# Prendere atto non significa decidere > SwissGRC® erklärt in diesem Beitrag, wie Risikoberichte dem Verwaltungsrat als Entscheidungsgrundlage dienen statt als blosse Statusmeldung. Er ordnet Art. 716a OR, FINMA-Rundschreiben und Swiss Code ein und nennt zwei prüfbare Schritte. - URL: https://swissgrc.com/it/reporting-rischi-consiglio-amministrazione-decisione/ - Editore: SwissGRC® - Pubblicato: 2026-10-30 - Ultimo aggiornamento: 2026-10-31 ## Punti chiave - Art. 716a OR verpflichtet den Verwaltungsrat zur Oberleitung der Gesellschaft und zur Oberaufsicht über die Geschäftsführung, schreibt aber nicht vor, wie Risikoinformationen aufbereitet werden. - Das FINMA-Rundschreiben 2023/1 Operationelle Risiken und Resilienz Banken, in Kraft seit Januar 2024, sieht mindestens eine jährliche Berichterstattung an Verwaltungsrat und Geschäftsleitung über die operationelle Resilienz vor. - Der Swiss Code of Best Practice for Corporate Governance von economiesuisse (Februar 2023) empfiehlt börsenkotierten Gesellschaften ausserhalb des Finanzsektors eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. - Laut einem Gartner-Referenten ist Risikoberichterstattung oft zu repetitiv, zu langsam oder zu subjektiv, um die Entscheidungsfindung zu unterstützen. - Monetäre Messgrössen aus einer Risikoquantifizierung erlauben, Risiken zu vergleichen, zu einem Gesamtrisiko zu aggregieren und mit der Risikotragfähigkeit abzugleichen. - Als ersten Schritt legt die Risikofunktion dem Verwaltungsrat eine Liste der vorgelegten Risikoberichte vor und markiert, ob Entscheidung, Rückfrage oder keine Reaktion erfolgte. Una relazione sui rischi che in consiglio di amministrazione viene soltanto presa atto ha mancato il proprio scopo. L’art. 716a CO obbliga il consiglio di amministrazione all’alta direzione della società, all’alta vigilanza sulla gestione e alla redazione della relazione sulla gestione, ma non stabilisce come debbano essere elaborate le informazioni sui rischi. Per gli istituti finanziari la FINMA concretizza questo obbligo in appositi circolari, mentre per le società quotate lo Swiss Code aggiunge una valutazione annuale dei rischi. La quintessenza: i rischi devono confluire nel processo decisionale, non essere semplicemente archiviati. In breve La rendicontazione dei rischi serve al consiglio di amministrazione come base decisionale quando consente di adempiere l’obbligo di legge previsto dall’art. 716a CO. A tal fine le ponderazioni dei rischi e le opzioni d’intervento devono essere collocate nel contesto delle risorse disponibili. Quanto rischio intende assumersi consapevolmente l’organizzazione per raggiungere i propri obiettivi? Decisivo è se una relazione offra una base adeguata per rispondere a queste domande. ## Quale obbligo ha il consiglio di amministrazione nella sorveglianza dei rischi? Ai sensi dell’art. 716a CO, il consiglio di amministrazione ha compiti intrasmissibili e inalienabili, tra cui l’alta direzione della società e l’alta vigilanza sulle persone incaricate della gestione. Tra questi compiti rientrano la definizione e l’attuazione della strategia nonché la valutazione della situazione di rischio. Il Codice delle obbligazioni non prescrive tuttavia come il consiglio di amministrazione debba adempiere questo obbligo nella pratica. Come orientamento servono fonti normative quali la norma ISO 31000:2018 Risk Management o il COSO Enterprise Risk Management Framework, che però non sono vincolanti. Colmare il divario tra obbligo di legge e attuazione concreta rientra nella responsabilità del consiglio di amministrazione. Un orientamento per la ripartizione dei ruoli è offerto dal modello delle tre linee dell’IIA. Esso descrive il consiglio di amministrazione come governing body, che definisce visione, missione, valori e propensione al rischio, delega la responsabilità operativa alla direzione e da questa riceve relazioni sul raggiungimento degli obiettivi. Secondo tale modello, l’interazione delle tre linee deve garantire l’affidabilità, la coerenza e la trasparenza delle informazioni necessarie per decisioni basate sul rischio. ## Che cosa richiedono concretamente la FINMA e lo Swiss Code alla rendicontazione? Per le banche, l’Autorità federale di vigilanza sui mercati finanziari FINMA concretizza l’obbligo di rendicontazione in appositi circolari; per le società quotate, lo