La convergenza tra Tax Control Framework e sistemi di governance e controllo

Nei settori bancario, finanziario e assicurativo, l’importanza della prevenzione del rischio fiscale nella corporate tax governance è sempre più evidente, soprattutto in un contesto normativo in evoluzione. L’integrazione del Tax Control Framework con altri framework di governance e controllo non solo migliora la compliance fiscale, ma rafforza anche l’efficacia complessiva del sistema di controlli interni. Questa sinergia consente una gestione più trasparente e responsabile della fiscalità, contribuendo alla reputazione e alla sostenibilità dell’impresa.

1. La rilevanza strategica e i benefici della prevenzione del rischio fiscale nella Corporate Tax Governance

L’evoluzione e la proliferazione normativa, così come la contestuale crescente centralità della gestione dei rischi nelle strategie aziendali, alimentano il percorso di continuo miglioramento dei sistemi di controllo interno e, in tale ambito, dei presidi di compliance, anche in termini di integrazione tra i diversi framework di controllo e tra questi e i processi di corporate governance.

Sul versante fiscale, questa evoluzione ha trovato un primo momento di sistematizzazione con l’introduzione del Regime di Adempimento Collaborativo, disciplinato dal D.Lgs. 5 agosto 2015, n. 128, che ha segnato il passaggio da un modello reattivo a un modello fondato su prevenzione, trasparenza e dialogo anticipato con l’Amministrazione Finanziaria[1], definendo il rischio fiscale come il “rischio di operare in violazione di norme di natura tributaria ovvero in contrasto con i principi o con le finalità dell’ordinamento tributario”[2].

Si tratta di una fattispecie di rischio complessa, in quanto inserita in un quadro normativo frammentato, soggetto a frequenti modifiche e interpretazioni dell’Amministrazione Finanziaria e della giurisprudenza non sempre univoche e stabili nel tempo.

La non corretta applicazione della normativa tributaria, così come il mancato o inesatto svolgimento degli adempimenti prescritti, può tradursi in conseguenze significative per l’impresa, non solo sotto il profilo economico e sanzionatorio, ma anche in termini reputazionali, legali e operativi.

La rilevanza del rischio fiscale assume connotati di particolare intensità nel settore bancario, finanziario e assicurativo, per effetto sia della complessità strutturale del regime tributario applicabile a tali operatori sia del ruolo sistemico da essi svolto, anche nella veste di sostituti d’imposta, estesa all’ambito di determinati servizi prestati alla clientela.

Sul piano del prelievo diretto, il comparto è assoggettato a un’imposizione differenziale rispetto alla generalità delle imprese. La Legge di Bilancio 2026 ha ulteriormente accentuato tale differenziale, elevando l’aliquota IRAP al 6,65% per Banche e Intermediari finanziari e al 7,90% per le Compagnie di assicurazione, per il triennio 2026–2028, con un maggior gettito stimato di circa 1,2 miliardi di euro per il 2026 e 1,3 miliardi per ciascuno dei due anni successivi. A ciò si aggiungono i limiti temporanei alla deducibilità degli interessi passivi introdotti dalla medesima Legge per gli intermediari finanziari[3].

La rilevanza economica del comparto trova riscontro nei dati ufficiali pubblicati dal Ministero dell’Economia e delle Finanze (MEF) relativi alle dichiarazioni IRES e IRAP per l’anno d’imposta 2023. Si pensi, per esempio, che a fronte di un reddito d’impresa rilevante ai fini fiscali per l’intera platea delle società di capitali pari a 287,8 miliardi di euro, con un incremento del 12,8% rispetto al 2022, il settore delle attività finanziarie e assicurative ha registrato una crescita del reddito imponibile del 27,6%, collocandosi tra i comparti più dinamici[4].

A tale quadro di imposizione diretta si affianca una dimensione di rischio di natura sistemica, connessa anche alla funzione di sostituto d’imposta, che per gli intermediari in argomento rileva anche a fronte della prestazione di determinati servizi bancari, d’investimento e assicurativi. Le somme transitate per tale meccanismo raggiungono ordini di grandezza assai rilevanti: a titolo esemplificativo, dai Bollettini delle Entrate Tributarie del MEF emerge che nell’anno 2025 l’imposta sostitutiva delle imposte sui redditi nonché ritenute sugli interessi e altri redditi di capitale ha segnato un incremento del 15,0% rispetto al 2024, trend che risulta confermato anche nei dati più recenti[5].

Un’errata applicazione delle aliquote, un’indebita concessione di esenzioni o regimi agevolati, ovvero un’omissione nei meccanismi di ritenuta alla fonte può pertanto riverberarsi in una responsabilità diretta dell’intermediario nei confronti dell’Erario per importi di entità significativa, indipendentemente dal comportamento del contribuente finale.

In questo contesto, l’implementazione di presidi efficaci non risponde soltanto a un’esigenza di compliance interna, ma assume una valenza d’interesse pubblico, in termini di tutela dell’integrità del gettito fiscale.

Nel contesto sintetizzato, il Tax Control Framework (di seguito anche “TCF”) – sistema strutturato per la rilevazione, misurazione, gestione e controllo del rischio fiscale, fondato su una cultura orientata alla trasparenza, alla prevenzione e alla gestione consapevole della variabile fiscale[6] – rappresenta un’opportunità imprescindibile per gestire la complessità della normativa tributaria e il governo dei connessi rischi di non conformità e reputazionali, che, come detto, possono comportare un elevato impatto, anche a livello sistemico.

L’implementazione di un TCF, integrato nel più ampio sistema di governo aziendale e dei controlli interni, porta con sé ulteriori benefici. A titolo esemplificativo:

• funge da presidio nell’ambito di altri framework di governo e controllo estesi a differenziati scenari di rischio, quali il framework di compliance ai sensi della normativa di settore, i sistemi di prevenzione delle frodi e i modelli di corporate defense (prevenzione della responsabilità da reato degli enti ai sensi del D.Lgs. 231/2001);
• con riferimento alla sostenibilità, il TCF si inserisce organicamente nel più ampio quadro della rendicontazione non finanziaria in cui la corretta gestione del rischio fiscale e la trasparenza nei comportamenti tributari rappresentano elementi rilevanti ai fini del reporting di sostenibilità, consentendo alle realtà dei settori in considerazione di comunicare al mercato, in modo credibile e verificabile, il proprio impegno verso una fiscalità responsabile. Tale trasparenza si riflette positivamente anche sulla valutazione ESG (Environmental, Social and Governance), con ricadute favorevoli nei confronti di tutti gli stakeholder;
• l’adozione del TCF contribuisce, altresì, al miglioramento del profilo di adeguatezza degli assetti organizzativi, amministrativi e contabili che l’art. 2086 del Codice civile pone a carico degli amministratori, rappresentando un elemento essenziale di un assetto organizzativo proporzionato alla natura e alle dimensioni dell’impresa, contribuendo alla rilevazione tempestiva degli squilibri e alla prevenzione della crisi. Da ultimo, per i soggetti IAS/IFRS adopter, il TCF assume particolare rilevanza ai fini della gestione delle cosiddette “uncertain tax positions”, ovvero quelle posizioni fiscali per le quali la probabilità di successo in caso di verifica fiscale non supera il 50%;
• nei contesti di gruppi societari, il TCF consente inoltre di razionalizzare e coordinare le attività di tax compliance, garantendo uniformità di presidio e coerenza nei comportamenti fiscali delle singole entità, con una visione consolidata del rischio fiscale e una maggiore efficienza nella gestione degli adempimenti. A ciò si affianca un rafforzamento della comunicazione interfunzionale all’interno dell’organizzazione, reso possibile dalla definizione di specifici flussi informativi tra le funzioni aziendali coinvolte nella gestione dei rischi fiscali, superando i tradizionali “silos” organizzativi e integrando la fiscalità nei processi decisionali in modo sistematico e trasparente;
• sul versante delle operazioni straordinarie, la presenza di un TCF certificato può contribuire a ridurre sensibilmente il perimetro del rischio fiscale oggetto di garanzia contrattuale nelle operazioni di fusione e acquisizione.

2. Integrazione dei framework di governo e controllo come driver di efficacia ed efficienza del complessivo sistema dei controlli interni

Se, in una prima fase applicativa del Regime di Adempimento Collaborativo, l’integrazione tra il Tax Control Framework e gli altri sistemi di controllo interno rappresentava prevalentemente un’opportunità organizzativa, la più recente evoluzione della normativa e della prassi ha segnato un significativo cambio di paradigma.

La riforma dell’Adempimento Collaborativo, attuata con il D.Lgs. 30 dicembre 2023, n. 221 (di seguito anche “Decreto Delegato”) ha modificato l’articolo 4 del D.Lgs. 128/2015, prevedendo espressamente che il contribuente che aderisce al Regime di Adempimento Collaborativo debba essere dotato di un efficace sistema integrato di rilevazione, misurazione, gestione e controllo dei rischi fiscali anche in ordine alla “mappatura di quelli derivanti dai principi contabili applicati dal contribuente”, inserito nel contesto del sistema integrato di governo aziendale e di controllo interno.

