Quando organizzazioni, filiere ed ecosistemi condividono condizioni che nessuno può governare da solo

Marco Antonio Imbesi
Presidente AICQ Emilia Romagna Marche – Presidente dell’Assemblea degli Enti Associati AICQ

Negli ultimi decenni la cultura della qualità ha attraversato un’evoluzione profonda, passando dal controllo del prodotto alla gestione dei processi e, successivamente, alla capacità di leggere l’organizzazione come un sistema nel quale strategia, persone, competenze, rischi, opportunità, risorse e relazioni con le parti interessate devono essere considerate in modo sempre più integrato. Anche l’evoluzione dei sistemi di gestione, sostenuta dalla struttura armonizzata delle norme ISO, ha favorito un linguaggio comune e una maggiore possibilità di mettere in relazione qualità, ambiente, salute e sicurezza, energia, innovazione e altri ambiti che in passato tendevano a essere amministrati attraverso sistemi paralleli e scarsamente comunicanti.

Il risultato più rilevante di tale percorso sta forse nell’avere aiutato le organizzazioni a comprendere che la conformità a un singolo requisito non garantisce necessariamente la qualità dell’insieme e che un sistema di gestione funziona realmente quando processi, responsabilità, informazioni, obiettivi, controlli e riesami concorrono a una direzione coerente. La stessa esperienza maturata con l’integrazione dei sistemi pone oggi una questione ulteriore, perché imprese e istituzioni operano sempre meno come unità isolate e sempre più all’interno di filiere, reti, territori, infrastrutture condivise, piattaforme, ecosistemi produttivi e di innovazione nei quali decisioni assunte da un soggetto possono produrre effetti che attraversano molte altre organizzazioni e diversi livelli istituzionali.

L’introduzione stabile, nei sistemi di gestione, del contesto dell’organizzazione, delle parti interessate e delle relazioni tra processi ha rappresentato un passaggio decisivo, ma il contesto nel quale oggi imprese e istituzioni operano tende ormai a essere molto più ampio del loro stesso perimetro organizzativo. Un’impresa può dipendere da infrastrutture energetiche e digitali, conoscenze, competenze, servizi, condizioni ambientali, reti logistiche e sistemi territoriali che non controlla direttamente e che, nello stesso tempo, contribuisce a modificare attraverso le proprie scelte; allo stesso modo, un’amministrazione pubblica può essere formalmente competente su una parte del problema senza disporre, da sola, delle conoscenze, delle risorse o dei poteri necessari per governarne l’intero ciclo degli effetti.

Dentro un quadro così articolato, la proposta dei Beni Comuni Multilivello, sviluppata da Oliviero Casale e Gilda Farrell nel loro working paper, offre una chiave di lettura che può dialogare in modo fecondo con la cultura della qualità e dei sistemi di gestione senza sovrapporsi ad essa. Il suo interesse non deriva dall’estensione indiscriminata della nozione di bene comune a tutto ciò che appare importante o strategico, né dalla messa in discussione di proprietà, competenze o responsabilità organizzative, ma dalla possibilità di interrogarsi su quando una condizione dalla quale dipendono più soggetti diventi talmente interdipendente da non poter essere adeguatamente compresa e governata attraverso un solo perimetro.

La selettività della qualificazione è uno degli aspetti più convincenti della proposta, perché richiede la convergenza di una funzione vitale o essenziale, della propagazione degli effetti oltre il luogo o il soggetto della decisione iniziale, di una pluralità di scale non governabili separatamente, dell’insufficienza strutturale di un solo attore o regime e della necessità di soglie, monitoraggi e responsabilità coordinate. Dal punto di vista dei sistemi di gestione emerge così una domanda molto vicina all’esperienza professionale della qualità: che cosa accade quando ogni organizzazione può risultare formalmente conforme rispetto al proprio perimetro, mentre la condizione complessiva dalla quale tutte dipendono continua a deteriorarsi oppure rimane priva di una responsabilità chiaramente riconoscibile?

La proposta, tuttavia, non si esaurisce nella qualificazione della condizione o nella definizione di un assetto di governance, perché dietro i Beni Comuni Multilivello vi è anche un modo di agire che parte dal riconoscimento delle condizioni comuni, segue la propagazione e la qualità degli effetti, individua scale e attori pertinenti, attribuisce responsabilità differenziate e collega decisione, monitoraggio, apprendimento e revisione. In questa sequenza la cura del vivente acquista un significato concreto e non meramente valoriale: significa preservare, mantenere e, quando necessario, rigenerare le condizioni ecologiche, sociali, cognitive e infrastrutturali dalle quali dipendono persone, organizzazioni, territori ed ecosistemi, evitando che il miglioramento di una singola parte venga ottenuto trasferendo fragilità o costi sull’insieme.

L’esperienza maturata nell’integrazione dei sistemi di gestione mostra da tempo che procedure separate, indicatori non comunicanti e responsabilità organizzate per compartimenti stagni producono inefficienze, duplicazioni e zone d’ombra; quando l’unità di analisi si estende dall’organizzazione all’ecosistema nel quale essa opera, l’esigenza di connessione diventa ancora più evidente. Un ecosistema dell’innovazione, una filiera produttiva, un sistema territoriale o una rete di servizi possono infatti coinvolgere imprese, amministrazioni, università, infrastrutture, professionisti, comunità e soggetti regolatori che conservano ruoli e responsabilità differenti, mentre i risultati complessivi dipendono dalla qualità delle relazioni, delle informazioni e dei meccanismi di coordinamento che riescono a costruire.

Pensare in termini di interdipendenza non richiede di immaginare un unico grande sistema di gestione capace di assorbire tutti gli altri, soluzione che sarebbe tanto impraticabile quanto concettualmente sbagliata; richiede piuttosto di costruire interfacce di governance attraverso le quali sistemi autonomi possano comunicare mediante linguaggi compatibili, informazioni affidabili, soglie condivise, responsabilità attribuibili, monitoraggi coordinati e meccanismi di riesame capaci di intervenire quando gli effetti reali divergono dagli obiettivi dichiarati.

La cultura ISO mette già a disposizione numerosi elementi utili per affrontare una simile evoluzione, dal pensiero basato sul rischio alla comprensione del contesto, dalla gestione delle informazioni documentate al monitoraggio delle prestazioni, fino all’audit, al riesame e al miglioramento continuo. Il nodo consiste nel comprendere quando tali strumenti debbano essere messi in relazione anche oltre il perimetro della singola organizzazione, collegando evidenze, decisioni e responsabilità tra soggetti differenti senza trasformare l’integrazione nella cancellazione delle rispettive autonomie.

Per le PMI il tema assume un rilievo particolare, perché sarebbe controproducente rispondere alla crescente complessità moltiplicando standard, procedure e adempimenti indipendenti, mentre la logica dell’integrazione può ridurre duplicazioni e costruire una lettura coerente di qualità, ambiente, energia, innovazione, compliance e sostenibilità. Un sistema di gestione maturo dovrebbe aiutare l’impresa non soltanto a dimostrare ciò che fa al proprio interno, ma anche a comprendere da quali condizioni esterne dipende, quali effetti contribuisce a produrre lungo la filiera o nell’ecosistema nel quale opera e quali responsabilità può realisticamente assumere rispetto a tali effetti.

I Beni Comuni Multilivello introducono, a questo punto, un ulteriore livello di lettura, poiché in determinate condizioni il problema non consiste più soltanto nel coordinare organizzazioni differenti, ma nel riconoscere una condizione comune da mantenere nel tempo, rispetto alla quale nessun soggetto può considerarsi autosufficiente. La responsabilità continua a dover essere distribuita in funzione del potere di incidere, della conoscenza disponibile, del contributo agli effetti e della capacità concreta di prevenire, correggere o riparare, evitando però che la complessità produca il risultato paradossale per cui ciascuno risponde correttamente della propria parte mentre nessuno risponde della qualità dell’insieme.

Per AICQ si apre quindi un terreno di lavoro particolarmente coerente con la propria storia, nel quale la cultura costruita in decenni di esperienza sulla qualità, sui sistemi di gestione, sulla valutazione, sull’audit e sul miglioramento può essere messa alla prova rispetto alle interdipendenze tra organizzazioni. Ampliare lo sguardo dal singolo sistema organizzativo agli ecosistemi nei quali esso opera non significa perdere l’identità della qualità, ma può rappresentarne una delle evoluzioni più interessanti se consente di leggere con maggiore precisione relazioni, effetti e responsabilità che i confini organizzativi, da soli, non riescono più a contenere, collegando il miglioramento non soltanto alla prestazione della singola organizzazione ma anche alla capacità di contribuire alla cura e alla continuità delle condizioni comuni dalle quali essa stessa dipende.

La struttura armonizzata delle norme ISO ha rappresentato un passaggio importante per favorire l’integrazione dentro le organizzazioni; la sfida che si profila ora riguarda la possibilità di costruire maggiore coerenza tra organizzazioni che condividono condizioni, infrastrutture, conoscenze e conseguenze delle proprie decisioni. In uno spazio ancora largamente da esplorare, la riflessione sui Beni Comuni Multilivello può incontrare quella sui sistemi di gestione senza aggiungere una nuova etichetta, ma offrendo un modo di agire capace di collegare conoscenza, responsabilità, decisione e revisione e di ricondurre, in ultima istanza, il miglioramento alla cura del vivente e delle condizioni comuni. La domanda rivolta alla comunità della qualità diventa allora concreta e sempre meno rinviabile: come possiamo continuare a migliorare le nostre organizzazioni se la qualità delle condizioni dalle quali esse dipendono non può più essere governata da ciascuna di esse separatamente?

La norma europea è destinata a supportare soprattutto le organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio nell’attuazione dei requisiti regolatori applicabili. Il testo definitivo è disponibile dal 22 luglio 2026, mentre la citazione nella Gazzetta ufficiale dell’Unione europea, necessaria per la presunzione di conformità, risulta ancora attesa.

di Oliviero Casale, General Manager di UniProfessioni e Segretario di AICQ Emilia Romagna e Marche

La EN 18286:2026, intitolata “Artificial intelligence – Quality management system for EU AI Act regulatory purposes”, risulta pubblicata nella banca dati ufficiale CEN-CENELEC, dopo essere stata ratificata il 12 luglio 2026 e resa disponibile nelle versioni linguistiche ufficiali il 22 luglio successivo. Elaborata dal CEN/CLC/JTC 21 “Artificial Intelligence” con il Work Item JT021039, la norma specifica requisiti e fornisce indicazioni per la definizione, l’attuazione e il mantenimento di un sistema di gestione della qualità destinato alle organizzazioni che forniscono sistemi di intelligenza artificiale; secondo il campo di applicazione pubblicato nella scheda ufficiale, essa è stata concepita per sostenere il rispetto dei requisiti regolatori applicabili, è principalmente rivolta alle organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio e non è specifica per alcun settore. [1]
Lo status “Published”, ora riportato nella scheda ufficiale, deve essere distinto dalle ulteriori date che descrivono l’evoluzione e l’attuazione della norma. La ratifica del 12 luglio 2026 indica il momento in cui l’approvazione della EN è stata formalmente rilevata, mentre la data di disponibilità del 22 luglio identifica la distribuzione del testo definitivo nelle versioni linguistiche ufficiali da parte del Segretariato centrale; la date of Publication del 31 gennaio 2027 rappresenta, invece, il termine entro il quale la norma europea dovrà essere attuata a livello nazionale mediante la pubblicazione di una norma identica o mediante endorsement e coincide con il termine previsto per il ritiro delle eventuali norme nazionali contrastanti. La pubblicazione della EN deve inoltre essere mantenuta distinta dalla citazione del suo riferimento nella Gazzetta ufficiale dell’Unione europea, che la scheda CEN-CENELEC indica ancora come attesa. [1]

La base giuridica: il sistema di gestione della qualità previsto dall’articolo 17

Il fondamento dell’obbligo non risiede nella norma tecnica, ma nel Regolamento (UE) 2024/1689. L’articolo 16, lettera c), impone ai fornitori di sistemi di IA ad alto rischio di disporre di un sistema di gestione della qualità conforme all’articolo 17, il quale richiede che tale sistema assicuri la conformità al regolamento e sia documentato in modo sistematico e ordinato mediante politiche, procedure e istruzioni scritte. La norma europea interviene quindi in un ambito nel quale l’obbligo giuridico è già definito dal legislatore, offrendo una struttura tecnica e gestionale specificamente orientata alla sua attuazione. [2]
Il contenuto minimo previsto dall’articolo 17 è ampio e comprende la strategia per la conformità regolatoria, incluse le procedure di valutazione della conformità e di gestione delle modifiche; le tecniche e le azioni sistematiche utilizzate per la progettazione, il controllo e la verifica della progettazione; le modalità di sviluppo, controllo e assicurazione della qualità; le procedure di esame, prova e validazione da eseguire prima, durante e dopo lo sviluppo; le specifiche tecniche e le norme da applicare, nonché i mezzi alternativi da utilizzare quando le norme armonizzate non siano applicate integralmente o non coprano tutti i requisiti pertinenti. A questi elementi si aggiungono la gestione dei dati, il sistema di gestione dei rischi di cui all’articolo 9, il monitoraggio successivo all’immissione sul mercato previsto dall’articolo 72, la segnalazione degli incidenti gravi ai sensi dell’articolo 73, le comunicazioni con le autorità, gli organismi notificati, gli altri operatori, i clienti e le parti interessate, la conservazione delle informazioni e della documentazione, la gestione delle risorse – comprese le misure connesse alla sicurezza dell’approvvigionamento – e un quadro di accountability che assegni le responsabilità alla direzione e al personale coinvolto. [2]
L’attuazione di tali aspetti deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, fermo restando il grado di rigore e il livello di protezione necessari per garantire la conformità del sistema di IA ad alto rischio. Il regolamento contiene inoltre disposizioni specifiche per i fornitori già soggetti a sistemi di gestione della qualità o a funzioni equivalenti previste dalla legislazione settoriale dell’Unione e per le istituzioni finanziarie assoggettate a regole europee di governance interna, confermando che l’attuazione dell’articolo 17 deve essere coordinata con il quadro regolatorio già applicabile, senza presumere che la mera esistenza di un sistema preesistente assicuri, da sola, la copertura di tutti gli obblighi relativi all’IA. [2]

