Componente dell’Autorità dal 13 giugno 2023, Valentino è nato a Roma nel 1971 ed è iscritto all’Ordine degli Avvocati di Roma dal 1999 e a quello di New York dal 2001. Nel corso della sua attività professionale si è occupato prevalentemente di diritto della concorrenza italiano ed europeo, assistendo imprese e organizzazioni dinanzi alle istituzioni europee, alle autorità nazionali di concorrenza e alle giurisdizioni italiane ed europee.

Laureato con lode in Giurisprudenza all’Università La Sapienza di Roma, ha conseguito un LL.M. in diritto comunitario presso il Collegio d’Europa di Bruges e un LL.M. alla University of Chicago Law School. Ha inoltre collaborato con la Direzione Generale I della Commissione europea sui temi delle politiche commerciali multilaterali, dell’Organizzazione mondiale del commercio (WTO) e dell’OCSE.

L'articolo Saverio Valentino è il nuovo presidente dell’AGCM proviene da ComplianceDesign.it.

Essere esposti senza essere colpevoli è forse la condizione più insidiosa per un’impresa sana. Ed è esattamente ciò che sta accadendo con sempre maggiore frequenza. Il concetto di prossimità ridefinisce i confini del rischio penale: non conta più soltanto ciò che fai, ma con chi lo fai, dove lo fai, e quanto sei consapevole del contesto in cui operi.

Pensiamo alla filiera. Un’impresa manifatturiera che acquista materie prime da un fornitore coinvolto in pratiche illecite (lavoro nero, frode fiscale, violazioni ambientali) può trovarsi coinvolta in un procedimento non per aver commesso quegli illeciti, ma per non aver verificato con sufficiente diligenza la qualità dei propri partner. Lo stesso vale per le relazioni bancarie, per i rapporti con la pubblica amministrazione, per le joint venture internazionali. Il rischio non è più un punto, è un’area. E quell’area si chiama prossimità.

Per un CEO, la prossimità al rischio pone una questione di leadership strategica. Non si tratta soltanto di conformità normativa, ma di scelte di posizionamento: con chi facciamo affari, in quali mercati operiamo, quali relazioni coltiviamo. Il CEO è il primo custode della reputazione dell’impresa, e la prossimità al rischio è oggi il terreno su cui quella reputazione si gioca.

Per i CFO, la prossimità ha un’implicazione diversa ma altrettanto concreta: ridefinisce la valutazione del rischio finanziario. I modelli tradizionali di risk assessment tendono a mappare i rischi interni (frode, corruzione, conflitto di interessi). Ma il rischio da prossimità è un rischio relazionale, che richiede strumenti diversi: due diligence approfondite sui partner commerciali, clausole contrattuali che non siano mera formalità, monitoraggio continuo delle relazioni critiche e delle esposizioni finanziarie verso controparti a rischio. Il CFO deve integrare nei propri modelli di valutazione una variabile nuova: il costo potenziale del contagio reputazionale e legale derivante dalla rete di relazioni dell’impresa. Chi pensa che basti un codice etico sul sito web per essere al riparo non ha compreso la portata di questo cambiamento.

Se il rischio è diffuso e relazionale, allora non basta più controllare. Serve una governance capace di anticipare.

#3 – La governance non è nei modelli, ma nelle domande

L'articolo Il rischio che non controlli (ma che ti riguarda) proviene da ComplianceDesign.it.

La maggior parte delle crisi aziendali che ho gestito non nascono da un singolo evento catastrofico. Nascono da una sequenza di segnali deboli che nessuno ha colto in tempo, o che qualcuno ha colto ma non ha avuto il canale, il coraggio o il mandato per portare all’attenzione di chi decide.

Il tempo che passa tra il primo segnale e la prima decisione è il vero indicatore della resilienza di un’organizzazione. Se quel tempo è breve, l’impresa ha margine di manovra. Se è lungo, ogni opzione si restringe e il danno si moltiplica. 

Concretamente, questo significa tre cose.

Primo: assicuratevi che esistano canali reali, non solo formali, attraverso cui le informazioni critiche arrivano al vertice senza filtri e senza ritardi.

Secondo: definite in anticipo chi fa cosa quando emerge un problema, un protocollo di crisi non si improvvisa nel momento del bisogno.

Terzo: create un ambiente in cui portare cattive notizie non sia un rischio di carriera ma un dovere riconosciuto e valorizzato.

La compliance ha un valore economico misurabile: il costo di una crisi gestita in ritardo è sempre, invariabilmente, superiore al costo di un sistema che la intercetta per tempo. 

Ma tutto questo porta a una domanda più scomoda — e più rara: qual è, davvero, il valore della compliance?

