Dan Ostergaard · Co-fondatore, Trusty · Ex responsabile globale della compliance di Novartis · Fondatore di PolicyStore
Perché “procedure ragionevoli” ora significa formazione dimostrabile, implementazione attiva e un canale di whistleblowing funzionante, e perché il resto del mondo normativo si sta muovendo nella stessa direzione
Per anni, la prevenzione delle frodi poteva essere soddisfatta, o almeno difesa, con un raccoglitore. Esisteva una politica, era stata approvata, era pubblicata sull’intranet. Se qualcuno l’avesse letta, compresa o messa in pratica era una questione separata, e raramente quella che le autorità ponevano. Quell’era è finita.
Dal 1º settembre 2025, il reato di mancata prevenzione delle frodi ai sensi della sezione 199 dell’Economic Crime and Corporate Transparency Act 2023 del Regno Unito è in vigore per le grandi organizzazioni. I meccanismi sono volutamente ampi: un’organizzazione può essere ritenuta penalmente responsabile, con una multa illimitata, quando una persona associata (un dipendente, agente, controllata o appaltatore) commette una frode destinata a beneficiare l’organizzazione. L’unica difesa prevista dalla legge è che l’organizzazione avesse procedure ragionevoli in atto per prevenire quella frode.
E il Serious Fraud Office è stato inequivocabile su cosa “procedure ragionevoli” non significhi.
Il test delle prove della SFO
Il messaggio principale delle autorità inquirenti è semplice: una politica scritta senza prove che sia effettivamente operativa non soddisferà la difesa. Una politica su cui nessuno è formato, che non viene monitorata e che non produce alcuna registrazione del proprio funzionamento è, ai fini della difesa, quasi priva di valore. Ciò che protegge un’organizzazione non è l’esistenza di una procedura ma la prova che la procedura vive: che le persone sono state formate, che la formazione è stata compresa, che i controlli sono monitorati su base continuativa e che le preoccupazioni possono essere sollevate e vengono affrontate.
Questo riconfigura la compliance attorno a tre elementi dimostrabili:
- Prova della formazione dei dipendenti. Non “abbiamo un codice di condotta“, ma una registrazione verificabile di chi è stato formato, su cosa, quando e se ha dimostrato comprensione. Una formazione che non può essere documentata è, in un’aula di tribunale, una formazione che non è avvenuta.
- Implementazione e monitoraggio continuo. Le procedure ragionevoli non sono un evento di lancio; sono un controllo continuo. La difesa si basa sul dimostrare che i controlli sono stati implementati, assegnati a individui nominati e monitorati nel tempo, con una traccia documentata di valutazioni del rischio, revisioni e rimedi.
- Un canale di whistleblowing funzionante. Il primo anno completo del reato ha consolidato l’aspettativa che whistleblowing, formazione sulla prevenzione delle frodi e una supervisione efficace siano essenziali e non opzionali. Un canale che esiste solo sulla carta ma non genera segnalazioni, né triage, né azioni intraprese è esso stesso un campanello d’allarme.
Il filo conduttore è lo stesso che separa il vero controllo interno dalla semplice spunta delle caselle: un controllo conta solo se può essere dimostrato che funziona.
Non è una stranezza del Regno Unito: è la direzione globale
La tentazione è di archiviare la mancata prevenzione delle frodi sotto “problema del Regno Unito”. Sarebbe un errore. Tra giurisdizioni e settori, le autorità di vigilanza stanno convergendo sullo stesso principio: efficacia dimostrata rispetto all’intento documentato.
- Regno Unito, Fraud Strategy 2026 to 2029. Il 9 marzo 2026 il governo del Regno Unito ha lanciato una nuova Fraud Strategy nazionale, impegnando oltre 250 milioni di sterline in tre anni e un modello “Disrupt, Safeguard, Respond”. Si colloca direttamente sopra il reato di mancata prevenzione delle frodi e rafforza l’aspettativa che le organizzazioni adottino un approccio proattivo e basato su prove.
