Identificare rischi e fattori di RBC a partire dagli stakeholder

di Marco AVANZI

Per le aziende che si trovano a considerare il tema del proprio agire in maniera responsabile (RBC, Responsible Business Conduct) e il dovere di diligenza in ottica Corporate Social Responsibility (CSR) è utile affrontare gli step pratici per implementare un framework di base che possa considerare in ottica risk based la RBC e integrarla nei propri processi.

Tralasciando il mondo finanziario che trova già nell’EBA e nelle varie financial authority riferimenti specifici e tassonomici su cosa considerare e in quale modo, la più grande sfida è probabilmente per le imprese non finanziarie nel dover gestire questa accountability in modo strutturato e organizzato.

Fondamentale per approcciare il tema dei rischi che possono impattare sugli obiettivi da perseguire in ottica RBC può essere d’aiuto un concetto mutuabile dalle linee guida dell’EBA: il concetto di “double materiality”.

Con questo concetto nel mondo bancario si intende l’approccio alla valutazione dei rischi con la doppia ottica:

dell’impatto finanziario e

dell’impatto sul sociale,

sull’ambiente e sui temi ad essi correlati. Questo approccio che può essere d’aiuto in ambito di valutazione dei rischi in ottica RBC dovrebbe ampliare il perimetro di valutazione degli impatti dei rischi coinvolgendo non più solamente l’organizzazione in sé ma, altresì, gli stakeholder esterni che rientrano nel perimetro RBC.

Volendo identificare un perimetro di base di quelli che sono i fattori da considerare in prima battuta ci si può riferire all’elenco proposto dalla ISO 26000: governance organizzativa – diritti umani – labour practices – ambiente- pratiche operative trasparenti e lecite – consumer issues – sviluppo e coinvolgimento della società.(1)

Compito dell’organizzazione sarà quello di analizzare, come vedremo successivamente, queste tematiche e articolare a seconda della propria misura e complessità le azioni e le tematiche da considerare allargando o modificando il perimetro di intervento della RBC.

COME INTEGRARE LA RESPONSIBLE BUSINESS CONDUCT? UN POSSIBILE APPROCCIO

1) Ripensare agli stakeholder non più solo come soggetti interni ma anche esterni e diffusi

In prima analisi per poter comprendere e valutare i rischi che possono compromettere il raggiungimento degli obiettivi di CSR ma soprattutto pregiudicare le politiche di RBC adottate dall’azienda, andranno analizzati quelli che sono gli stakeholder dell’organizzazione. Interni, intendendo in prima battuta le funzioni che possono avere un impatto positivo o negativo sulla RBC, nonché quelli esterni in quanto soggetti che da un lato possono pregiudicare il raggiungimento degli obiettivi di RBC (supply chain) ma soprattutto in quanto possono subire/giovarsi delle conseguenze delle politiche di RBC adottate. Un’analisi di questo tipo può essere utile per comprendere correttamente quali processi analizzare in termini di maggior rilevanza per il tema e quali punti critici su cui focalizzarsi.

L’analisi degli stakeholder muove da un concetto più ampio che è quello dell’analisi del contesto su cui l’azienda dovrebbe concentrarsi. Il contesto esterno in prima battuta, focalizzandosi su quali norme o linee guida risultano applicabili, quale sia il trend del proprio mercato di riferimento, la propria supply chain e, di conseguenza, passando al contesto interno per capire l’organizzazione, l’esercizio di potere e i centri decisionali su cui concentrarsi per comprendere se i temi di RBC sono considerati ad un livello adeguato.

In breve l’organizzazione dovrebbe identificare chi ha un interesse nelle proprie decisioni e attività per poter capire gli impatti e come gestirli.(2)

L’individuazione degli stakeholders potrà avvenire domandandosi:

verso chi l’organizzazione ha delle legal obligations? (es. Autorità, Fornitori, Associazioni, Enti collettivi, Lavoratori etc.);

chi può essere influenzato da una decisione aziendale o può esprimere dubbi sull’operato? (Rappresentanze locali, di temi ambientali, dei diritti umani, sindacali etc..);

chi è stato coinvolto nel passato per gestire questi temi? (es. funzione HR, funzione CR, H&S, Comunicazione e Marketing);

chi può collaborare per gestire questi temi? (es. direttori di operations, funzione legal, finanza e controlling, associazioni rilevanti su temi correlati, fornitori, associazioni di categoria etc.).