#8 – Il valore di ciò che non accade

L'articolo Il tempo è la vera misura della resilienza proviene da ComplianceDesign.it.

Un’organizzazione che regge non è necessariamente quella che ha più regole, più procedure, più controlli. È quella che ha sviluppato una cultura dell’interrogazione, una capacità di mettere in discussione le proprie certezze prima che lo faccia un magistrato.

Ho visto imprese con modelli 231 impeccabili entrare in crisi profonda perché nessuno, ai piani alti, aveva mai chiesto: “Cosa succederebbe se domani mattina la Guardia di Finanza bussasse alla nostra porta? Sapremmo rispondere? Sapremmo dove cercare? Sapremmo chi ha deciso cosa e perché?” Ho visto, al contrario, imprese con strutture più leggere ma con una governance viva, dove il consiglio di amministrazione esercita davvero una funzione di indirizzo e di sfida, reggere urti che avrebbero distrutto organizzazioni più grandi.

La governance che funziona è quella che crea spazi di verità. Dove il responsabile compliance può dire al CEO: “Questa operazione mi preoccupa, e le spiego perché.” Dove il CFO non si limita a guardare i numeri ma si chiede cosa c’è dietro quei numeri. Dove il consiglio di amministrazione non ratifica, ma interroga.

È una questione di cultura prima ancora che di struttura. E la cultura, nei momenti di crisi, è l’unica cosa che non si può improvvisare. Eppure, molte organizzazioni sono convinte di essere “a posto”. Ma tra ciò che è scritto e ciò che funziona davvero, lo scarto può essere enorme.

#4 – La compliance che non protegge

L'articolo La governance non è nei modelli, ma nelle domande proviene da ComplianceDesign.it.

Il valore della compliance è invisibile per definizione, perché è il valore di ciò che non accade.

È il procedimento penale che non si apre. È la sanzione che non arriva. È il cliente che non se ne va. È il talento che sceglie di restare perché lavora in un’organizzazione di cui si fida. È l’acquisizione che va in porto perché la due diligence non rivela sorprese. È la reputazione che resta intatta quando il settore è sotto i riflettori. 

Il valore della compliance non si misura in ciò che produce, ma in ciò che preserva. 

E ciò che preserva è il bene più prezioso e più fragile di un’impresa: la fiducia. La fiducia degli investitori, dei clienti, dei dipendenti, dei regolatori, della comunità. Un’impresa che perde la fiducia può sopravvivere, ma non sarà più la stessa. Un’impresa che la mantiene, anche attraversando una crisi, ne esce più forte. 

Ecco perché dico ai consigli di amministrazione: non guardate alla compliance come a un’assicurazione che sperate di non dover mai usare. Guardatela come a un investimento nella vostra credibilità. Perché la credibilità, in un mondo dove tutto si sa e nulla si dimentica, è l’unico vantaggio competitivo che nessuno può copiarvi. 

L'articolo Il valore di ciò che non accade proviene da ComplianceDesign.it.

Per decenni, il sistema giudiziario ha guardato all’impresa cercando il dolo, l’illecito consapevole, la volontà di violare la norma.  

Oggi non è più così. Il fuoco si è spostato sulla capacità dell’organizzazione di prevenire, intercettare, reagire.  

Non si chiede più soltanto “hai commesso un illecito?”, ma “avresti potuto evitarlo? E se sì, perché non lo hai fatto?”. 

Questo cambiamento ha radici profonde. Da un lato, la crescente complessità delle filiere produttive e finanziarie ha reso evidente che il rischio penale non nasce sempre dentro l’impresa, ma spesso arriva dall’esterno (da un fornitore, da un partner commerciale, da un contesto territoriale). Dall’altro, la normativa ha progressivamente costruito un’aspettativa di vigilanza attiva che, in alcuni casi (vedi NIS2), toccano direttamente la responsabilità degli organi di vertice.  

L’impresa non è più un soggetto passivo che risponde solo per ciò che fa, ma un presidio che risponde anche per ciò che non vede, o che sceglie di non vedere.   

Per un consiglio di amministrazione, questo significa una cosa molto concreta: la legalità non è più un costo da gestire, ma un posizionamento strategico. Le imprese che comprendono questo passaggio non si limitano a evitare sanzioni: costruiscono un vantaggio competitivo. Quelle che lo ignorano scoprono, spesso troppo tardi, che il sistema le ha già inquadrate in una luce diversa da quella che immaginano. 
 

Se il rischio non nasce più solo dentro l’impresa, allora la vera domanda diventa inevitabile: quanto siamo esposti per ciò che accade fuori?  

