il questionario chiede se abbiamo un sistema di gestione del rischio, cosa conta come risposta

Sistema formale o solo una valutazione del rischio

Ciò varia a seconda del questionario, ma nella maggior parte dei casi non viene chiesto se avete mai effettuato una valutazione dei rischi — viene chiesto se ciò avviene in modo strutturato e ripetibile. Un sistema in questo senso significa: i rischi sono stati identificati, esiste un modo per valutarli (probabilità e impatto), sono state associate misure, e viene effettuata una revisione periodica. L'identificazione una tantum di un rischio in seguito a questo questionario di solito non conta come "sistema"; una parte fissa delle operazioni aziendali — anche solo un aggiornamento annuale di un foglio di calcolo Excel con proprietà per ogni rischio — di solito conta.

Nei questionari di tipo CSRD (derivati dal modulo di base EFRAG VSME), la gestione dei rischi viene spesso richiesta specificamente per i temi di sostenibilità: clima, diritti umani nella catena di approvvigionamento, governance. Se avete strutturato questo processo solo sui rischi finanziari o operativi e non sulla sostenibilità, allora "no" è spesso la risposta onesta per quella parte specifica, anche se svolgete comunque una gestione dei rischi appropriata. Alcuni clienti pongono questa come domanda separata, altri come parte di un blocco più ampio su chi fa parte del consiglio di amministrazione e come è composto — governance e gestione dei rischi vengono regolarmente combinate nei questionari perché la struttura di supervisione spesso controlla anche la gestione dei rischi.

Cosa richiedono il modulo di base VSME e la legge antiriciclaggio come prova

Il modulo di base EFRAG VSME richiede una descrizione delle politiche e delle pratiche, non un sistema certificato come ISO 31000 — una breve descrizione fattuale di come i rischi vengono identificati e gestiti è sufficiente nella maggior parte dei casi. Se la domanda proviene da una banca o da un assicuratore, il collegamento è spesso con la Direttiva (UE) 2015/849 sulla prevenzione dell'utilizzo del sistema finanziario a fini di riciclaggio dei proventi di attività criminose: essa obbliga il cliente stesso a effettuare la due diligence sulla clientela, e il cliente vuole quindi spesso sapere se la vostra organizzazione mantiene i rischi — compresi i rischi di integrità — sotto controllo. Se non disponete di un sistema formale di gestione dei rischi ma avete elementi separati come una politica sulle sanzioni o un canale di segnalazione, è spesso più accurato nominare questi elementi separati piuttosto che suggerire un sistema che non esiste.