2) Identificazione di rischi e fattori di RBC

L’identificazione degli stakeholders, sopratutto quelli esterni, è un passaggio fondamentale per poter comprendere secondo questi ultimi quali possano essere i fattori di più rilevante impatto rispetto all’attività dell’organizzazione e i rischi derivanti dall’organizzazione e dal suo business che possono impattare sulle tematiche considerate rilevanti per la RBC. Questo esercizio permette all’azienda di identificare un cc.dd risk register o quantomeno un perimetro di potenziali eventi o condizioni pregiudizievoli derivanti dal proprio business e impattanti sugli obiettivi della RBC.

Nel momento in cui si vanno ad identificare i fattori della CSR al fine di identificare il registro dei rischi da considerare come eventi o condizioni che impattano sui fattori (ergo sugli obiettivi) bisognerebbe considerare:

un concetto di doppia materialità: (vedi sopra per la definizione);

un concetto di multidimensionalità ossia un ampio spettro di declinazioni dei temi sociali, ambientali e di promozione di una governance conforme alle norme e in grado di perseguire gli obiettivi di sviluppo.

Mutuando il concetto proposto dalla Commissione UE la CSR potrebbe coprire almeno le prassi in materia di diritti umani, lavoro e occupazione (quali formazione, diversità, parità di genere nonché salute e benessere dei lavoratori), le questioni ambientali (per esempio la biodiversità, i cambiamenti climatici, l’efficacia delle risorse, l’analisi del ciclo di vita e la prevenzione dell’inquinamento) nonché la lotta alla corruzione. Anche il coinvolgimento e lo sviluppo delle collettività, l’integrazione delle persone disabili e gli interessi dei consumatori, compresa la privacy,(…) la promozione della responsabilità sociale e ambientale attraverso la catena di approvvigionamento e la divulgazione di informazioni non finanziarie sono riconosciute come importanti questioni trasversali. (…) il volontariato (…) la Commissione promuove inoltre i tre principi della buona governance fiscale – segnatamente la trasparenza, lo scambio di informazioni e una concorrenza fiscale leale – nei rapporti tra Stati. Anche le imprese sono incoraggiate, ove opportuno, ad adoperarsi per attuare questi principi.(3)

Questa attività può essere svolta in molte modalità. Mutuando alcuni esempi metodologici proposti in alcuni documenti dell’EBA l’approccio dell’analisi di cc.dd. materialità sembra essere supportato da molte organizzazioni. Quindi, anche in modo molto pratico, una volta identificati gli stakeholder è possibile sottoporre a questi un questionario o una serie di domande per capire lato loro la percezione del business aziendale rispetto agli obiettivi di RBC e alle tematiche correlate e dalle risposte evidenziare gli aspetti di maggiore significatività.

Il perimetro di indagine può partire da una visione molto ampia e generica per capire quali siano i fattori di tutela e i rischi conseguenti da dover considerare per poi, in una seconda fase di assessment, focalizzarsi sugli impatti delle politiche aziendali su questi fattori seguendo lo scenario proposto dalla Commissione UE che propone una nuova definizione di CSR come “responsabilità delle imprese per il loro impatto sulla società“.(4)

Questa attività di analisi permetterà di identificare i fattori rilevanti (i “core subjects” definiti dalla ISO 26000) e quindi valutare l’impatto delle proprie attività proprio verso questi fattori.

3) Ripensare la leadership

RBC e Ethics behaviour è ovunque ed è uno dei trend. La leadership non può più esentarsi dal far proprio in modo strategico questi temi. Questo passaggio di analisi non può esimersi dal considerare come e in che modo la leadership considera questi temi di RBC e come li divulga a cascata nelle varie operation e anche verso i propri partner commerciali. Questo tassello risulta fondamentale per permettere il commitment dell’intera organizzazione a questo nuovo approccio valutativo. Questo dovrebbe avvenire per il tramite di una presa di posizione del management comunicando a tutti gli stakeholder quelli che sono i principi e i valori adottati dall’azienda.

4) Risk Assessment

Ottenuto il coinvolgimento della leadership aziendale e individuati gli stakeholder principali dell’organizzazione con i fattori di principale interesse, il passo successivo che può aiutare ad avere una overview di quelli che possono essere i processi maggiormente a rischio di impattare, tramite i loro rischi, sui fattori della RBC, è l’attività di analisi del contesto e successivamente dell’analisi dei rischi.

