Integrità nella condotta aziendale

Le “Linee Guida Anticorruzione di Gruppo” individuano i principi, identificano le aree sensibili e definiscono i ruoli, le responsabilità e i macro-processi per la gestione del rischio di corruzione e definiscono l’impegno a rispettare le disposizioni normative volte a contrastare la corruzione in ogni sua forma (principio di “tolleranza zero”). Vengono approvate dagli Organi Societari. Il presidio della materia è assegnato all’Area di Governo Chief Compliance Officer. Devono essere rispettate dagli esponenti aziendali e da tutto il personale del Gruppo e si applicano a tutte le società e i paesi in cui il gruppo opera ad eccezione delle entità che svolgono esclusivamente attività accessorie di servizi e di ricerca. Si rivolgono altresì ai soggetti esterni (fornitori, agenti, consulenti, professionisti, partner commerciali, lavoratori autonomi o parasubordinati, ecc.) che prestano la loro collaborazione al Gruppo per la realizzazione delle sue attività. Per questo motivo, sono messe a disposizione di tutti gli stakeholder attraverso il sito web istituzionale del Gruppo e alle controparti beneficiarie di iniziative liberali o di sponsorizzazione nonché alle terze parti, che collaborano con il Gruppo, in sede di formalizzazione dei relativi rapporti.

L’approccio al contrasto della corruzione del Gruppo si ispira ai principi fondanti contenuti nelle convenzioni in materia nonché alle best practices internazionali (OECD, Convention on Combating Bribery of Foreign Public Officials in International Business Transactions; Organizzazione delle Nazioni Unite, Convention Against Corruption, Global Compact; Consiglio d’Europa, Criminal Law Convention on Corruption e Civil Law Convention on Corruption Consiglio dell’Unione Europea). Inoltre, il Gruppo è soggetto alla procedura di certificazione UNI ISO 37001:2016 Anti-bribery management systems che costituisce lo standard internazionale in materia (valida sino al 2025) da parte di una società esterna.

Le principali azioni attuate nell’ambito della prevenzione della corruzione consistono nella revisione costante delle “Linee Guida Anticorruzione di Gruppo” (ultimo aggiornamento approvato dal CdA nel corso del 2024), nell’aggiornamento delle regole in materia di gestione degli omaggi e delle spese di rappresentanza e nella pianificazione dell’adeguamento alle raccomandazioni dell'organismo di certificazione ai fini ISO 37001:2016. Si precisa che il Gruppo procederà nel corso del 2025 al rinnovo della certificazione suddetta.

La revisione delle “Linee Guida Anticorruzione” avviene con frequenza annuale. 

La rendicontazione agli organi societari in materia di anticorruzione è parte integrante delle relazioni predisposte dall’ Area Chief Compliance Officer sulla base dei flussi informativi previsti dal “Regolamento dei Sistemi di Controllo Interno Integrato e delle altre comunicazioni”. Questi comprendono, su base annuale, l’identificazione, la valutazione dei rischi e la programmazione degli interventi di gestione nonché, a consuntivo su base semestrale, la descrizione delle attività effettuate, delle criticità rilevate e dei rimedi individuati.

Infine, il Gruppo indirizza specifiche iniziative formative in materia, a favore degli esponenti aziendali e del personale. Le iniziative previste sono obbligatorie e tracciabili; mirano in particolare a sviluppare la capacità di cogliere gli aspetti salienti delle previsioni normative volte al contrasto della corruzione e all’applicazione delle Linee Guida al fine di promuovere comportamenti coerenti con le disposizioni in esse contenute.

In Intesa Sanpaolo la formazione in materia di anticorruzione e antiriciclaggio è obbligatoria e segue cicli pluriennali, anche in base alle normative locali. Nel 2024 sono state erogate complessivamente 342.157 ore di formazione a 88.109 persone del Gruppo (il 95% del totale)

Nel 2024 non si segnalano condanne e/o sanzioni per violazione delle leggi anticorruzione e anti-concussione, di conseguenza non sono state comminate multe e sanzioni a carico del Gruppo Intesa Sanpaolo.

Intesa Sanpaolo presidia e promuove costantemente la libera concorrenza e diffonde la cultura di compliance alla normativa antitrust anche tramite la costituzione di uno specifico team interno volto a vigilare sul rispetto delle norme antitrust, l’adozione di una Policy e un programma di formazione e informazione. Nel 2024 sono state 70.299 persone del Gruppo formate (75,5% del totale) e 1.429.006 ore erogate.

Il Gruppo Intesa Sanpaolo mantiene da sempre alto e costante l’impegno nella protezione dei dati personali delle persone con cui il Gruppo interagisce, assicurando la raccolta ed il trattamento dei dati nel rispetto delle disposizioni legislative vigenti. Medesimo impegno si riflette anche nella protezione dei dati personali dei clienti.

