La distanza fra procedura e prassi
La procedura dice A, si fa B, e da anni nessuno lo mette per iscritto. La prassi è la norma reale dell'impresa: la procedura è la norma che verrà esibita.
Di una persona valutiamo quasi sempre le ragioni che dichiara, mentre la parte che decide davvero, fatta di abitudini, di opzioni predefinite e di ciò che si fa senza pensarci, resta fuori dal racconto. Se l'impresa è un'organizzazione composta di persone, vale lo stesso principio: il suo carattere non sta nella mission, ma in ciò che accade quando nessuno sta guardando. È la direzione verso cui si è mosso il diritto dell'impresa, con la colpa di organizzazione, gli adeguati assetti e la rilevazione tempestiva della crisi: la domanda non riguarda più le intenzioni, ma l'organizzazione che le rende verificabili.
Chiediamo a chi decide di spiegarsi, e la spiegazione arriva sempre: ordinata, plausibile, coerente con i valori dichiarati. Il problema è che quasi mai è la causa della decisione.
La psicologia cognitiva lo ha documentato con una certa insistenza: gran parte delle scelte quotidiane è governata da processi rapidi e automatici, mentre la parte deliberativa interviene spesso dopo, per dare forma presentabile a qualcosa che è già accaduto. È la distinzione fra i due sistemi resa nota da Daniel Kahneman in Pensieri lenti e veloci: il primo opera sempre, senza chiedere il permesso e senza lasciare verbale; il secondo si attiva su richiesta, comporta uno sforzo ed è quello che prende la parola in riunione.
La tradizione psicoanalitica era giunta prima allo stesso avvertimento, per altra strada: ciò che determina il comportamento non è di norma dichiarabile e si rende visibile negli atti marginali, cioè nelle dimenticanze, nei ritardi, nelle eccezioni e nelle cose regolarmente rimandate. Non nel discorso ufficiale, che è la parte più sorvegliata e quindi la meno informativa.
Non è che le intenzioni non contino. Contano poco come prova. Un'intenzione è un dato che il soggetto controlla e sceglie di presentare; un comportamento sotto pressione, no. Per questo un colloquio ben condotto non chiede «cosa faresti», ma cerca cosa è già stato fatto, in quali circostanze, con quale rapidità e con quali costi: la storia dei comportamenti è l'unica base di valutazione che non dipende dalla capacità del valutato di raccontarsi bene.
Il criterio pratico che ne discende è meno filosofico di quanto sembri: si valuta una persona su ciò che accade quando la scelta non ha la forma di una scelta. Che cosa fa per default, che cosa rimanda, come reagisce all'imprevisto, che cosa smette di guardare quando il tempo stringe, che cosa considera talmente ovvio da non menzionarlo.
Il criterio. Non «che cosa intendevi fare», ma «che cosa accade quando nessuno decide nulla». La prima domanda raccoglie una dichiarazione, la seconda descrive una struttura. Ed è la struttura, non la dichiarazione, a ripetersi anche la volta successiva.
Un'organizzazione produce un proprio discorso ufficiale su di sé, e insieme un modo di funzionare che nessuno ha mai deliberato. Sono due oggetti diversi, e vanno valutati separatamente.
Mission e valori, codice etico, organigramma, procedure, mansionari, deleghe formali, Modello 231, piano industriale, bilancio di sostenibilità, verbali del consiglio. È tutto ciò che l'impresa dice di sé in forma scritta, controllata, destinata a essere letta da qualcun altro. È materiale prezioso, e ha lo stesso limite del racconto di una persona: è la parte più sorvegliata, quindi la meno rivelatrice.
Le prassi sedimentate, le deroghe diventate normali, le deleghe di fatto, ciò che si misura e ciò che non si è mai pensato di misurare, la velocità con cui una notizia scomoda arriva a chi risponde, le soglie impostate anni fa dentro i sistemi, gli argomenti su cui in azienda cala il silenzio. Nessuno lo ha deciso, tutti lo eseguono: ed è quello che accadrà anche domani.
Chiamarlo «inconscio» non è un vezzo letterario e non indica nulla di impalpabile. Al contrario: è la parte più documentata dell'impresa, perché lascia tracce che nessuno ha pensato di curare. Date di protocollo, tempi di autorizzazione, log degli applicativi, versioni dei file, ordini emessi prima della delibera, scostamenti che si ripetono con lo stesso segno. Il discorso ufficiale viene scritto per essere letto, le tracce no: è la ragione per cui dicono di più.
