ERM in Italia: dalla compliance alla guida delle decisioni strategiche

La survey realizzata da PwC insieme a Nedcommunity offre una fotografia aggiornata della maturità dei modelli di Risk Management&Governance nelle aziende non finanziarie italiane. Il quadro che emerge è quello di un sistema in evoluzione: cresce la consapevolezza che il rischio non debba essere gestito solo come presidio di compliance o attività di reporting, ma come parte integrante delle scelte strategiche e del dialogo tra il top management e il comitato controllo e rischi e/o consiglio di amministrazione.

Un primo dato significativo riguarda il legame tra rischio e business plan. Sebbene quasi tutti i consigli di amministrazione ricevano informazioni sul profilo di rischio associato ai piani strategici, la continuità e la qualità di questo collegamento restano disomogenee. Nel 42% delle società, l’informativa sull’andamento del piano e sui rischi correlati è limitata o assente; nel 24% non è strutturata; nel 38% viene fornita solo su richiesta del Consiglio.

Anche il coinvolgimento della funzione di risk management nelle decisioni strategiche mostra una traiettoria positiva rispetto alla precedente edizione della survey, ma non ancora omogenea. La survey rileva che il risk manager/CRO è coinvolto nell’89% dei casi, soprattutto in occasione di operazioni di M&A o di ingresso in nuovi mercati. Tuttavia, solo nel 50% dei casi tale coinvolgimento è regolare e proceduralizzato, infatti nel 32% avviene su richiesta e soltanto nel 18% è pienamente integrato nel processo decisionale.

Si tratta di evidenze che segnalano come, in molte realtà, il rischio non sia ancora pienamente incorporato nei meccanismi ordinari di pianificazione strategica.

Il messaggio del COSO: dall’impianto metodologico all’azione

Le evidenze emerse dalla survey trovano un riferimento utile nella recente pubblicazione (primavera 2026) del COSO (Committee of Sponsoring Organizations of the Treadway Commission) From Guidance to Action, che richiama con forza un principio fondamentale: l’ERM genera valore solo quando smette di essere un esercizio formale di documentazione per diventare un supporto concreto alle decisioni d’impresa.

In questa prospettiva, è fondamentale non soltanto disporre di un framework metodologico ben costruito, ma fare in modo che il risk management entri nei processi in cui si valutano alternative strategiche, si discutono assunzioni, si confrontano scenari e si prendono decisioni con impatto rilevante sul business.

Il COSO dà un indirizzo preciso: poiché le decisioni strategiche sono, per loro natura, anche decisioni di rischio, strategia ed ERM non possono procedere su binari separati. Il valore del sistema di Risk Management si misura quindi nella sua capacità di rendere più valutabili i trade-off, di chiarire le assunzioni sottostanti alle scelte e di supportare il management e il Board nell’individuazione dei rischi che possono compromettere il raggiungimento degli obiettivi.

Tre priorità di evoluzione

Le guidelines 2026 del COSO identificano tre priorità di sviluppo per rendere il Risk Management più efficace e più vicino alle esigenze del business e queste priorità trovano un chiaro riscontro anche nelle evidenze emerse dalla survey.

1. Rendere il risk appetite realmente operativo

In molte organizzazioni il risk appetite esiste, ma rimane confinato a un livello prevalentemente formale o addirittura teorico. Per essere davvero utile, deve invece tradursi in metriche economiche applicabili, soglie numeriche, meccanismi di escalation e azioni conseguenti. Solo in questo modo può diventare uno strumento capace di guidare il management e consentire al Board di valutare con maggiore consapevolezza la coerenza tra rischio assunto e obiettivi perseguiti.

2. Superare assessment basati solo su scoring e heatmap

Un secondo elemento chiave riguarda il superamento di approcci di assessment fondati prevalentemente su scoring e heatmap. COSO parla in modo esplicito di rischio di “scoring theater”: rappresentazioni apparentemente ordinate, ma spesso deboli nel supportare vere decisioni. Anche da questo punto di vista, la survey PwC-Nedcommunity suggerisce una traiettoria di evoluzione: la maturità dell’ERM cresce laddove il framework è integrato nei processi di pianificazione, budgeting, investimento e governance, non dove si limita alla classificazione qualitativa dei rischi.

3. Costruire un board reporting più selettivo e decision-oriented

Il terzo fronte è quello del board reporting, che deve evolvere da esercizio di compilazione a strumento di comunicazione selettiva e orientata all’assunzione delle decisioni. Il reporting più efficace non è quello più ampio, ma quello che evidenzia con chiarezza cosa è cambiato, quali rischi richiedono attenzione prioritaria, quali assunzioni meritano di essere messe in discussione e su quali temi è necessario un confronto tra management e consiglio. L’obiettivo non è “informare di più”, ma “informare meglio”, mettendo il Board nelle condizioni di esercitare pienamente il proprio ruolo di indirizzo e supervisione.

Il filo conduttore tra survey e nuovo COSO

La convergenza tra le evidenze della survey PwC-Nedcommunity e l’impostazione proposta dal COSO indica una direzione chiara: l’efficacia dell’ERM non si misura nella quantità di documenti prodotti né nella sofisticazione di heatmap e risk register, ma nella sua capacità di supportare decisioni più consapevoli e rafforzare il confronto tra top management e board.

La survey evidenzia che, nelle aziende italiane, il risk management ha ormai superato una fase puramente formale, pur non essendo ancora pienamente integrato nella governance della strategia. È proprio in questo passaggio che il contributo del COSO risulta decisivo: il principio del from guidance to action richiama la necessità di fare dell’ERM non solo un sistema di controllo, ma un processo in grado di accompagnare concretamente le scelte aziendali, chiarire le responsabilità, attivare escalation tempestive e rendere più efficace il dialogo tra top management e board.

Considerazioni finali

In sintesi, dalla survey PwC-Nedcommunity e dal più recente indirizzo del COSO emerge con chiarezza che la vera sfida non è rafforzare gli strumenti formali, ma integrare stabilmente il risk management nei processi decisionali. In un contesto sempre più volatile e complesso, non basta più presidiare i rischi: occorre renderli parte del Business Plan, delle scelte di investimento, delle operazioni straordinarie e del dialogo tra management e organi di governance. La direzione di marcia è ormai definitae il Risk Management non può più restare un esercizio separato dalla strategia. Per le imprese italiane, la vera evoluzione consiste nel trasformare l’ERM da presidio formale a vera e propria leva decisionale. È in questo passaggio che si misurerà la maturità dei sistemi di governance nei prossimi anni.