In questa formulazione, il Legislatore rende esplicita una visione chiave: il rischio fiscale non è un rischio esclusivamente “settoriale”, confinato alle analisi delle funzioni fiscali delle organizzazioni, bensì una dimensione strutturale che è necessario innestare nel più ampio Sistema di Controllo Interno. Ciò ha rafforzato l’impianto del Regime, valorizzando l’effettività del TCF e inscrivendolo in una prospettiva sempre più integrata.

Su questa linea, il 10 gennaio 2025, l’Agenzia delle Entrate ha emanato le “Linee guida per la redazione del documento che disciplina il sistema di rilevazione, misurazione, gestione e controllo del rischio fiscale (c.d. Tax Compliance Model – TCM) e per la certificazione del sistema”[7] (di seguito anche “Linee Guida”) – adottate in attuazione dell’art. 4, comma 1-quater, del D.Lgs. n. 128/2015 – in cui è previsto che il TCF deve essere “integrato” con gli altri sistemi di controllo del rischio di cui l’impresa si è dotata, evidenziando come tali sistemi debbano essere visti come complementari e non sostitutivi l’uno dell’altro. Infatti, secondo il Legislatore e l’Agenzia delle Entrate, l’integrazione non implica un assorbimento del TCF nei modelli già in essere all’interno dell’azienda, bensì la costruzione di interfacce coerenti (ruoli e responsabilità, tassonomie di rischio, controlli, evidenze, flussi di escalation e reporting), che consentano di massimizzare le sinergie e le efficienze, preservando al contempo le specificità (compresi anche i requirement normativi) di ciascun framework.

Ne deriva che l’integrazione operativa tra TCF e altri framework di governo e controllo – quali, a titolo esemplificativo, il framework di compliance ai sensi della normativa di settore, i modelli di controllo sull’informativa finanziaria ex Legge 28 dicembre 2005, n. 262 (di seguito anche “L. 262/2005” o “Modello 262”) o Sarbanes-Oxley Act (di seguito anche “Modello SOX”), il Modello di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001 (di seguito anche “Modello 231), nonché i presidi connessi alla rendicontazione di sostenibilità e alla strategia ESG – riflette un’evoluzione non soltanto normativa, ma anche culturale e organizzativa.

Le sinergie tra questi sistemi consentono di evitare duplicazioni, rafforzare la copertura dei rischi, migliorare la tracciabilità dei controlli e una visione unitaria del rischio aziendale[8].

L’adozione di un Tax Control Framework integrato non costituisce, pertanto, soltanto un requisito funzionale all’accesso o alla permanenza nel Regime di Adempimento Collaborativo, ma si configura come una leva strategica per il rafforzamento della governance aziendale: un passaggio virtuoso verso una gestione della fiscalità più efficiente, trasparente e orientata alla prevenzione dei rischi e alla creazione di valore nel lungo periodo[9].

2.1 Il TCF e il presidio specialistico di compliance in materia fiscale ai sensi della Circolare 285 di Banca d’Italia

Gli intermediari bancari, finanziari e assicurativi adottano, ai sensi delle normative di settore[10] ad essi applicabili, framework strutturati per la gestione dei rischi a cui sono complessivamente esposti, tra i quali sono inclusi:

• i rischi di non conformità alle norme, presidiati dalla Funzione Compliance, che per esempio Banca d’Italia – con la Circolare n. 285 del 17 dicembre 2013 – definisce come i rischi di incorrere in sanzioni giudiziarie o amministrative, perdite finanziarie rilevanti o danni di reputazione in conseguenza di violazioni di norme imperative ovvero di autoregolamentazione;
• i rischi operativi, presidiati dalla Funzione Risk Management, che per esempio Banca d’Italia – con la Circolare n. 288 del 3 aprile 2015 – definisce come i rischi di subire perdite derivanti dall’inadeguatezza o dalla disfunzione di procedure, risorse umane e sistemi interni, oppure da eventi esogeni;
• i rischi di riciclaggio, presidiati dalla Funzione Antiriciclaggio, che per esempio Banca d’Italia – con la Circolare n. 285 del 17 dicembre 2013 – definisce come i rischi attuali o prospettici di perdite derivanti dalle ripercussioni, anche reputazionali, di attività di riciclaggio.

Oltre alle citate Funzioni di secondo livello[11], le medesime normative di settore prevedono che la Funzione Internal Audit – che rappresenta il terzo livello del Sistema dei Controlli Interni – sia incaricata di i) valutare la completezza, la funzionalità e l’adeguatezza del Sistema dei Controlli Interni stesso, con riguardo sia all’efficacia sia all’efficienza dei controlli, ii) controllare, in un’ottica di lungo periodo, la regolarità e la funzionalità dei flussi informativi tra le diverse funzioni, iii) verificare che le anomalie riscontrate siano state effettivamente rimosse. Nel solco di tali responsabilità, essa si occupa di verificare anche i processi di Compliance, Risk Management e Antiriciclaggio e, pertanto, anche i framework di governo e controllo implementati per la gestione dei rischi.

In tale contesto, il rischio fiscale assume rilevanza diretta soprattutto:

• nell’ambito dei rischi di non conformità alle norme. Sotto il profilo regolamentare, la Circolare n. 285 sopra citata costituisce una cornice sistematica che include previsioni specifiche rispetto alla normativa fiscale, costituendo quindi un utile supporto per valutare le modalità concrete di integrazione del Tax Control Framework nel Sistema dei Controlli Interni. Tale Circolare, infatti, prevede che “con riferimento a […] normative per le quali siano già previste forme specifiche di presidio specializzato, la banca, in base a una valutazione dell’adeguatezza dei controlli specialistici a gestire i profili di rischio di non conformità, può graduare i compiti della [Funzione] compliance, che comunque è responsabile, in collaborazione con le funzioni specialistiche incaricate, almeno della definizione delle metodologie di valutazione del rischio di non conformità e della individuazione delle relative procedure, e procede alla verifica dell’adeguatezza delle procedure medesime a prevenire il rischio di non conformità. La banca può adottare tale approccio anche con riferimento al presidio del rischio di non conformità alle normative di natura fiscale, che richiede almeno: “i) la definizione di procedure volte a prevenire violazioni o elusioni di tale normativa e ad attenuare i rischi connessi a situazioni che potrebbero integrare fattispecie di abuso del diritto, in modo da minimizzare le conseguenze sia sanzionatorie, sia reputazionali derivanti dalla non corretta applicazione della normativa fiscale; ii) la verifica dell’adeguatezza di tali procedure e della loro idoneità a realizzare effettivamente l’obiettivo di prevenire il rischio di non conformità”;
• nell’ambito dei rischi operativi, in cui il rischio fiscale è generalmente definito come il rischio di incorrere in perdite economiche, sanzioni o danni reputazionali derivanti da un’errata interpretazione o applicazione della normativa fiscale, nonché da inadeguati processi di gestione e controllo degli adempimenti tributari. Nel settore bancario, finanziario e assicurativo, tale rischio è generalmente ricompreso nei framework di Operational Risk Management, in quanto strettamente legato a processi interni, sistemi informativi e comportamenti del personale. Le normative di vigilanza (e.g. Basilea per il settore bancario, Solvency II per il settore assicurativo) richiedono l’adozione di presidi di controllo efficaci, integrati in un sistema di governance strutturato e formalizzato;
• nell’ambito dei rischi di riciclaggio. Il presidio di tali rischi, infatti, contribuisce alla gestione, a livello sistemico, del rischio fiscale, per esempio laddove intercetti schemi di evasione o elusione fiscale.

Ne deriva l’importanza di un’azione coordinata e sinergica tra le Funzioni che gestiscono direttamente il rischio fiscale nell’ambito del primo livello del Sistema dei Controlli Interni (e.g., Finance, Tax), le Funzioni di Controllo di secondo livello che presidiano i suddetti rischi interconnessi (Compliance, Risk Management e Antiriciclaggio), nonché la Funzione Internal Audit, che agisce un controllo di terzo livello.

A livello europeo, anche le “Guidelines on Internal Governance” dell’European Banking Authority[12] richiedono che le Funzioni di controllo di secondo livello operino in modo integrato, al fine di evitare sovrapposizioni o lacune nel presidio dei rischi. In particolare, prevedono che la Funzione Risk Management e la Funzione Compliance debbano interagire sistematicamente nella definizione del risk appetite e nella valutazione dei rischi trasversali che presentano componenti sia regolamentari sia operative. Tali aspettative trovano ulteriore specificazione nel “Draft Guide on Governance and Risk Culture”[13], pubblicato dalla Banca centrale europea (BCE) nel mese di luglio 2024, documento che esprime le aspettative di vigilanza e costituisce orientamento di riferimento per le Autorità nazionali. In ambito fiscale, il documento affronta in modo diretto il tema della “tax integrity” come componente della “risk culture” dell’intermediario: nella dimensione del “tone from the top”, il rischio fiscale è, quindi, ricondotto esplicitamente alle responsabilità di governo e di presidio culturale del rischio da parte del management, confermando che la sua gestione non può essere relegata a una singola funzione specialistica, ma deve permeare l’intera organizzazione in una logica integrata di responsabilità diffusa e coordinata.