C'è un secondo punto, decisivo per la valutazione. L'inconscio di un'organizzazione non è la somma degli inconsci delle persone che la compongono: è una proprietà della struttura, e sopravvive alle persone. Cambia il direttore, cambia l'amministratore delegato, e la stessa deroga continua a essere praticata, con le stesse motivazioni, da qualcuno che non era presente quando fu introdotta. Se ne trae una conseguenza pratica e non consolatoria: non lo si corregge parlando alle intenzioni delle persone, ma intervenendo sulla struttura, cioè su flussi informativi, soglie, indicatori e attribuzioni di responsabilità.
Sei luoghi in cui l'organizzazione decide continuamente senza deliberare. Sono i primi da guardare, e sono tutti osservabili con documenti che l'impresa possiede già.
La procedura dice A, si fa B, e da anni nessuno lo mette per iscritto. La prassi è la norma reale dell'impresa: la procedura è la norma che verrà esibita.
Ciò che accade se nessuno interviene: il contratto che si rinnova, il fornitore che resta, l'autorizzazione che si intende concessa. Un default è una decisione presa una volta e ripetuta migliaia di volte senza mai tornare in discussione.
Quanto tempo passa fra il fatto e il momento in cui ne viene a conoscenza chi ne risponde. Un'organizzazione non è ciò che sa: è la velocità con cui lo sa. Ed è una misura, non un'impressione.
Chi firma non sempre coincide con chi decide. La delega formale sta nell'organigramma; quella reale si legge in chi viene consultato prima, in chi può fermare un'operazione e in quanto tempo passa fra il consenso informale e la firma.
Ogni cruscotto di indicatori è anche l'elenco delle cose che si è deciso di non guardare. Quell'elenco non è scritto da nessuna parte, e le sorprese arrivano quasi sempre da lì.
Regole di calcolo dentro il gestionale, soglie di alert impostate anni fa, modelli statistici e sistemi di IA che classificano clienti, fornitori o candidati. Nessuno li ha deliberati di recente: decidono tutti i giorni.
Chi valuta un'impresa dall'esterno, che sia un giudice, l'Agenzia delle Entrate, una banca o un ente accreditato, ha smesso da tempo di chiedere le intenzioni e guarda l'organizzazione.
L'ente non risponde perché ha voluto il reato: risponde perché era fatto in modo da renderlo possibile. L'esimente degli artt. 6 e 7 del Dlgs 231/2001 non si conquista con una dichiarazione di princìpi, ma con un Modello attuato, un organismo di vigilanza che riceve flussi informativi veri e un sistema disciplinare con una storia di applicazione. È una valutazione dell'inconscio dell'ente, condotta con gli strumenti del processo. Il Modello 231, componente per componente.
L'art. 2086 c.c. non impone all'imprenditore di volere il bene dell'impresa: gli impone di dotarsi di un apparato capace di rilevare tempestivamente la crisi e la perdita di continuità aziendale. In termini pratici è l'obbligo di dotarsi della capacità di accorgersi: portare al livello della decisione segnali che altrimenti resterebbero dispersi nell'organizzazione. Come è fatto un assetto adeguato e come si scelgono gli indicatori di allerta.
Nell'ordinanza del 25 marzo 2026 la Suprema Corte non ha soppesato la buona fede dichiarata dall'istituto di credito: ha letto i dati che erano già leggibili nell'ultimo bilancio disponibile: un rapporto debt to equity di 34,05, oltre 630 mila euro di debiti scaduti, 19 mila euro di patrimonio netto. Il finanziamento è stato dichiarato nullo e le somme irripetibili. La pronuncia e le sue ricadute.
L'adempimento collaborativo non premia chi dichiara di voler essere corretto: premia chi dimostra un sistema di rilevazione, misurazione e gestione del rischio fiscale, certificato e presidiato. I benefici chiariti dalla circolare 6/E del 2026, dalla penalty protection agli altri effetti premiali, dipendono dal funzionamento del sistema e non dalle intenzioni del contribuente. I benefici della gestione del rischio.
Rating di legalità, merito creditizio, rendicontazione di sostenibilità: chi assegna un punteggio non ha accesso alle vostre intenzioni e non le chiede. Legge comportamenti tracciabili: precedenti, puntualità nei pagamenti, andamentale bancario, dati verificabili da fonti indipendenti. Rating di legalità, rating bancario, ESG.
Anche la finanza agevolata si sta spostando sullo stesso terreno: i criteri premiali dei bandi guardano sempre più a requisiti organizzativi verificabili, come certificazioni, assetti e presidi, e sempre meno alle dichiarazioni di intenti contenute nella domanda. Il bando-tipo e la corsia preferenziale alle imprese virtuose.