#2 – Il rischio che non controlli (ma che ti riguarda) 

L'articolo Un cambio di paradigma: dall’illecito alla capacità di prevenire proviene da ComplianceDesign.it.

Lo scarto si crea nel passaggio dall’avere un sistema al farlo vivere. E nella mia esperienza, quel passaggio fallisce quasi sempre nello stesso punto: quando la compliance viene trattata come un adempimento anziché come una funzione strategica. 

Per un CEO, lo scarto tra compliance dichiarata e compliance reale è prima di tutto una questione di credibilità della leadership. Quando un’organizzazione scopre di avere un sistema di controllo che esiste sulla carta ma non nella pratica quotidiana, il messaggio che arriva al mercato, ai regolatori e ai dipendenti è devastante: la governance è una facciata.

Il CEO deve chiedersi se conosce davvero il grado di effettività dei propri presidi — non attraverso le slide delle presentazioni al board, ma attraverso un confronto diretto, periodico e senza filtri con chi quei presidi li gestisce ogni giorno. La compliance reale si costruisce con l’esempio dall’alto: se il vertice la tratta come priorità, l’organizzazione la vive come tale. Il tone from the top non è uno slogan — è il termometro più affidabile della salute organizzativa. 

Per un CFO, questo scarto ha una dimensione ulteriore: è un rischio patrimoniale quantificabile.

Un’impresa che impiega sei mesi per accorgersi di un’anomalia contabile, o che scopre un conflitto di interessi solo quando emerge in un’indagine, ha una compliance dichiarata ma non una compliance reale.

Il CFO è nella posizione unica di poter leggere i segnali deboli attraverso i numeri: flussi finanziari anomali, variazioni inspiegabili nei costi di fornitura, margini fuori linea su determinate operazioni. Questi non sono solo dati contabili — sono potenziali indicatori di rischio che, se intercettati per tempo, possono evitare conseguenze legali e patrimoniali devastanti. Per un CFO, il vero KPI della compliance non è il numero di procedure adottate, ma la velocità con cui l’organizzazione trasforma un segnale debole in un’azione concreta. 

Se il problema non è nei modelli, ma nella loro effettività, allora la domanda cambia: chi, dentro l’organizzazione, ha davvero la capacità di incidere?

#5 – Funzioni di controllo: presenti o rilevanti?

L'articolo La compliance che non protegge proviene da ComplianceDesign.it.

La domanda che ogni consiglio di amministrazione dovrebbe porsi è dunque triplice: la nostra funzione compliance ha voce nelle decisioni strategiche? Il nostro ufficio legale anticipa i rischi o li rincorre? Il nostro internal audit ha l’indipendenza per dirci ciò che non vogliamo sentire? Se la risposta a una qualsiasi di queste domande è incerta, il problema non è nelle funzioni — è nella governance che non le mette nella condizione di funzionare. 

La funzione Compliance è quella che più direttamente incarna il dilemma tra controllo e capacità di incidere. Un compliance officer relegato al ruolo di certificatore ex post, che verifica a posteriori se una procedura è stata rispettata, svolge una funzione necessaria ma insufficiente. 

Il compliance officer che incide è quello che siede al tavolo delle decisioni strategiche: che viene consultato prima di entrare in un nuovo mercato, che partecipa alla definizione delle politiche commerciali, che ha l’autorità e la protezione per dire al CEO “questa operazione mi preoccupa, e le spiego perché”. 

La sfida per la compliance è passare dal presidio documentale al presidio decisionale, diventando il sensore più avanzato dell’organizzazione nella lettura dei rischi emergenti. 

La funzione Legal ha una missione diversa ma complementare. Il suo valore non si esaurisce nella gestione del contenzioso o nella redazione contrattuale, ma si esprime nella capacità di anticipare il rischio giuridico prima che si materializzi. Un ufficio legale che interviene solo quando il problema è già esploso è un ufficio legale che ha fallito la sua funzione preventiva. Il legal che incide è quello che legge i contratti non solo per la loro validità formale, ma per i rischi impliciti che portano con sé — il fornitore in area grigia, la clausola che espone a responsabilità da filiera, l’operazione che potrebbe attirare l’attenzione di un regolatore. In un contesto in cui il perimetro del rischio penale si allarga alla prossimità, la funzione legale deve diventare il traduttore tra il linguaggio del business e quello della responsabilità. 