L’implementazione del TCF deve, pertanto, innestarsi e coordinarsi con i framework di gestione del rischio in essere e, più in generale, con il Sistema dei Controlli Interni nella sua accezione più ampia, che include altresì i presidi specialistici costruiti attorno a specifiche tipologie di rischio o aree di attività, contribuendo alla copertura complessiva del perimetro di rischio aziendale.

Nei paragrafi successivi sono illustrate le interrelazioni e le sinergie tra il Tax Control Framework e gli altri framework di governo e controllo. Una volta conclusa tale illustrazione saranno descritte le possibili modalità concrete di integrazione, raccordo e coordinamento tra il TCF e gli stessi (si rimanda in proposito al successivo paragrafo 2.5).

2.2 Il TCF e i modelli di controllo sull’informativa finanziaria (ex L. 262/05 o SOX)

Il Decreto Delegato, modificando l’articolo 4 del D.Lgs. 128/2015, ha previsto, espressamente, l’obbligo di adozione di un sistema “integrato” anche in ordine alla “mappatura” dei rischi fiscali derivanti dai principi contabili applicati dal contribuente[14].

Le Linee Guida recitano che tale standard si riterrà rispettato da tutte le imprese che già adottano, o adotteranno in futuro, sistemi di controllo sull’informativa finanziaria contabile previsti dalla Legge 262/2005 o dalla SOX, dandone evidenza nel TCF.[15]

Al fine di rispettare tale previsione, dovuta alla volontà di rafforzare i presidi sulla corretta applicazione degli standard contabili, per assicurare la solidità del dato su cui insiste l’obbligazione tributaria[16], si rende necessario per le realtà del mondo finanziario richiamare, all’interno di uno specifico campo, quelli che sono i rischi che discendono dal processo di mappatura operato ai fini del Modello 262 o Modello SOX, e i relativi presidi.

Sebbene le Linee Guida auspichino un sistema di controllo realmente integrato (con riferimento, potenziale, a tutti i framework di controllo in essere all’interno dell’azienda), è solo l’integrazione con il sistema di controllo sull’informativa finanziaria ad essere specificatamente richiesta. Questo deriva indubbiamente dal fatto che tale framework (che sia derivato dalla L. 262/05, dalla SOX, o altro) e il TCF sono al tempo stesso paralleli, complementari e conseguenti: da una parte vengono assicurate la veridicità e la correttezza delle poste iscritte in bilancio, che andranno poi a costituire la base per il calcolo delle imposte; dall’altra viene assicurato che gli adempimenti fiscali e le risultanze del bilancio siano trattati in maniera corretta, consentendo all’azienda di compilare le proprie dichiarazioni fiscali limitando al minimo la possibilità di errore.

Con riferimento all’integrazione, l’Agenzia delle Entrate non si è limitata a prevedere l’obbligo di mappatura dei rischi fiscali “derivanti dai principi contabili applicati dal contribuente”, ma ha avviato un tavolo di lavoro tecnico con l’Organismo Italiano di Contabilità al fine di produrre ulteriori specifiche indicazioni ad integrazione delle Linee Guida[17]. Sebbene tali documenti trattino casistiche molto specifiche, forniscono spunti metodologici utili a guidare l’integrazione dei due sistemi di controllo. In particolare, da tali Schede tecniche emerge come la corretta determinazione dell’imponibile fiscale discenda dall’applicazione coerente e documentata dei principi contabili, rendendo quindi necessario monitorare non solo il trattamento fiscale delle poste di bilancio, ma anche l’intero processo che ne determina la rilevazione.

L’integrazione è facilitata delle sinergie e dai parallelismi tra i due Modelli di controllo, che sono molteplici e appartengono a diversi ambiti, quali i principi che guidano i framework, la governance degli stessi, la metodologia di disegno e la necessità di tracciabilità e testing continuo, nonché dalla matrice comune dei due Modelli, il COSO Framework[18], riferimento globale per progettare, implementare e valutare i sistemi di controllo interno e di gestione dei rischi.

a) Elementi costitutivi

Il Tax Control Framework e i Modelli di controllo sull’informativa finanziaria condividono un fondamento comune, in quanto sono entrambi sistemi di controllo interno finalizzati ad assicurare affidabilità, tracciabilità e rendicontabilità delle informazioni attraverso la formalizzazione di controlli (in forma di procedure o di Risk & Control Matrix, di seguito anche “RCM”), l’individuazione di responsabilità, la produzione di evidenze e un sistema strutturato di reporting.

b) Ruoli e responsabilità

Sul piano della governance, il punto di convergenza tra il Tax Control Framework e il Modello 262 è indubbiamente la necessità di individuare una figura, all’interno della seconda linea di controllo dell’azienda, che sia responsabile di tali modelli.
Il Dirigente Preposto, secondo la normativa, “predispone adeguate procedure amministrative e contabili per la formazione del bilancio di esercizio”[19] e attesta, con apposite redazioni sui bilanci, l’adeguatezza e l’applicazione di tali procedure nel periodo in oggetto. Inoltre, lo stesso art. 154-bis TUF dispone che il Consiglio di Amministrazione è tenuto a vigilare che il Dirigente Preposto “disponga di adeguati poteri e mezzi per l’esercizio dei compiti a lui attribuiti (…), nonché sul rispetto effettivo delle procedure amministrative e contabili”.[20]

Analogamente, ai fini dell’Adempimento Collaborativo, il Tax Risk Manager (di seguito anche “TRM”) del TCF ricopre un ruolo che può essere visto come “speculare”, rispetto a quello di un Dirigente Preposto ex art. 154-bis TUF (introdotto dalla L. 262/2005) e, per molti aspetti, al presidio di management certification previsto dal Sarbanes-Oxley Act statunitense. In tutti questi framework di controllo, infatti, la logica è quella di attribuire la responsabilità apicale del sistema di controlli strutturato ad una figura che è chiamata a rispondere dell’affidabilità delle informazioni, fiscali o finanziarie, e della loro rappresentazione verso l’esterno.

Nel dettaglio, il TRM è chiamato a gestire il sistema integrato di rilevazione, misurazione, gestione e controllo del rischio fiscale, tramite la redazione della mappa dei rischi fiscali, l’individuazione di ruoli e responsabilità, il monitoraggio del sistema e il reporting, sia agli organi interni che verso l’Agenzia delle Entrate.

Il primo parallelismo, il più semplice da individuare, emerge indubbiamente dall’osservazione dell’oggetto del controllo di queste due figure, e dal principale compito ad esse assegnato. Se da una parte il Dirigente Preposto assicura la correttezza del bilancio tramite procedure amministrativo-contabili adeguate e tracciabili, dall’altra il TRM va ad assicurare la correttezza della gestione della fiscalità tramite una mappa strutturata dei rischi e controlli fiscali, al fine di prevenire casistiche di violazione della norma o di interpretazioni non allineate a quanto previsto dall’Autorità Fiscale. Gli ambiti di governo presidiati da queste due figure sono sì diversi, ma contigui, sia dal punto di vista concettuale, che, soprattutto, dal punto di vista operativo. Tuttavia, l’analogia tra le due figure trova un limite nella diversa attribuzione delle responsabilità. Mentre nei Modelli di Controllo sull’Informativa Finanziaria il Dirigente Preposto coincide generalmente con il soggetto titolare del rischio amministrativo-contabile oggetto di presidio, nell’ambito del Tax Control Framework il Tax Risk Manager non coincide con il responsabile della Funzione Fiscale, assumendo piuttosto funzioni di indirizzo, coordinamento e monitoraggio del sistema di controllo dei rischi fiscali.

Il secondo parallelismo è quello relativo agli obblighi di reporting verso gli organi di controllo dell’azienda: dove il Dirigente Preposto è tenuto a produrre una relazione che attesti che il bilancio fornisca una rappresentazione veritiera e corretta della situazione patrimoniale, economica e finanziare dell’azienda, il TRM è tenuto a produrre la relazione di cui all’articolo 4, comma 2, del decreto legislativo 5 agosto 2015, n. 128 agli organi di gestione descrittiva degli elementi costitutivi del sistema di gestione e controllo del rischio fiscale e delle attività di gestione e monitoraggio svolte per assicurare l’efficace attuazione del Tax Control Framework. In quest’ottica, dunque, le due figure del Tax Risk Manager e del Dirigente Preposto rappresentano due declinazioni dello stesso principio, ossia quello della chiara attribuzione della responsabilità di un sistema di controllo che prevede la redazione di procedure e controlli, la produzione di evidenze e la redazione di relazioni verso gli organi apicali e verso l’esterno.

c) Metodologia

Da punto di vista metodologico, il Tax Control Framework e i modelli di controllo sull’informativa finanziaria poggiano su un impianto comune, top-down e risk-based, che parte dalla definizione del perimetro e converge sulla verifica dei controlli mappati:

1. identificazione dei processi rilevanti (“scoping”), sulla base di criteri più stringenti e quantitativi (per quanto ai sistemi di controllo sull’informativa finanziaria), o più flessibili e qualitativi (per quanto al TCF);
2. individuazione dei rischi associati a ciascun processo ed eventuale valutazione del livello di rischio inerente (“risk assessment”);
3. mappatura dei controlli in essere, all’interno di apposite RCM, identificazione dei gap di disegno ed eventuale valutazione del livello di rischio residuo;
4. monitoraggio del disegno e dell’efficacia dei controlli, con esecuzione del testing e identificazione di eventuali azioni correttive.