Il filo comune. Ogni riforma rilevante dell'ultimo decennio, dal Dlgs 231/2001 e dai suoi ampliamenti al Codice della crisi, dall'adempimento collaborativo alla rendicontazione di sostenibilità fino all'AI Act, ha spostato il baricentro nella stessa direzione: dalla dichiarazione all'organizzazione. La domanda non è più «che cosa avete deciso», ma «come siete organizzati nel momento in cui decidete». A una domanda simile non si risponde con un documento, ma con una struttura che regge quando viene esaminata da vicino.
Un sistema introdotto una volta continua a decidere ogni giorno, con criteri che quasi nessuno, dentro l'impresa, è in grado di ricostruire. È la forma più letterale del problema.
Un modello che assegna un merito creditizio, seleziona curricula, ordina le segnalazioni di anomalia o classifica i fornitori fa ciò che fa qualunque automatismo organizzativo: applica una regola stabilita in passato, in un contesto che nel frattempo è cambiato, senza che nessuno la rimetta in discussione. Con un'aggravante: la regola non è più leggibile in una procedura, è incorporata nei dati con cui il sistema è stato addestrato, e quei dati sono la storia dell'impresa, comprese le sue asimmetrie.
C'è poi la questione dell'ingresso. Molti sistemi non arrivano da una delibera: arrivano come funzionalità di software già in uso, o vengono adottati dalle singole funzioni senza passare dall'IT. Sono decisioni di architettura prese senza che nessuno le riconosca come tali. Per questo il primo adempimento serio non è una policy: è l'inventario. Non si può portare a coscienza ciò di cui non si possiede l'elenco.
Il quadro normativo ha accelerato su entrambi i fronti. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'AI Act, che impongono di dichiarare l'interazione con un sistema di IA e di etichettare i contenuti sintetici. Sul versante penale, l'art. 25-vicies del Dlgs 231/2001, introdotto dalla legge 132/2025, ha portato dentro la responsabilità dell'ente le fattispecie legate all'impiego dell'IA, fra cui l'art. 437-bis c.p. sull'omissione della sorveglianza umana sui sistemi ad alto rischio. La sorveglianza umana è, nel linguaggio del regolamento, la traduzione tecnica di un'idea semplice: ci deve essere qualcuno che sappia, che possa intervenire e che ne risponda.
La domanda da porsi. Non «usiamo l'intelligenza artificiale?», ma: quali decisioni, oggi, vengono prese nella nostra impresa senza che una persona le veda passare? Chi se ne accorgerebbe se l'esito fosse sistematicamente sbagliato? E in quanto tempo?
Da dove si comincia. Inventario dei sistemi, classificazione motivata del rischio, individuazione di chi esercita la sorveglianza e con quali poteri, tracciamento degli esiti. L'autodiagnosi di maturità e il classificatore AI Act, le check list per il 2 agosto 2026 e le ricadute sui Modelli 231.
Nessuno di questi punti è un illecito, e preso da solo è al più un'inefficienza. Presi insieme, descrivono con precisione come l'impresa decide davvero.
Perché contano. Se ne riconoscete tre o quattro non si tratta di una coincidenza, ma di un profilo. È il profilo che un curatore, un pubblico ministero, un istituto di credito o un acquirente in due diligence ricostruiranno con calma e a posteriori, sulla base degli stessi documenti di cui disponete voi, con una differenza: li leggeranno senza l'abitudine che vi impedisce di vederli.
Cinque passaggi. Non richiedono strumenti particolari: richiedono i dati che l'impresa già produce e qualcuno che non abbia interesse al risultato.
La domanda «come funziona qui?» produce sempre la versione ufficiale, in perfetta buona fede. L'estrazione dei dati no. Si parte da tracce già esistenti: date di protocollo e di autorizzazione, sequenze di firme, log applicativi, versioni dei documenti, scostamenti ricorrenti. È il motivo per cui la revisione legale e l'audit sono, prima ancora che un adempimento, un metodo di conoscenza.
Tre misure dicono quasi tutto. La distanza fra procedura e prassi (quante volte il processo reale devia da quello scritto). La distanza fra delega formale e decisione reale (chi viene consultato prima della firma). La latenza fra l'evento e il momento in cui chi ne risponde lo apprende. Sono numeri, si contano su un campione, e si possono confrontare nel tempo.
Un assetto non si valuta nell'ordinario, si valuta nell'eccezione. Che cosa accade quando il dato arriva di venerdì sera, quando il responsabile è assente, quando il cliente più importante chiede una deroga, quando qualcuno segnala un'irregolarità che coinvolge un superiore. Le simulazioni e i test sui casi limite, compresa una verifica reale del canale di segnalazione, producono in poche ore informazioni che nessuna intervista restituisce.
