Progettiamo e rafforziamo il quadro di gestione dei rischi della tua impresa di investimento (ESI) davanti alla CNMV: mappa dei rischi, unità e comitato rischi, funzione di compliance, audit interno, quadro prudenziale IFR/IFD e reporting di vigilanza. Un modello coerente, proporzionato e difendibile.
Consulenza gratuita
Ti rispondiamo entro 24 ore
Sei blocchi che compongono un quadro di gestione dei rischi coerente, proporzionato e difendibile davanti alla CNMV per qualsiasi impresa di investimento.
Individuiamo e classifichiamo i rischi rilevanti della tua società — credito, mercato, liquidità, operativo, concentrazione, tecnologico e di compliance — e li traduciamo in un profilo di rischio allineato all’approccio RtC/RtM/RtF del quadro prudenziale.
Progettiamo la funzione di gestione dei rischi indipendente, il comitato rischi e il relativo reporting all’organo di amministrazione ai sensi del Real Decreto 813/2023 e della Legge 6/2023 (LMVSI), con un perimetro proporzionato alle dimensioni della società.
Implementiamo la funzione di compliance richiesta dalla MiFID II: controllo della condotta, adeguatezza, conflitti di interesse, product governance e reporting verso l’autorità di vigilanza.
Definiamo la terza linea di difesa: piano annuale di audit interno, verifica indipendente dei controlli e monitoraggio di raccomandazioni e rilievi.
Analizziamo i requisiti di fondi propri per fattori K, il capitale iniziale e la classificazione della tua ESI ai sensi del Regolamento (UE) 2019/2033 (IFR) e della Direttiva (UE) 2019/2034 (IFD).
Integriamo il rischio tecnologico nel quadro dell’ESI: gestione del rischio ICT, continuità operativa, notifica degli incidenti e controllo dei fornitori critici ai sensi del DORA.
Sociedades de valores (broker-dealer), agencias de valores (broker), società di gestione di portafogli o società di consulenza finanziaria: ogni figura ha il proprio profilo di rischio, il proprio capitale e i propri requisiti di organizzazione interna davanti alla CNMV.
«Poiché può negoziare in conto proprio e sottoscrivere emissioni, la sociedad de valores concentra rischio di mercato e di controparte: richiede il capitale iniziale più alto e un quadro dei rischi solido.»
«L’agencia de valores opera per conto terzi. Il baricentro del rischio si sposta sul rischio operativo, sulla custodia di fondi e strumenti e sul rischio di compliance.»
«La società di gestione di portafogli opera in modo discrezionale: il controllo si concentra su adeguatezza, conflitti di interesse, best execution e rischio reputazionale.»
«La società di consulenza finanziaria ha un profilo di rischio basso, ma resta tenuta ad avere un quadro di gestione dei rischi e di compliance proporzionato alla sua attività davanti alla CNMV.»
Un quadro dei rischi debole o puramente formale si traduce in richieste di informazioni della CNMV, requisiti di capitale aggiuntivi, sanzioni e danni reputazionali che condizionano l’attività della società.
L’errore più frequente: trattare la funzione rischi come un documento e non come una funzione viva. Quando il comitato rischi non raccoglie evidenze, verbali né monitoraggio, il modello non regge a una revisione prudenziale.
La CNMV valuta l’organizzazione interna, non solo le carte: se mappa dei rischi, governance, funzione di compliance e audit interno non si incastrano tra loro, il processo di revisione prudenziale individua le lacune.
Il quadro prudenziale è proporzionato ma esigente: con IFR/IFD i fondi propri si calcolano per fattori K e la CNMV può imporre requisiti di capitale aggiuntivi se la valutazione dei rischi risulta insufficiente.
Se la CNMV ritiene che i rischi non siano coperti in modo sufficiente, può richiedere fondi propri aggiuntivi rispetto al requisito dell’IFR.
Le carenze di organizzazione interna e di gestione dei rischi sono tipizzate come infrazioni nella LMVSI e possono comportare sanzioni e responsabilità degli amministratori.
Un incidente di controllo o un richiamo pubblico erode il rapporto con clienti, controparti e depositari, con ricadute sul business.
Prima di un’ispezione o di un’autorizzazione conviene rivedere la mappa dei rischi, la governance interna, le funzioni di controllo e il calcolo dei fondi propri, per assicurarsi che il modello regga alla revisione prudenziale.
È l’insieme di politiche, funzioni e procedure che un’impresa di investimento adotta per individuare, misurare, monitorare e mitigare i rischi derivanti dalla sua attività. Comprende la funzione di gestione dei rischi, il comitato rischi, la funzione di compliance e l’audit interno.
Non è un adempimento documentale: la CNMV valuta che esista una organizzazione interna reale e proporzionata, in grado di sostenere l’attività con controlli effettivamente eseguiti ed evidenze.