Campo di applicazione e architettura documentata del progetto

La scheda CEN-CENELEC consente di verificare con certezza il titolo, lo stato, le date e il campo di applicazione della EN 18286:2026, ma non rende liberamente consultabile l’intero contenuto normativo. Per ricostruire l’impostazione tecnica seguita dal JTC 21 è quindi possibile utilizzare il progetto prEN 18286 sottoposto a inchiesta pubblica nell’ottobre 2025, purché si mantenga una distinzione netta tra quel testo e la versione finale, poiché singole clausole, formulazioni e allegati possono essere stati modificati durante la risoluzione dei commenti e l’approvazione. [1][3]
Nell’introduzione del progetto, l’AI Act era ricondotto al sistema di sicurezza dei prodotti del New Legislative Framework e il sistema di IA era considerato come prodotto o componente di un prodotto; il sistema di gestione della qualità poteva essere associato a uno o più sistemi di IA destinati a essere immessi sul mercato o messi in servizio, mentre la qualità, in questo specifico contesto, veniva collegata alla conformità ai requisiti regolatori applicabili ai fornitori. Il progetto descriveva inoltre un sistema esteso all’intero ciclo di vita, applicabile a fornitori di qualunque dimensione, natura o ubicazione e orientato anche alla gestione dei rischi per la salute, la sicurezza e i diritti fondamentali, con un livello di attuazione adattabile alla dimensione del fornitore senza ridurre il rigore richiesto dalla regolazione. [3]
L’indice del progetto articolava il sistema attraverso requisiti relativi all’individuazione delle prescrizioni regolatorie, alla definizione del campo di applicazione, alla strategia di conformità e alle informazioni documentate; proseguiva con la responsabilità della direzione, la politica, i ruoli, la pianificazione, le risorse, le competenze e la comunicazione, per poi disciplinare la realizzazione del prodotto, la progettazione e lo sviluppo, la verifica e la validazione, la gestione dei dati, la sostenibilità ambientale e la documentazione del prodotto. Le successive sezioni riguardavano il deployment, l’operatività e il monitoraggio, la catena di fornitura, le modifiche ai sistemi di IA, il monitoraggio post-market, gli incidenti gravi, le non conformità, il riesame e il miglioramento; gli allegati informativi affrontavano la consultazione delle parti interessate in materia di diritti fondamentali, le relazioni con le altre norme armonizzate, le corrispondenze con ISO 9001:2015 e ISO/IEC 42001:2023 e la mappatura, tramite l’allegato ZA, dei requisiti del Regolamento (UE) 2024/1689 che il progetto mirava a coprire. [3]

L’integrazione con i sistemi di gestione già esistenti

L’articolo 17, paragrafo 3, consente ai fornitori già soggetti a obblighi relativi a sistemi di gestione della qualità o a una funzione equivalente prevista dal diritto settoriale dell’Unione di includere gli aspetti richiesti dal regolamento all’interno dei sistemi stabiliti da tale disciplina. Il progetto prEN seguiva la stessa impostazione, precisando che non era necessario mantenere un sistema separato e indicando, come esempio, l’integrazione dei requisiti nei processi di un sistema per la qualità dei dispositivi medici conforme alla ISO 13485. Per le istituzioni finanziarie, il paragrafo 4 dell’articolo 17 prevede una disciplina specifica, in base alla quale l’obbligo è considerato assolto mediante il rispetto delle regole europee sulla governance interna, salvo gli elementi relativi al sistema di gestione dei rischi, al monitoraggio post-market e alla segnalazione degli incidenti gravi, tenendo conto delle norme armonizzate di cui all’articolo 40. [2][3]
Da queste disposizioni non deriva, tuttavia, una copertura automatica: la presenza di un sistema conforme alla ISO 9001, alla ISO 13485, alla ISO/IEC 27001 o ad altre norme settoriali costituisce una possibile base organizzativa, ma richiede una verifica puntuale delle responsabilità, dei processi, dei controlli e delle evidenze richiesti dall’articolo 17. L’approccio più coerente consiste quindi nell’integrare quanto è già adeguatamente governato e nel colmare le lacune regolatorie riferite ai sistemi di IA, evitando sia la duplicazione di strutture e documenti sia l’assimilazione impropria tra sistemi di gestione aventi finalità differenti.

Il rapporto con ISO/IEC 42001: punti di contatto senza equivalenza

La ISO/IEC 42001:2023 specifica i requisiti per istituire, attuare, mantenere e migliorare continuamente un sistema di gestione dell’intelligenza artificiale all’interno di un’organizzazione ed è destinata a soggetti di qualunque dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati sull’IA. La prospettiva è organizzativa e riguarda la gestione responsabile dei rischi e delle opportunità connessi allo sviluppo, alla fornitura e all’uso dei sistemi di IA, senza sostituire le prescrizioni legislative applicabili. [4]
La Commissione europea descrive invece il progetto EN 18286 come specificamente concepito per aiutare i fornitori di sistemi di IA ad alto rischio a soddisfare i requisiti dell’articolo 17, attraverso un quadro incentrato sul prodotto e sulla governance del ciclo di vita. La newsletter sull’inclusività del CEN-CENELEC JTC 21 del dicembre 2025 aggiungeva che la ISO/IEC 42001 non copriva tutti i requisiti del sistema di gestione della qualità previsti dall’AI Act e che la EN 18286 era attesa come norma destinata a soddisfare l’insieme dei requisiti regolatori in questo ambito; tale newsletter, tuttavia, dichiara espressamente di non essere vincolante e di non rappresentare necessariamente la posizione ufficiale degli organismi citati, sicché questa indicazione deve essere letta come informazione sul percorso di normazione e non come attestazione di equivalenza, gerarchia o sostituibilità tra le due norme. [5][6]
La conclusione più rigorosa è pertanto che ISO/IEC 42001 ed EN 18286 presentano finalità e campi di applicazione non coincidenti, pur potendo condividere processi e informazioni documentate. La presenza, nel progetto prEN, di distinti allegati di corrispondenza con ISO 9001:2015 e ISO/IEC 42001:2023 conferma l’esigenza di analizzare le relazioni tra i requisiti, ma non autorizza a sostenere che una norma assorba automaticamente l’altra; l’eventuale integrazione deve essere costruita sulla base del testo definitivo e verificata clausola per clausola. [3]

Norma europea pubblicata, ma presunzione di conformità ancora non operativa

La scheda ufficiale della EN 18286:2026 riporta la dicitura “Citation in OJEU: Citation expected for Directive 2024/1689”. Il numero 2024/1689 identifica giuridicamente un regolamento, non una direttiva, mentre l’espressione “Directive(s)” corrisponde all’intestazione generica utilizzata dalla banca dati CEN-CENELEC; il dato sostanziale è che, alla data della presente verifica, il riferimento della norma non risulta ancora citato nella Gazzetta ufficiale dell’Unione europea. [1]
L’articolo 40 dell’AI Act collega la presunzione di conformità ai sistemi di IA ad alto rischio o ai modelli di IA per finalità generali conformi a norme armonizzate, o a parti di esse, i cui riferimenti siano stati pubblicati nella Gazzetta ufficiale, e limita tale effetto ai requisiti o agli obblighi effettivamente coperti. La Commissione chiarisce inoltre che, dopo la pubblicazione di una norma da parte di CEN e CENELEC, verifica se essa soddisfi gli obiettivi e i requisiti giuridici dell’AI Act e, soltanto dopo questa valutazione, procede alla pubblicazione del riferimento nella Gazzetta ufficiale; l’applicazione delle norme resta volontaria, ma la citazione consente a chi le applica di beneficiare della presunzione di conformità entro il perimetro della copertura riconosciuta. [2][6]
La EN 18286 può quindi essere utilizzata fin da ora come riferimento tecnico e organizzativo volontario per strutturare il sistema di gestione della qualità, ma non è corretto affermare che la sua applicazione produca già automaticamente la presunzione di conformità all’AI Act. Tale effetto dipenderà dalla futura citazione nella Gazzetta ufficiale e dal perimetro di copertura risultante dalla decisione della Commissione e dalla relativa mappatura dei requisiti.

Il calendario applicativo dopo l’adozione del Digital Omnibus sull’IA

La disponibilità della EN 18286 interviene in una fase di modifica del calendario applicativo dell’AI Act. Il 29 giugno 2026 il Consiglio dell’Unione europea ha dato il via libera definitivo al regolamento del Digital Omnibus sull’IA e la versione finale dell’atto adottato, identificata come PE 30 2026 REV 1, è registrata su EUR-Lex con data 8 luglio 2026. Secondo la cronistoria ufficiale del Consiglio, il testo introduce un calendario fisso che rinvia al 2 dicembre 2027 l’applicazione delle regole relative ai sistemi di IA ad alto rischio indipendenti, riconducibili all’articolo 6, paragrafo 2, e all’allegato III, e al 2 agosto 2028 quella delle regole relative ai sistemi ad alto rischio integrati nei prodotti disciplinati dalla legislazione di armonizzazione dell’Unione, riconducibili all’articolo 6, paragrafo 1, e all’allegato I. [7][8]
È necessario, tuttavia, distinguere l’adozione dell’atto dalla sua entrata in vigore: il Consiglio ha precisato che il regolamento sarebbe entrato in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale e, al 25 luglio 2026, le fonti ufficiali rendono disponibile il testo adottato senza attribuirgli ancora un numero della serie L. Le nuove date devono quindi essere presentate come quelle stabilite dal regolamento adottato, la cui efficacia presuppone la pubblicazione e l’entrata in vigore. [7][8]
Il rinvio non riduce la funzione della EN 18286, poiché un sistema di gestione della qualità conforme all’articolo 17 richiede l’attribuzione delle responsabilità, la definizione e il controllo dei processi, la gestione documentata dei dati e dei rischi, il monitoraggio post-market, la gestione delle modifiche e degli incidenti e la disponibilità di evidenze verificabili. Questi elementi devono essere progettati, applicati e riesaminati nel tempo e non possono essere ridotti a un adeguamento documentale effettuato soltanto in prossimità della valutazione di conformità.

Le attività preparatorie per le organizzazioni

Senza anticipare requisiti del testo definitivo non liberamente consultabili, le organizzazioni possono avviare un lavoro preparatorio fondato sulle disposizioni dell’AI Act e sul campo di applicazione ufficiale della EN 18286. Il primo passaggio consiste nel determinare il ruolo assunto nella catena del valore, censire i sistemi di IA, definirne la finalità prevista e verificare se ricorrano le condizioni della classificazione ad alto rischio. L’articolo 25 stabilisce, tra l’altro, che un distributore, un importatore, un deployer o un altro terzo è considerato fornitore di un sistema di IA ad alto rischio quando appone il proprio nome o marchio su un sistema già immesso sul mercato o messo in servizio, apporta una modifica sostanziale mantenendone la classificazione ad alto rischio oppure modifica la finalità prevista di un sistema non originariamente classificato come tale, rendendolo ad alto rischio ai sensi dell’articolo 6. [2]
Una volta chiariti ruoli, sistemi e obblighi applicabili, diventa possibile confrontare i requisiti dell’articolo 17 con i processi già esistenti, individuando responsabilità, documenti, registrazioni, controlli e interfacce con gli altri sistemi di gestione. La verifica dovrebbe distinguere la governance organizzativa complessiva dell’IA dalla conformità regolatoria dei singoli sistemi immessi sul mercato o messi in servizio, così da integrare ciò che è già adeguato senza trascurare gli elementi specifici relativi al ciclo di vita, ai dati, ai rischi, al monitoraggio e agli incidenti. Parallelamente, sarà necessario seguire l’attuazione nazionale della EN 18286, l’eventuale pubblicazione della versione UNI EN e, soprattutto, la futura citazione del riferimento nella Gazzetta ufficiale dell’Unione europea.
Dalla prescrizione giuridica a processi e prove verificabili
La EN 18286:2026 costituisce una norma europea pubblicata e specificamente dedicata al sistema di gestione della qualità per le finalità regolatorie dell’AI Act; la Commissione aveva già indicato il relativo progetto come il primo progetto di norma armonizzata per l’IA entrato nella fase di inchiesta pubblica, il 30 ottobre 2025. Il suo contributo non consiste nel sostituire il regolamento né nel rendere automaticamente conformi i sistemi di IA, ma nel predisporre una struttura gestionale attraverso la quale i requisiti dell’articolo 17 possano essere tradotti in responsabilità, processi, controlli e informazioni documentate lungo il ciclo di vita. [6]
Una lettura tecnicamente e giuridicamente corretta richiede quindi di mantenere distinti l’obbligo previsto dall’AI Act, i requisiti della EN 18286, l’eventuale integrazione con sistemi già esistenti – compresa la ISO/IEC 42001 – e la futura citazione nella Gazzetta ufficiale, dalla quale potrà derivare la presunzione di conformità soltanto nei limiti dei requisiti effettivamente coperti. È su questa distinzione, accompagnata dalla verifica del testo definitivo e dall’aggiornamento costante del quadro regolatorio, che può essere costruita un’applicazione responsabile della nuova norma.

