Il ruolo rilevante di compliance e internal audit come presidi di governance

Contributo a cura di Antonio Caruccio per Fondi & Sicav.

Esma ha pubblicato gli esiti della Common Supervisory Action (Csa) che si è svolta nel 2025 sulle funzioni di compliance e internal audit dei gestori di fondi. Il Final Report Esma dell’11 maggio 2026 sulle funzioni di compliance e internal audit richiama i gestori di fondi a verificare l’effettività dei propri controlli.

Le funzioni di compliance e internal audit

Le funzioni di compliance e internal audit non costituiscono un mero corredo organizzativo, né intervengono soltanto quando emergono criticità. Per i gestori di fondi rappresentano il presidio attraverso il quale rendere effettivi i requisiti previsti dalla disciplina Aifmd e Oicvm, individuando e gestendo i rischi di non conformità. Il Final Report restituisce un quadro complessivamente positivo: le autorità nazionali hanno giudicato soddisfacente il livello di conformità dei gestori esaminati. Tuttavia, sono state evidenziate vulnerabilità ricorrenti che richiedono una governance interna più solida.

Non è solo una questione di adeguamento

l nodo centrale del report è che procedure formalmente adeguate non bastano. Esma ha infatti rilevato casi di policy non aggiornate, controlli formulati in termini eccessivamente generali e piani di monitoraggio privi di una metodologia di risk assessment sufficientemente definita e documentata. Un piano di compliance efficace deve dunque indicare i rischi da misurare e, soprattutto, criteri, frequenza e conseguenze dell’accertamento di un’anomalia. Il controllo non può esaurirsi nella reportistica, ma deve tradursi in azioni correttive e nella verifica della loro attuazione. Merita attenzione il caso dei gestori inseriti in gruppi bancari o finanziari. L’appartenenza a un gruppo può assicurare competenze e strumenti che un gestore indipendente difficilmente potrebbe sviluppare da solo. Il modello diventa però fragile quando la compliance locale si limita a recepire priorità, policy e valutazioni del rischio elaborate altrove. Esma segnala espressamente il caso di un gestore Ucits nel quale l’analisi di gruppo aveva trascurato profili propri dell’attività locale, quali il risk management, la gestione della liquidità, la valutazione e la delega. L’appartenenza al gruppo non giustifica una minore attenzione ai rischi del singolo gestore: impone invece che i presìdi siano calibrati sulla sua natura, dimensione e complessità e che la valutazione dei rischi consideri prodotti, servizi, canali distributivi e tipologia di investitori.

Presidiare l'esternalizzazione

Resta centrale il tema dell’esternalizzazione delle funzioni di controllo. Esternalizzare non significa trasferire la responsabilità. Il ricorso a fornitori specialistici o a funzioni di gruppo può essere efficiente, specie per i gestori minori, ma richiede un presidio interno reale. Occorrono mandati chiari, flussi informativi, evidenza dei controlli svolti e un soggetto interno in grado di valutare risultati ed eventuali carenze. In difetto, la funzione rischia di essere formalmente presente, ma sostanzialmente estranea alle decisioni gestionali. Inoltre, il report valorizza la qualità del follow-up e il ruolo del consiglio di amministrazione. Le carenze riscontrate riguardano non solo l’individuazione delle anomalie, ma anche tracciabilità, azioni correttive e indicazione delle scadenze. È in questa fase che si misura il coordinamento tra compliance, internal audit, strutture operative e consiglio di amministrazione, chiamato a vigilare anche su piani di audit fondati sui rischi effettivi del gestore. Per le Sgr, la lezione è semplice: la compliance non deve limitarsi a segnalare, ma deve essere coinvolta nelle decisioni organizzative rilevanti e di investimento. Un’ulteriore indicazione merita attenzione: il presidio deve essere dimostrabile. I registri delle violazioni, le operazioni con parti correlate, i report periodici non rappresentano solo adempimenti documentali, bensì strumenti attraverso cui il gestore può prevenire e correggere i rischi. Non a caso, tra le buone prassi Esma figurano la consultazione preventiva della compliance per nuovi prodotti o procedure, l’uso di sistemi informatici che rendano tracciabile l’interazione con le funzioni operative e una reportistica che documenti carenze, rimedi, scadenze e relativo follow-up. In conclusione, la sfida non è moltiplicare controlli e documenti, ma fare delle funzioni di compliance e internal audit presìdi effettivi della governance del gestore, capaci di incidere sulle decisioni rilevanti e sulla qualità della gestione collettiva.