Il quadro principale è la Legge 6/2023, del 17 marzo, sui mercati dei valori e sui servizi di investimento (LMVSI) e il suo sviluppo regolamentare, il Real Decreto 813/2023, dell’8 novembre, che ha abrogato il RD 217/2008.
A questo si aggiungono la MiFID II (Direttiva 2014/65/UE) e il Regolamento delegato (UE) 2017/565, oltre al quadro prudenziale IFR/IFD: Regolamento (UE) 2019/2033 e Direttiva (UE) 2019/2034.
La LMVSI disciplina la gestione del rischio e il comitato rischi e, come novità rispetto al regime precedente, estende questo obbligo anche alle ESI piccole e non interconnesse (ESIPNI), rinviando a una disciplina regolamentare proporzionata.
Nella pratica, l’ambito e la formalizzazione del comitato sono graduati in base a dimensioni, natura e complessità della società. Analizziamo quale configurazione è adatta alla tua ESI.
È il regime prudenziale specifico delle imprese di investimento, composto dal Regolamento (UE) 2019/2033 (IFR) e dalla Direttiva (UE) 2019/2034 (IFD), recepita nell’ordinamento spagnolo dalla LMVSI e dal RD 813/2023.
Sostituisce l’applicazione generalizzata del quadro bancario (CRR/CRD) con un modello proporzionato al rischio e alle dimensioni, basato sui fattori K.
È il modello di controllo interno di riferimento:
La CNMV si aspetta che queste linee siano chiaramente distinte e dotate di indipendenza e risorse.
La funzione di gestione dei rischi individua e misura i rischi e ne cura il controllo; la funzione di compliance vigila sul rispetto delle norme di condotta (MiFID II) e sui conflitti di interesse; l’audit interno verifica in modo indipendente che entrambe funzionino.
Sono funzioni distinte e, nella misura in cui lo consente la proporzionalità, indipendenti tra loro e dal business.
Verifica la coerenza e l’adeguatezza dell’organizzazione interna: mappa e propensione al rischio, governance societaria, requisiti di onorabilità e professionalità (fit and proper) di amministratori e responsabili delle funzioni chiave, politiche sui conflitti e sulle remunerazioni, sistema di controllo ed evidenze del suo funzionamento.
Nell’ambito della revisione prudenziale, può richiedere informazioni, imporre misure correttive e stabilire requisiti aggiuntivi di fondi propri.
In via generale: rischio di credito e di controparte, di mercato, di liquidità, operativo, di concentrazione, tecnologico (ICT), di compliance e reputazionale.
Il quadro IFR ordina inoltre il rischio in tre grandi blocchi — rischio per il cliente (RtC), per il mercato (RtM) e per la società stessa (RtF) — che orientano il calcolo dei fondi propri per fattori K.
Una ESI piccola e non interconnessa: un’impresa di investimento che, per dimensioni e attività, rispetta le soglie che la esonerano dai requisiti più gravosi del quadro prudenziale (ad esempio, ricavi da servizi di investimento inferiori in media a 30 milioni di euro, tra gli altri criteri). Le si applica un regime semplificato e proporzionato.
Sono i parametri che il Regolamento IFR utilizza per calcolare i requisiti di fondi propri delle ESI in funzione del rischio che generano. Si raggruppano in tre famiglie: rischio per il cliente (RtC), rischio per il mercato (RtM) e rischio per la società stessa (RtF), e misurano variabili come il patrimonio gestito, gli ordini trattati o i fondi dei clienti custoditi.
Le ESI di maggiori dimensioni e interconnessione (con attivi consolidati che superano determinate soglie) possono essere soggette al quadro bancario e, se del caso, tenute a chiedere l’autorizzazione come ente creditizio. La CNMV può inoltre imporre l’applicazione dei requisiti del CRR a determinate società per la loro rilevanza sistemica.
Il Regolamento DORA, applicabile da gennaio 2025, obbliga le ESI a dotarsi di un quadro di gestione del rischio tecnologico: governance ICT, continuità operativa, registrazione e notifica degli incidenti, test di resilienza e vigilanza sui fornitori critici. È un tassello in più del quadro dei rischi, non un comparto isolato.
Dipende dal tipo di società. A titolo indicativo nel quadro IFD/RD 813/2023: 750.000 € per le sociedades de valores che negoziano in conto proprio o sottoscrivono emissioni; 150.000 € per le agencias de valores; e 75.000 € per le società di gestione di portafogli e le società di consulenza finanziaria. L’importo esatto va verificato in base ai servizi autorizzati.
Il Fondo di garanzia degli investimenti (FOGAIN) tutela i clienti delle ESI in caso di insolvenza della società, nei limiti di legge. L’adesione e il regime dei contributi dipendono dal tipo di ESI; determinate EAF ed EAFN hanno un regime specifico ai sensi della LMVSI.