Fonti e documenti esaminati

[1] CEN-CENELEC, scheda ufficiale della EN 18286:2026, CEN/CLC/JTC 21, Work Item JT021039.
[2] Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, in particolare articoli 16, 17, 25, 40, 72 e 73.
[3] prEN 18286:2025, Artificial intelligence – Quality management system for EU AI Act regulatory purposes, progetto sottoposto a CEN Enquiry nell’ottobre 2025; anteprima documentale esaminata.
[4] ISO, ISO/IEC 42001:2023 – Information technology – Artificial intelligence – Management system.
[5] Artificial Intelligence Standardisation Inclusiveness Newsletter, Edition 12, dicembre 2025, riesaminata dal CEN-CENELEC JTC 21 Task Group Inclusiveness e dichiarata non vincolante; documento esaminato.
[6] Commissione europea, Standardisation of the AI Act, pagina aggiornata al 1° luglio 2026.
[7] Consiglio dell’Unione europea, cronistoria dell’AI Act e comunicato del 29 giugno 2026 sul via libera definitivo al Digital Omnibus sull’IA.
[8] EUR-Lex, PE 30 2026 REV 1, regolamento adottato che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230, documento datato 8 luglio 2026.

di Oliviero Casale, General Manager di UniProfessioni e Segretario di AICQ Emilia Romagna – Marche

Il 2 luglio 2026 rappresenta un passaggio rilevante per il mercato europeo della finanza sostenibile, perché da quella data trova applicazione il Regolamento (UE) 2024/3005 del Parlamento europeo e del Consiglio, del 27 novembre 2024, dedicato alla trasparenza e all’integrità delle attività di rating ambientale, sociale e di governance, comunemente indicate come rating ESG. Il testo, pubblicato nella Gazzetta ufficiale dell’Unione europea del 12 dicembre 2024, modifica anche il Regolamento (UE) 2019/2088, relativo all’informativa sulla sostenibilità nel settore dei servizi finanziari, e il Regolamento (UE) 2023/2859, relativo al punto di accesso unico europeo, confermando che i rating ESG non sono più soltanto prodotti informativi utilizzati dagli operatori del mercato, ma elementi sempre più rilevanti dell’infrastruttura regolatoria della finanza sostenibile.

La portata della data del 2 luglio 2026 deve essere ricostruita con precisione, poiché essa riguarda l’applicazione del Regolamento europeo e non l’entrata in vigore di un decreto legislativo italiano già definitivo di adeguamento del Testo unico della finanza. L’articolo 53 del Regolamento stabilisce che il testo entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e che si applica a decorrere dal 2 luglio 2026; sul piano nazionale, invece, il Consiglio dei Ministri del 10 giugno 2026 ha approvato in esame preliminare lo schema di decreto legislativo di adeguamento del TUF al Regolamento (UE) 2024/3005, prevedendo anche disposizioni correttive al D.Lgs. 27 marzo 2026, n. 47, relativo alla riforma organica dei mercati dei capitali e delle società di capitali.

Questa distinzione consente di evitare una lettura impropria dell’iter nazionale, perché il dossier parlamentare qualifica il provvedimento come Atto del Governo n. 416, recante lo schema di decreto legislativo di adeguamento del TUF alle disposizioni del Regolamento (UE) 2024/3005, con annuncio alle Camere in data 23 giugno 2026 e termine per l’espressione del parere parlamentare fissato al 2 agosto 2026. La norma di delega è costituita dagli articoli 1 e 10 della legge 17 marzo 2026, n. 36, nonché dall’articolo 19, comma 4, della legge 5 marzo 2024, n. 21; ne deriva che, alla data di redazione, l’Italia non può essere considerata come già definitivamente adeguata, ma si trova nella fase di completamento del raccordo tra il TUF e la nuova disciplina europea.

L’oggetto del Regolamento: fornitori e attività di rating ESG

Nel disegno del Regolamento, il profilo centrale non è l’imposizione di un nuovo obbligo generalizzato a carico delle imprese valutate, ma la regolazione delle attività di rating ESG svolte da fornitori che operano nel mercato europeo. L’articolo 2 stabilisce infatti che la disciplina si applica ai rating ESG emessi da fornitori operanti nell’Unione, ricomprendendo sia i fornitori stabiliti nell’Unione che emettono e pubblicano o distribuiscono rating ESG, sia i fornitori stabiliti fuori dall’Unione che li distribuiscono, mediante abbonamento o altro rapporto contrattuale, a imprese finanziarie regolamentate, imprese rientranti nell’ambito della direttiva contabile o della direttiva trasparenza, istituzioni dell’Unione o autorità pubbliche degli Stati membri.

La nozione di rating ESG adottata dal Regolamento è ampia e guarda alla sostanza dell’attività svolta, perché comprende un parere, un punteggio o una combinazione di entrambi, relativi al profilo o alle caratteristiche di un elemento valutato rispetto a fattori ambientali, sociali, relativi ai diritti umani o di governance, oppure alla sua esposizione a rischi o impatti connessi a tali fattori, purché il giudizio sia fondato su una metodologia consolidata e su un sistema definito di categorie di rating. La qualificazione giuridica non dipende quindi dall’etichetta commerciale utilizzata dal fornitore, ma dalla funzione effettiva del prodotto o servizio offerto al mercato.

Il Regolamento interviene sul processo attraverso cui il rating, il parere o il punteggio vengono emessi, pubblicati o distribuiti, con l’obiettivo di rafforzare integrità, trasparenza, responsabilità, buona governance e indipendenza dei fornitori, anche in funzione di prevenzione del greenwashing e del social washing. Il dossier parlamentare italiano ricostruisce questo impianto evidenziando che la disciplina europea mira a migliorare l’affidabilità delle informazioni ESG utilizzate nei mercati finanziari e a rafforzare la tutela degli investitori e dei consumatori, senza per questo trasformare il rating in una certificazione di sostenibilità dell’impresa o dello strumento finanziario valutato.

ESMA, fornitori extra-UE e ruolo della Consob

L’ESMA, Autorità europea degli strumenti finanziari e dei mercati, assume un ruolo centrale nel nuovo sistema, poiché i fornitori di rating ESG stabiliti nell’Unione dovranno essere autorizzati dall’Autorità europea e saranno soggetti alla sua vigilanza, mentre i fornitori stabiliti fuori dall’Unione potranno operare nel mercato europeo attraverso i meccanismi previsti dal Regolamento, ossia equivalenza, avallo o riconoscimento. Attraverso questa impostazione, il legislatore europeo intende evitare che il mercato interno sia esposto a giudizi ESG prodotti secondo standard non coerenti con le garanzie richieste dall’ordinamento dell’Unione.

Nel raccordo con l’ordinamento italiano, lo schema di decreto legislativo interviene in modo mirato sul TUF e, in attuazione dell’articolo 30 del Regolamento, introduce il nuovo articolo 4-bis.1, con il quale la Consob viene individuata quale autorità competente a esercitare le funzioni e i poteri previsti dal Regolamento (UE) 2024/3005 in materia di trasparenza e integrità delle attività di rating ESG. La scelta appare coerente con il ruolo istituzionale della Consob nella tutela degli investitori, nella vigilanza sui mercati e nel presidio della trasparenza informativa, anche perché i rating ESG incidono progressivamente sulle decisioni di investimento, sull’accesso ai capitali e sulla valutazione dei rischi di sostenibilità.

Lo stesso schema di decreto contiene, accanto all’adeguamento al Regolamento sui rating ESG, anche disposizioni integrative e correttive al D.Lgs. 47/2026, che è invece già un decreto legislativo definitivo e vigente. Il D.Lgs. 27 marzo 2026, n. 47 è stato pubblicato nella Gazzetta Ufficiale n. 86 del 14 aprile 2026, Supplemento ordinario n. 14, ed è vigente dal 29 aprile 2026; le correzioni previste nello schema sui rating ESG riguardano rinvii interni, refusi e coordinamenti resi necessari dalla recente riforma dei mercati dei capitali, ma non devono essere confuse con l’adeguamento sostanziale al Regolamento europeo sui rating ESG.

Trasparenza, metodologie e limiti del nuovo quadro

Il nuovo quadro europeo non introduce una metodologia unica di rating ESG, e questo profilo assume particolare rilievo per le imprese, per gli investitori e per gli utilizzatori dei rating, perché il Regolamento richiede trasparenza, solidità organizzativa, prevenzione dei conflitti di interesse e tracciabilità delle metodologie senza imporre un modello valutativo uniforme. L’articolo 28 sancisce infatti il principio di non interferenza, stabilendo che né l’ESMA, né la Commissione, né le autorità pubbliche degli Stati membri possono interferire con il contenuto dei rating ESG o con le relative metodologie.

In questa prospettiva, i rating ESG continueranno a essere giudizi strutturati, fondati su metodologie, fonti, ponderazioni e assunzioni proprie dei singoli fornitori, ma gli elementi che concorrono alla loro costruzione dovranno essere resi più chiari, verificabili e leggibili per il mercato. Per gli utenti dei rating, il cambiamento non consiste nell’accedere a una misura unica e pienamente comparabile della sostenibilità, ma nel poter comprendere meglio il modo in cui il giudizio è costruito, quali dati sono stati utilizzati, quali limiti metodologici lo accompagnano e quali conflitti di interesse devono essere prevenuti o gestiti.

La disciplina europea prevede anche un regime transitorio, rilevante soprattutto per i fornitori di rating ESG che già operavano nell’Unione alla data di entrata in vigore del Regolamento. Tali soggetti devono comunicare all’ESMA, entro il 2 agosto 2026, se intendono continuare a operare nell’Unione e devono presentare domanda di autorizzazione o riconoscimento entro quattro mesi dal 2 luglio 2026; in mancanza di tale domanda, il Regolamento prevede la cessazione delle attività, mentre per i piccoli fornitori di rating ESG è stabilito uno specifico termine di comunicazione all’ESMA entro il 2 novembre 2026, qualora intendano proseguire l’attività nell’Unione.

Impatto per le imprese italiane

Per le imprese italiane, l’impatto del Regolamento deve essere letto distinguendo il livello diretto da quello indiretto. Il primo riguarda direttamente i fornitori di rating ESG, ossia le persone giuridiche la cui attività comprende l’emissione e la pubblicazione o distribuzione di rating ESG su base professionale, chiamate ad affrontare obblighi autorizzativi, organizzativi, metodologici e di vigilanza; il secondo interessa le imprese valutate, gli emittenti, le società quotate, le grandi imprese soggette a rendicontazione di sostenibilità, le PMI inserite in filiere complesse e le aziende che cercano capitale, credito o investitori qualificati, sulle quali il nuovo quadro può incidere attraverso le dinamiche informative del mercato.

Non viene introdotto un obbligo generalizzato per tutte le imprese italiane di ottenere un rating ESG, ma aumenta la rilevanza della qualità, della coerenza e della tracciabilità dei dati ESG su cui banche, investitori, fondi, clienti industriali e capofiliera costruiscono le proprie valutazioni. Una banca o un investitore potranno attribuire maggiore valore a rating prodotti da soggetti autorizzati, vigilati e obbligati a rendere più comprensibili metodologie, fonti e limiti del giudizio; allo stesso tempo, un’impresa valutata sulla base di dati incompleti, disallineati o non documentati potrebbe risultare penalizzata non per effetto di un obbligo normativo diretto, ma per il modo in cui il mercato utilizza informazioni ESG sempre più regolate e confrontabili.

Il Regolamento non sostituisce la CSRD, gli ESRS, la rendicontazione di sostenibilità o la due diligence, ma si colloca accanto a questi strumenti all’interno di un quadro europeo progressivamente più integrato. La rendicontazione di sostenibilità descrive in modo ordinato politiche, azioni, obiettivi, metriche, perimetri e responsabilità dell’impresa, mentre il rating ESG utilizza informazioni disponibili per costruire, secondo una determinata metodologia, un giudizio sintetico su profili, rischi, impatti o caratteristiche dell’entità o dello strumento valutato; confondere questi piani significa attribuire al rating una funzione che non gli appartiene e, al tempo stesso, sottovalutare l’importanza della qualità dei dati aziendali che lo alimentano.

Per le associazioni di imprese, questo passaggio merita attenzione perché non riguarda soltanto gli operatori finanziari o i provider specializzati, ma incide progressivamente sulla relazione tra imprese e mercato. Una valutazione ESG più regolata, trasparente e tracciabile può favorire la fiducia degli investitori, ma richiede alle imprese di presidiare meglio le proprie informazioni, di evitare dichiarazioni generiche non supportate da evidenze e di considerare i dati ESG come parte del linguaggio ordinario della competitività, dell’accesso al credito e della reputazione.

Conclusione

Il 2 luglio 2026 non deve essere presentato come la data dalla quale tutte le imprese italiane sono obbligate ad avere un rating ESG, né come il momento in cui l’Italia ha già concluso definitivamente l’adeguamento del TUF. Si tratta, più correttamente, della data dalla quale il Regolamento europeo sui rating ESG diventa applicabile e apre una nuova fase di regolazione del mercato delle valutazioni di sostenibilità, mentre l’Italia, attraverso lo schema di decreto legislativo approvato in via preliminare il 10 giugno 2026 e trasmesso alle Camere come Atto del Governo n. 416, sta completando il raccordo nazionale, individuando nella Consob l’autorità competente e correggendo alcuni profili tecnici del D.Lgs. 47/2026.

Ne deriva un quadro nel quale i rating ESG continueranno a essere giudizi strutturati, costruiti sulla base di metodologie, dati e criteri di ponderazione propri dei singoli fornitori, mentre l’attività di chi li emette e li pubblica o distribuisce nell’Unione europea viene ricondotta a regole più definite in materia di autorizzazione o riconoscimento, vigilanza, trasparenza metodologica, gestione dei conflitti di interesse e responsabilità verso il mercato. Per le imprese, il cambiamento più concreto consisterà nella crescente importanza della qualità delle informazioni ESG rese disponibili, poiché proprio tali informazioni alimentano valutazioni che incidono sempre più su finanza, reputazione, filiere e accesso ai capitali.