Swiss Code raccomanda una valutazione annuale dei rischi. Secondo la [circolare FINMA 2017/1 Corporate governance – banche](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2017-01-20200101.pdf?la=de), in vigore dal luglio 2017, la gestione del rischio comprende «le strutture organizzative nonché i metodi e i processi volti a definire le strategie di rischio e le misure di controllo del rischio, nonché a identificare, analizzare, valutare, gestire, sorvegliare e rendicontare i rischi». L’organo di alta direzione definisce in tale ambito la strategia aziendale, approva il quadro concettuale per la gestione del rischio a livello di istituto e risponde della regolamentazione, dell’istituzione e della sorveglianza di una gestione del rischio efficace nonché del controllo dei rischi complessivi. La circolare FINMA 2023/1 Rischi e resilienza operativi – banche, interamente rivista e in vigore dal gennaio 2024, concretizza ulteriormente la rendicontazione periodica e prevede almeno una rendicontazione annuale al consiglio di amministrazione e alla direzione sulla resilienza operativa. Per le società quotate al di fuori del settore finanziario, lo [Swiss Code of Best Practice for Corporate Governance](https://backend-api.economiesuisse.ch/sites/default/files/2025-12/SwissCode_DE_RZ.pdf) di economiesuisse, pubblicato nel febbraio 2023, raccomanda una valutazione dei rischi almeno annuale da parte del consiglio di amministrazione, il cui esito deve confluire nello sviluppo del sistema di controllo interno. ## Perché molte relazioni sui rischi mancano il proprio scopo? La rendicontazione dei rischi è spesso troppo ripetitiva, troppo lenta o troppo soggettiva per sostenere il processo decisionale: questa è stata l’affermazione di un relatore di Gartner alla conferenza Enterprise Risk, Audit & Compliance di quest’anno a Londra. A causa di queste tre caratteristiche, le relazioni sui rischi si riducono regolarmente a semplici comunicazioni di stato: gli indicatori si ripetono senza inquadramento contestuale, le informazioni raggiungono i decisori molto tempo dopo il verificarsi di un rischio e le valutazioni soggettive privano la decisione di una base misurabile. Come rimedio, [Gartner](https://www.gartner.com/en/newsroom/press-releases/2026-09-29-gartner-says-enterprise-risk-management-leaders-shouldd-target-three-key-innovations-in-risk-reporting) propone di ricorrere all’innovazione, dalle evidenze generate dall’IA alle informazioni rilevate dinamicamente e quantificate, per governare il continuo mutamento del panorama dei rischi. ## Che cosa distingue una base decisionale da una semplice comunicazione di stato? Una base decisionale evidenzia in chiave prospettica le interdipendenze tra i rischi e le possibili misure, invece di fornire una prova retrospettiva. Una relazione deve indicare quali ponderazioni dei rischi vadano effettuate nel contesto dell’andamento degli affari e delle risorse disponibili. Le opzioni d’intervento devono esplicitare gli effetti sul rischio che l’impresa intende assumersi per raggiungere i propri obiettivi. Grandezze di misura monetarie, ad esempio derivanti da una [quantificazione dei rischi](https://swissgrc.com/risikoquantifizierung/), aiutano a confrontare i rischi tra loro, ad aggregarli in un rischio complessivo cumulato e a raffrontarli così con la capacità di rischio, anziché descriverli solo in termini qualitativi. ![Risk reporting: rischio aggregato a confronto con la capacità di rischio nella Piattaforma SwissGRC](https://swissgrc.com/wp-content/uploads/2026/09/rq-capacity-1024x837.webp) Risk reporting: rischio aggregato a confronto con la capacità di rischio nella Piattaforma SwissGRC ## Come si può migliorare concretamente la rendicontazione dei rischi? Il consiglio di amministrazione verifica per ogni relazione se da essa possa derivare una decisione e rinvia con una richiesta precisa le relazioni prive di questa caratteristica. Un primo passo verificabile: la funzione di rischio presenta al consiglio di amministrazione, in occasione della prossima seduta ordinaria, un elenco delle relazioni sui rischi presentate nell’anno in corso, indicando per quale relazione sia seguita una decisione concreta, una richiesta di chiarimento o nessuna reazione. Questo quadro mostra immediatamente quale tipo di relazione produca effetti e quale si