Non tutte le imprese di investimento hanno lo stesso profilo di rischio né gli stessi requisiti. Il capitale iniziale e la portata del quadro di controllo dipendono dai servizi che la società presta.
L’impegno di controllo dipende da due blocchi: il profilo di rischio derivante dai servizi autorizzati e il quadro prudenziale applicabile (classe di ESI ai sensi di IFR/IFD).
Prima di implementare qualsiasi cosa chiudiamo la diagnosi del profilo di rischio e della classe di ESI. In questo modo il quadro è proporzionato: né sovradimensionato né insufficiente davanti alla CNMV.
| Tipo di ESI | Sociedad de valores (broker-dealer) | Agencia de valores (broker) | Gestione di portafogli (SGC) | EAFN |
|---|---|---|---|---|
| Capitale iniziale (indicativo) | 750.000 € | 150.000 € (75.000 € se non custodisce) | 75.000 € | 75.000 € |
| Negozia in conto proprio | Sì | No | No | No |
| Custodisce fondi e strumenti | Sì | Possibile | No | No |
| Rischio prevalente | Mercato e controparte | Operativo e custodia | Conflitti e adeguatezza | Compliance (basso) |
| Comitato rischi e funzione rischi | Sì | Sì | Sì | Proporzionato |
| Autorità di vigilanza | CNMV | CNMV | CNMV | CNMV |
Cifre indicative a fini comparativi. Il capitale iniziale esatto, la classe prudenziale e la portata del quadro dei rischi dipendono dagli specifici servizi di investimento prestati dalla società e vanno verificati caso per caso ai sensi della LMVSI, del RD 813/2023 e di IFR/IFD.
Un quadro dei rischi efficace non è un manuale: è un sistema che dimostra coerenza tra governance, funzioni di controllo, capitale ed evidenze. La chiave è costruire qualcosa di proporzionato che regga alla revisione prudenziale della CNMV.
L’autorità di vigilanza analizza se l’organizzazione interna regge l’attività: amministratori idonei (fit and proper), funzioni chiave dotate di indipendenza, politiche coerenti ed evidenze che i controlli vengono davvero eseguiti.
La mappa dei rischi, la propensione al rischio e il reporting del comitato all’organo di amministrazione vanno progettati prima del capitale. Senza di essi, il calcolo dei fondi propri perde fondamento.
Compliance, audit interno, reporting delle segnalazioni riservate e DORA devono reggere nel tempo, non solo per ottenere l’autorizzazione o superare un’ispezione puntuale.
Se vuoi strutturare o rivedere il quadro dei rischi della tua ESI, consulta i nostri servizi di regolamentazione del mercato dei valori o l’area di corporate compliance.
Un quadro dei rischi efficace non è un dossier: è un insieme di decisioni coerenti (mappa dei rischi, governance e funzioni di controllo, fondi propri e reporting) che si dimostrano con la tracciabilità. Ecco un pannello per capire come si mette in pratica.
1) Mappa dei rischiL’obiettivo non è compilare un modello: è individuare i rischi reali della società e fissare una propensione al rischio che condizioni decisioni e capitale.
2) GovernanceLa funzione rischi, il comitato rischi e il suo reporting all’organo di amministrazione devono incastrarsi con compliance e audit interno, senza sovrapposizioni né vuoti.
3) CapitaleIl calcolo per fattori K e il capitale iniziale devono essere coerenti con il profilo di rischio. Un calcolo debole si traduce in richieste di informazioni della CNMV.
4) Controllo continuoCompliance, audit interno, DORA, reporting e monitoraggio trasformano il quadro in una funzione reale: verifiche, correzioni ed evidenze vive fin dal primo giorno.
Decisione rapidaESI grande e interconnessa: può essere soggetta al quadro bancario (CRR/CRD) o richiedere una licenza di ente creditizio.
ESI standard: fondi propri per fattori K, comitato rischi e organizzazione interna completa.
ESI piccola e non interconnessa: regime semplificato e proporzionato, senza smettere di controllare i propri rischi.
Individuazione dei rischi rilevanti e limiti coerenti con il modello di business e la classe di ESI.
Documento sulla propensione al rischio, mappa dei rischi e politiche per categoria di rischio.
Funzione indipendente che misura, monitora e riferisce i rischi all’organo di amministrazione.
Nomina del responsabile, relazioni sui rischi e reporting periodico al consiglio.
Organo con composizione e periodicità proporzionate che offre consulenza sulla strategia di rischio.
Regolamento del comitato, verbali, ordine del giorno e monitoraggio delle delibere.
Vigilanza sulla condotta MiFID II, sui conflitti di interesse e sulla product governance.
Manuale di compliance, relazione annuale, registro dei conflitti ed evidenze dei controlli.
Verifica indipendente dell’efficacia della gestione dei rischi e della compliance.