Il quadro normativo di riferimento per la tutela dei dati personali è rappresentato dal Regolamento (UE) 2016/679 (c.d. General Data Protection Regulation, GDPR) entrato in vigore il 25 maggio 2018, i cui nuovi precetti sono stati assimilati dal Gruppo e formalizzati nei principali documenti interni di governance costituiti dal Codice Etico, che delinea i principi ed i valori su cui il Gruppo basa le proprie scelte e attività, e dal Codice Interno di Comportamento dove sono definite le condotte che i dipendenti ed i collaboratori dello stesso sono chiamati ad osservare per assicurare il corretto trattamento dei dati. Le prescrizioni in materia sono indicate nelle Linee Guida sulla protezione dei dati personali delle persone fisiche e nelle Regole aziendali per il trattamento e la protezione dei dati personali delle persone fisiche.

Le Linee Guida definiscono il modello di gestione del rischio di non conformità in materia di protezione dei dati personali di tutte le persone fisiche con cui il Gruppo interagisce, inclusi i dipendenti e collaboratori, stabilendo i principi generali e declinando i ruoli e le responsabilità degli Organi e delle strutture aziendali coinvolte, i macro-processi di presidio e controllo del rischio, nonché il modello di indirizzo e coordinamento di Gruppo. Inoltre, sanciscono gli adempimenti richiesti ai fini del trattamento e della protezione dei dati personali e stabiliscono l’applicazione di sanzioni in caso di inosservanza delle disposizioni.

Con riferimento alle persone del Gruppo:

• I dipendenti, in caso di segnalazioni attinenti tematiche privacy o richieste di esercizio dei diritti, possono rivolgersi al DPO, le cui modalità di contatto sono dettagliate sia nell'informativa resa a tutti i dipendenti, sia sul sito web istituzionale di Gruppo sezione Privacy che nelle apposite guide di processo interne pubblicate sul portale interno.
  

Con riferimento alla protezione dei dati dei clienti:

• Il Gruppo ha emanato specifici documenti di governance che impartiscono puntuali istruzioni sulle condotte che i dipendenti ed i collaboratori devono tenere per assicurare una corretta raccolta, utilizzo e tutela dei dati personali.
• Le linee guida già sopra citate, definiscono il modello di gestione del rischio di non conformità in materia di protezione dei dati personali di tutte le persone fisiche con cui il Gruppo interagisce, stabilendo i principi generali e declinando i ruoli e le responsabilità degli Organi e delle strutture aziendali coinvolte, i macro-processi di presidio e controllo del rischio, nonché il modello di indirizzo e coordinamento di Gruppo. Inoltre, sanciscono gli adempimenti richiesti ai fini del trattamento e della protezione dei dati personali e stabiliscono l’applicazione di sanzioni in caso di inosservanza delle disposizioni.
• La protezione dei dati delle persone con cui il Gruppo interagisce è garantita mediante l’applicazione del principio di “privacy by design”, volto a determinare fin dall’origine le logiche di protezione dei dati personali, attraverso l’individuazione dei potenziali rischi per i diritti e le libertà degli interessati, le misure tecniche ed organizzative idonee a mitigare tali rischi, e lo svolgimento di un privacy impact assessment per la valutazione d’impatto sulla protezione dei dati, prima di procedere a uno o più trattamenti che possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche.
• L’informativa privacy è stata oggetto di restyling al fine di garantire una sua maggiore chiarezza e trasparenza, anche mediante l’ausilio di apposite grafiche che ne agevolino la fruibilità e la facile comprensione. Il documento, pubblicato sul sito web istituzionale, specifica che il Gruppo Intesa Sanpaolo attua il trattamento dei dati personali solo per le finalità descritte ed esplicitamente indicate nell’informativa stessa, resa disponibile agli interessati. Nessun trattamento viene attuato per finalità secondarie non esplicitamente indicate.  In relazione al trattamento di dati personali per finalità di marketing, è richiesto il consenso libero, esplicito ed inequivocabile da parte dell’interessato; qualora quest’ultimo neghi il consenso o non effettui alcun tipo di scelta, i dati raccolti non saranno in alcun modo trattati e utilizzati per tale scopo.                                                                                                                                                        

Il mancato rispetto della normativa esterna o interna inerente alla tutela della privacy da parte di un autorizzato al trattamento comporta l’attivazione di un iter volto a verificare l’effettiva condotta illecita. Nel caso di violazioni accertate e non giustificate, vengono sempre informate le funzioni preposte per l’avvio di un procedimento disciplinare, che di norma si conclude comminando uno dei provvedimenti previsti dal codice disciplinare nei confronti del soggetto inadempiente.