In via molto pratica le aziende non dovrebbero inventare nulla di nuovo ma solamente integrare nelle metodologie di valutazione del rischio, (operativo, di compliance, finanziario) questi fattori a base della CSR. Per soddisfare pienamente la loro responsabilità sociale e identificare in fase successiva le condotte di RBC, le imprese dovrebbero avere in atto un processo per integrare le questioni (fattori) sociali, ambientali, etiche, i diritti umani e le sollecitazioni dei consumatori nelle loro operazioni commerciali e nella loro strategia di base in stretta collaborazione con i rispettivi interlocutori.

In sostanza, e sempre con un focus su aziende non finanziarie, le organizzazioni dovrebbero integrare i loro criteri di valutazione del rischio in termini di impatto (specialmente) aggiungendo, oltre ai consueti impatti sugli obiettivi strategici, di conformità e reputazionali, gli impatti sui fattori da proteggere (sociali, ambientali, etiche, i diritti umani etc.) valutando anche queste conseguenze. L’attività iniziale sarebbe quindi di semplice integrazione dei criteri di assessment già esistenti andando ad identificare, non più, solamente gli effetti industriali ma, altresì, gli effetti sui fattori che gli stakeholder hanno segnalato nelle prime fasi di questa analisi.

Con questa attività ci si può permettere di prioritizzare i rischi e intervenire con celerità su situazioni a maggior impatto potenziale.

In breve l’attività di risk assessment potrebbe riassumersi soprattutto per SME e aziende che intendono affrontare per la prima volta questi temi in questi passi:

identificare internamente le tematiche legate alla CSR che l’organizzazione intende affrontare al fine di andare oltre un approccio di perseguimento di soli obiettivi di conformità, target industriali o di qualità;

analisi del contesto interno ed esterno: attraverso la conoscenza dei propri processi (mutuandoli anche da altre attività già svolte ad es. in materia di qualità, o compliance) e identificare lo scenario interno ed esterno in cui l’organizzazione opera nonché identificare le aree (processi) che potrebbero essere maggiormente coinvolte in queste tematiche e subire gli impatti dei rischi;

in questi contesti individuare gli stakeholders principali (interni ed esterni) che possono essere coinvolti in questi temi (fattori) al fine di sottoporre loro questionari, surveys o altri strumenti che permettano di comprendere l’importanza data a questi fattori e potenzialmente quali siano i rischi legati ai processi della propria organizzazione che potrebbero avere un impatto su questi fattori;

integrare questi fattori, ove necessario, con i temi evidenziati in sede internazionale (OECD, EU Commission etc.) al fine di creare un catalogo di fattori adeguato individuando i relativi rischi che possono impattare sugli stessi (risk identification);

integrare le proprie analisi del rischio (in ambito compliance, qualità, etc.) con una valutazione di impatto sui fattori ritenuti rilevanti per gli stakeholder coinvolti, attraverso l’introduzione di modifiche ai criteri di valutazione del rischio che considerino:

– impatti in termini di breve-medio-lungo termine sui fattori;
– valutazione della gravità come fattore tempo necessario per ripristinare un potenziale effetto di un’attività o l’irrimediabilità degli effetti stessi;
– capacità dell’organizzazione di raggiungere gli obiettivi di protezione/promozione di questi fattori con il proprio operato;
– possibili impatti sull’organizzazione stessa (in termini di business) della manifestazione di questi rischi come possibile perdita di reputazione, fiducia nei consumatori, risorse e materie prime, eventi naturali, pregiudizi alla propria supply chain;
– deviazioni dell’operatività aziendale rispetto a standards o linee guida internazionalmente riconosciute che considerano i fattori di CSR;
– aree di non conformità dal punto di vista normativo ove vi siano norme o standards cogenti specificamente applicabili ai fattori di CSR;
– possibili scenari di impatto utilizzando studi di settore (ad es. in materia ambientale o di H&S) valutando la possibilità storica che ad un determinato comportamento dell’organizzazione possano esserci conseguenze esterne (o interne) sui temi in questione.

Senza voler entrare in metodologie specifiche proposte da enti di supervisione e vigilanza del mondo finanziario la valutazione potrebbe essere anche semplicemente qualitativa in prima battuta e parametrata sulla sensibilità delle informazioni acquisite per il tramite dell’analisi degli stakeholder.