La funzione Internal Audit è il terzo pilastro, e il suo ruolo è forse il più sottovalutato. L’internal audit non è — o non dovrebbe essere — un esercizio rituale di spunta delle checklist. È lo strumento attraverso cui l’organizzazione guarda se stessa con occhi critici e indipendenti. Un audit interno efficace è quello che non si limita a verificare la conformità formale, ma che scava nella sostanza dei processi, che testa l’effettività reale dei controlli, che segnala i segnali deboli prima che diventino emergenze. La sfida per l’internal audit è conquistare e mantenere un’indipendenza reale, non solo statutaria dal management, e avere un accesso diretto e senza filtri al consiglio di amministrazione. Solo così può svolgere la funzione di sentinella che il sistema gli assegna. 

Ma anche quando i segnali arrivano, tutto si gioca in un momento preciso: come reagisce l’organizzazione quando qualcosa non torna.

#6 – Quando emerge un segnale, non è più teoria

L'articolo Funzioni di controllo: presenti o rilevanti? proviene da ComplianceDesign.it.

Mi piace pensare all’indagine interna come al sistema immunitario dell’impresa: gli anticorpi che si attivano spontaneamente quando l’organismo percepisce un rischio di contagio.

Un’organizzazione sana non aspetta che l’infezione si diffonda, reagisce al primo segnale, isola il problema, attiva le proprie difese. L’indagine interna è esattamente questo: la risposta immunitaria dell’impresa. E come ogni sistema immunitario, funziona tanto meglio quanto più è stato allenato e preparato prima dell’emergenza. L’errore più frequente che vedo è quello dell’impresa che, di fronte a un segnale di allarme, avvia un’indagine interna con l’obiettivo implicito di confermare che tutto è in ordine. È l’indagine “cosmetica”, quella che cerca rassicurazioni anziché risposte. 

Un’indagine interna seria è un atto di coraggio organizzativo. Significa accettare che la risposta potrebbe essere sgradevole. Significa dare al team investigativo — che sia interno o affidato a professionisti esterni — piena autonomia e accesso alle informazioni. Significa essere pronti a scoprire che un manager di alto livello ha agito in modo inappropriato, che un processo consolidato ha delle falle, che una relazione commerciale apparentemente solida nasconde profili critici. 

Ma è proprio qui che si gioca il valore. Un’impresa che conduce un’indagine interna con rigore e trasparenza, e che poi agisce di conseguenza, costruisce un patrimonio di credibilità che nessun modello organizzativo può sostituire. Nei confronti dell’autorità giudiziaria, un’indagine interna ben condotta è la dimostrazione più potente che l’organizzazione non è complice, ma è parte della soluzione. Nei confronti del mercato, è il segnale che l’impresa ha la maturità per affrontare i propri problemi. Come un organismo con un sistema immunitario forte, l’impresa che sa attivare i propri anticorpi non teme il contagio — lo affronta, lo contiene, e ne esce rafforzata. Per un consiglio di amministrazione, il messaggio è chiaro: non temete l’indagine interna. Temete piuttosto l’assenza di anticorpi quando i segnali di contagio c’erano.

A quel punto, la differenza non la fa il sistema. La fa il tempo. Quanto velocemente si reagisce.

#7 – Il tempo è la vera misura della resilienza

L'articolo Quando emerge un segnale, non è più teoria proviene da ComplianceDesign.it.

Sempre più imprese formalmente corrette si trovano coinvolte in dinamiche giudiziarie complesse, senza aver mai “deciso” di violare una norma. Il punto è che il perimetro del rischio è cambiato: si è allargato, si è spostato, si è fatto relazionale.  

Oggi il sistema non chiede solo cosa hai fatto. Chiede cosa avresti potuto evitare. 

Da qui prende forma un percorso editoriale costruito come una sequenza di 8 domande e risposte, realizzato in collaborazione con Jean Paule Castagno (Partner BIP Law & Tax – White Collar Crimes, Investigation & Compliance), per portare il punto di vista del penalista d’impresa dentro le stanze in cui si prendono davvero le decisioni. 

Un percorso che attraversa i nodi critici di questa trasformazione: il cambio di paradigma, il rischio di prossimità, la tenuta dei modelli di governance, la credibilità dei sistemi di controllo, fino al ruolo delle funzioni e alla capacità di leggere i segnali deboli prima che diventino crisi. 

Non è un esercizio teorico. È una sequenza di passaggi che verranno ulteriormente sviluppati attraverso una serie di talk, pensati per mettere a confronto imprese, professionisti e decisori su ciò che sta cambiando davvero. Non troverete formule. Troverete domande.  Quelle che un consiglio di amministrazione dovrebbe porsi prima che lo faccia un magistrato. 

#1 – Un cambio di paradigma: dall’illecito alla capacità di prevenire

L'articolo IL CONTAGIO DELLE IMPRESE SANE  proviene da ComplianceDesign.it.