Si rileva tuttavia un importante elemento differenziate tra i due modelli originati dal processo di standardizzazione avviato dall’Agenzia delle Entrate. Se da un lato i Modelli di Financial Reporting si caratterizzano come modelli “aperti”, in considerazione del fatto che ogni organizzazione è libera di definire la metodologia di rappresentazione più adatta alla propria organizzazione, ferme restando le best practice di riferimento e i requirement normativi; i modelli di gestione e controllo del rischio fiscale si configurano come “modelli standardizzati”, stante la necessità di allineamento alle regole metodologiche definite dall’Amministrazione Fiscale, come, a titolo esemplificativo, la metodologia di valutazione, la quale è definita dalle Linee Guida, oppure la presenza di processi e rischi che costituiscono un minimum standard che tutti i Tax Control Framework devono contenere.

d) Monitoraggio

I modelli di controllo sull’informativa finanziaria e il Tax Control Framework sono caratterizzati, entrambi, da un’impostazione strutturata basata anche su tracciabilità, evidenze verificabili e cicli di testing e monitoraggio continuo. La solidità del presidio, infatti non deriva solo dalla sua formalizzazione, ma anche dalla capacità dell’azienda di tracciare i processi end-to-end, produrre evidenze oggettive e verificabili e di portare avanti campagne di testing periodiche e strutturate.

Nei sistemi di controllo sull’informativa finanziaria, la verifica dell’efficacia nei controlli nel tempo è un elemento essenziale che da supporto alle attestazioni del management, in coerenza con l’impostazione di responsabilità e assessment richieste nell’ambito. In maniera analoga, per un TCF efficace sono richiesti meccanismi di monitoraggio e autoapprendimenti strutturati. In questo quadro, nel perimetro dei controlli amministrativo-contabili la tracciabilità e il testing contribuiscono a rendere dimostrabile e sostenibile l’attestazione del Dirigente Preposto, mentre nel TCF gli stessi abilitando una governance robusta e proattiva del rischio fiscale e costituiscono la base informativa per l’interlocuzione preventiva e continuativa con l’Autorità Fiscale tipica del regime di Adempimento Collaborativo.

2.3 Il Modello di Organizzazione, Gestione e Controllo ex D.Lgs. 231/01 quale efficace sistema di strategia, governo e controllo dell’impresa e l’integrazione con il TCF

Il Modello di Organizzazione, Gestione e Controllo adottato ai sensi del D.Lgs. 8 giugno 2001, n. 231 costituisce uno dei principali strumenti attraverso cui l’Ente effettua una ricognizione dei presidi di controllo già esistenti nei processi e nella documentazione di normativa interna, valorizzandoli e qualificandoli ai fini della prevenzione del rischio di commissione dei reati ex D.Lgs. 231/2001.

L’introduzione del D.Lgs. 231/2001 ha segnato un punto di svolta nell’ordinamento italiano, superando il tradizionale brocardo “societas delinquere non potest” e introducendo una forma di responsabilità dell’Ente per gli illeciti amministrativi dipendenti da reato. Tale responsabilità, pur formalmente qualificata come amministrativa, presenta evidenti tratti di specialità, in quanto presuppone la commissione di un reato da parte di una persona fisica inserita nell’organizzazione dell’Ente ed accertata nell’ambito del procedimento penale.

La responsabilità dell’Ente sorge al ricorrere di specifici criteri di imputazione previsti dal vigente Decreto[21]: la commissione di un reato presupposto da parte dei soggetti riconducibili all’organizzazione, la sussistenza dell’interesse o vantaggio dell’Ente e la riconducibilità dell’illecito a una carenza organizzativa, comunemente individuata nella c.d. “colpa di organizzazione”[22].

In tale contesto, il Modello 231 assume una funzione eminentemente preventiva: non è solo uno strumento difensivo, ma un vero e proprio presidio di governance volto a orientare l’organizzazione dell’impresa verso la riduzione del rischio di commissione dei reati. L’efficacia esimente del Modello 231 è, infatti, subordinata all’adozione e all’efficace attuazione, antecedente al fatto, di un Modello idoneo e all’istituzione di un Organismo di Vigilanza dotato di autonomi poteri di controllo che si occupi di vigilare sul funzionamento, sull’osservanza e sull’aggiornamento dello stesso.

Questa impostazione presenta evidenti affinità con la logica sottesa al Tax Control Framework: entrambi i sistemi valorizzano, infatti, la capacità auto-organizzativa dell’Ente e mirano alla definizione di un assetto strutturato di ruoli, responsabilità, procedure, controlli, flussi informativi e attività di monitoraggio. La rilevanza del raccordo tra Modello 231 e TCF è stata ulteriormente rafforzata dall’introduzione dei reati tributari nel catalogo dei reati presupposto; l’art. 25-quinquiesdecies del D.lgs. 231/2001, introdotto dal D.L. 26 ottobre 2019, n. 124, convertito con modificazioni dalla L. 19 dicembre 2019, n. 157, ha esteso la responsabilità degli enti ad alcune fattispecie penali tributarie previste dal D.lgs. 10 marzo 2000, n. 74[23]. Il perimetro è stato poi ampliato dal D.Lgs. 14 luglio 2020, n. 75, che ha introdotto, al ricorrere di determinate condizioni, ulteriori reati tributari nel catalogo dei reati presupposto. Attualmente, l’art. 25-quinquiesdecies ricomprende, tra le principali fattispecie, la dichiarazione fraudolenta mediante uso di fatture o altri documenti per operazioni inesistenti, la dichiarazione fraudolenta mediante altri artifici, l’emissione di fatture o altri documenti per operazioni inesistenti, l’occultamento o distruzione di documenti contabili, la sottrazione fraudolenta al pagamento di imposte, nonché, nei casi previsti dalla norma, la dichiarazione infedele, l’omessa dichiarazione e l’indebita compensazione.

Tale evoluzione ha determinato un avvicinamento tra due ambiti tradizionalmente distinti: da un lato, quello della prevenzione dei reati nell’interesse o a vantaggio dell’Ente; dall’altro, quello della gestione del rischio fiscale e del corretto adempimento degli obblighi tributari. Tale avvicinamento non implica, tuttavia, una sovrapposizione tra Modello 231 e TCF. I due sistemi condividono finalità preventive e presuppongono un assetto organizzativo idoneo, ma operano su piani diversi, rispondono a normative differenti e presidiano rischi solo parzialmente coincidenti.

Il Modello 231 è finalizzato alla prevenzione dei reati presupposto e all’esclusione della responsabilità dell’Ente in caso di illecito commesso nel suo interesse o vantaggio; il TCF, invece, è orientato alla rilevazione, misurazione, gestione e controllo del rischio fiscale nel suo complesso, anche al di fuori dell’area penalmente rilevante. Ne consegue che il Modello 231 può rappresentare un importante indicatore della diligenza organizzativa dell’impresa in ambito fiscale, ma non sostituisce l’adozione di procedure e policy specificamente dedicate alla gestione del rischio fiscale, quali la Strategia fiscale, il Tax Compliance Model e le Policy di valutazione del rischio fiscale e di gestione del rischio interpretativo. La distinzione tra i due sistemi emerge, in particolare, con riferimento al diverso livello di granularità dell’analisi e dei presidi oggetto di valutazione. Nell’ambito del framework 231/01, l’assessment è volto a verificare l’esistenza e la robustezza dei presidi di controllo rispetto a numerosi processi aziendali esposti al rischio di commissione dei reati presupposto. Diversamente, l’assessment svolto in ambito TCF si caratterizza per un maggior livello di dettaglio essendo focalizzato sull’identificazione e valutazione dei rischi fiscali specifici e, conseguentemente, sull’analisi dei relativi presidi di controllo limitatamente ai processi fiscalmente rilevanti.. Tale approccio non si contrappone alla metodologia propria del framework 231, anch’essa fondata su attività di risk assessment e gap analysis, ma riflette la diversa natura dell’oggetto di analisi in quest’ultimo caso circoscritta a specifiche fattispecie di rischio fiscale..

Una corretta integrazione tra Modello 231 e TCF richiede, pertanto, di valorizzare le aree di contatto preservando la distinzione tra i rispettivi ambiti applicativi. Anche l’Agenzia delle Entrate, all’interno delle Linee Guida, incentiva l’opportuna integrazione tra Modello 231 e TCF ai fini della prevenzione dei c.d. “rischi di frode fiscale”, inteso nel rischio di incorrere in fenomeni di frode fiscale in conseguenza di condotte fraudolente poste in essere da soggetti terzi, intendendosi per tali persone fisiche, società o enti di qualsiasi natura, diversi dall’impresa, anche se a quest’ultima legati da rapporti di lavoro dipendente, di partecipazione, di collaborazione, di natura commerciale o altro.