Scheda di sintesi

Riferimento	Contenuto essenziale
Regolamento (UE) 2024/3005	Disciplina la trasparenza e l’integrità delle attività di rating ESG e modifica i Regolamenti (UE) 2019/2088 e 2023/2859.
27 novembre 2024	Data di adozione del Regolamento europeo.
12 dicembre 2024	Pubblicazione nella Gazzetta ufficiale dell’Unione europea.
1° gennaio 2025	Entrata in vigore, quale ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
2 aprile 2026	Termine previsto dal Regolamento per la designazione, da parte degli Stati membri, dell’autorità competente nazionale.
10 giugno 2026	Approvazione in esame preliminare, da parte del Consiglio dei Ministri, dello schema di decreto legislativo italiano di adeguamento del TUF.
23 giugno 2026	Annuncio alle Camere dell’Atto del Governo n. 416.
2 luglio 2026	Data di applicazione del Regolamento (UE) 2024/3005.
2 agosto 2026	Termine per il parere parlamentare sullo schema di decreto legislativo italiano e termine entro il quale i fornitori di rating ESG già operanti nell’Unione alla data di entrata in vigore del Regolamento devono comunicare all’ESMA l’intenzione di continuare l’attività.
2 novembre 2026	Termine per la presentazione della domanda di autorizzazione o riconoscimento da parte dei fornitori già operanti nell’Unione alla data di entrata in vigore del Regolamento che non accedono al regime temporaneo per piccoli fornitori; per questi ultimi, termine per la notifica all’ESMA dell’intenzione di avvalersi del regime temporaneo previsto dall’articolo 5 del Regolamento.
D.Lgs. 47/2026	Decreto già vigente sulla riforma dei mercati dei capitali, pubblicato in G.U. il 14 aprile 2026 ed entrato in vigore il 29 aprile 2026; lo schema sui rating ESG contiene anche correzioni e coordinamenti a tale decreto.
Consob	Autorità nazionale competente individuata dallo schema italiano di adeguamento.
ESMA	Autorità europea competente per autorizzazione, riconoscimento, vigilanza e tenuta del registro dei fornitori di rating ESG.

Riferimenti essenziali

• Regolamento (UE) 2024/3005 del Parlamento europeo e del Consiglio, del 27 novembre 2024, pubblicato nella GUUE del 12 dicembre 2024.

• Schema di decreto legislativo recante adeguamento del TUF al Regolamento (UE) 2024/3005, Atto del Governo n. 416.

• D.Lgs. 27 marzo 2026, n. 47, pubblicato nella Gazzetta Ufficiale n. 86 del 14 aprile 2026, Supplemento ordinario n. 14.

• Documento di ricerca CNDCEC-FNC, Il decreto di attuazione della Legge Capitali, 28 aprile 2026.

• Comunicazione della Commissione C/2024/6792 sulla rendicontazione di sostenibilità, pubblicata nella GUUE del 13 novembre 2024, come riferimento di contesto sul quadro CSRD/ESRS/SFDR.

di Giacomo Dalseno

Le Federate AICQ Emilia-Romagna, Sicilia e Tosco-Ligure organizzano un corso di qualificazione per Auditor di Terza Parte dei Sistemi di Gestione Ambientale secondo la norma UNI EN ISO 14001:2026, della durata complessiva di 40 ore, per il quale è stato richiesto il riconoscimento ad AICQ SICEV. Il percorso formativo è strutturato in videoconferenza nelle giornate del 20, 22 e 26 maggio 2026 e 3, 5 giugno 2026, con orario 9:00–13:00 e 14:00–18:00.

Il corso è concepito come strumento di sviluppo delle competenze tecniche e professionali necessarie a condurre audit di terza parte sui Sistemi di Gestione Ambientale, in coerenza con i requisiti della UNI EN ISO 14001:2026. Il superamento degli esami finali consente di accedere all’esame per l’iscrizione al registro degli Auditor di terza parte di Sistemi di Gestione Ambientali di AICQ SICEV, Organismo di Certificazione accreditato da ACCREDIA per la certificazione di figure professionali che operano nel mondo dei sistemi di gestione.

Struttura didattica e programma

Il percorso è articolato in due moduli, per un totale di cinque giornate complessive, con alternanza di lezioni frontali, esercitazioni pratiche e casi di studio.

• Modulo A – 16 ore
  Dedicato al processo di audit e alla qualificazione degli auditor secondo UNI EN ISO 19011, con richiami alla UNI EN ISO 14001:2026 e alla UNI EN ISO 17021-1. Nelle prime due giornate, svolte in videoconferenza, sono approfonditi i principi e i vantaggi della High Level Structure, l’integrazione dei sistemi di gestione, la pianificazione e conduzione degli audit, nonché i rischi e le opportunità in ambito di audit; il modulo si conclude con una prova di verifica.
• Modulo B – 24 ore
  Dedicato all’applicazione specifica e pratica delle tecniche di audit ambientale in riferimento allo Standard ISO 14001, con particolare attenzione a pianificazione, esecuzione, presentazione dei risultati e rapporto finale. Il programma comprende test di ingresso sulla ISO 14001, verifica della conformità legislativa ambientale, analisi delle cogenze, audit di un sistema di gestione ambientale, test per auditor interno, casi di studio (stage 1 e stage 2) con role playing, approfondimenti su organismi di certificazione e accreditamento e test finale per auditor di terza parte.

Obiettivi formativi

Gli obiettivi principali del corso sono:

• conoscere in modo approfondito i requisiti della ISO 14001:2026 e la loro applicazione pratica in organizzazioni di diversa complessità;
• fornire tecniche e strumenti per condurre audit di terza parte efficaci, in linea con le linee guida UNI EN ISO 19011 e con i requisiti della certificazione di parte terza.

Al termine del percorso, previo superamento dei test relativi ai moduli A e B, verrà rilasciato un attestato di superamento esame e qualifica di Auditor di Terza Parte del Sistema di Gestione Ambientale UNI EN ISO 14001:2026 riconosciuto AICQ SICEV.

Destinatari e prerequisiti

Il corso è rivolto ad addetti e responsabili dei sistemi di gestione, consulenti, manager e professionisti che operano in ambito ambientale o che intendono qualificarsi come auditor di terza parte. Sono richiesti una buona conoscenza della UNI EN ISO 14001:2015, delle normative e dei documenti applicabili ai Sistemi di Gestione Ambientale, nonché un’esperienza di base nel settore.

Per l’accesso al solo Modulo B (tre giornate) è inoltre necessario aver frequentato e superato l’esame finale di un corso valutatori AICQ o riconosciuto SICEV di 40 ore relativo ai sistemi di gestione per la qualità (edizione 2015).

Docenza, metodologia e materiale didattico

La docenza è affidata a professionisti qualificati AICQ SICEV. La didattica prevede lezioni frontali in videoconferenza, integrate da esercitazioni, simulazioni di audit e role playing su casi di studio. Ai partecipanti viene fornita una dispensa del corso su supporto elettronico.

Durata, quote di partecipazione e condizioni

La durata complessiva è di cinque giorni, per un totale di 40 ore.

Quote di partecipazione:

• Corso completo 40 ore: 1.200,00 € a persona (IVA esente).
• Soci AICQ – Corso 40 ore:
  • 1.200,00 € (IVA esente) con contestuale iscrizione ad AICQ 2026;
  • 950,00 € (IVA esente) per soci AICQ.
• Corso Auditor interno 24 ore: 1.000,00 € a persona (IVA esente).
• Soci AICQ – Corso 24 ore:
  • 1.000,00 € (IVA esente) con contestuale iscrizione ad AICQ 2026;
  • 750,00 € (IVA esente) per soci AICQ.

È previsto uno sconto del 10% per tre o più iscritti appartenenti alla stessa organizzazione, non cumulabile con lo sconto soci. Il corso sarà attivato al raggiungimento del numero minimo di 5 partecipanti.

Iscrizioni e informazioni

Le iscrizioni si effettuano tramite l’apposita scheda allegata alla locandina, da inviare compilata via e‑mail agli indirizzi indicati, unitamente alla copia del bonifico. Il pagamento dovrà avvenire prima dell’inizio del corso; a seguito dell’iscrizione, i partecipanti riceveranno le istruzioni per il versamento e le credenziali di accesso alla videoconferenza.

Per ulteriori informazioni organizzative e conferma dell’avvio del corso è possibile contattare la Presidenza AICQ Emilia-Romagna, che invierà comunicazione di conferma iscrizione via e‑mail.

di Oliviero Casale e Paola Rinaldi

Infrastrutture critiche e soggetti critici: la nuova architettura europea della resilienza

L’Unione europea ha progressivamente trasformato il proprio approccio alla sicurezza delle infrastrutture critiche. Per molto tempo il quadro europeo è stato centrato soprattutto sulla protezione di singole infrastrutture strategiche, in particolare nei settori dell’energia e dei trasporti. Oggi, invece, il baricentro si è spostato verso un concetto più ampio e più adatto al contesto contemporaneo: la resilienza dei soggetti critici, cioè delle entità pubbliche o private che garantiscono servizi essenziali al funzionamento della società e dell’economia.

Questa evoluzione non è una semplice modifica terminologica. Riflette un cambiamento profondo nella percezione del rischio. Guerra ibrida, sabotaggio, terrorismo, eventi climatici estremi, vulnerabilità delle supply chain, interdipendenze digitali e transfrontaliere impongono un modello più sofisticato: non basta proteggere un’infrastruttura, bisogna garantire che i servizi essenziali continuino a funzionare anche in presenza di gravi perturbazioni. È questo il principio che anima la Direttiva (UE) 2022/2557, la cosiddetta CER Directive.

Le definizioni chiave: soggetto critico, infrastruttura critica, servizio essenziale, resilienza

Per comprendere davvero la riforma europea bisogna partire dalle definizioni contenute nella direttiva.

La direttiva definisce soggetto critico come un soggetto pubblico o privato individuato da uno Stato membro ai sensi dell’articolo 6, appartenente a una delle categorie previste nell’allegato. Non si tratta quindi di una qualifica generica o intuitiva: un’entità diventa “critica” perché, a seguito di una valutazione nazionale, viene formalmente identificata come tale.

La stessa direttiva definisce infrastruttura critica come un elemento, un impianto, un’attrezzatura, una rete o un sistema, o una parte di essi, necessari per la fornitura di un servizio essenziale. Questa definizione è importante perché mostra che il diritto europeo non abbandona affatto il concetto di infrastruttura critica: semplicemente lo inserisce in una cornice più ampia, in cui conta non solo il bene materiale, ma la funzione che esso rende possibile.

Il servizio essenziale, a sua volta, è definito come un servizio fondamentale per il mantenimento di funzioni vitali della società, di attività economiche, della salute e della sicurezza pubbliche o dell’ambiente. È questa nozione a spiegare perché il tema delle infrastrutture critiche riguarda ormai ambiti molto più ampi di quelli tradizionali.

Infine, la direttiva definisce la resilienza come la capacità di un soggetto critico di prevenire, attenuare, assorbire un incidente, proteggersi da esso, rispondervi, resistervi, adattarvisi e ripristinare le proprie capacità operative. In questa definizione si vede bene il cambio di paradigma: la sicurezza non coincide più con l’assenza di rischio, ma con la capacità di continuare a operare anche quando il rischio si materializza.

Una formulazione molto vicina compare anche nella raccomandazione del Consiglio del 2022, che parla della resilienza delle infrastrutture critiche come capacità di prevenire, proteggere, rispondere, resistere, attenuare, assorbire, adattarsi o riprendersi da eventi che perturbano in modo significativo la fornitura di servizi essenziali. Questo conferma che il lessico europeo lavora contemporaneamente sul piano delle infrastrutture e su quello dei soggetti che le gestiscono.

Dal vecchio modello ECI alla direttiva CER

La direttiva CER abroga la precedente disciplina del 2008 sulle European Critical Infrastructures, limitata ai settori energia e trasporti e centrata soprattutto sulla protezione di infrastrutture con impatto transfrontaliero. Quel modello è stato ritenuto insufficiente, perché troppo focalizzato sulle singole strutture e non abbastanza capace di cogliere il carattere interconnesso e sistemico delle vulnerabilità contemporanee. La nuova direttiva parte invece dall’idea che i soggetti che erogano servizi essenziali svolgano un ruolo indispensabile per il mantenimento delle funzioni vitali della società e delle attività economiche nel mercato interno.

Il punto di svolta sta qui: l’attenzione non si concentra più solo sull’infrastruttura come asset materiale, ma sull’entità che eroga il servizio e sulla sua capacità di prevenire, resistere, assorbire, reagire e recuperare da incidenti naturali o antropici. Il primo Programma biennale di lavoro 2025-2026 del Critical Entities Resilience Group lo esplicita chiaramente, parlando del passaggio dal concetto più limitato di protezione delle infrastrutture critiche a quello più ampio di resilienza dei soggetti critici.

I settori della nuova resilienza europea

La portata della direttiva CER emerge anche dall’ampiezza dei settori coperti. Il nuovo quadro si applica a undici settori: energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio e produzione, trasformazione e distribuzione alimentare. Questo elenco mostra che l’Unione europea considera la criticità in termini sistemici: la continuità della vita collettiva dipende ormai da reti, dati, logistica, amministrazione, finanza e filiere produttive non meno che da centrali o oleodotti.

Per rendere concretamente applicabile questo quadro, la Commissione ha adottato il Regolamento delegato (UE) 2023/2450, che stabilisce un elenco non esaustivo di servizi essenziali nei settori e sottosettori della direttiva. Tale elenco serve alle autorità competenti per effettuare la valutazione del rischio e, successivamente, per individuare i soggetti critici. La sua natura non esaustiva è significativa: l’Unione fissa un perimetro comune, ma lascia agli Stati membri un margine di adattamento alle specificità nazionali.

L’elenco dei servizi essenziali: la traduzione operativa della direttiva

Il regolamento delegato del 2023 rappresenta uno snodo decisivo, perché traduce la direttiva in un catalogo operativo di servizi. In campo energetico comprende, tra l’altro, fornitura, distribuzione, trasmissione e produzione di energia elettrica, teleriscaldamento, petrolio, gas e idrogeno. Nei trasporti ricomprende trasporto aereo, ferroviario, marittimo, fluviale e su strada, insieme alla gestione delle relative infrastrutture. Copre inoltre raccolta di depositi e concessione di prestiti nel settore bancario, sedi di negoziazione e sistemi di compensazione nei mercati finanziari, assistenza sanitaria e produzione di medicinali, fornitura di acqua potabile, trattamento delle acque reflue, servizi DNS, cloud, data center e comunicazioni elettroniche nel digitale, servizi delle amministrazioni centrali, infrastrutture terrestri di supporto ai servizi spaziali e grandi attività di logistica, stoccaggio, distribuzione e produzione nella filiera alimentare.