- Svizzera, revisione AML della FINMA. Nel maggio 2026 la FINMA ha aperto una consultazione su una revisione parziale della sua Ordinanza AML, con il quadro rivisto che dovrebbe entrare in vigore il 1º gennaio 2027. Tra i cambiamenti: l’alta direzione assume una maggiore responsabilità per l’efficacia dei controlli interni, non semplicemente per la loro esistenza. La direzione normativa rispecchia un cambiamento più ampio dalla supervisione dei processi alla supervisione dei risultati, dove la domanda è se un programma rilevi e prevenga effettivamente le condotte scorrette.
- Stati Uniti, recuperi record del DOJ e responsabilità per le persone associate. Nel gennaio 2026 il Dipartimento di Giustizia ha riferito che gli accordi e le sentenze del False Claims Act hanno superato i 6,8 miliardi di dollari per l’anno fiscale 2025, il totale annuo più alto nella storia della legge, con un aumento di circa il 120% rispetto all’anno precedente. L’assistenza sanitaria e le scienze della vita hanno guidato la stragrande maggioranza. In particolare, le azioni delle autorità raggiungono sempre più distributori terzi e agenti di vendita: lo status di appaltatore indipendente non isola un rappresentante dalla responsabilità, e anche il produttore che rappresentano può essere coinvolto, la stessa logica di responsabilità a monte del reato del Regno Unito.
- UE, rafforzamento della supervisione dei dispositivi medici. Anche se la Commissione europea propone di semplificare il Regolamento sui dispositivi medici, stanno arrivando obblighi stringenti: EUDAMED è diventato obbligatorio nel maggio 2026 e i requisiti di segnalazione degli incidenti sono stati aggiornati. Le voci del settore hanno avvertito che qualsiasi riduzione della frequenza degli audit o del campionamento della documentazione rischia di riaprire proprio le lacune in cui le condotte scorrette passano inosservate.
Il divario di preparazione. Un sondaggio di febbraio 2026 tra i responsabili dell’internal audit ha rilevato che, sebbene le frodi rese possibili dall’IA siano ampiamente riconosciute come un rischio crescente, solo circa quattro su dieci ritenevano la propria funzione adeguatamente preparata a individuarle o a rispondervi.
Nel complesso, il quadro è coerente. Che l’autorità sia la SFO, la FINMA, il DOJ o la Commissione europea, il livello di garanzia sta aumentando, e “avevamo una politica” non è più la risposta alla domanda che viene posta.
Il divario di implementazione e come colmarlo
Ecco il problema pratico. La maggior parte delle organizzazioni ha già politiche. Ciò che spesso manca è il tessuto connettivo che trasforma una politica in prove difendibili: una registrazione unica e verificabile che collega ogni procedura alle persone formate su di essa, ai controlli che la implementano e alle preoccupazioni sollevate contro di essa.
È proprio in questo divario che una piattaforma di compliance dedicata dimostra il suo valore.
Trusty Compliance App è progettata intorno ai tre elementi che la difesa per mancata prevenzione delle frodi ora richiede:
- Prova della formazione, su richiesta. Trusty Compliance App mantiene un registro verificabile della distribuzione delle policy, dell’attestazione e del completamento della formazione: chi è stato formato, su quale versione della policy, quando, e con quale risultato. Quando un’autorità o un revisore chiede una prova, la risposta è un report, non una corsa contro il tempo.
- Implementazione che può monitorare. Invece di trattare la compliance come un evento annuale, Trusty Compliance App supporta un’implementazione continua: assegnando responsabili di controllo nominati, tracciando attestazioni e revisioni, e facendo emergere dove le procedure stanno venendo meno prima che diventino un rilievo. Trasforma le “procedure ragionevoli” da un’affermazione a uno stato continuamente documentato.
- Whistleblowing integrato. Un canale di segnalazione riservato è integrato nella stessa piattaforma, con uno smistamento strutturato e una traccia documentata della gestione di ogni segnalazione: all’esistenza del canale corrisponde così la prova che le segnalazioni vengono ricevute, valutate e gestite.
Il punto strategico non è che il software sostituisce la cultura aziendale. Non lo fa. Ma in un mondo in cui la difesa si basa sulle prove, le organizzazioni in grado di produrre tali prove (registri di formazione, tracciati di monitoraggio, log di whistleblowing, tutto in un unico posto) sono quelle che resisteranno al controllo. Tutte le altre si ritroveranno a spiegare, a cose fatte, perché la loro policy accuratamente scritta non ha prevenuto ciò che avrebbe dovuto prevenire.
