La compliance è il sistema con cui un'organizzazione identifica gli obblighi applicabili, li traduce in procedure, controlla che siano rispettati e conserva evidenze. Le regole dipendono da chi opera, quale attività svolge, su quale prodotto, per quale cliente e in quale giurisdizione.
In parole semplici — Prima capisci quale regola vale, poi costruisci un controllo e infine conservi la prova che il controllo ha funzionato.
Tre livelli da non confondere
Obblighi legali e regolamentari. Possono riguardare autorizzazione, organizzazione, conflitti, comunicazioni, adeguatezza o appropriatezza, registrazioni, protezione degli asset, integrità del mercato e resilienza. Non sono identici per ogni impresa o cliente.
Obblighi contrattuali e controlli interni. Contratti, policy e procedure definiscono chi approva un'attività, quali eccezioni sono ammesse, quali dati si conservano e come si gestisce un problema. Devono restare coerenti con le regole superiori applicabili.
Disciplina personale del trader. Rispettare un playbook, un limite di rischio o un diario è importante, ma non trasforma quelle regole private in «compliance normativa». La documentazione operativa e l'audit personale trattano questo livello.
Il ciclo di controllo
Perimetro
Identifica entità, ruolo, attività, strumenti, clienti e paesi coinvolti. Una regola europea per un'impresa di investimento non va applicata automaticamente a ogni trader o servizio nel mondo.
Regola
Usa il testo vigente e le indicazioni dell'autorità competente. Una pagina di sintesi aiuta a orientarsi, ma il testo autentico e aggiornato prevale.
Procedura e controllo
Assegna responsabilità e costruisci un controllo osservabile: approvazione, blocco, riconciliazione, campionamento, sorveglianza o revisione. Un documento senza esecuzione non dimostra conformità.
Evidenza ed eccezione
Conserva versione della regola, input, esito, responsabile, data ed eventuale eccezione. L'evidenza permette di ricostruire cosa è accaduto e di correggere il processo.
Riesame
Aggiorna per cambi normativi, nuovi prodotti, incidenti, reclami e risultati dei controlli. La compliance non è una certificazione ottenuta una volta per sempre.
Un esempio: comunicazioni al cliente
Nell'Unione europea, MiFID II richiede alle imprese di agire in modo onesto, equo e professionale nel migliore interesse dei clienti e che le informazioni siano corrette, chiare e non fuorvianti. Un controllo non si limita alla frase «rendimento non garantito»: verifica pubblico, prodotto, rischi, costi, conflitti e canale nella versione realmente pubblicata.
Questo esempio descrive un principio per le imprese nel perimetro MiFID II; non attribuisce lo stesso obbligo a ogni autore, trader o piattaforma. Per valutare un intermediario come utente, usa la due diligence.
Errore tipico — Chiamare «compliance» qualsiasi regola del piano personale, oppure copiare una checklist di un'altra giurisdizione senza verificare soggetto, servizio e data.
Lettura professionale
Un programma maturo collega ogni obbligo a rischio, controllo, proprietario, frequenza ed evidenza. Misura anche l'efficacia: un controllo eseguito può non intercettare il rischio per cui era stato progettato. Conflitti, continuità, outsourcing, sicurezza dei sistemi e protezione degli asset dei clienti richiedono responsabilità chiare lungo l'intera catena operativa.
Fonti
- ESMA — MiFID II, articolo 16: requisiti organizzativi — policy, conflitti, continuità, registrazioni e salvaguardia degli asset.
- ESMA — MiFID II, articolo 24: principi generali e informazione ai clienti — interesse del cliente e comunicazioni corrette, chiare e non fuorvianti.
- ESMA — MiFID II, articolo 25: adeguatezza e appropriatezza — valutazioni legate al servizio e al cliente.
- ESMA — MiCA, articolo 14 — obblighi di condotta, conflitti e sistemi per gli offerenti nel relativo perimetro.
- IOSCO — Objectives and Principles of Securities Regulation — protezione degli investitori, mercati equi ed efficienti e riduzione del rischio sistemico.
- EUR-Lex — Regolamento (UE) 2022/2554, DORA — resilienza operativa digitale per le entità finanziarie nel suo ambito.
Questa voce è educativa e non determina gli obblighi di un caso concreto. La norma vigente, la giurisdizione e l'autorità competente prevalgono.