Questo elenco chiarisce un punto spesso poco compreso nel dibattito pubblico: l’infrastruttura critica non coincide necessariamente con un bene fisico isolato. In molti casi, la criticità riguarda un servizio e l’insieme dei sistemi, delle reti, delle piattaforme e delle organizzazioni che lo rendono possibile.

Gli obblighi degli Stati membri

La direttiva CER affida agli Stati membri la responsabilità primaria di costruire il sistema nazionale della resilienza. Devono adottare una strategia nazionale, effettuare valutazioni periodiche dei rischi, identificare i soggetti critici sulla base dei risultati di tali valutazioni, sostenerli nel rafforzamento della propria resilienza e garantire che le autorità competenti dispongano di poteri, risorse e mezzi adeguati per vigilare sul rispetto della normativa.

Le scadenze sono particolarmente rilevanti: il recepimento nazionale doveva essere completato entro il 17 ottobre 2024; le norme si applicano dal 18 ottobre 2024; gli Stati membri devono effettuare la valutazione dei rischi entro il 17 gennaio 2026 e identificare i soggetti critici entro il 17 luglio 2026. Queste date mostrano che il 2025 e il 2026 rappresentano la fase in cui il sistema europeo passa dalla legislazione all’attuazione concreta.

Gli obblighi dei soggetti critici

Una volta identificati, i soggetti critici sono tenuti a effettuare proprie valutazioni dei rischi, adottare misure tecniche, organizzative e di sicurezza adeguate a rafforzare la resilienza e notificare gli incidenti significativi alle autorità nazionali. Per i soggetti che forniscono servizi essenziali in sei o più Stati membri, il sistema europeo prevede anche missioni consultive supplementari, destinate a fornire pareri sulla valutazione del rischio e sulle misure di resilienza adottate.

In questo modo, la direttiva costruisce un modello di responsabilità condivisa: lo Stato non è l’unico garante della sicurezza dei servizi essenziali, ma anche i gestori, pubblici o privati, devono dotarsi di strumenti reali di prevenzione, preparedness, incident response e recovery.

L’approccio risk-based e il peso dei rischi transfrontalieri

Le linee guida della Commissione del 2025 precisano la logica con cui gli Stati dovrebbero applicare la direttiva. L’identificazione dei soggetti critici deve seguire un approccio risk-based, concentrandosi sulle entità più rilevanti per il mantenimento delle funzioni vitali della società e delle attività economiche. Le linee guida raccomandano di considerare sia l’ampiezza della perdita o interruzione del servizio sia la probabilità che tale perdita si verifichi, con particolare attenzione ai rischi cross-sectoral e cross-border, per il loro potenziale di generare effetti a cascata su altri servizi essenziali.

Questo è uno dei profili più moderni del modello europeo. Non si ragiona più per silos. Un’interruzione nel settore energetico può compromettere comunicazioni elettroniche, ospedali, reti di trasporto, sistemi bancari o amministrazione pubblica. Allo stesso modo, un incidente in uno Stato membro può propagarsi rapidamente ad altri. La vulnerabilità viene quindi letta come interdipendenza sistemica.

La complementarità con la NIS2

La direttiva CER non opera isolatamente. Il legislatore europeo l’ha costruita in parallelo con la Direttiva (UE) 2022/2555, nota come NIS2, dedicata alla cibersicurezza. Il programma di lavoro del CERG evidenzia che con CER e NIS2 si è aperta una nuova fase di cooperazione europea, nella quale le due direttive costruiscono insieme un quadro robusto di tutela contro minacce cyber e non cyber.

La distinzione tra le due norme resta importante: la CER riguarda la resilienza complessiva dei soggetti critici rispetto a minacce fisiche, organizzative, naturali e ibride; la NIS2 si concentra specificamente sulla sicurezza delle reti e dei sistemi informativi. Ma il loro rapporto è di complementarità strutturale, perché oggi una minaccia raramente è solo fisica o solo digitale.

La raccomandazione del Consiglio del 2022

Accanto alla direttiva CER, il quadro europeo comprende la Raccomandazione del Consiglio dell’8 dicembre 2022 su un approccio coordinato a livello dell’Unione per rafforzare la resilienza delle infrastrutture critiche. È un atto non vincolante, ma politicamente significativo, adottato in un contesto segnato da sabotaggi, guerra di aggressione russa contro l’Ucraina, campagne ibride e crescente attenzione alle infrastrutture con rilevanza transfrontaliera. La raccomandazione afferma che, pur restando agli Stati membri e agli operatori la responsabilità primaria della sicurezza e dell’erogazione dei servizi essenziali, un coordinamento europeo più stretto è divenuto necessario.

Si articola attorno a tre assi: preparedness, response e international cooperation. In questo quadro si collocano anche gli stress test europei, a partire dal settore energetico, e il rafforzamento della cooperazione con la NATO e con partner internazionali.

Stress test, NATO e cooperazione internazionale

Il programma di lavoro del CERG chiarisce che la raccomandazione del 2022 ha già prodotto effetti operativi. Nel 2023 sono stati condotti stress test nel settore energetico, e i loro risultati alimentano le attività successive di follow-up e rafforzamento della resilienza. Il medesimo programma collega questi sviluppi al più ampio quadro di cooperazione internazionale e al coordinamento con la NATO.

Questo passaggio mostra bene come la resilienza non sia più soltanto materia di regolazione del mercato interno, ma anche componente della sicurezza europea in senso lato.

Il Blueprint del 2024

Un ulteriore tassello della nuova architettura è costituito dal Blueprint per coordinare la risposta a livello UE alle perturbazioni di infrastrutture critiche con rilevanza transfrontaliera significativa, adottato nel 2024. Si tratta di uno strumento destinato a migliorare la cooperazione a livello dell’Unione in caso di crisi che travalichino i confini nazionali.

La logica è evidente: in un sistema interconnesso, la gestione di incidenti gravi non può più essere affidata a risposte puramente nazionali. Servono meccanismi comuni di scambio informativo, coordinamento con gli altri strumenti europei di crisi, supporto tecnico e comunicazione pubblica coerente.

Le linee guida e il template di reporting del 2025

La Comunicazione della Commissione dell’11 settembre 2025, con linee guida non vincolanti e template volontario di reporting, rappresenta il tentativo più concreto di rendere uniforme l’applicazione della direttiva nei diversi ordinamenti nazionali. Non sostituisce la discrezionalità degli Stati membri, ma fornisce una metodologia comune e favorisce una convergenza progressiva delle pratiche nazionali.

Il ruolo del CERG

In questa architettura il Critical Entities Resilience Group svolge una funzione cruciale. Ha il compito di sostenere la Commissione e facilitare la cooperazione tra Stati membri. Il programma di lavoro 2025-2026 mostra chiaramente che il suo obiettivo principale è contribuire alla corretta attuazione del quadro CER, facilitare lo scambio di informazioni e buone pratiche e promuovere una maggiore resilienza dei soggetti critici e delle infrastrutture critiche nell’UE.

La costruzione di una comunità europea della resilienza fondata sulla fiducia è forse uno degli elementi meno visibili ma più importanti dell’intero sistema, perché senza fiducia, condivisione di dati sensibili e cooperazione tra pubblico e privato, la resilienza rischia di restare soltanto un obiettivo formale.

Conclusione

La nuova politica europea in materia di infrastrutture critiche non è una semplice riforma tecnica. È la costruzione di una vera architettura di resilienza sistemica. La direttiva CER, il regolamento delegato sui servizi essenziali, la raccomandazione del 2022, il Blueprint del 2024, le linee guida del 2025 e il lavoro del CERG concorrono tutti allo stesso obiettivo: garantire che i servizi essenziali dell’Unione continuino a funzionare anche in un contesto segnato da sabotaggio, terrorismo, crisi climatiche, attacchi ibridi e crescente interdipendenza digitale.

In definitiva, l’Europa sta cercando di passare da una logica di mera protezione a una logica di governo della continuità. È questo, oggi, il vero significato della resilienza delle infrastrutture critiche.

Autori

* Oliviero Casale è General Manager di UniProfessioni , Innovation Manager certificato UNI 11814 e Mentor Industry 6.0; componente del CtS di Net EU Association; consigliere della Fondazione Communia; Segretraio di AICQ Emilia Romagna e Marche; componente di ISO TC/279 (Innovation management); Cultore della Materia in “Affidabilità Controllo Qualità e Certificazione di Processo e di Prodotto” presso il Dipartimento di Ingegneria Industriale dell’Università di Bologna.

Email: oliviero.casale@uniprofessioni.it

Linkedin: https://linkedin.com/in/olivierocasale/

** Paola Rinaldi è laureata in Fisica e PhD in Ingegneria elettrotecnica; titolare del corso di “Affidabilità, Controllo Qualità e Certificazione di Processo e di Prodotto” nel C.d.L. in Ingegneria Gestionale nell’Università di Bologna; Vicepresidente di Aicq Emilia-Romagna e certificata come Circular Economy Advisor.

Email: paola.rinaldi@unibo.it

Linkedin: https://linkedin.com/in/paola-rinaldi-phd-748b22a0

La famiglia ISO 322xx e il suo ruolo nella Limited Assurance CSRD per il Revisore Legale

Di Giacomo Dalseno  Revisore legale e Revisore della Sostenibilità

Introduzione: dalla narrazione ESG alla responsabilità legale

Il panorama della reportistica aziendale sta attraversando una trasformazione profonda: si passa da un sistema “a due velocità” – in cui l’informativa finanziaria era governata da principi contabili rigorosi e soggetta a revisione legale, mentre i report di sostenibilità rimanevano spesso descrittivi, volontari e poco standardizzati – a un ecosistema integrato di corporate reporting in cui dati finanziari e dati ESG sono trattati secondo logiche convergenti di affidabilità, comparabilità e responsabilità.

Al centro di questo passaggio si colloca la Corporate Sustainability Reporting Directive (CSRD), che non si limita a chiedere “più informazioni”, ma innalza il livello qualitativo dell’informativa: introduce l’obbligo di limited assurance sulle informazioni di sostenibilità e rende la doppia materialità il criterio centrale di selezione e presentazione dei temi rilevanti. Per le grandi imprese, il mandato decorre dai bilanci degli esercizi 2024 (pubblicati nel 2025), proiettando il revisore legale nel ruolo di garante – anche sotto il profilo della responsabilità professionale – della qualità e correttezza dell’informativa ESG.

In Italia, la CSRD è stata recepita con il D.Lgs. 6 settembre 2024, n. 125, che modifica organicamente il TUF, il codice civile e la disciplina degli obblighi di informativa societaria. Il revisore legale (o la società di revisione) cessa di essere un mero validatore di dati contabili per divenire un attore centrale nel presidio dell’integrità ESG, chiamato a esprimere un giudizio sull’attendibilità delle informazioni di sostenibilità e, di fatto, a contribuire alla prevenzione di fenomeni di greenwashing.

Tuttavia, l’attività di assurance – per sua natura – richiede criteri oggettivi: non è possibile attestare la conformità di un processo o la veridicità di un dato se manca uno standard condiviso e verificabile contro cui misurare l’oggetto dell’incarico. Se per il bilancio finanziario i criteri sono i principi IFRS/IAS (o, per alcune realtà, i principi nazionali), l’equivalente per l’architettura dei processi di finanza sostenibile è oggi rappresentato dal lavoro del comitato tecnico ISO/TC 322 “Sustainable Finance” e dalla nascente famiglia di norme ISO 322xx.

Capitolo 1 – Il contesto normativo e la necessità di un linguaggio comune

1.1 Il “gap di assurance” nella finanza sostenibile

Per decenni, la finanza sostenibile ha sofferto di un evidente “assurance gap”:

• i dati finanziari erano sottoposti a revisione legale con un livello di reasonable assurance, secondo ISA/ISAE e norme nazionali;
• le informazioni ESG erano spesso pubblicate in report separati, talvolta senza alcun coinvolgimento del revisore, oppure assoggettate a procedure di verifica eterogenee, basate su standard volontari e su definizioni non allineate tra loro.

Questo divario ha generato una serie di criticità:

• rischio di greenwashing: affermazioni ambientali o sociali non supportate da evidenza robusta;
• opacità per gli investitori: difficoltà nel confrontare le performance di sostenibilità tra emittenti diversi;
• rischio legale e reputazionale per i revisori: impossibilità di ancorare la propria opinione a un corpus normativo tecnico univoco.

La CSRD interviene proprio per ridurre questo gap:

• attribuisce al revisore il compito di esprimere una limited assurance sulle informazioni di sostenibilità, con potenziale evoluzione futura verso livelli più elevati di assurance;
• fa degli ESRS (European Sustainability Reporting Standards) il criterio principale di reporting;
• rende evidente il bisogno di standard tecnici di processo che supportino l’implementazione di sistemi ESG affidabili.

Senza una base tecnica quale quella offerta dalla famiglia ISO 322xx, il revisore rischierebbe di fondare il proprio giudizio su criteri frammentari e opinioni soggettive, con un aumento esponenziale dei rischi di contenzioso in caso di controversie sulla veridicità delle affermazioni ESG.

1.2 La risposta dell’ISO: il Comitato Tecnico 322

Per colmare questo vuoto, l’ISO ha istituito il Comitato Tecnico ISO/TC 322 “Sustainable Finance”, con un mandato specifico: sviluppare standard che consentano di integrare in modo sistematico le considerazioni ESG nelle pratiche, nei prodotti e nei processi decisionali delle istituzioni finanziarie e delle grandi imprese.