Sotto il profilo metodologico, l’integrazione può avvenire attraverso il raccordo tra la mappatura dei processi a rischio-reato 231 e quella dei processi a rischio-fiscale di cui al TCF, intersecando le aree in cui il rischio fiscale assume anche rilevanza penale-tributaria e può, quindi, generare un rischio di responsabilità dell’ente ai sensi dell’art. 25-quinquiesdecies. In concreto, tale raccordo può riguardare, ad esempio, i processi di gestione della fiscalità diretta e indiretta, la predisposizione e presentazione delle dichiarazioni fiscali, la gestione dei flussi documentali e contabili rilevanti ai fini tributari, la conservazione della documentazione, la gestione delle compensazioni, i rapporti con consulenti esterni e intermediari fiscali, nonché i processi relativi alla gestione di operazioni straordinarie o transazioni caratterizzate da profili di maggiore complessità fiscale. In queste aree, il TCF può costituire una base informativa e metodologica rilevante per rafforzare il Modello 231, fornendo una mappatura più puntuale dei rischi fiscali, una maggiore tracciabilità dei controlli e un set di evidenze utili a dimostrare l’effettività dei presidi. Specularmente, il Modello 231 può contribuire a rafforzare il TCF, integrando la prospettiva fiscale con quella penal-preventiva e valorizzando aspetti quali la segregazione dei ruoli, la formalizzazione dei flussi informativi verso l’Organismo di Vigilanza, le verifiche svolte dallo stesso e dalle strutture organizzative che lo supportano, la disciplina sanzionatoria interna e la formazione dei destinatari. Particolare rilievo assume, in tale contesto, la pianificazione e l’esecuzione delle attività di verifica e la gestione dei flussi informativi e del reporting al Management, che possono essere strutturati in modo coordinato e sinergico tra funzione fiscale, Tax Risk Manager, Funzioni Aziendali di Controllo e Organismo di Vigilanza.

Sotto il profilo probatorio e valutativo, la presenza di un TCF efficace può assumere rilievo su più piani. In sede penale, esso può rappresentare un elemento utile per valutare la sussistenza dell’elemento soggettivo del reato tributario, specie nei casi in cui la condotta contestata attenga a profili interpretativi o a processi aziendali presidiati da procedure formalizzate e monitorate. Nell’ambito della responsabilità dell’Ente, il TCF può concorrere infatti a dimostrare l’assenza della colpa di organizzazione, ove risulti effettivamente integrato nel Sistema dei Controlli Interni e coordinato con il Modello 231. Nei rapporti con l’Amministrazione Finanziaria e, per le imprese vigilate, con le Autorità di Vigilanza, esso può inoltre rappresentare un indice positivo di affidabilità, trasparenza e maturità del sistema di governance fiscale.

Anche nel Protocollo d’intesa tra Agenzia delle Entrate e Guardia di Finanza in materia di adempimento collaborativo del 20 gennaio 2025 è previsto che, qualora la Guardia di Finanza acquisisca elementi indicativi di possibili fenomeni di evasione, elusione o frode riferibili a un contribuente che ha optato per l’adozione del Tax Control Framework (TCF) o che ha presentato istanza di ammissione al Regime di Adempimento Collaborativo ma che ancora non sono stati ammessi, la stessa debba informare tempestivamente l’Agenzia delle Entrate. Quest’ultima è tenuta a comunicare se le fattispecie segnalate siano già state oggetto di interlocuzione preventiva, interpello o risultino ricomprese nella mappa dei rischi fiscali del contribuente, fornendo altresì gli elementi utili all’inquadramento del caso, inclusi la descrizione del TCF e la relativa mappa dei rischi e dei controlli fiscali. Solo all’esito di tale coordinamento tecnico-operativo la Guardia di Finanza può procedere agli ulteriori approfondimenti istruttori e all’eventuale formalizzazione di rilievi.

L’integrazione tra Modello 231 e TCF non deve, dunque, tradursi in una duplicazione di presidi o in una sovrapposizione documentale, ma in un coordinamento sostanziale tra sistemi complementari: il primo orientato alla prevenzione del rischio-reato e alla dimostrazione dell’adeguatezza organizzativa dell’Ente; il secondo volto a presidiare in modo strutturato e continuativo il rischio fiscale nelle sue declinazioni specifiche. Tale integrazione consente di rafforzare il Sistema dei Controlli Interni, ridurre le asimmetrie informative tra funzioni aziendali, efficientare e migliorare la qualità dei flussi verso gli organi sociali e accrescere l’effettività complessiva della Corporate Tax Governance.

In tale direzione si è espressa da ultimo l’Agenzia delle Entrate con la Circolare n. 6/E del 6 agosto 2026, secondo cui l’impegno di prevenzione dei fenomeni di frode fiscale previsto dal codice di condotta può ritenersi rispettato mediante l’implementazione di un idoneo Modello 231 opportunamente integrato con il TCF, a condizione che i presidi antifrode risultino adeguati e idonei allo scopo. La Circolare precisa, in particolare, che tale integrazione si considera realizzata tramite l’inserimento nella Risk & Control Matrix di specifici presidi antifrode rilevanti in ambito fiscale, oltre che mediante l’identificazione, nel Modello 231, dei reati tributari rilevanti per ciascuna attività sensibile, dei relativi presidi e dei flussi informativi tra Organismo di Vigilanza e funzione fiscale.

2.4 Le modalità applicative di integrazione ai fini della gestione e del presidio del rischio fiscale

Dalla necessità, esplicitata dal legislatore, di innestare la gestione del rischio fiscale nel più ampio sistema di controllo dell’azienda, ne discendono i corollari operativi di tale integrazione (alcuni già anticipati nei paragrafi precedenti).

In una prospettiva evoluta di governo societario, l’integrazione tra Tax Control Framework, i Modelli di controllo sull’informativa finanziaria e il Modello 231 rappresenta, oltre che un obiettivo di razionalizzazione, anche una leva strategica per accrescere l’efficacia complessiva del Sistema dei Controlli Interni, anche a fronte dell’incremento della cultura e sensibilità verso il più ampio concetto di “compliance”. Posto ciò, risulta fondamentale comprendere le modalità attraverso cui poter realizzare concretamente una integrazione pratica e operativa tra i predetti framework, al fine di consentire un efficace ed efficiente “dialogo” tra gli stessi. Tale integrazione risulta, infatti, funzionale non solo a garantire coerenza e solidità dell’assetto di governance complessivo, ma anche a creare valore in termini di razionalizzazione ed efficientamento delle risorse impiegate sia nella progettazione dei framework sia nella loro concreta applicazione.

L’esigenza di individuare modalità operative efficaci di integrazione trova conferma anche nelle più recenti osservazioni empiriche. In particolare, dalla quarta edizione dell’Osservatorio Protiviti – AFI emerge come i percorsi di integrazione tra i diversi framework di controllo risultino ancora caratterizzati da significativi margini di sviluppo. Le evidenze rilevate mostrano infatti che soltanto il 39% delle organizzazioni rispondenti ha dichiarato di aver integrato nel proprio Tax Control Framework controlli derivanti dal proprio Modello di controllo sull’informativa finanziaria, mentre tale percentuale si attesta al 42% con riferimento all’integrazione con il Modello Organizzativo ex D.Lgs. 231[24]. Tali risultati suggeriscono che, pur in presenza di significative affinità metodologiche e organizzative tra i diversi sistemi, le opportunità di integrazione e razionalizzazione dei Modelli risultano ancora solo parzialmente sfruttate.

a) Disegno e aggiornamento delle matrici di rischio e controllo

In termini operativi, l’integrazione può realizzarsi, in primo luogo, attraverso una mappatura condivisa dei processi aziendali, tra cui quelli aventi rilevanza fiscale, volta a ricondurre in un quadro coerente i rischi fiscali, i rischi di misinformazione e disinformazione finanziaria e i rischi penal-tributari (rilevanti ex D.Lgs. 231/2001 e, dunque, inseriti nel c.d. Catalogo dei reati presupposto), riducendo inefficienze e interventi ridondanti, nonché definendo una metodologia di risk assessment e gap analysis coordinata per la mappatura dei rischi e dei controlli e l’individuazione degli ambiti di miglioramento e degli interventi di rimedio.

In tale contesto, l’evoluzione verso una Risk & Control Matrix integrata – nella quale i controlli siano collegati simultaneamente agli obiettivi del TCF, del Modello 262/SOX e del Modello 231[25] – consente di rafforzare la copertura dei rischi e di ottimizzare l’allocazione delle responsabilità di controllo, valorizzando le sinergie tra i diversi presidi normativi. Tuttavia, nella prassi operativa, una RCM integrata rappresenta, al più, un “nice to have” aggiuntivo rispetto ai documenti che già compongono i vari Modelli di controllo. Ciascun framework, infatti, risponde a specifiche esigenze metodologiche, funzionali e di rappresentazione, che difficilmente possono essere pienamente soddisfatte all’interno di un unico documento integrato. Anche a fronte di esercizi di integrazione permane quindi la necessità di mantenere documenti “verticali” dedicate ai singoli ambiti di compliance, al fine di garantire un adeguato livello di dettagli, tracciabilità e soprattutto aderenza ai requisiti normativi di riferimento.

