Regolamento (UE) 2025/2180

Regolamento delegato (UE) 2025/2180: criteri tecnici per la registrazione e la vigilanza dei verificatori esterni

Il regolamento delegato integra il regolamento (UE) 2023/2631 sulle obbligazioni verdi europee e sull’informativa volontaria per obbligazioni commercializzate come ecosostenibili o legate alla sostenibilità. La finalità è uniformare i criteri tecnici che l’ESMA deve applicare per valutare l’idoneità dei verificatori esterni, sia nella fase di registrazione iniziale sia nel corso della vigilanza continuativa.

Ambito e finalità

Il testo raggruppa in un unico atto le norme tecniche di regolamentazione relative a:

• registrazione dei verificatori esterni;
• valutazione della gestione sana e prudente;
• verifica di reputazione, competenze e risorse umane;
• gestione dei conflitti di interessi;
• esternalizzazione delle attività di valutazione.

Nei considerando la Commissione evidenzia l’esigenza di assicurare affidabilità, indipendenza, continuità delle verifiche esterne e corretta supervisione da parte dell’ESMA, con attenzione anche alla protezione dei dati personali.

Buona reputazione dell’alta dirigenza e del consiglio di amministrazione

L’articolo 1 stabilisce che la reputazione è considerata sufficientemente buona quando le attività pregresse degli interessati dimostrano onestà e integrità. La valutazione deve prendere in esame elementi quali:

• assenza di condanne per riciclaggio, finanziamento del terrorismo, frode, appropriazione indebita o reati connessi ai servizi finanziari o alla gestione di dati;
• autodichiarazioni relative a condanne penali, sanzioni disciplinari, condanne civili, revoche di autorizzazioni o registrazioni, rifiuti di autorizzazione e valutazioni negative di professionalità e onorabilità;
• partecipazione a imprese sanzionate, insolventi o poste in liquidazione/amministrazione controllata;
• sanzioni professionali, rimozione da incarichi dirigenziali o amministrativi e altri rapporti o circostanze idonei a incidere sugli interessi del verificatore o sull’integrità della sua attività.

Sono previste cautele rigorose sulla circolazione delle informazioni: accesso limitato ai soli soggetti autorizzati, conservazione separata rispetto alle altre informazioni, tracciamento degli accessi e cancellazione dei dati relativi a candidati non nominati. I dati personali sulla reputazione non possono essere conservati oltre cinque anni dalla cessazione delle funzioni o dalla revoca della registrazione.

Competenze, qualifiche ed esperienza degli organi apicali

L’articolo 2 richiede che alta dirigenza e membri del consiglio di amministrazione dispongano di competenze, qualifiche ed esperienza adeguate alla natura e alla portata delle verifiche esterne e ai compiti previsti dal regolamento (UE) 2023/2631. La verifica si fonda su:

• curriculum vitae aggiornati;
• istruzione, certificazioni e formazione;
• carriera professionale e durata delle funzioni svolte;
• pertinenza delle conoscenze in ambito finanziario o sostenibile;
• esperienza in assurance, controllo qualità, verifiche pre-emissione e post-emissione, impact reporting e second party opinions;
• competenze collettive e profilo complessivo dell’organo di vertice.

Dimensione del personale e adeguatezza delle competenze operative

L’articolo 3 richiede che il numero di analisti, dipendenti e altre persone direttamente coinvolte nelle attività di valutazione sia sufficiente rispetto all’attività svolta. L’ESMA considera:

• numero complessivo del personale interessato;
• anzianità e mansioni;
• natura permanente o temporanea dei contratti;
• giustificazione fornita dal verificatore esterno sulla sufficienza delle risorse;
• numero e durata delle verifiche esterne previste nei 24 mesi successivi.

L’articolo 4 disciplina invece il livello qualitativo delle risorse umane operative. Le conoscenze, l’esperienza e la formazione devono essere adeguate ai compiti del verificatore esterno e sono valutate in base a:

• attività che il personale dovrà svolgere nei 24 mesi successivi;
• percorso professionale precedente;
• esperienza in assurance, quality control, verifiche pre e post emissione, impact reporting e second party opinions;
• istruzione, certificazioni e qualifiche;
• ulteriori risultati professionali e accademici;
• piano di formazione e sviluppo;
• eventuale impiego di automazione e tecnologia.

Il verificatore esterno deve considerare tali elementi anche per il personale messo a disposizione o sotto il proprio controllo ai fini dell’articolo 28, paragrafo 1, del regolamento (UE) 2023/2631.