Nel corso del 2024 è stata istituita l’Area di Governo Chief Security Officer (CSeO), cui è affidato il presidio della sicurezza informatica, della continuità operativa e della sicurezza fisica con l’obiettivo di assicurare, per il Gruppo, la definizione della strategia, delle politiche e dei modelli in materia di cybersecurity, business continuity (anche in ottica di business resilience) e corporate e physical security.

Nel 2024 sono continuate le attività di sensibilizzazione rivolte ai dipendenti del Gruppo ed inerenti tematiche di data protection. Tale sensibilizzazione avviene tramite l’erogazione di corsi di formazione obbligatori in modalità e-learning che prevedono un test finale e la messa a disposizione di nuovi moduli per consentire al personale un apprendimento pratico della normativa ed un continuo aggiornamento. Il Gruppo, mediante appositi strumenti, monitora la percentuale di fruizione dei corsi e il superamento dei relativi test.

Nel 2024 54.870 persone del Gruppo formate sul tema privacy e 72.798 ore erogate. Sul tema protezione dei consumatori: 77.573 persone formate e 1.639.036 ore erogate.

Intesa Sanpaolo promuove un’organizzazione del lavoro trasparente e sostenibile, con responsabilità chiare a tutti i livelli. La responsabilità della gestione e, di conseguenza, anche del monitoraggio dell’effettiva applicazione degli accordi sindacali è attribuita alla Direzione Centrale Affari Lavoro, Politiche e Sicurezza. In generale, il numero di cause di lavoro è il seguente: nel 2024 sono state segnalate 39 cause (di cui 11 da dipendenti in servizio) per violazioni della normativa sul lavoro e ne sono state chiuse 92. Le principali tipologie di contenzioso in corso riguardano dequalificazione, ricorsi contro licenziamenti e sanzioni disciplinari, posizioni di responsabilità più elevate e risoluzione del rapporto di lavoro (cessione di ramo d’azienda – Intrum). Nel 2024 non sono state segnalate cause esclusivamente relative a mobbing che abbiano coinvolto dipendenti in servizio del Gruppo.

La pianificazione delle attività di audit all'interno del Gruppo è coordinata da una struttura interna dedicata, la Funzione Internal Audit. Nel 2024 le attività di audit sono state strutturate su tre livelli (strategico pluriennale, operativo annuale e operativo trimestrale) e hanno riguardato 280 Aree di Rischio, con 322 audit completati (di cui 42 audit "straordinari").

Come richiesto dagli standard internazionali, la Funzione di Internal Audit è soggetta a un regolare Quality Assurance Review (QAR) esterno. Il QAR più recente è stato avviato nella seconda metà del 2024 ed è ancora in corso, mentre la precedente revisione, condotta nel 2022, ha confermato il continuo sviluppo della Funzione in linea con gli standard internazionali, nonché un aumento dell'efficacia rispetto ai precedenti risultati del QAR.

L'attività di audit ha riguardato 91 audit classificati come significativi ai sensi del D.Lgs. 231/2001, di cui 8 focalizzati sul rischio corruzione. Inoltre, nell'ambito del programma di audit ESG sono stati condotti 6 audit ESG, che hanno affrontato temi quali la governance ESG, il rischio di greenwashing, gli edifici intelligenti, i fattori ESG nei processi di credito, la gestione delle politiche di pegno e le sponsorizzazioni. Queste attività hanno confermato un livello di rischio complessivo accettabile, con misure di mitigazione monitorate attraverso strumenti digitali dedicati.

Tra le ulteriori iniziative avviate nel 2024, il programma SAIL (Strategic Audit Innovation Line-up) ha supportato la continua evoluzione della Funzione di Internal Audit. Infine, nel Q4 2024, 24 auditor hanno partecipato a un corso di formazione di AIIA (Associazione Italiana Internal Auditors) specificamente focalizzato su tematiche ESG.

Nel Gruppo è attivo un sistema interno di segnalazione di violazioni (Whistleblowing) relative a normative sia nazionali sia europee, che ledono l’interesse pubblico o l’integrità di Intesa Sanpaolo e delle Società del Gruppo ovvero a politiche e/o procedure interne dell’azienda, di cui si è venuti a conoscenza nell’ambito del contesto lavorativo.