Così facendo si può giungere ad una definizione della significatività dei rischi portati dall’operato aziendale ai fattori della CSR e sintetizzare in una visione d’insieme le valutazioni di rischio già svolte estendendole a:

all’impatto di determinati processi in essere sugli interessi degli stakeholders; (es. processi di produzione, approvvigionamento, criteri di quality assurance, strategia energetica, processi relativi alle risorse umane);

alla comprensione delle conseguenze dell’azione o omissione di specifiche attività in relazione a questi fattori; (es. adozione di nuovi tipi di imballaggi e impatto sugli stakeholder in materia di ambiente);

al livello di attenzione degli stakeholders a questi temi; (es. rappresentanti e associazioni di interessi ambientali);

alla comprensione del rapporto tra i rischi insiti nell’organizzazione e il delta con le aspettative della società civile; (es. gli stakeholder promuovono una composizione equa in termini di genere nei CdA vs l’attuale composizione del board societario);

alla comprensione della sfera d’influenza dell’organizzazione verso la società civile; (es. relazione tra il brand aziendale e le tematiche ambientali).

5) Ripensare l’approccio tecnico dei Compliance Programs

Attraverso la compresenza nelle politiche aziendali di sostenibilità, etica e responsabilità collegando a questi temi le attività di monitoring, reporting, disclosure non finanziaria, comunicazioni al pubblico, marketing, brand. Non è più possibile per chi si occupa di compliance non considerare questi temi in quanto:

le indicazioni di RBC sono spesso strumenti di soft law sempre più recepiti da strumenti normativi. Pensiamo alla strategia dell’UE in materia di responsabilità sociale delle imprese e la necessità che le imprese indirizzino le proprie strategie verso gli obiettivi sociali, ambientali e di sostenibilità al fine di creare condizioni favorevoli per una crescita sostenibile, un comportamento responsabile delle imprese e una creazione di occupazione durevole nel medio e lungo termine;

c’è sempre maggiore vicinanza della politica di RBC delle aziende ai concetti dell’etica e al rispetto dei codici di condotta su cui le funzioni di GRC devono vigilare;

un uso distorto di queste politiche ne potrebbe derivare un guadagno indebito e/o reati in certe giurisdizioni.

Ma oltretutto in un’ottica di valutazione del rischio l’approccio dovrà tendere ad un costante monitoraggio della performance dei controlli posti in essere a fronte dei rischi individuati e delle misure di RBC adottate al fine di garantire che l’azienda vada oltre il solo rispetto delle normative domestiche facendo di più e garantendo il rispetto di quei fattori di RBC necessari al raggiungimento degli obiettivi che si è posta in termini di CSR.

6) Le misure e azioni di RBC

Questo percorso svolto sin ad ora permette di identificare gli steps e le azioni concrete da poter intraprendere al fine di gestire quelli che saranno i rischi identificati (intesi come eventi o condizioni che possono impattare sui factors / core values) e pregiudicare il raggiungimento degli obiettivi (tra cui anche quello di sostenibilità) e rendere l’organizzazione accountable per la propria CSR.

Partendo dagli assunti precedenti sono numerose le azioni che possono essere intraprese e differenti approcci o soluzioni sono proposte dalle istituzioni coinvolte. I maggiori spunti sulle azioni da intraprendere si possono trovare in:

ISO 26000 con particolare focus ai paragrafi 6 (Guidance on social responsibility core subjects) – 7 (Guidance on integrating social responsibility throughout an organization – Annex A – Examples of voluntary initiatives and tools for social responsibility);
Linee guide e proposte in materia che definiscono buone prassi o azioni di RBC:
– A renewed EU strategy 2011-14 for corporate social responsibility (7);
– Action plan on human rights and democracy (2015-2019) (8);
– Communication on the next steps for a sustainable European Future (9);
– Reflection paper: towards a sustainable Europe by 2030 (10);
– Directive 2014/95/EU on non-financial reporting (11);
– United Nations global compact (12);
– United Nations guiding principles on business and human Rights (13);
– United Nations 2030 agenda for sustainable development (14);
– ISO 26000 guidance standard on social responsibility (15);
– OECD guidelines for multinational enterprises (16);
– OECD due diligence guidance for responsible business conduct (17);
– Social policy principles for multinational enterprises by the International Labour Organization (18);
– United Nations Industrial development organization (19);
– OECD – Policy Framework for Investment User’s Toolkit, 2015 – Chapter 7. Promoting Responsible Business Conduct. (20)

Uno strumento utile di partenza per le imprese, soprattutto di medie dimensioni, che intendono approcciare queste tematiche è probabilmente la linea guida OECD sul “Dovere di Diligenza per la condotta di Impresa Responsabile” che trae spunto dalla Linea Guida OECD per le Imprese Multinazionali declinando in modo più pratico alcuni aspetti utili per l’implementazione di queste tematiche.