Gestione sana e prudente, governance e controllo interno

L’articolo 5 elenca i criteri che devono risultare soddisfatti nella valutazione della gestione sana e prudente. In sintesi, il verificatore esterno deve disporre di:

• assetto di governance che definisca organizzazione, finalità, ambito e funzionamento degli organi, con linee di riporto e responsabilità chiare;
• quadro di controllo interno;
• disposizioni organizzative idonee a garantire continuità e regolarità delle attività, riservatezza, sicurezza delle registrazioni, solidità amministrativa e contabile e adeguati sistemi informativi;
• tutela dell’anonimato dei segnalanti e divieto di ritorsioni;
• regole coerenti su parti correlate, conti personali dei dipendenti, attività esterne, regali e ospitalità;
• indipendenza del personale con remunerazione variabile;
• approvazione, da parte del consiglio di amministrazione, delle politiche e procedure previste dal regolamento.

Il quadro di controllo interno deve essere adattato alla natura, alla dimensione e alla complessità del verificatore esterno, consentire ai responsabili di ottenere le informazioni necessarie e garantire separazione indipendente dalle linee di business. La verifica deve essere svolta prima di iniziare l’attività e poi almeno ogni 24 mesi, o quando emergano deviazioni significative.

Conflitti di interessi

L’articolo 6 impone una politica in materia di conflitti di interessi approvata e presidiata dal consiglio di amministrazione. Il sistema deve comprendere:

• processo di conformità e monitoraggio;
• formazione e sensibilizzazione di alta dirigenza, consiglieri, analisti, dipendenti e altre persone coinvolte, anche prima dell’assunzione;
• inventario dei conflitti effettivi o potenziali e delle misure di mitigazione;
• procedure di individuazione, eliminazione, gestione e comunicazione dei conflitti;
• individuazione dei conflitti da eliminare o da gestire e divulgare in modo trasparente;
• indipendenza del personale operativo.

Anche in questo caso la verifica va eseguita prima di prestare attività di verifica esterna e successivamente almeno ogni 24 mesi, o in presenza di deviazioni significative.

Esternalizzazione delle attività di valutazione

Gli articoli 7, 8, 9 e 10 disciplinano l’affidamento a terzi di attività di valutazione. L’idoneità del prestatore di servizi terzo dipende da competenze nelle materie esternalizzate, disponibilità per tutta la durata dell’incarico e presenza di un quadro di controllo interno. La valutazione considera inoltre modello di business, struttura del gruppo, status regolamentare, qualifiche del personale, politiche e procedure, affidabilità dei dati, controlli interni, uso di automazione e quadro giuridico applicabile.

L’esternalizzazione non deve compromettere il controllo interno del verificatore esterno. A tal fine occorre evitare dipendenze eccessive, predisporre misure di salvaguardia, piani di continuità operativa e test dei backup, protezioni su dati e sistemi, inclusa l’eventuale tecnologia cloud, e garantire la capacità di monitoraggio e supervisione del verificatore. Se il prestatore è autorizzato a sub-esternalizzare, anche le attività subappaltate devono rispettare gli stessi criteri.

L’articolo 9 aggiunge che l’esternalizzazione non può pregiudicare la capacità dell’ESMA di vigilare sulla conformità del verificatore esterno. Sono quindi richiesti:

• documentazione e registri completi;
• indicazione dei soggetti responsabili dell’approvazione e del monitoraggio;
• disponibilità del fornitore a trasmettere tutte le informazioni necessarie;
• per i paesi terzi, procedure specifiche per gestire divergenze normative, strategie di uscita, incidenti di sicurezza, violazioni di riservatezza e problemi di accesso tempestivo alle registrazioni.

L’articolo 10 impone una verifica iniziale prima dell’avvio dell’attività esternalizzata e un riesame almeno ogni 24 mesi, oppure non appena emergano deviazioni significative nella capacità del terzo di operare in modo affidabile e professionale.

Protezione dei dati personali

I considerando richiamano espressamente il principio di minimizzazione dei dati e la necessità di trattare i dati nel rispetto del regolamento (UE) 2018/1725 per l’ESMA e del regolamento (UE) 2016/679 per i soggetti privati richiedenti. Il regolamento limita la raccolta ai dati personali necessari per valutare la capacità e l’idoneità delle persone coinvolte, con attenzione particolare alle informazioni sulla reputazione.

Entrata in vigore e applicazione

L’articolo 11 prevede che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applichi da tale data. Il testo è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.