La normativa interna di riferimento in materia, di responsabilità dell’Area Chief Audit Officer, è rappresentata da apposito documento di regole di Gruppo sui sistemi interni di segnalazione delle violazioni ed è consultabile da tutti i soggetti che prestano la loro attività nel Gruppo Intesa Sanpaolo sulla intranet aziendale. Inoltre, un’informativa di sintesi è presente anche sul sito web istituzionale del Gruppo. Possono effettuare una segnalazione whistleblowing:

• i lavoratori dipendenti e i lavoratori autonomi che svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i titolari di un rapporto di collaborazione professionale ;
• i lavoratori o collaboratori che forniscono beni o servizi o che realizzano opere in favore di terzi e svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i liberi professionisti e i consulenti che svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i volontari e i tirocinanti;
• gli azionisti (persone fisiche);
• le persone con funzione di amministrazione, controllo, vigilanza o rappresentanza.

Tali soggetti possono segnalare una violazione tramite canali disponibili 24 ore su 24 (e-mail o messaggistica vocale) reperibili sul sito web istituzionale del Gruppo e sul portale intranet del Gruppo, in italiano o in inglese (lingua internazionale di riferimento), ovvero con la lingua della nazione di appartenenza. Le informazioni sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni sono disponibili sul portale intranet della Banca e nell’apposita sezione del sito internet di Gruppo.

Nel 2024 sono state ricevute 40 segnalazioni, di cui 3 giudicate non pertinenti, mentre 37 hanno dato luogo all’avvio di specifiche istruttorie. Sono attivi canali dedicati di whistleblowing anche presso le Banche Estere del Gruppo, che hanno ricevuto 10 segnalazioni, di cui 2 giudicate non pertinenti.

Nel corso del 2024 sono stati predisposti ed erogati corsi di formazione obbligatoria (uno dedicato al perimetro Italia, uno dedicato al perimetro Insurance e uno dedicato a una prima parte delle realtà estere). I contenuti dei corsi hanno riguardato caratteristiche, canali e tutele legate alla segnalazione, nonché le fasi di gestione del relativo processo.

Nel 2024 è stata inoltre realizzata una specifica iniziativa formativa, in linea con i dettami del D.lgs. 24/2023, dedicata ai soggetti che gestiscono le segnalazioni, curata da un legale esterno specializzato in materia, nella quale sono stati trattati e approfonditi, con viste trasversali, i diversi ambiti del processo di segnalazione.

Complessivamente i corsi di formazione in materia sono stati fruiti da circa 73.000 dipendenti.

Per le segnalazioni di presunta inosservanza del codice etico, è disponibile l’indirizzo e-mail: codice.etico@intesasanpaolo.com

Nel rispetto del Codice Etico, l'intero Gruppo si impegna ad osservare principi improntati a valori di onestà e integrità nella gestione della materia fiscale, al rispetto delle normative fiscali applicabili nei Paesi in cui il Gruppo opera e al mantenimento di un rapporto di collaborazione e trasparenza con l'Amministrazione finanziaria, anche attraverso l'adesione a schemi di adempimento cooperativo.

Intesa Sanpaolo riconosce l'importanza di contribuire alle comunità delle giurisdizioni in cui opera, attraverso il pagamento del giusto importo delle imposte e per questo pone particolare attenzione all'evoluzione della normativa fiscale, sia a livello nazionale che internazionale, volta a contrastare l'erosione della base imponibile e il trasferimento degli utili, con il costante impegno ad aderire a tali principi.

Il Gruppo ha rafforzato il sistema interno di controllo del rischio fiscale, il Tax Control Framework ("TCF"). Il TCF ha lo scopo di monitorare l'importanza strategica del rischio fiscale e di soddisfare i requisiti per l'accesso al regime di adempimento cooperativo introdotto in Italia (ai sensi del D.Lgs. 128/2015) e, contestualmente, ha aggiornato il Modello di Organizzazione, Gestione e Controllo, ai fini della responsabilità degli enti per reati tributari,  sancito dal D.Lgs. n. 231 del 2001, al fine di monitorare il rischio di frode fiscale.

A dicembre 2017 il Gruppo Intesa Sanpaolo si è dotato dei Principi di condotta in materia fiscale al fine di assicurare nel tempo la conformità alle regole fiscali e tributarie dei Paesi dove opera e di garantire l’integrità patrimoniale e reputazionale di tutte le Società del Gruppo. 

Sono inoltre state approvate le Linee Guida per la gestione del rischio fiscale nell’ambito del regime di adempimento collaborativo con l’Agenzia delle Entrate che disciplinano i criteri e i processi che Intesa Sanpaolo deve adottare per garantire adeguatezza ed effettività al proprio Tax Control Framework nonchè le relative Regole.

Nel corso del 2024 il Gruppo ha registrato nell'esercizio sia un significativo ammontare di imposte indirette sia di imposte dirette, per la maggior parte in Italia, dove è stata realizzata la maggior parte dei proventi operativi, come da tabella indicata, rispettivamente, nella Parte C e nella Parte L delle Note al bilancio consolidato.