A differenza di altri comitati focalizzati su aspetti ambientali generali (come il TC 207 per ISO 14001), il TC 322 parla deliberatamente la lingua della finanza:

• si interfaccia con concetti come portafogli, strumenti di debito, strutture di rischio e controllo interno;
• mira a standard interoperabili con i processi di risk management, compliance, internal audit e reporting tipici delle banche, degli intermediari e delle grandi corporate.

La famiglia ISO 322xx va dunque vista non come una serie di definizioni isolate, ma come un framework strutturale che fornisce:

• principi di governance e strategia,
• strumenti operativi per i prodotti finanziari sostenibili,
• terminologia condivisa,
• e, progressivamente, standard per la pianificazione della transizione climatica.

Capitolo 2 – La struttura “a piramide” della famiglia ISO 322xx

2.1 Una mappa concettuale per il revisore

Per orientarsi nella crescente complessità degli standard di finanza sostenibile, è utile adottare un modello “a piramide” che distingue tre livelli principali – strategico, tattico, semantico – con un livello trasversale dedicato alla transizione climatica. Questa struttura aiuta il revisore a collegare i diversi standard ISO alle corrispondenti aree degli ESRS e alle aspettative di governance della CSRD.

2.2 Il vertice strategico: ISO 32210

Al vertice troviamo la ISO 32210:2022 “Sustainable finance – Guidance on the application of sustainability principles to finance”.

È lo standard che definisce il framework di governance e di integrazione della sostenibilità nel modello di business e nei processi decisionali. Per il revisore, ISO 32210 rappresenta il principale punto di riferimento per valutare l’adeguatezza:

• degli assetti organizzativi e di governance in ottica ESG (in parallelo a quanto richiesto dall’art. 2086 c.c. e dagli ESRS, in particolare ESRS 2 – Strategy, governance e gestione dei rischi, e G1 – Governance);
• del grado di integrazione degli obiettivi di sostenibilità nel piano industriale, nel budget e nelle politiche operative.

Tra i principi chiave per l’auditor:

• Governance e cultura (Clause 5.2)
  La sostenibilità deve essere presidiata dal vertice. Il revisore verifica se la responsabilità per gli impatti ESG è formalmente attribuita al CdA o a un comitato dedicato, se esistono competenze ESG nel board e se la remunerazione del management incorpora KPI di sostenibilità coerenti con il piano.
• Allineamento strategico (Clause 5.3)

ISO 32210 richiede che la strategia di business e le attività dell’organizzazione siano progressivamente allineate agli obiettivi globali, nazionali o regionali di sostenibilità (es. Accordo di Parigi, SDGs), tramite la definizione di obiettivi strategici sugli impatti materiali, l’uso di metriche e KPI, esercizi di benchmarking e gap analysis e, ove necessario, la predisposizione di un transition plan e di un strategy implementation plan per colmare il disallineamento.
In altri termini gli obiettivi ESG devono essere integrati nel piano industriale e non rimanere in documenti separati. Il revisore valuta la coerenza tra impegni di decarbonizzazione e CAPEX/OPEX allocati, e se le scelte di business (es. dismissione di attività ad alta intensità carbonica, sviluppo di prodotti green) sono compatibili con gli obiettivi dichiarati.

• Gestione dei rischi (Clause 5.4)
  I rischi ESG devono essere trattati con la stessa disciplina dei rischi finanziari. L’auditor verifica se l’organizzazione ha recepito il principio di doppia materialità, integrando sia la prospettiva “outside‑in” (come il clima impatta l’azienda) sia quella “inside‑out” (come l’azienda impatta l’ambiente e la società), in linea con CSRD/ESRS.

2.3 Il livello tattico: strumenti di debito verde (ISO 14030 e futura ISO 32211)

Al centro della piramide si collocano gli standard che disciplinano gli strumenti finanziari utilizzati per canalizzare capitali verso la transizione:

• La serie ISO 14030 definisce criteri per l’identificazione, la gestione, la rendicontazione e la verifica degli strumenti di debito “verdi” (green bonds, green loans, ecc.).
• La futura ISO 32211, attualmente in fase di sviluppo, mira a fornire un quadro organico per gli strumenti di finanza sostenibile, rendendo coerenti le pratiche operative con i principi di ISO 32210.

Per il revisore, queste norme offrono una check‑list tecnica per valutare la credibilità degli strumenti label‑based (green, social, sustainability‑linked):

• Segregazione e tracciabilità dei proventi
  I fondi raccolti tramite strumenti “verdi” devono essere assegnati a progetti eleggibili e tracciati in sistemi dedicati. L’auditor esegue test di dettaglio su movimenti bancari, riconcilia fondi raccolti/fondi assegnati, verifica l’assenza di commistioni con spese non eleggibili.
• Processo di selezione dei progetti
  L’emittente deve adottare criteri e processi documentati (allineati a tassonomie riconosciute, come la Tassonomia UE). Il revisore verifica se il processo di selezione dei progetti è coerente con i principi DNSH (Do No Significant Harm) e con i criteri ambientali definiti (inclusi quelli ESRS e di tassonomia).
• Reporting di impatto
  Le metriche di impatto (es. tonnellate di CO₂ evitate, energia rinnovabile prodotta) devono essere calcolate secondo metodologie riconosciute, come ISO 14064 per la contabilizzazione dei gas serra. L’auditor verifica sia la correttezza dei calcoli sia la robustezza metodologica.

2.4 La base semantica: ISO/TR 32220

Alla base della piramide troviamo la dimensione lessicale:

• ISO/TR 32220:2021 “Sustainable finance — Basic concepts and key initiatives” fornisce un vocabolario tecnico e un quadro delle iniziative di riferimento in finanza sostenibile.

In un contesto in cui termini come “net zero”, “carbon neutral”, “impact investing”, “green bond” sono utilizzati da marketing, regolatori e operatori con accezioni talvolta divergenti, la funzione di ISO/TR 32220 è quella di creare un ponte semantico:

• riduce il rischio di interpretazioni difformi tra management, revisori, investitori;
• permette all’auditor di contestare affermazioni fuorvianti basandosi su definizioni strutturate.

Esempi:

• “Asset sostenibile”: se un immobile viene definito “sostenibile” solo per la presenza di alcune tecnologie (es. illuminazione LED), ma presenta prestazioni energetiche molto scadenti, il revisore può richiamare le definizioni ISO per evidenziare che la qualifica “sostenibile” richiede criteri più sostanziali e misurabili.
• “Transition risk”: ISO/TR 32220 aiuta a declinare la categoria in rischi normativi, tecnologici, di mercato, reputazionali, strumenti utili al mapping richiesto da ESRS E1 sui rischi climatici.

2.5 Il livello trasversale: ISO/DTS 32212 e la pianificazione della transizione

In modo trasversale ai tre livelli si colloca la ISO/DTS 32212 (in corso di sviluppo), dedicata al net zero transition planning per le istituzioni finanziarie.

Lo standard mira a fornire:

• principi e fasi di un processo strutturato di pianificazione della transizione (analisi di contesto, definizione di pathway, target, leve di decarbonizzazione, integrazione in strategia e risk management);
• requisiti sulla qualità dei dati, sui sistemi e sui controlli a supporto;
• un quadro di riferimento che dialoghi con le disclosure richieste da ESRS E1 e IFRS S2 in materia di transition plans.

Per il revisore, ISO/DTS 32212 diventa il riferimento operativo per valutare la credibilità del piano di transizione, soprattutto quando occorre attestare la limited assurance su:

• compatibilità del modello di business con 1,5 °C / neutralità 2050 (ESRS E1‑1);
• allineamento dei target a scenari climatici riconosciuti;
• integrazione del piano nelle politiche di credito, di investimento e di gestione del rischio.

In questo senso, la famiglia ISO 322xx può essere considerata come una architettura di riferimento per i sistemi di governance e controllo interno sulla sostenibilità, a supporto degli obblighi di reporting e assurance introdotti dalla CSRD.

Capitolo 3 – La matrice di correlazione: ISO 322xx, ESRS, CSRD e revisione legale

Per tradurre questa architettura in uno strumento operativo per il revisore, è utile utilizzare una matrice di correlazione tra:

• livello della piramide ISO 322xx,
• norma ISO specifica,
• funzione nel bilancio di sostenibilità/CSRD,
• domanda chiave di assurance (in ottica SSAE Italia / ISAE 3000).

Livello piramide	Norma specifica	Funzione nel bilancio CSRD	Domanda chiave del revisore (SSAE Italia)
Strategico	ISO 32210	Governance, strategia, risk oversight	“Esiste evidenza che il CdA governi in modo informato i rischi e le opportunità ESG e climatiche?”
Transizione	ISO/DTS 32212 (in sviluppo)	Credibilità del piano net zero e compatibilità 1,5 °C	“Il piano net zero è supportato da pathway, target, dati e risorse reali, o è un documento solo formale?”
Tattico	ISO 14030, futura ISO 32211	Strumenti finanziari (green bonds, green loans, ecc.)	“I proventi degli strumenti ‘verdi’ sono stati selezionati, allocati e tracciati secondo criteri robusti?”
Semantico	ISO/TR 32220	Linguaggio e definizioni	“I termini usati nel report (net zero, impatto, asset sostenibile) sono aderenti alle definizioni ISO?”
Operativo	ISO 14064	Integrità del dato climatico	“I dati sulle emissioni GHG sono calcolati e riportati secondo standard tecnici e verificabili?”

Questa matrice consente di:

• collegare ciascun livello ISO a specifiche disclosure ESRS (in particolare E1 per il clima e ESRS 2 per governance/strategia);
• individuare rapidamente per quali ambiti la banca o la corporate dispone già di processi allineati e per quali emergono gap di conformità o di maturità;
• strutturare il programma di lavoro di assurance sugli elementi più critici (es. piano di transizione climatica, strumenti di debito verde, rischio di greenwashing semantico).

Capitolo 4 – Lo standard italiano SSAE (Italia) e il raccordo con ISAE 3000

4.1 Il quadro nazionale dopo il D.Lgs. 125/2024

Il recepimento della CSRD in Italia con il D.Lgs. 125/2024 ha introdotto in modo esplicito la figura del revisore della sostenibilità e ha previsto che l’attività di attestazione sulle informazioni ESG sia svolta secondo un quadro di standard nazionali coerente con gli standard internazionali.

In questo contesto si colloca lo standard nazionale di attestazione sulla sostenibilità (SSAE Italia), adottato come riferimento per gli incarichi di assurance sulle informazioni di sostenibilità. Lo SSAE Italia:

• si ispira alla struttura e ai principi di ISAE 3000 (Revised);
• è calibrato sul quadro normativo europeo e nazionale (CSRD, ESRS, D.Lgs. 125/2024);
• definisce il perimetro, le responsabilità e le modalità di svolgimento degli incarichi di assurance su base limited o, progressivamente, reasonable.

4.2 Integrazione con ISAE 3000 (Revised) e ruolo della famiglia ISO 322xx

Lo SSAE Italia si fonda su ISAE 3000 (Revised), adattandone i principi al contesto CSRD. Per il revisore, questo si traduce in tre conseguenze operative:

1. Procedure rigorose di assurance
   Il revisore deve progettare e svolgere procedure proporzionate al livello di assurance richiesto:
   1. per la Limited Assurance (richiesta inizialmente dalla CSRD), l’enfasi è su analisi di coerenza, walkthrough, test selettivi;
   1. per eventuali Reasonable Assurance future, occorreranno test più estesi su controlli, dati e modelli.
2. Scetticismo professionale potenziato
   La presenza di stime, scenari e forward‑looking information nel reporting ESG richiede un uso particolarmente intenso dello scetticismo professionale, specialmente nel valutare la plausibilità dei piani di transizione e la robustezza delle assunzioni sottostanti.
3. Uso di criteri adeguati (framework tecnico)
   Mentre lo SSAE Italia definisce “come” eseguire l’engagement di assurance, la famiglia ISO 322xx fornisce il criterio tecnico su “cosa” valutare, in particolare:
   1. adeguatezza della governance e dell’integrazione della sostenibilità (ISO 32210);
   1. solidità dei piani di transizione climatica (ISO/DTS 32212);
   1. corretto utilizzo degli strumenti di debito verde (ISO 14030, futura ISO 32211);
   1. uso coerente della terminologia e delle definizioni (ISO/TR 32220);
   1. integrità dei dati GHG (ISO 14064 e altri standard GHG).

In questo quadro, il revisore legale diventa direttamente responsabile, nei limiti del proprio mandato di assurance, dell’attestazione sull’informativa di sostenibilità e della ragionevolezza delle affermazioni ESG dichiarate, facendo leva su ESRS come criteri di reporting e su ISO 322xx come criteri tecnici di processo.

4.3 CNDCEC, Assirevi e l’adeguatezza degli assetti ESG

Le linee interpretative di CNDCEC e Assirevi convergono nel richiedere che:

• gli assetti organizzativi (art. 2086 c.c.) siano valutati anche in chiave ESG;
• gli strumenti di finanza sostenibile (es. green bond, sustainability‑linked instruments) siano oggetto di verifiche dettagliate sulla segregazione dei flussi, sul rispetto dei criteri di eleggibilità e sugli impatti dichiarati.

In questo contesto:

• la ISO 32210 rappresenta una best practice per valutare la coerenza degli assetti di governance e controllo interno con le aspettative di CSRD/ESRS;
• la ISO 14030 (e in prospettiva la 32211) costituisce un criterio tecnico per verificare i processi a supporto di prodotti di debito verde e di altre forme di finanza sostenibile.

Conclusioni

La famiglia ISO 322xx si propone come la struttura portante su cui costruire la credibilità della finanza sostenibile nel contesto CSRD. Per il revisore legale, e in particolare per il revisore della sostenibilità in Italia:

• offre una mappa leggibile per collegare governance, strategia, strumenti finanziari, dati e linguaggio a standard internazionali coerenti;
• permette di trasformare impegni e narrazioni ESG in oggetti verificabili, riducendo il rischio di greenwashing e di incoerenze rilevanti;
• supporta l’applicazione dello SSAE Italia, basato su ISAE 3000 (Revised), fornendo i criteri tecnici per valutare la qualità dei processi e dei sistemi che generano l’informativa di sostenibilità.