Piano annuale di audit, relazioni di verifica e monitoraggio delle raccomandazioni.
Calcolo per fattori K, capitale iniziale e copertura sufficiente del profilo di rischio.
Relazione di calcolo dei fondi propri, segnalazioni riservate e valutazione del capitale.
Individuali prima di un’autorizzazione o di un’ispezione per evitare richieste di informazioni e misure correttive.
Se stai strutturando il quadro dei rischi di un’impresa di investimento, questi termini compaiono nelle politiche interne, nelle relazioni e nei rapporti con la CNMV.
Ente autorizzato dalla CNMV a prestare servizi di investimento: sociedades de valores (broker-dealer), agencias de valores (broker), società di gestione di portafogli e società di consulenza finanziaria.
Funzione indipendente che individua, misura e monitora i rischi della società e riferisce all’organo di amministrazione. Può avvalersi di un’unità di gestione dei rischi.
Organo che consiglia il consiglio di amministrazione sulla strategia e sulla propensione al rischio. La LMVSI lo richiede in modo proporzionato, estendendosi anche alle ESIPNI.
Regolamento (UE) 2019/2033 (IFR) e Direttiva (UE) 2019/2034 (IFD): regime prudenziale proporzionato al rischio e alle dimensioni della ESI, distinto dal quadro bancario.
Parametri dell’IFR per calcolare i fondi propri in base al rischio: per il cliente (RtC), per il mercato (RtM) e per la società stessa (RtF).
Modello di controllo: business (1ª), gestione dei rischi e compliance (2ª) e audit interno (3ª). Devono essere distinte e dotate di indipendenza.
ESI che rispetta le soglie che la esonerano dai requisiti più gravosi del quadro prudenziale. Le si applica un regime semplificato e proporzionato.
Regolamento europeo applicabile da gennaio 2025 che richiede gestione del rischio ICT, continuità, notifica degli incidenti e controllo dei fornitori critici.
Informazioni periodiche che le ESI inviano alla CNMV su solvibilità, attività e rischi, secondo le circolari della CNMV. Base della vigilanza continua.
Scarica la nostra guida con il quadro completo: organizzazione interna, funzioni di controllo, comitato rischi, quadro IFR/IFD e preparazione alla revisione prudenziale.
Raccontaci com’è la tua ESI e ti spieghiamo come strutturare o rafforzare il quadro di gestione dei rischi davanti alla CNMV.
In Spagna il controllo e la gestione dei rischi delle imprese di investimento si articolano a partire dalla Legge 6/2023, del 17 marzo, sui mercati dei valori e sui servizi di investimento (LMVSI) e dal suo sviluppo regolamentare, il Real Decreto 813/2023, dell’8 novembre, che ha abrogato il RD 217/2008 e ha completato il recepimento della Direttiva (UE) 2019/2034 (IFD). La vigilanza spetta alla CNMV, che valuta l’organizzazione interna, i requisiti di onorabilità e professionalità (fit and proper) di amministratori e responsabili delle funzioni chiave e l’adeguatezza del quadro di gestione dei rischi.
Il RD 813/2023 sviluppa le misure di organizzazione interna — gestione dei rischi, unità di gestione dei rischi, conflitti di interesse e registri — e, per le società grandi e interconnesse, la governance interna e il trattamento dei rischi con il comitato rischi. La LMVSI disciplina la gestione del rischio ed estende l’obbligo di comitato rischi anche alle ESI piccole e non interconnesse, con una disciplina proporzionata alle dimensioni e al profilo della società.
Il regime prudenziale delle ESI è disciplinato dal Regolamento (UE) 2019/2033 (IFR) e dalla Direttiva (UE) 2019/2034 (IFD), che sostituiscono l’applicazione generalizzata del quadro bancario con un modello proporzionato al rischio. I requisiti di fondi propri si calcolano per fattori K, raggruppati in rischio per il cliente (RtC), per il mercato (RtM) e per la società stessa (RtF). Le ESI di maggiore rilevanza sistemica possono essere soggette al quadro bancario o richiedere l’autorizzazione come ente creditizio.
All’organizzazione si sovrappongono le norme di condotta della MiFID II (Direttiva 2014/65/UE) e il Regolamento delegato (UE) 2017/565: adeguatezza, conflitti di interesse e product governance. Il modello di controllo si fonda su tre linee di difesa — business, funzioni di rischio e compliance, e audit interno — che la CNMV si aspetta distinte, indipendenti e dotate di risorse.
Nell’ambito della revisione prudenziale, la CNMV può richiedere informazioni, imporre misure correttive e stabilire requisiti aggiuntivi di fondi propri quando ritiene che i rischi non siano coperti in modo sufficiente. Un quadro dei rischi coerente e supportato da evidenze riduce il rischio di richieste di informazioni e di procedimenti sanzionatori.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .