Regolamento (UE) 2026/544

Norme tecniche di regolamentazione sui verificatori esterni ai sensi del regolamento (UE) 2023/2631

Il regolamento delegato (UE) 2026/544 integra il quadro delle obbligazioni verdi europee disciplinato dal regolamento (UE) 2023/2631, precisando i criteri tecnici con cui valutare l’assetto organizzativo e operativo dei verificatori esterni. Le norme rispondono all’esigenza, evidenziata nei considerando, di garantire verifiche affidabili, indipendenti e basate su informazioni di qualità sufficiente, nonché di assicurare un trattamento ordinato delle domande di riconoscimento dei verificatori esterni di paesi terzi.

Ambito di applicazione e finalità

Il regolamento si applica ai verificatori esterni che operano nell’ambito del regolamento (UE) 2023/2631 e alle domande di riconoscimento presentate da verificatori esterni di paesi terzi all’ESMA. La disciplina riguarda, in particolare, i sistemi interni, le risorse, le procedure di controllo, i criteri metodologici di valutazione, la qualità delle informazioni impiegate nelle revisioni e il formato documentale delle domande di riconoscimento. Le disposizioni in materia di dati personali richiamano il regolamento (UE) 2018/1725 per l’ESMA e il regolamento (UE) 2016/679 per i richiedenti.

Sistemi, risorse e procedure dei verificatori esterni

L’articolo 1 definisce i criteri per verificare che i sistemi e le procedure del verificatore esterno siano idonei, adeguati ed efficaci. Devono essere garantite la sicurezza, l’integrità e la riservatezza delle informazioni, oltre alla continuità e regolarità delle verifiche. Le risorse umane, tecniche e materiali devono essere sufficienti a individuare, gestire, monitorare e segnalare i rischi a cui il verificatore è esposto o che può generare verso terzi. Le procedure devono inoltre assicurare un’applicazione oggettiva e coerente delle metodologie di valutazione, con processi di raccolta dati, gestione delle carenze, correzione degli errori e test periodici delle attività di valutazione, delle ipotesi e dei dati di misurazione.

Monitoraggio, correzione delle carenze e controllo interno

L’articolo 2 richiede che il monitoraggio e la valutazione dell’adeguatezza ed efficacia siano affidati a una funzione indipendente dalle linee di business. Le carenze individuate devono essere registrate elettronicamente, attribuite a un responsabile, oggetto di misure correttive e oggetto di comunicazione all’alta dirigenza, all’organismo di sorveglianza o all’organo di gestione. Quest’ultimo deve vigilare sull’attuazione tempestiva delle azioni correttive. Più in generale, l’articolo 7 impone un sistema organico di controllo interno, adeguato alla natura e complessità dell’attività, supportato da gestione dei rischi, controlli preventivi e investigativi, flussi informativi affidabili e monitoraggio continuo.

Funzione di controllo della conformità

Gli articoli 3, 4 e 5 disciplinano la funzione di controllo della conformità. Essa deve essere sorretta da politiche approvate dall’organo di gestione che le consentano di operare in modo obiettivo e senza indebite influenze, valutando il rispetto di leggi, regolamenti, politiche e procedure interne. Almeno un membro deve avere anzianità sufficiente per interagire direttamente con i responsabili e partecipare alle strutture incaricate della supervisione dei rischi e della conformità. La funzione deve inoltre disporre di personale numericamente adeguato e dotato, nel complesso, di competenze in gestione dei rischi, audit, diritto o compliance, nonché di sistemi che le consentano di monitorare, indagare, registrare e segnalare gli esiti del controllo. Deve avere accesso fisico e digitale a tutte le informazioni rilevanti, inclusi registri aziendali, verbali degli organi sociali, audit, segnalazioni di whistleblowing, reclami dei clienti, informazioni sulle esternalizzazioni e sulle altre unità operative, oltre che ai locali del verificatore esterno.

Procedure amministrative, contabili e gestione dei rischi TIC

L’articolo 6 richiede che le registrazioni consentano di ricostruire chiaramente tutti gli eventi rilevanti e che il sistema contabile rappresenti in modo equo e preciso la situazione finanziaria del verificatore esterno, nel rispetto dei principi contabili applicabili. L’articolo 8 disciplina il controllo delle informazioni e dei rischi TIC, imponendo una struttura adeguata alla complessità del soggetto, una gestione prudente dei rischi informatici, valutazioni di sicurezza almeno ogni 24 mesi, manutenzione e test di capacità TIC ridondanti per la continuità operativa e, se necessario, valutazioni dei rischi connessi all’integrazione di TIC di fornitori terzi.

Metodologie di valutazione, qualità delle informazioni e affidabilità delle fonti

Gli articoli 9 e 10 fissano criteri sostanziali per le informazioni impiegate nelle verifiche. Le informazioni devono essere complete, offrire una rappresentazione esaustiva del progetto finanziato dall’obbligazione, essere direttamente collegate alle caratteristiche dell’obbligazione, essere aggiornate al momento della verifica e basarsi su assunzioni ragionevoli; ove rilevanti, devono includere dati storici. Le fonti devono essere oggettivamente suffragate da prove, credibili e documentate quanto a raccolta, trattamento, revisione storica e limiti. Il regolamento privilegia le informazioni soggette a obblighi legali di informativa, audit, attestazione o certificazione indipendente e, in mancanza, quelle conformi a standard e migliori pratiche internazionali riconosciute.

Domande di riconoscimento dei verificatori esterni di paesi terzi

L’articolo 11 disciplina in modo dettagliato il contenuto e il formato delle domande di riconoscimento. I richiedenti di paesi terzi devono trasmettere all’ESMA le informazioni richieste dagli allegati nel formato previsto, in modo leggibile meccanicamente e su supporto durevole. Ogni documento deve avere un numero di riferimento unico e la domanda deve indicare con chiarezza a quale requisito del regolamento (UE) 2023/2631 si riferiscano le informazioni e in quale documento esse siano contenute. Se un requisito è ritenuto non applicabile, il richiedente deve dichiararlo espressamente e motivarlo. La domanda deve inoltre essere accompagnata da una lettera firmata da un membro dell’alta dirigenza che attesti l’esattezza e completezza delle informazioni, per quanto a sua conoscenza.

Dati personali e conservazione

Il regolamento contiene specifiche garanzie in materia di protezione dei dati. I dati personali relativi ai richiedenti devono essere conservati solo per il tempo necessario alla valutazione della domanda iniziale e comunque non oltre cinque anni dalla cessazione delle funzioni del richiedente. In caso di rifiuto del riconoscimento o di ritiro della domanda, l’ESMA può conservarli per non più di cinque anni dalla decisione di rifiuto o dal ritiro. I considerando richiamano espressamente il rispetto della disciplina UE in materia di protezione dei dati personali.

Allegati e documentazione richiesta

Gli allegati I-VIII definiscono il set documentale che accompagna la domanda: tabella di raccordo tra documenti e obblighi normativi; informazioni generali del richiedente; assetto proprietario; dati sull’alta dirigenza e sul consiglio di amministrazione con curriculum, prova dell’assenza di precedenti penali e dichiarazioni di professionalità/onorarietà e conflitti di interesse; risorse analitiche, espresso anche in equivalenti a tempo pieno; politiche e procedure su formazione, continuità operativa, riservatezza, contabilità, controllo interno, whistleblowing, remunerazione, pubblicazione delle verifiche, governance, conflitti di interessi ed esternalizzazioni; altre attività svolte dal richiedente; dati del rappresentante legale stabilito nell’Unione.

Entrata in vigore

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.