In un contesto in cui la CSRD e il D.Lgs. 125/2024 rendono la sostenibilità una materia di revisione legale a tutti gli effetti, la combinazione tra:

• ESRS (come standard di reporting vincolanti),
• SSAE Italia / ISAE 3000 (Revised) (come standard di assurance),
• ISO 322xx (come architettura tecnica di governance, strumenti e dati),

costituisce l’“architettura della fiducia” su cui il mercato può fare affidamento per distinguere la sostenibilità autentica da quella solo dichiarata.

Dott. GIACOMO DALSENO – Revisore Legale

Dottore in Fisica ad indirizzo applicativo presso l’Università di Bologna. Iscritto da oltre 30 anni all’Albo Nazionale dei Revisori Legali del Ministero dell’Economia e delle Finanze (MEF) sezione A. Opero come Revisore Legale con una solida esperienza nel settore. Attualmente, ricopro il ruolo di Presidente di diversi Collegi Sindacali e di Revisione Legale, offrendo una vasta competenza nel controllo contabile e nella governance aziendale.

Nell’ambito dell’AICQ Emilia Romagna, sono impegnato in alcune delle principali funzioni associative: Vice Presidente di AICQ Emilia Romagna. Coordinatore del Gruppo ESG di AICQ Emilia Romagna. Vice Presidente del Settore AICQ Education e formatore certificato della stessa.

Ho ricoperto in passato ruoli di rilievo come Vice Presidente e membro del Consiglio Nazionale dell’Unione Nazionale Revisori Legali (UNRL), contribuendo alla crescita e al consolidamento della professione a livello nazionale.

di Oliviero Casale e Paola Rinaldi

Dalla compliance informativa alla disciplina della transizione, il ruolo della serie ISO 32200

La finanza sostenibile, nella sua configurazione contemporanea, non è più descrivibile come un insieme di prodotti “green” collocati ai margini dell’offerta finanziaria. È un’evoluzione strutturale del modo in cui le istituzioni finanziarie definiscono orientamento strategico, traducono tale orientamento in scelte operative e rendono verificabili le dichiarazioni pubbliche mediante dati comparabili e processi tracciabili. Questa trasformazione si manifesta lungo tre assi che tendono a sovrapporsi. Integrazione dei fattori ambientali, sociali e di governance nelle decisioni di investimento e di credito. Gestione di rischi, opportunità e impatti, con crescente attenzione alla doppia materialità. Trasparenza come infrastruttura di mercato, perché senza disclosure comparabili e senza basi terminologiche solide, la sostenibilità resta esposta a frammentazione e greenwashing. “ISO/TR 32220:2021” riconosce che la pratica della finanza sostenibile evolve rapidamente e che occorre stabilizzare concetti e termini d’uso comune per facilitare la comunicazione tra attori su scala globale, chiarendo al contempo che l’ampia accettazione di un termine non equivale a un endorsement formale tramite il processo di consenso proprio degli International Standards con requisiti. [2]

Il contesto europeo 2025

Ambizione, disponibilità dei dati e semplificazione come variabile competitiva

Nel quadro europeo, l’architettura regolatoria della finanza sostenibile si è consolidata attraverso obblighi di disclosure e classificazioni che richiedono dati, procedure e responsabilità interne robuste. Il Regolamento (UE) 2019/2088 ha imposto un livello nuovo di trasparenza sui rischi di sostenibilità e sulle caratteristiche dei prodotti finanziari. [7] Il Regolamento (UE) 2020/852 ha istituito la tassonomia come framework per facilitare gli investimenti sostenibili, demandando a criteri tecnici e atti delegati la concreta operazionalizzazione del concetto di attività ecosostenibile e i modelli di rendicontazione e i KPI. [6] La stratificazione tra Regolamento Tassonomia e atti delegati su criteri e disclosure è ricostruita anche nella nota “Taxonomy_Note”, utile per comprendere evoluzione dei template e segmentazione per tipologia di soggetto. [8]

Il 2025 introduce però una variabile ulteriore che incide direttamente sull’implementazione e, di conseguenza, sulla domanda di standardizzazione tecnica. È la semplificazione come politica economica e come risposta alla complessità operativa del reporting. La proposta COM(2025) 80 final inserisce il tema in una cornice di competitività e resilienza, richiamando gli oneri di conformità associati a CSRD e CSDDD e l’obiettivo politico di ridurre gli obblighi informativi almeno del 25 per cento, con un’agenda che dichiara la necessità di andare oltre un approccio incrementale e di agire con maggiore audacia nella razionalizzazione delle regole. [9] Nella stessa proposta viene esplicitata la logica di contenimento delle ripercussioni a cascata lungo la catena del valore, ricordando che la CSRD richiede informazioni sulla catena del valore nella misura necessaria a comprendere impatti, rischi e opportunità, e che esiste già un limite che impedisce agli ESRS di imporre richieste alle PMI oltre un principio proporzionato, limite che la proposta intende estendere e rafforzare, applicandolo direttamente all’impresa che rendiconta e proteggendo tutte le imprese fino a 1.000 dipendenti, non soltanto le PMI. [9]

In tale quadro, COM(2025) 80 final presenta una traiettoria di ricalibrazione che tocca quattro snodi rilevanti per gli operatori finanziari e per la credibilità dell’ecosistema informativo. Primo snodo è la soglia. La proposta indica che una proposta legislativa distinta presentata parallelamente ridurrebbe di circa l’80 per cento il numero di imprese soggette a obblighi vincolanti di rendicontazione, escludendo grandi imprese con meno di 1.000 dipendenti e le PMI quotate, con obblighi concentrati sulle grandi imprese con più di 1.000 dipendenti e con ricavi delle vendite e delle prestazioni superiori a 50 milioni di euro o bilancio superiore a 25 milioni di euro. [9] Secondo snodo è il canale volontario. Per le imprese fuori obbligo, la Commissione propone un principio proporzionato basato sul VSME elaborato dall’EFRAG, da adottare con atto delegato, e preannuncia nel frattempo una raccomandazione sulla rendicontazione volontaria per rispondere alla domanda del mercato. [9] Terzo snodo è l’architettura degli standard. La proposta indica l’assenza di standard settoriali, evitando un aumento del numero di elementi informativi. [9] Quarto snodo è l’assurance. La proposta afferma l’eliminazione della possibilità di passare da un obbligo di attestazione della conformità con livello di sicurezza limitato a un obbligo finalizzato all’acquisizione di un livello di ragionevole sicurezza, al fine di chiarire che non ci saranno futuri aumenti dei costi di attestazione, sostituendo inoltre l’adozione di standard di assurance entro il 2026 con la pubblicazione di orientamenti mirati nello stesso anno. [9]

La dimensione istituzionale e procedurale di questa ricalibrazione è documentata dalla nota del Consiglio del 13 ottobre 2025, che ricostruisce l’istituzione del sottogruppo Antici dedicato alla semplificazione, l’adozione accelerata delle misure “stop-the-clock” su CSRD e CS3D e il raggiungimento di un mandato negoziale sul fascicolo “contenutistico”. [10] La stessa nota rende più preciso il profilo delle soglie e degli alleggerimenti. In materia CSRD, ricorda la proposta della Commissione di innalzare la soglia a 1.000 dipendenti ed escludere le PMI quotate, e aggiunge che il mandato del Consiglio ha introdotto una soglia aggiuntiva di ricavi netti delle vendite e delle prestazioni superiore a 450 milioni di euro, oltre a semplificazioni sulle disposizioni di attestazione della conformità. [10] Per la CSDDD, pur non essendo oggetto originario della proposta quanto all’ambito, la nota segnala che il Consiglio ha aumentato le soglie a 5.000 dipendenti e a 1,5 miliardi di euro di fatturato netto, e ha rinviato di due anni l’obbligo di adottare piani di transizione per la mitigazione dei cambiamenti climatici, mantenendo meccanismi di estensione degli obblighi di individuazione e valutazione in presenza di informazioni oggettive e verificabili oltre i partner commerciali diretti. [10]

In parallelo, la “Platform on Sustainable Finance” nel report di febbraio 2025 collega in modo molto operativo disponibilità dei dati, coerenza dell’assurance e maturità dei controlli interni, insistendo sulla necessità che le imprese applichino alla disclosure di sostenibilità controlli interni analoghi a quelli dell’informativa finanziaria e richiamando la necessità di guidance tempestiva sull’assurance del reporting tassonomico e su soglie e principi di materialità, in un percorso che punta alla ragionevole assurance nel tempo. [4]

Questo quadro spiega perché la normazione ISO abbia oggi un ruolo abilitante. In un ambiente in cui la regolazione evolve e tende a semplificare, gli standard internazionali possono offrire una piattaforma metodologica che stabilizza processi e responsabilità interne e consente di produrre informazioni coerenti senza moltiplicare i costi di compliance.

ISO/TC 322 e la costruzione di una serie coerente per la finanza sostenibile

La serie ISO/TC 322 può essere letta come una filiera logica che parte dai concetti, passa ai principi e alle modalità di implementazione organizzativa e arriva ai requisiti su prodotti, transizione e dati. “ISO/TR 32220:2021” svolge la funzione di base concettuale e lessico condiviso, organizzando i termini in aree che includono concetti di base, principi e regolazione, prodotti e servizi, verifica e disclosure, iniziative e organizzazioni internazionali, e chiarendo che la selezione privilegia fonti sovranazionali o autorità nazionali e termini di interesse internazionale. [2] “ISO 32210:2022” costruisce l’architettura organizzativa, traducendo la sostenibilità in un framework di principi e guida all’implementazione che si estende dalla governance alla misurazione e al reporting. [1] Su questa base si collocano i documenti applicativi, tra cui “ISO/TS 32211” sui prodotti e servizi e, soprattutto, “ISO/FDIS 32212” [12] sulla pianificazione della transizione net zero, che porta la finanza sostenibile dentro un dispositivo di strategic transition planning con requisiti e raccomandazioni destinati alle istituzioni finanziarie.

ISO 32210 come architettura organizzativa

Il punto di partenza che rende operativa la sostenibilità

ISO 32210:2022 rende esplicito che la sostenibilità, nel settore finanziario, deve essere governata come un sistema e non come un insieme di iniziative isolate. Il documento struttura i principi lungo una catena logica che include governance e cultura, allineamento strategico e obiettivi, gestione di rischi e opportunità e valutazione degli impatti, coinvolgimento degli stakeholder, monitoraggio e misurazione, reporting e trasparenza con assurance, fino al miglioramento continuo e all’incremento dell’ambizione. [1] Sul piano applicativo, il valore aggiunto dello standard è la capacità di ancorare la sostenibilità a output organizzativi verificabili, tra cui una sustainability statement o policy, obiettivi strategici su temi materiali, metriche e KPI, responsabilità di vertice, stakeholder engagement, registri di impatti materiali, benchmarking e gap analysis, transition plan, strategic implementation plan, scenario analysis e piani di mitigazione, reporting pubblico e, ove applicabile, assurance esterna. [1]

La connessione con l’Europa 2025 è diretta. La proposta COM(2025) 80 final insiste sul contenimento degli effetti a cascata lungo la catena del valore e sul rafforzamento di limiti e proporzionalità, elementi che richiedono alle istituzioni finanziarie un presidio più maturo delle proprie richieste informative verso clienti e controparti e una maggiore disciplina nella definizione di ciò che è realmente necessario, quindi materialmente rilevante. [9] ISO 32210 offre una base metodologica per tale disciplina, perché collega materialità, governance, coinvolgimento degli stakeholder e sistemi di misurazione e reporting a un ciclo di miglioramento continuo, rendendo più naturale l’allineamento tra richieste informative esterne e capacità interne di produzione del dato. [1] Laddove l’architettura europea ricalibri soglie e obblighi e riduca l’ampiezza del perimetro vincolante, la stabilità del sistema di gestione interno diventa un fattore di continuità e di qualità dell’informazione, utile anche per preservare comparabilità e credibilità complessiva del framework. [9] [10]

ISO/TR 32220 come infrastruttura semantica e mappa delle iniziative

“ISO/TR 32220:2021” è cruciale perché la finanza sostenibile è un dominio in cui lessico e categorie determinano la sostanza delle decisioni. Il report chiarisce che, data la rapida evoluzione della pratica e la presenza di approcci regionali e nazionali differenti, è necessario disporre di concetti e termini di uso comune per facilitare comprensione e comunicazione tra regolatori, banche, asset manager, investitori, iniziative internazionali e ricercatori, selezionandoli in base alla loro diffusione e alle fonti di riferimento. [2] Questa funzione diventa ancora più importante quando, come mostrano COM(2025) 80 final e lo stato di avanzamento dei lavori in Consiglio, il sistema normativo viene ricalibrato per semplificare, modificare soglie e ridefinire modalità di assurance, senza perdere coerenza e credibilità. [9] [10] La stabilità semantica consente, in pratica, di mantenere comparabilità anche mentre cambiano perimetri, tempi e strumenti di rendicontazione.

ISO/FDIS 32212 e la disciplina della transizione net zero

Dalla dichiarazione di intenti alla pianificazione strategica integrata

“ISO/FDIS 32212 Sustainable finance — Net zero transition planning for financial institutions” porta la serie ISO/TC 322 nel punto in cui oggi si concentra l’attenzione del mercato, la qualità dei piani di transizione. Il documento, in fase di approvazione, specifica requisiti e raccomandazioni e guidance correlata per la pianificazione strategica della transizione delle istituzioni finanziarie, con l’obiettivo di proteggere e accrescere valore sostenendo la risposta e il contributo a un’economia globale net zero e climaticamente resiliente, e con un esplicito allineamento alle finalità di temperatura e resilienza dell’Accordo di Parigi. La rilevanza è duplice. Da un lato, la norma rende la transizione un oggetto governabile tramite policy e processi robusti integrati nelle attività finanziarie, includendo lending, assicurazione, investimenti come asset owner e asset manager e attività di mercato dei capitali, limitatamente a ciò che l’istituzione può controllare o influenzare. Dall’altro, limita l’uso opportunistico dello standard affermando che non sono accettabili dichiarazioni di conformità se non quando tutti i requisiti sono incorporati nei processi e soddisfatti senza esclusioni.