Il reato è in vigore. La strategia è finanziata. La direzione globale è tracciata. L’unica domanda aperta è se le Sue procedure sono in grado di dimostrare se stesse.
Il test delle prove della SFO
Il test delle prove della SFO richiede tre elementi: formazione documentata, policy governate e un canale di whistleblowing funzionante. Trusty riunisce tutti e tre in un’unica piattaforma, pronta per l’audit, operativa in meno di 5 minuti.
- Formazione documentata, su richiesta. Trusty Compliance App traccia chi ha completato quale versione della politica, quando e con quale risultato. Quando la SFO chiede, produci un report con data e ora.
- Politiche che il Suo team segue davvero. Trusty Compliance App trasforma le politiche anti-frode in attestazioni di presa visione con data e ora. Ogni firma dei dipendenti diventa parte della Sua traccia di audit.
- Whistleblowing integrato. Trusty Whistleblowing è confidenziale, con possibilità di anonimato, conforme al GDPR e mappato alla Direttiva UE sul whistleblowing. Attivo in pochi minuti.
Scelto da oltre 1.000 aziende in tutta Europa. A partire da 49 €/mese, senza costi di configurazione, senza bisogno di IT. Trusty Whistleblowing → Compliance App → Trusty Compliance App → Tutti i prezzi →
Fonti
- UK Government, New failure to prevent fraud guidance published: www.gov.uk/government/news/new-failure-to-prevent-fraud-guidance-published
- Trowers & Hamlins, Fraud: what lies ahead for 2026
- Bird & Bird, UK Fraud Strategy 2026-2029
- Fiscaltec, UK Fraud & Sanctions Compliance 2026: ECCTA, OFSI
- FINMA, Consultation on partial revision of the AMLO: www.finma.ch/en/news/2026/05/20260512-mm-anh-gwv-finma/
- GRC Report, FINMA Proposes AML Overhaul
- Epstein Becker Green, False Claims Act Recoveries Reach Historic Highs in FY 2025
- MedDeviceGuide, DOJ Medical Device Fraud Enforcement 2026
- MedTech Europe, Revision proposal for the medical devices rules
- The IIA / AuditBoard, Internal Audit and AI Enabled Fraud
Domande frequenti
Il reato si applica alle "grandi organizzazioni" come definite dal Companies Act 2006 (due su tre: fatturato superiore a 36 milioni di sterline, bilancio superiore a 18 milioni di sterline, 250+ dipendenti). Le PMI al di sotto di questa soglia sono attualmente fuori dall'ambito diretto, ma le stesse aspettative basate sulle prove si ritrovano sempre più nelle richieste delle autorità di settore.
La SFO prevede sei elementi: procedure proporzionate, impegno al vertice, valutazione del rischio, due diligence sulle persone associate, comunicazione e formazione, monitoraggio e revisione. Ogni elemento deve essere documentato: una policy scritta senza un tracciato funzionante non è sufficiente.
Sì. I segnali delle autorità nel primo anno del reato chiariscono che un canale di segnalazione interno funzionante è atteso come parte delle procedure ragionevoli. Un canale che esiste solo sulla carta ma non genera segnalazioni documentate o azioni di triage è esso stesso un indicatore di rischio.
Una piattaforma dedicata come Trusty può essere configurata e operativa in meno di 5 minuti, senza coinvolgimento dell'IT. Questo include un canale di segnalazione anonimo, una dashboard di gestione dei casi, una gestione dei dati conforme al GDPR e una tracciabilità completa di tutte le segnalazioni e delle azioni intraprese.
Sì. Come spiega questo articolo, la direzione globale è coerente: efficacia dimostrata rispetto all'intento documentato. La Direttiva UE sul Whistleblowing (2019/1937) si applica a tutte le organizzazioni del settore privato con 50+ dipendenti in tutta l'UE. FINMA, il DOJ e le autorità di settore stanno tutti convergendo verso una supervisione basata sui risultati.
POLICY, FORMAZIONE E HOTLINE
Trusty Compliance App: policy aziendali, formazione sulla compliance e un canale di whistleblowing in un’unica app per i Suoi dipendenti. 10 policy pronte all’uso, 6 corsi di formazione, prova gratuita, nessuna configurazione IT.