Riassumendo la metodologia applicata dalle linee guida dell’OECD si focalizza su due concetti:

Rischio: come probabilità di impatti negativi sulle persone, sull’ambiente e sulla società, che le imprese causano, a cui contribuiscono o a cui sono direttamente collegate. In altri termini, si tratta di un approccio al rischio rivolto verso l’esterno.
Individuazione del rischio: le imprese possono individuare rischi riguardanti le tematiche RBC attraverso un esercizio di due diligence analizzando gli impatti delle proprie attività e cercando le divergenze tra le raccomandazioni contenute nelle Linee guida OCSE destinate alle imprese multinazionali, da una parte, e le circostanze associate alle rispettive attività, catene di fornitura o rapporti commerciali dall’altra, effettuando così una comparazione finalizzata a definire il gap di raggiungimento di un determinato comportamento target.

Riassumendo, per soddisfare pienamente la loro responsabilità sociale, le imprese devono avere in atto un processo per integrare le questioni sociali, ambientali, etiche, i diritti umani e le sollecitazioni dei consumatori nelle loro operazioni commerciali e nella loro strategia di base in stretta collaborazione con i rispettivi interlocutori, con l’obiettivo di:

fare tutto il possibile per creare un valore condiviso tra i loro proprietari /azionisti e gli altri loro soggetti interessati e la società in generale;
identificare, prevenire e mitigare i possibili effetti avversi.(6)

Un approccio strutturato ma adeguato alle dimensioni, capacità e struttura dell’organizzazione, permette di creare opportunità e sviluppo attraverso la gestione dei rischi e le pratiche di RBC individuando ancora meglio le esigenze e gli interessi dei propri stakeholder e orientando verso queste istanze il proprio operato e le proprie scelte imprenditoriali.

Emerge chiaramente la necessità di aumentare il campo d’azione delle funzioni di Governance Risk & Compliance muovendo dalla lista di legal obligations oggetto di analisi, alle fondamenta di un condotta etica che coinvolga anche queste tematiche all’interno del proprio perimetro d’intervento. Lo sviluppo delle tematiche di sostenibilità e degli obiettivi di responsabilità posti alle aziende vedono sempre di più il delinearsi di un “must” in relazione a queste attività, in quanto sia strumenti normativi sia strumenti di soft law delineano sempre di più la necessità di considerare gli aspetti qui in questione anche come parametro di giudizio dell’organizzazione. Basti pensare alla direttiva relativa al reporting non finanziario, alle discipline normative in materia di economia circolare, agli obiettivi del management fissati dal Codice di Corporate Governance di Borsa Italiana, ma anche semplicemente ai riferimenti e ai rimandi alle best practices e agli standard generalmente riconosciuti a cui in alcuni casi si è fatto rinvio nel momento in cui si doveva valutare la Responsabilità Organizzativa d’Impresa ad ampio raggio.

Questa transizione verso un riconoscimento di questi aspetti come rilevanti anche per norme cogenti, deve certamente porre le tematiche della RBC sotto una luce più evoluta e renderle integrate con tutte le altre tematiche che sino ad oggi venivano considerate per il raggiungimento degli obiettivi aziendali.

2/2

LEGGI QUI l’articolo precedente 1/2, Responsible Business Conduct e Integrazione dell’Analisi dei rischi

Per approfondimenti, consultare i seguenti link e/o riferimenti:

(1) ISO 26000 par. 6.1

(2) ISO 26000 par. 3.3.3

(3),(4), (6), (7) Comunicazione della Commissione al Parlamento Europeo, al Consiglio, al Comitato Economico e Sociale Europeo e al Comitato delle Regioni, 25.10.2011

(8) Action plan on human rights and democracy (2015-2019)

(9) Communication on the next steps for a sustainable European Future (Italiano)

(10) Reflection paper: towards a sustainable Europe by 2030 (Italiano)

(11) Direttiva Europea 2014/95/UE sulla Rendicontazione Non Finanziaria (NFRD)

(12) United Nations global compact

(13) United Nations guiding principles on business and human Rights