Tale esigenza risulta ulteriormente accentuata nel caso del Tax Control Framework, per il quale il processo di standardizzazione voluto dall’Agenzia delle Entrate ha definito, tramite le Linee Guida, un modello di RCM standardizzato: se da un lato ciò favorisce l’allineamento ai requisiti regolamentari, dall’altro limita significativamente le possibilità di personalizzazione rispetto alle esigenze e alla volontà di integrazione dei framework di controllo presenti all’interno dell’azienda. Ne deriva dunque un compromesso strutturale tra integrazione e standardizzazione, che richiede dunque alle aziende di adottare soluzioni in grado di coniugare la coerenza complessiva dei sistemi di controllo interno e l’adeguatezza rispetto ai requisiti di compliance di ciascun Modello (i.e., layer di raccordo tra i framework di controllo, possibilmente basati su un albero dei processi condiviso quale chiave di lettura comune).

b) Assetto di Governance

Centrale è, inoltre, l’integrazione dell’assetto di Corporate Governance: fondamentale è, infatti, la costruzione di interazioni strutturate e formalizzate tra i diversi attori coinvolti nel sistema dei controlli interni, al fine di garantire una visione unitaria e non frammentata delle aree di esposizione al rischio.

In tale prospettiva, il coordinamento tra Tax Risk Manager, Dirigente Preposto, Dipartimento Sostenibilità, Organismo di Vigilanza e funzioni di primo, secondo e terzo livello (definite sulla base del c.d. modello delle “tre linee”) assume un ruolo determinante. Ciascuno di questi soggetti opera, infatti, secondo compiti e responsabilità specifiche, definite da differenti fonti normative e regolamentari, ma spesso insiste sui medesimi processi aziendali e su rischi tra loro interconnessi. In assenza di un modello di governance integrato, tale pluralità di presidi rischia di tradursi in sovrapposizioni informative, duplicazioni di controlli o, al contrario, in lacune di presidio dovute a una non chiara attribuzione delle responsabilità.

L’integrazione richiede, pertanto, che i flussi informativi tra i predetti attori siano formalizzati, periodici e bidirezionali, superando logiche episodiche o meramente reattive. Il Tax Risk Manager deve poter alimentare il sistema informativo del Dirigente Preposto e dell’Organismo di Vigilanza ex D.Lgs. 231/2001 con elementi rilevanti in termini di rischio fiscale, non solo ex post ma anche in fase preventiva, soprattutto in relazione a operazioni non ricorrenti, scelte strategiche o profili interpretativi complessi.

Un ruolo chiave è svolto, inoltre, dalle funzioni di controllo di secondo livello chiamate a operare come snodo di raccordo metodologico, garantendo coerenza nei criteri di valutazione del rischio, nella definizione dei Piani di Testing, negli standard di controllo e nelle logiche di escalation. La funzione di Internal Audit, quale terza linea di difesa, completa il sistema, offrendo una valutazione indipendente dell’effettiva integrazione dei presidi e della capacità del modello di governance di intercettare e gestire i rischi in modo sistematico. In questo senso, l’integrazione della governance non rappresenta soltanto una soluzione organizzativa, ma costituisce un vero e proprio fattore abilitante per l’efficacia dei framework di controllo, consentendo di trasformare obblighi di compliance eterogenei in un sistema coerente, orientato alla creazione di valore e alla protezione dell’impresa nel lungo periodo.

c) Attività di verifica e di monitoraggio

Analogamente, l’adozione di cicli comuni di attività di verifica e di testing, l’allineamento delle tempistiche, delle metodologie e dei criteri di valutazione, la raccolta delle evidenze emerse e delle remediation da attuare permettono una valutazione coordinata degli impatti trasversali sui diversi framework, riducendo il ricorso a verifiche replicate sul medesimo processo e favorendo una lettura unitaria delle risultanze. Tale approccio consente, inoltre, di pianificare in modo più efficiente gli interventi correttivi, individuando azioni di remediation che rispondano simultaneamente alle esigenze del Tax Control Framework, del modello di controllo su informativa finanziaria e del Modello 231, con un significativo incremento della qualità degli interventi stessi. I benefici di questa impostazione si riflettono in modo particolarmente evidente sui process owner, che spesso rappresentano l’anello operativo maggiormente esposto agli effetti della stratificazione dei presidi di controllo, semplificando l’attività di raccolta documentale e di interlocuzione con le varie funzioni, riducendo gli oneri operativi e il rischio di incoerenze e contribuendo a una maggiore consapevolezza del ruolo dei controlli nel governo complessivo dei rischi.

d) Piattaforme di Governance, Risk & Compliance (GRC)

In un’ottica di integrazione concreta dei framework, le piattaforme di Governance, Risk & Compliance (GRC) si configurano come uno degli strumenti più efficaci per “far dialogare” i diversi framework, quale fattore abilitante per gestire in modo integrato processi, controlli e workflow, rendendo sostenibile nel tempo la complessità dell’integrazione. L’utilizzo di tali piattaforme consente, infatti, di offrire un’infrastruttura unica nella quale processi, rischi, controlli, responsabilità e flussi informativi possono essere ricondotti a un ambiente unitario, pur mantenendo le specificità dei singoli sistemi.

In un contesto sempre più segnato dalle evoluzioni dell’Information Technologies e dalle nuove applicazioni dell’Intelligenza artificiale, le piattaforme GRC svolgono, inoltre, un ruolo centrale nel coordinamento della governance, facilitando le interazioni tra i diversi attori coinvolti, attraverso workflow strutturati, sistemi di escalation automatizzati e repository condivisi. Tali piattaforme sono in grado di assicurare anche la tracciabilità delle analisi svolte, dei controlli implementati ed effettuati, dei piani di azione intrapresi, oltre che di tutta la documentazione inerente, in grado di favorire la circolazione tempestiva delle informazioni rilevanti e la costruzione di una visione condivisa.

e) Attività di reporting

Ulteriore elemento qualificante dell’integrazione pratica tra i diversi framework di controllo è rappresentato da una reportistica coordinata verso gli Organi di vertice e gli Organi di controllo, idonea a restituire una lettura complessiva e trasversale dei rischi finanziari, fiscali e penal-tributari. L’integrazione dei framework trova una sua piena concretezza anche in un meccanismo di reporting coordinato, superando approcci “in silos” e favorendo una valutazione unitaria della solidità complessiva del Sistema dei Controlli Interni. Ciò consente al Consiglio di Amministrazione, all’Organismo di Vigilanza e agli altri Organi di controllo di esercitare le proprie funzioni con maggiore consapevolezza, valorizzando le sinergie tra i presidi e orientando le decisioni strategiche sulla base di una rappresentazione integrata dei rischi.

f) Formazione e awareness

I framework di compliance sono caratterizzati da notevole complessità e richiedono una formazione specialistica e un aggiornamento continuo, pertanto, anche l’attività di formazione verso la popolazione aziendale rappresenta un elemento in grado di sviluppare competenza ed esperienza al fine di promuovere la diffusione di una cultura aziendale orientata alla compliance e alla gestione del rischio del personale maggiormente coinvolto nelle attività e nei processi rilevanti. Ai fini dell’integrazione dei framework di controllo, la definizione e pianificazione di una attività di formazione e awareness congiunta tra i principali attori coinvolti (e.g. Funzione Tax, Funzione Tax Risk Management, Dirigente Preposto, Funzione Compliance) contribuisce a sviluppare un linguaggio comune e una cultura della compliance integrata.

2.5 La gestione del rischio fiscale in ambito ESG

La crescente attenzione degli investitori, Autorità di vigilanza e stakeholder verso comportamenti fiscali responsabili e trasparenti nel settore bancario, finanziario e assicurativo ha trasformato la fiscalità da ambito strettamente tecnico a leva strategica di accountability e reputazione.

Nel contesto dell’evoluzione della normativa europea in materia di sostenibilità, la gestione del rischio fiscale assume un ruolo sempre più centrale all’interno dei profili ESG, in relazione ai pilastri della governance d’impresa e della responsabilità sociale. In tale scenario, con l’approvazione dalla Corporate Sustainability Reporting Directive (di seguito anche “CSRD”)[26], recepita in Italia con il D.Lgs. 6 settembre 2024, n. 125, e i relativi European Sustainability Reporting Standards (di seguito anche “ESRS”) e la c.d. “Tassonomia europea”[27], la Rendicontazione di Sostenibilità rappresenta il punto di raccordo tra ESG e i sistemi di gestione del rischio fiscale, proprio come il Tax Control Framework svolge un ruolo fondamentale nel garantire coerenza tra le scelte tributarie dell’impresa e gli obiettivi di sostenibilità [28].

