Compliance, legal, internal audit: centrali negli organigrammi, spesso marginali nelle decisioni.
Il punto non è averle. È ascoltarle.
La domanda che ogni consiglio di amministrazione dovrebbe porsi è dunque triplice: la nostra funzione compliance ha voce nelle decisioni strategiche? Il nostro ufficio legale anticipa i rischi o li rincorre? Il nostro internal audit ha l’indipendenza per dirci ciò che non vogliamo sentire? Se la risposta a una qualsiasi di queste domande è incerta, il problema non è nelle funzioni — è nella governance che non le mette nella condizione di funzionare.
La funzione Compliance è quella che più direttamente incarna il dilemma tra controllo e capacità di incidere. Un compliance officer relegato al ruolo di certificatore ex post, che verifica a posteriori se una procedura è stata rispettata, svolge una funzione necessaria ma insufficiente.
Il compliance officer che incide è quello che siede al tavolo delle decisioni strategiche: che viene consultato prima di entrare in un nuovo mercato, che partecipa alla definizione delle politiche commerciali, che ha l’autorità e la protezione per dire al CEO “questa operazione mi preoccupa, e le spiego perché”.
La sfida per la compliance è passare dal presidio documentale al presidio decisionale, diventando il sensore più avanzato dell’organizzazione nella lettura dei rischi emergenti.
La funzione Legal ha una missione diversa ma complementare. Il suo valore non si esaurisce nella gestione del contenzioso o nella redazione contrattuale, ma si esprime nella capacità di anticipare il rischio giuridico prima che si materializzi. Un ufficio legale che interviene solo quando il problema è già esploso è un ufficio legale che ha fallito la sua funzione preventiva. Il legal che incide è quello che legge i contratti non solo per la loro validità formale, ma per i rischi impliciti che portano con sé — il fornitore in area grigia, la clausola che espone a responsabilità da filiera, l’operazione che potrebbe attirare l’attenzione di un regolatore. In un contesto in cui il perimetro del rischio penale si allarga alla prossimità, la funzione legale deve diventare il traduttore tra il linguaggio del business e quello della responsabilità.
La funzione Internal Audit è il terzo pilastro, e il suo ruolo è forse il più sottovalutato. L’internal audit non è — o non dovrebbe essere — un esercizio rituale di spunta delle checklist. È lo strumento attraverso cui l’organizzazione guarda se stessa con occhi critici e indipendenti. Un audit interno efficace è quello che non si limita a verificare la conformità formale, ma che scava nella sostanza dei processi, che testa l’effettività reale dei controlli, che segnala i segnali deboli prima che diventino emergenze. La sfida per l’internal audit è conquistare e mantenere un’indipendenza reale, non solo statutaria dal management, e avere un accesso diretto e senza filtri al consiglio di amministrazione. Solo così può svolgere la funzione di sentinella che il sistema gli assegna.
Ma anche quando i segnali arrivano, tutto si gioca in un momento preciso: come reagisce l’organizzazione quando qualcosa non torna.