In un contesto europeo che discute rinvii, soglie e semplificazioni, questo punto assume un significato specifico. Se una parte del perimetro rendicontativo viene rinviata o resa meno estesa, la domanda di credibilità si sposta ancora di più sulla qualità dei piani di transizione e sulla capacità di dimostrare coerenza tra obiettivi, target e scelte operative. [9] [10] ISO/FDIS 32212 offre quindi una piattaforma tecnica che rafforza la “disciplina interna” della transizione [12], rendendo meno dipendente la credibilità dal solo impianto di reporting e più dipendente dalla robustezza dei processi e dall’integrazione nelle attività core, in piena coerenza con la logica di ISO 32210. [1]

Le norme in lavorazione come completamento del quadro

Prodotti, dati, tecnologia e mercati dei carbon credit

La robustezza dell’impianto ISO/TC 322 aumenta se si osserva che, oltre alla pianificazione della transizione, la serie presidia i due fattori che più influenzano credibilità e comparabilità, cioè prodotti e dati. “ISO/TS 32211” affronta requisiti e guida per prodotti e servizi di finanza sostenibile, agendo sul rischio di ambiguità commerciale e greenwashing lato offerta. “ISO/AWI TS 32214” interviene sul tema dell’interoperabilità informativa nei mercati dei crediti di carbonio, fissando un data model di riferimento e una tassonomia comune per descrivere progetti e unità, escludendo la valutazione della qualità dei crediti e la standardizzazione dei processi di creazione e verifica [13]. “ISO/WD TS 32219” lavora sul linguaggio e sui casi d’uso ICT relativi a impatti e rischi, includendo tecnologie in uso e un set minimo di indicatori, coerentemente con la centralità che i documenti UE 2025 attribuiscono a qualità e disponibilità dei dati e a un percorso di assurance capace di ridurre interpretazioni soggettive. [4] [5] [13]

Regolazione che si ricalibra e standard che stabilizzano l’operatività

Il 2025 europeo mostra una traiettoria chiara. La finanza sostenibile resta un pilastro della transizione, ma la sua architettura normativa viene ricalibrata per essere più praticabile e competitiva, attraverso proposte legislative, procedure accelerate, mandati negoziali e misure di semplificazione, con un’attenzione esplicita a soglie, catena del valore e assurance. [9] [10] In questo contesto, la serie ISO/TC 322 costituisce un’infrastruttura tecnica che consente alle istituzioni finanziarie di tenere insieme tre esigenze. Allineamento strategico e accountability interna. Coerenza e comparabilità dei dati. Credibilità della transizione, in particolare attraverso dispositivi di pianificazione net zero strutturati e non selettivi. [1] [2] La finanza sostenibile, così intesa, non è più soltanto un tema di compliance. È una capacità organizzativa che deve essere governata, misurata e resa auditabile, proprio mentre la regolazione tenta di ridurre il rumore e preservare il segnale.

Finanza sostenibile e sostenibilità integrale. Il richiamo di Papa Francesco

Parlando di finanza sostenibile, assume rilievo l’intervento che Papa Francesco ha rivolto ai partecipanti ai “Dialoghi per una finanza integralmente sostenibile” il 3 giugno 2024. Il Santo Padre richiama la responsabilità di “congiungere l’efficacia e l’efficienza con la sostenibilità integrale, l’inclusione e l’etica”, invitando a non fermarsi al livello esortativo ma a “guardare al funzionamento della finanza” per individuare punti deboli e immaginare correttivi concreti, perché in gioco vi è la dignità delle persone più fragili e la giustizia sociale. In questo orizzonte, la frase più netta resta quella che va assunta come criterio di discernimento permanente. “Il denaro deve servire e non governare”. È un richiamo che, letto insieme alla critica del “paradigma tecnocratico” e alla richiesta di una nuova cultura capace di dare spazio a un’etica solida e a una responsabilità verso la casa comune, suggerisce che la finanza sostenibile non può ridursi a un adempimento, ma deve rimanere una scelta di indirizzo che orienta metodi, standard e decisioni al bene reale delle comunità.

---

Autori

* Oliviero Casale è General Manager di UniProfessioni e Innovation Manager certificato; componente del CtS di Net EU Association; consigliere della Fondazione Communia; coordinatore del World Industry 5.0 Forum by Confassociazioni; segretraio di AICQ Emilia Romagna e Marche; componente di ISO TC/279 (Innovation management); Cultore della Materia in “Affidabilità Controllo Qualità e Certificazione di Processo e di Prodotto” presso il Dipartimento di Ingegneria Industriale dell’Università di Bologna.

Email: oliviero.casale@uniprofessioni.it

Linkedin: https://linkedin.com/in/olivierocasale/

** Paola Rinaldi è laureata in Fisica e PhD in Ingegneria elettrotecnica; titolare del corso di “Affidabilità, Controllo Qualità e Certificazione di Processo e di Prodotto” nel C.d.L. in Ingegneria Gestionale nell’Università di Bologna; Vicepresidente di Aicq Emilia-Romagna e certificata come Circular Economy Advisor.

Email: paola.rinaldi@unibo.it

Linkedin: https://linkedin.com/in/paola-rinaldi-phd-748b22a0

---

Bibliografia

[1] ISO 32210:2022 Sustainable finance — Principles and guidance. ISO, 2022.

[2] ISO/TR 32220:2021 Sustainable finance — Basic concepts and key initiatives.

[3] European Commission. “Communication and press material on the Omnibus package for sustainability reporting and due diligence.” European Commission, 26 Feb. 2025. Press material.

[4] Platform on Sustainable Finance. “Simplifying the EU Taxonomy to Foster Sustainable Finance. Report on Usability and Data.” European Commission, Feb. 2025. Report.

[5] European Commission. “Illustrative examples and templates. Delegated Act amending the Taxonomy Disclosures, Climate and Environmental Delegated Acts.” European Commission, 4 Jul. 2025. Technical annex and templates.

[6] European Parliament and Council of the European Union. “Regulation (EU) 2020/852 on the establishment of a framework to facilitate sustainable investment.” Official Journal of the European Union, 2020. Regulation text.

[7] European Parliament and Council of the European Union. “Regulation (EU) 2019/2088 on sustainability-related disclosures in the financial services sector.” Official Journal of the European Union, 2019. Regulation text.

[8] Internal synthesis note. “Taxonomy_Note.” n.p., n.d. Working note on EU Taxonomy delegated acts and disclosure templates.

[9] Commissione europea. “Proposta di direttiva del Parlamento europeo e del Consiglio che modifica le direttive (UE) 2022/2464 e (UE) 2024/1760 per quanto riguarda le date a decorrere dalle quali gli Stati membri devono applicare taluni obblighi relativi alla rendicontazione societaria di sostenibilità e al dovere di diligenza delle imprese ai fini della sostenibilità.” COM(2025) 80 final, 26 Feb. 2025. Proposta legislativa.

[10] Consiglio dell’Unione europea. “Pacchetti legislativi omnibus riguardanti la semplificazione – Relazione sullo stato di avanzamento dei lavori.” Doc. 13787/25, 13 Oct. 2025. Nota del Segretariato generale del Consiglio.

[11] ISO/TS 32211 [Under development] Sustainable finance — Products and services — Requirements and guidance.

[12] ISO/FDIS 32212 [Under development] Sustainable finance — Net zero transition planning for financial institutions.

[13] ISO/AWI TS 32214 [Under development] Data Model for Carbon Credit Markets.

[14] ISO/WD TS 32219 [Under development] Sustainable Finance — Guidance on impacts, risks and information technology terms, concepts and use cases.

Pubbliciamo un articolo della nostra socia Ivana Brancaleone, membro del Direttivo dell’associazione, tratto direttamente dal suo blog. L’articolo è stato pubblicato anche sulla nostra rivista Qualità.

di Oliviero Casate, Segretario di AICQ Emilia Romagna e Marche

La riflessione sui beni comuni nasce e si sviluppa in un mondo nel quale le condizioni di fondo della vita sociale, economica e istituzionale sono assunte come relativamente stabili. In questo contesto, il problema centrale è la distribuzione e la governance dei beni. Chi può accedere, a quali condizioni, con quali diritti e attraverso quali regole collettive. La distinzione tra beni pubblici, beni comuni e beni comuni globali consente di articolare risposte diverse a seconda della scala, degli attori coinvolti e delle modalità di tutela.

Questa impostazione, ben rappresentata dalla tassonomia UNESCO, è corretta, utile e necessaria. Essa fotografa un mondo nel quale il nodo fondamentale è organizzare l’uso e la protezione dei beni, evitando esclusioni indebite, appropriazioni private o fallimenti della governance. Anche quando l’orizzonte si amplia fino ai beni comuni globali, il problema resta quello di costruire regimi di cooperazione efficaci in assenza di un’autorità sovrana globale. Il lessico rimane quello dei beni, dei diritti, delle istituzioni e delle regole.

Tuttavia, questo impianto presuppone implicitamente che il mondo entro cui tali beni esistono continui a funzionare. Presuppone che le condizioni materiali, ecologiche e sistemiche che rendono possibile parlare di beni restino sullo sfondo come dato stabile. È precisamente questo presupposto che oggi viene meno.

Il rapporto “Global Catastrophic Risks 2026” mostra che il problema preliminare non è più soltanto come distribuire e governare i beni, ma la perdita progressiva delle condizioni sistemiche che rendono possibile qualsiasi bene, pubblico, comune o globale. Quando tali condizioni si deteriorano, la questione dei beni non scompare, ma diventa secondaria rispetto a una domanda più radicale. Non chi ha accesso a cosa, ma se esiste ancora il contesto che rende sensato parlare di accesso, uso e governance.

È in questo passaggio che la riflessione sui beni comuni incontra il proprio limite concettuale. I beni comuni, per definizione, sono oggetti di uso, cura e gestione collettiva. Anche nella loro dimensione globale, essi restano beni, cioè entità rispetto alle quali ha senso discutere di distribuzione, tutela e responsabilità. Ma quando ciò che è in gioco sono le condizioni sistemiche del pianeta, non ci troviamo più di fronte a beni in senso proprio.

Da qui la necessità di spostare lo sguardo dai beni comuni ai planetary commons. Non come categoria aggiuntiva, né come semplice estensione dei beni comuni globali, ma come livello concettuale distinto. I planetary commons non sono beni da distribuire o risorse da gestire, ma sistemi regolativi che rendono possibile l’esistenza stessa di beni, istituzioni e diritti. Essi non sono oggetto di uso, ma condizioni di possibilità dell’uso. Non sono governabili come beni, perché pongono vincoli che precedono la decisione politica.

Il passaggio dai beni comuni ai planetary commons segna quindi uno slittamento profondo. Si passa da una logica centrata sulla giustizia distributiva a una logica centrata sulla stabilità sistemica. Si passa da problemi di governance a problemi di custodia. Si passa da un mondo in cui il conflitto riguarda l’allocazione dei beni a un mondo in cui è in gioco la continuità del contesto che rende i beni pensabili.

Questo non rende obsolete le categorie dei beni comuni, pubblici o globali. Al contrario, ne rivela la dipendenza da un livello più profondo. Senza planetary commons funzionali, non esistono beni da distribuire, né diritti da garantire, né governance da esercitare. La politica dei beni presuppone un mondo abitabile. Quando tale abitabilità diventa incerta, la questione primaria non è più come governare i beni, ma come preservare le condizioni che rendono possibile qualsiasi forma di bene.

Il passaggio dai beni comuni ai planetary commons non è un raffinamento teorico, ma una necessità storica. È il riconoscimento che la riflessione sulla giustizia, sulla governance e sui diritti deve oggi poggiare su una base più radicale. Prima dei beni, viene il mondo che li rende possibili.

In questo orizzonte si colloca anche la sollecitazione costante che Papa Francesco ha rivolto, lungo tutto il suo magistero, alla cura della Terra come dimensione inseparabile del bene comune. Non si tratta di un richiamo accessorio o tematico, ma di un vero spostamento di prospettiva. Quando Francesco parla di casa comune, quando intreccia ambiente, giustizia sociale, destino degli ultimi e responsabilità intergenerazionale, egli mette implicitamente in discussione l’idea che il problema centrale sia soltanto la distribuzione dei beni o la loro corretta governance. Il suo sguardo anticipa una soglia più profonda, nella quale ciò che è in gioco non è più soltanto chi accede a cosa e a quali condizioni, ma la tenuta stessa delle condizioni che rendono possibile parlare di beni, diritti e istituzioni. In questo senso, la sua insistenza sul legame tra degrado ambientale e degrado umano apre naturalmente alla necessità di ripensare il lessico dei beni comuni, spingendo la riflessione oltre la logica distributiva e verso una responsabilità di custodia dei sistemi che regolano la vita del pianeta. È qui che il richiamo al bene comune, così centrale nel suo vocabolario, smette di essere una categoria etico-sociale tradizionale e diventa una domanda radicale sulla possibilità stessa di un mondo abitabile, anticipando, di fatto, il passaggio concettuale dai beni comuni ai planetary commons.

Fonte: Global Catastrophic Risks 2026 https://globalchallenges.org/gcr-2026/

Autore

Oliviero Casale è General Manager di UniProfessioni e Innovation Manager certificato; consigliere della Fondazione Communia; coordinatore del World Industry 5.0 Forum by Confassociazioni; componente di ISO TC/279 (Innovation management); Cultore della Materia presso il Dipartimento di Ingegneria Industriale dell’Università di Bologna e Segretario di AICQ Emilia-Romagna e Marche.