Inizialmente, ai fini della Rendicontazione, il primo standard globale per la trasparenza fiscale è stato definito con il “GRI 207: Tax 2019” pubblicato dal Global Sustainability Standard Board (di seguito anche “GSSB”) e aggiunto alla Global Reporting Initiative (di seguito anche “GRI”), rendicontabile a decorrere dalle rendicontazioni pubblicate a partire dal 1 gennaio 2021[29]. Il GRI 207 stabiliva i requisiti di rendicontazione in ambito tributario, e in particolare prevedeva che l’impresa dovesse rappresentare: a) l’approccio adottato nella gestione della fiscalità, indicando la strategia fiscale; b) la governance ed il modello di controllo dei rischi fiscali; c) la modalità di relazione con gli stakeholders aziendali, tra i quali l’Autorità fiscale. Attraverso tale introduzione, anche in ambito ESG, viene evidenziata la rilevanza della tax compliance, sia in quanto volta alla riduzione della violazione della normativa tributaria sia in quanto volta alla definizione di una rendicontazione fiscale chiara ed esaustiva in grado di generare credibilità agli occhi delle Autorità di vigilanza, degli investitori e degli stakeholder[30].

Successivamente, con l’entrata in vigore della CSRD, a partire dal 1 gennaio 2024, viene previsto l’uso degli standard ESRS – redatti sulla base dei lavori svolti dall’European Financial Reporting Advisory Group (di seguito anche “EFRAG”) – quali principi tecnici e normativi adottati dalla Commissione Europea al fine di uniformare l’attività di rendicontazione. L’obiettivo degli ESRS è quello della standardizzazione e della comparabilità delle informazioni ambientali, sociali e di governance comunicate dalle imprese europee, con il fine di migliorare la trasparenza, l’affidabilità e la tracciabilità dei dati di sostenibilità[31].

A differenza della GRI, all’interno degli ESRS non è previsto un principio specifico dedicato alla gestione della fiscalità. Tuttavia, il punto di raccordo con la fiscalità è rinvenibile[32]:

1. nel Regolamento delegato (UE) 2023/2772, che adotta gli ESRS, e in particolare nell’ESRS S3 “Comunità interessate”, il cui punto RA5 prevede che gli impatti sulle comunità interessate possano derivare dalla strategia o dal modello aziendale dell’impresa in diversi modi — tra cui, esplicitamente, la struttura dei costi e il modello di reddito, citando come esempio “strategie aggressive per ridurre al minimo la tassazione, in particolare per quanto riguarda le operazioni nei paesi in via di sviluppo”;
2. nella Tassonomia europea (Reg. (UE) 2020/852), il cui art. 18 subordina la qualificazione di un’attività economica come ecosostenibile al rispetto delle garanzie minime di salvaguardia, intese come le procedure di dovuta diligenza volte a garantire l’allineamento con le linee guida OCSE destinate alle imprese multinazionali e con i Principi guida delle Nazioni Unite su imprese e diritti umani. Le linee guida OCSE richiamate includono il capitolo XI dedicato alla fiscalità responsabile, introducendo così indirettamente un vincolo di tax governance per le attività allineate alla Tassonomia;
3. nel principio della doppia rilevanza sancito dagli ESRS (ESRS 1, cap. 3) e recepito nell’ordinamento italiano dall’ 3, comma 1, del D.Lgs. 125/2024, in base al quale le imprese sono tenute a rendicontare le informazioni necessarie alla comprensione sia degli impatti dell’impresa sulle questioni di sostenibilità, sia del modo in cui tali questioni influiscono sull’andamento, sui risultati e sulla situazione dell’impresa. Tale principio impone, ove la fiscalità risulti materialmente rilevante all’esito dell’analisi di materialità, di includerla nella dichiarazione di sostenibilità — configurando così un obbligo di trasparenza fiscale a valle della valutazione di rilevanza, non un obbligo sostanziale di condotta.

Di conseguenza, ai fini di rendicontazione, il tema della gestione della fiscalità e della gestione delle imposte può ritenersi rientrante tra gli impatti, i rischi e le opportunità rilevanti in ambito di sostenibilità essendo strettamente connesso agli aspetti legati alla “buona governance” dell’impresa, sia in quanto driver di analisi finalizzato all’esclusione dei rischi “tax” sia in quanto driver che dovrà essere oggetto di rendicontazione al fine di consentire agli stakeholder di analizzare e valutare l’adeguatezza della Strategia fiscale adottata, in cui è definito il tax approach e il tax risk appetite dell’impresa, nonché della normativa interna predisposta a presidio dei rischi fiscali[33]. L’integrazione della variabile fiscale nei sistemi di rendicontazione ESG consente di rafforzare la trasparenza e l’affidabilità dell’impresa. In tale prospettiva, il Tax Control Framework – come sistema di controllo interno dedicato alla rilevazione, misurazione, gestione e controllo del rischio fiscale – si configura non solo come strumento di mitigazione dei rischi fiscali, ma anche come elemento volto a garantire coerenza, affidabilità e tracciabilità delle informazioni fiscali incluse nella rendicontazione di sostenibilità, rafforzando il sistema complessivo di governance e controllo interno, quale elemento distintivo dell’affidabilità e della governance dell’impresa[34].

3. Conclusioni

Il progressivo rafforzamento del Tax Control Framework nel sistema di governance e controllo interno dell’impresa riflette un’evoluzione ormai consolidata della Funzione fiscale. Questa non è più limitata alla sola gestione operativa degli obblighi tributari, ma si inserisce sempre più nei processi di governo dei rischi, nella definizione delle scelte strategiche e di rappresentazione dell’affidabilità e della trasparenza dell’organizzazione verso l’esterno. In tale prospettiva, l’integrazione tra i framework di governo e controllo – sempre più sollecitata anche a livello normativo – e, in particolare, tra questi framework e il TCF produce valore sia sul piano interno, attraverso la razionalizzazione dei presidi, il contenimento dei costi, la riduzione delle duplicazioni e il rafforzamento della copertura dei rischi, sia verso gli stakeholder esterni, contribuendo a una maggiore trasparenza e affidabilità dell’impresa. Il valore dell’integrazione non risiede nella mera sovrapposizione documentale tra modelli, presidi bensì nella costruzione di un sistema coordinato, capace di far dialogare ruoli, responsabilità, controlli, evidenze, flussi informativi, attività di testing e reporting; consentendo di preservare le specificità dei singoli framework, rafforzando al contempo l’effettività complessiva del Sistema dei Controlli Interni. Restano, tuttavia, alcune sfide applicative, legate al coinvolgimento di funzioni diverse, alla definizione di metodologie comuni e alla necessità di costruire un modello integrato che mantenga una vista verticale sui singoli presidi. In tale contesto, la digitalizzazione e l’adozione di piattaforme di Governance, Risk & Compliance possono rappresentare una leva rilevante per supportare, in modalità integrata, la mappatura dei processi, dei rischi e dei controlli, la gestione delle campagne di assessment e gap analysis e delle attività di verifica, la raccolta delle evidenze, il monitoraggio delle remediation e la reportistica integrata.

[1] G. Marino, “Corporate Tax Governance, il rischio fiscale nei modelli di gestione d’impresa”, Milano, 2022; D. Conte, “Dal controllo fiscale sul dichiarato al confronto preventivo sull’imponibile (dall’accertamento tributario alla compliance)”, Padova, 2018

[2] Decreto Legislativo 5 agosto 2015, n. 128, art. 1, comma 1, lett. b).

[3] Relazione Tecnica al disegno di legge di bilancio 2026 (A.S. 1330), MEF — Dipartimento delle Finanze, disponibile su www.senato.it e www.mef.gov.it.

[4] Ministero dell’Economia e delle Finanze (MEF), “Analisi e statistiche sulle dichiarazioni IRES e IRAP — Anno d’imposta 2023”, febbraio 2026, disponibile su www.mef.gov.it

[5] MEF — Dipartimento delle Finanze, Bollettino delle Entrate Tributarie, dati annuali 2025, pubblicati marzo 2026, disponibile su www.finanze.gov.it; MEF — Dipartimento delle Finanze, Bollettino delle Entrate Tributarie, gennaio–marzo 2026, pubblicato maggio 2026, disponibile su www.finanze.gov.it

[6] A. Cazzato, “Compliance, vero “investimento” del futuro: sull’utilità di adozione di un efficace Tax Control Framework”, in Il Fisco 2/2026, pp. 99 ss.

[7] Con riguardo alle Linee Guida emanate dall’Agenzia delle Entrate, si segnala che sono state emanate anche le “Linee Guida per la compilazione della Mappa dei rischi e dei controlli fiscali dei contribuenti del settore assicurativo” e le “Linee Guida per la compilazione della Mappa dei rischi e dei controlli fiscali dei contribuenti del settore industriale”. Ad oggi non risultano ancora disponibili le Linee Guida per il settore bancario, tuttavia, in tale contesto, le predette Linee Guida del settore industriale e del settore assicurativo possono costituire un utile riferimento e rappresentare, allo stato, le principali best practice di riferimento.

[8] Sulle sinergie tra Tax Control Framework e altri sistemi di controllo interno, v. A. Tomassini, F. Pacelli, G.I. Valenzi, op. cit.

[9] A. Tomassini, F. Pacelli, G.I. Valenzi, “Cooperative compliance e integrazione dei sistemi di controllo interno”, in Corriere Tributario, 2025, n. 6, pp. 584 ss.

[10] Cfr. Circolare n. 285 del 17 dicembre 2013 di Banca d’Italia, Circolare Banca d’Italia n. 288 del 3 aprile 2015, Regolamento IVASS n. 38 del 3 luglio 2018, D.Lgs. 231/2007.

[11] Le normative di settore applicabili agli intermediari bancari, finanziari e assicurativi convergono nel richiedere l’adozione di un Sistema dei Controlli Interni (SCI), definito in particolare da Banca d’Italia come elemento cardine del governo delle banche, in grado di garantire che l’attività sia svolta in linea con le strategie aziendali e secondo canoni di sana e prudente gestione, imponendo presidi efficaci e proporzionati e una gestione integrata dei rischi coerente con il Risk Appetite Framework (RAF). Tale Sistema è strutturato su tre livelli distinti e complementari, ciascuno presidiato da funzioni aziendali con ruoli, responsabilità e linee di riporto definiti. Il primo livello è costituito dai controlli di linea, incorporati nelle procedure operative e nei processi di business: sono effettuati dalle stesse strutture produttive che pongono in essere le operazioni, ovvero da unità dedicate ma gerarchicamente dipendenti dalle medesime strutture. Il secondo livello comprende le funzioni di controllo sui rischi e di conformità — tipicamente Risk Management, Compliance e Antiriciclaggio — che hanno il compito di definire le metodologie di misurazione e gestione dei rischi, verificare il rispetto dei limiti operativi assegnati e controllare la coerenza dell’operatività con gli obiettivi di rischio stabiliti dagli organi aziendali. Il terzo livello è rappresentato dalla Funzione Internal Audit, che valuta in modo indipendente l’adeguatezza e l’efficacia del sistema dei controlli nel suo complesso, incluse le funzioni di secondo livello.

[12] Rif. Final report on Guidelines on internal governance under CRD (EBA/GL/2021/05), https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/internal-governance/guidelines-internal-governance-under-crd.

[13] https://www.bankingsupervision.europa.eu/framework/legal-framework/public-consultations/pdf/ssm.pubcon202407_draftguide.en.pdf

[14] Linee Guida Linee Guida per la redazione del documento che disciplina il sistema di rilevazione, misurazione, gestione e controllo del rischio fiscale (c.d. Tax Compliance Model – TCM) e per la certificazione del sistema.

[15] Come sopra.

[16] Come sopra.

[17] Comunicato Stampa, Adempimento collaborativo, aggiornate le linee guida sul rischio fiscale, Dal tavolo Entrate-OIC nuove indicazioni per le imprese, Agenzia delle Entrate.

[18] Committee of Sponsoring Organizations of the Treadway Commission (COSO), Internal Control – Integrated Framework, 2013.

[19] Decreto Legislativo 24 febbraio 1998, n. 58, Testo unico delle disposizioni in materia di intermediazione finanziaria, ai sensi degli articoli 8 e 21 della legge 6 febbraio 1996, n. 52, Art 154-bis, c.3

[20] Decreto Legislativo 24 febbraio 1998, n. 58, Testo unico delle disposizioni in materia di intermediazione finanziaria, ai sensi degli articoli 8 e 21 della legge 6 febbraio 1996, n. 52, Art 154-bis, c.

[21] Il D.Lgs. 231/2001 è oggetto di un percorso di riforma che, allo stato attuale, prevede modifiche anche sostanziali. Fra gli elementi che ricorrono nell’evoluzione iter di revisione, emerge l’espressa previsione di rappresentare il Sistema dei Controlli Interni nel Modello 231, enfatizzandosi il ruolo di quest’ultimo quale componente integrante del primo, in una logica di razionalizzazione sinergica e coordinata dei framework di controllo.

[22] Cfr. artt. 5, 6 e 7, D.Lgs. n. 231/2001.

[23] Sul punto, si segnala che il Decreto Legislativo 5 novembre 2024, n. 173, pubblicato nella Gazzetta Ufficiale n. 279 del 28 novembre 2024, ha introdotto il Testo Unico delle sanzioni tributarie amministrative e penali, prevedendo, tra l’altro, l’abrogazione del Decreto Legislativo 10 marzo 2000, n. 74 e la ricollocazione delle fattispecie penali tributarie negli artt. 70 ss. del nuovo Testo Unico. L’efficacia della riforma, inizialmente prevista a decorrere dal 1° gennaio 2026, è stata successivamente differita al 1° gennaio 2027 dal c.d. Decreto Milleproroghe 2025, con conseguente rinvio degli effetti sistematici anche in relazione al richiamo ai reati tributari contenuto nell’art. 25-quinquiesdecies del D.Lgs. n. 231/2001.

[24] Cfr. Protiviti e Associazione Fiscalisti d’Impresa (AFI), Il sistema di rilevazione, misurazione, monitoraggio e gestione del rischio fiscale, 4° Osservatorio Tax Control Framework, Sezione F – Elementi costitutivi del TCF, pag. 64 e 65 (Il sistema di rilevazione, misurazione, monitoraggio e gestione del rischio fiscale). L’Osservatorio TCF di Protiviti, realizzato in collaborazione con AFI (Associazione Fiscalisti d’Impresa), rappresenta una indagine volta ad analizzare lo stato dell’arte della gestione del rischio fiscale nelle organizzazioni italiane, grazie anche all’iniziativa “Protiviti Tax Lounge”, prima iniziativa di community in Italia volta ad agevolare il dibattito e il confronto sui Tax Control Framework adottati dalle società italiane (PROTIVITI TAX LOUNGE | Protiviti Italy).

[25] Come sopra.

[26] Direttiva (UE) 2022/2464 del Parlamento Europeo e del Consiglio del 14 dicembre 2022 che modifica il regolamento (UE) n. 537/2014, la direttiva 2004/109/CE, la direttiva 2006/43/CE e la direttiva 2013/34/UE per quanto riguarda la rendicontazione societaria di sostenibilità, successivamente modificata dalla Direttiva “Omnibus” pubblicata il 26 febbraio 2026 nella Gazzetta Ufficiale dell’Unione Europea, in attuazione del c.d. “Pacchetto Omnibus I”, volto a semplificare la legislazione in vigore nel settore della sostenibilità.

[27] Regolamento (UE) 2020/852 del Parlamento Europeo e del Consiglio del 18 giugno 2020 relativo all’istituzione di un quadro che favorisce gli investimenti sostenibili e recante modifica del regolamento (UE) 2019/2088, sistema di classificazione unificato che definisce quali attività economiche sono ecosostenibili, puntando a reindirizzare i capitali verso investimenti verdi.

[28] A. Tomassini, F. Pacelli, G. I. Valenzi, Cooperative compliance e integrazione dei sistemi di controllo interno, Corriere Tributario 6/2025, p. 589.

[29] Global Sustainability Standard Board, Basis for Conclusions for GRI 207: Tax 2019, Summary of Public Comments on the Exposure Draft of the Standard, and GSSB Responses, 2019.

[30] M. G. De Flora, Riflessioni sulla fiscalità nella reportistica di sostenibilità, Diritto e pratica tributaria internazionale n. 3/2025, p. 854 ss.

[31] G. Marino, Corporate Tax Governance – Il rischio fiscale nei modelli di gestione d’impresa, seconda edizione, Milano, G. Giappichelli Editore, 2022, p. 50 ss.

[32] ID., Riflessioni sulla fiscalità nella reportistica di sostenibilità, Diritto e pratica tributaria internazionale n. 3/2025, p. 856 ss.; F. Acerbis, M. Lio, La fiscalità fattore di sostenibilità ESG: good tax governance e ruolo delle funzioni fiscali delle imprese, Il fisco, 12/2023, p. 1158 ss.; M. Lio, Reporting di sostenibilità: gestione della fiscalità alla luce della CSRD, degli ESRS e della tassonomia europea, Il fisco, 8/2025, p. 791 ss; G. Marino, Corporate Tax Governance – Il rischio fiscale nei modelli di gestione d’impresa, seconda edizione, Milano, G. Giappichelli Editore, 2022, p. 144 ss.

[33] G. Marino, La gestione dei rischi fiscali nel contesto Environment, Social and Governance (ESG) quale nuovo approccio culturale nei rapporti tra Fisco e contribuente, Diritto e pratica tributaria 2/2026, p. 454 ss.; M. Lio, La fiscalità nelle metriche ESG: rischi, opportunità e prospettive, Diritto Bancario, 2022, p. 4 ss.

[34] Cfr. Protiviti e Associazione Fiscalisti d’Impresa (AFI), Il sistema di rilevazione, misurazione, monitoraggio e gestione del rischio fiscale, 4° Osservatorio Tax Control Framework, Sezione B – Tributi emergenti relativi a temi sostenibilità, pag. 23 e ss. e Sezione M – Trasparenza fiscale, pag. 88 e ss (Il sistema di rilevazione, misurazione, monitoraggio e gestione del rischio fiscale).