Non tutto ciò che è automatico va smontato: molti automatismi sono competenza sedimentata, e vanno riconosciuti e conservati. Ma vanno scritti e attribuiti: indicatore, soglia, chi la sorveglia, che cosa scatta quando viene superata, entro quando. È il passaggio da abitudine a presidio, ed è il contenuto concreto degli assetti di early warning.
La consapevolezza organizzativa non è uno stato raggiunto una volta: decade, e decade in fretta, perché ogni presidio tende a trasformarsi in routine. Servono monitoraggio periodico, analisi degli scostamenti e una verifica indipendente. Quando gli assetti devono essere dimostrati a terzi, siano banche, controparti o giudici, esiste anche la strada della certificazione secondo la UNI/PdR 167:2025.
Sono reazioni prevedibili e quasi mai in mala fede. Riconoscerle in anticipo è metà del lavoro, perché ognuna ha una sua parte di ragione ed è per questo che funziona.
Il documento perfetto come modo elegante per non cambiare nulla. È la resistenza più comune perché è anche la più economica: produce un oggetto esibibile senza toccare un solo comportamento. Regola empirica: più il manuale è spesso, meno spesso viene aperto. Un Modello che non ha mai prodotto una segnalazione, una riunione straordinaria o un provvedimento non è un presidio: è un documento.
A volte è pigrizia travestita da esperienza; a volte è esperienza autentica, sedimentata da persone che conoscono il mestiere meglio di chi le sta valutando. La distinzione non si fa per principio, si fa caso per caso, con una domanda sola: quella prassi produce risultati migliori della procedura scritta, o solo più comodi? Se produce risultati migliori, va scritta la prassi, non riaffermata la procedura.
Trovare il colpevole chiude il caso in fretta e protegge la struttura che ha reso possibile l'errore: la persona esce, la condizione resta, il fatto si ripete con un altro nome. La domanda utile non è chi è stato, ma che cosa, nell'organizzazione, rendeva quel comportamento la scelta più naturale. È anche la domanda che si porrà chi dovesse valutare l'ente dall'esterno.
Contestare la misura invece del problema è la resistenza più efficace, perché ha quasi sempre un fondo di verità: nessun indicatore è perfetto e ogni campione è discutibile. L'antidoto non è difendere la misura, è concordarla prima: quali dati, su quale periodo, con quale soglia. Una misura scelta insieme al vertice, prima di conoscerne l'esito, è difficile da respingere dopo.
Lo stesso criterio, quattro punti di osservazione. Cambia la domanda, non il metodo.
Non «siamo a posto?», ma: quanto tempo passa fra un evento rilevante e la nostra conoscenza? Quante volte, nell'ultimo trimestre, il processo reale ha deviato da quello scritto? Chi decide davvero su questo tema?
La vigilanza sull'adeguatezza degli assetti si esercita sui fatti: sequenze di autorizzazione, deroghe, scostamenti, flussi effettivamente pervenuti all'organo di controllo. Il verbale che dichiara adeguato l'assetto non è la verifica: è il suo riassunto. Dopo il Dlgs 47/2026 il baricentro si sposta dalla regolarità formale degli atti all'efficacia dell'organizzazione: che cosa verifica l'organo di controllo, e con quali carte lo prova.
Dopo la n. 7134/2026 l'istruttoria non può fermarsi al dichiarato: la qualità degli assetti incide sulla bancabilità dell'impresa e, in caso di dissesto, sulla sorte stessa del finanziamento erogato.
Nelle catene di fornitura la responsabilità risale. Valutare un partner sulle sue policy è comodo e poco informativo: contano precedenti, tempi di risposta, tracciabilità e presidi verificabili da fonti indipendenti.
Questo approfondimento è il criterio; le pagine che seguono sono gli strumenti con cui, in concreto, si rende visibile e governabile ciò che l'impresa fa in automatico.
Non un questionario di autovalutazione, e nemmeno un manuale in più: una lettura dei documenti che avete già, su un perimetro concordato, per misurare le distanze fra ciò che è scritto e ciò che accade. Ne esce un quadro delle prassi reali, delle latenze e dei punti in cui l'organizzazione decide senza accorgersene, insieme all'elenco, ordinato per priorità, degli automatismi da trasformare in presidi. Questa pagina ha carattere informativo; ogni valutazione va costruita sul caso concreto, con gli organi di controllo e i consulenti dell'impresa.