up, il che rende un canale di whistleblowing già esistente il luogo naturale in cui costruirlo.
La General Compliance Program Guidance 2023 dell’OIG offre alle PMI sanitarie statunitensi una tabella di marcia: comprendere le aspettative per un programma efficace, adattarlo alle dimensioni e ai rischi dell’organizzazione, valutare e monitorare costantemente i rischi, applicare gli standard in modo coerente, rispondere rapidamente ai problemi e costruire una cultura in cui la compliance sia responsabilità di tutti. Politiche scritte, formazione e un canale di segnalazione costituiscono il nucleo pratico di tutti i sei passaggi.