limiti a documentare. Il secondo passo riguarda la struttura stessa: le relazioni che devono passare [dalla prova allo strumento di gestione](https://swissgrc.com/vom-nachweis-zum-steuerungsinstrument-grc/) devono basarsi su una logica di rendicontazione complessiva, capace di fornire evidenze sui rischi utili alle decisioni, anziché limitarsi a elencare i rischi prioritari. Gli indicatori slegati tra loro non hanno spazio: al loro posto subentrano informazioni interconnesse e contestuali nonché misure concrete e attuabili. Da leggere anche ### I rischi in cifre per il consiglio di amministrazione La soluzione per la quantificazione dei rischi traduce i rischi in ordini di grandezza monetari. Rende le relazioni sui rischi destinate al consiglio di amministrazione confrontabili e utilizzabili per decidere. [RiskQuant](https://swissgrc.com/risikoquantifizierung/) Per la pratica ## Punti chiave - Il consiglio di amministrazione dovrebbe verificare per ogni relazione sui rischi se essa conduca a una decisione concreta o si limiti a comunicare uno stato. - Per le banche, le circolari FINMA 2017/1 e 2023/1 stabiliscono requisiti concreti su contenuto e periodicità della rendicontazione al consiglio di amministrazione. - Lo Swiss Code raccomanda alle società quotate una valutazione dei rischi almeno annuale da parte del consiglio di amministrazione. - Le relazioni sui rischi acquistano valore decisionale quando mostrano le interdipendenze tra i rischi e le opzioni d’intervento, non solo indicatori. - Un elenco delle decisioni già assunte sulle relazioni sui rischi rende visibile quale forma di rendicontazione produca effettivamente effetti. FAQ ## Domande frequenti Quale base giuridica disciplina la sorveglianza dei rischi da parte del consiglio di amministrazione in Svizzera? L’art. 716a CO obbliga il consiglio di amministrazione all’alta direzione della società e all’alta vigilanza sulla gestione. Vi rientrano anche la definizione della strategia e la valutazione della situazione di rischio. Il modo in cui questo obbligo viene attuato nella pratica non è prescritto dalla legge stessa. Esistono prescrizioni specifiche sulla rendicontazione dei rischi per le banche? Sì. Secondo la circolare FINMA 2017/1, l’organo di alta direzione approva il quadro concettuale per la gestione del rischio a livello di istituto e risponde di una gestione del rischio efficace. La circolare 2023/1, interamente rivista, prevede inoltre almeno una rendicontazione annuale sulla resilienza operativa al consiglio di amministrazione e alla direzione. Che cosa raccomanda lo Swiss Code in materia di rendicontazione dei rischi per le società quotate? Lo Swiss Code of Best Practice for Corporate Governance raccomanda alle società quotate una valutazione dei rischi almeno annuale da parte del consiglio di amministrazione. Il relativo esito deve confluire nello sviluppo del sistema di controllo interno, senza che il Code prescriva una forma di rendicontazione specifica. Perché molte relazioni sui rischi vengono soltanto prese atto in consiglio di amministrazione invece di condurre a decisioni? Gartner indica tre cause: indicatori ripetitivi privi di nuovo inquadramento, informazioni tardive successive al verificarsi di un rischio e valutazioni soggettive senza base verificabile. Queste caratteristiche riducono una relazione a mera comunicazione di stato, alla quale il consiglio di amministrazione non reagisce. Come si può verificare se una relazione sui rischi produce effettivamente effetti in consiglio di amministrazione? La funzione di rischio redige un elenco di tutte le relazioni sui rischi presentate nell’anno in corso e indica per quale relazione sia seguita una decisione concreta, una richiesta di chiarimento o nessuna reazione. Questo quadro mostra immediatamente quale tipo di relazione produca effetti e quale si limiti a documentare. Fonti 1. [Circolare FINMA 2017/1 Corporate governance – banche](https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2017-01-20200101.pdf?la=de)FINMA 2. [Swiss Code of Best Practice for Corporate Governance 2023](https://backend-api.economiesuisse.ch/sites/default/files/2025-12/SwissCode_DE_RZ.pdf)economiesuisse 3. [Gartner Says Enterprise Risk Management Leaders Should Target Three Key Innovations in Risk Reporting](https://www.gartner.com/en/newsroom/press-releases/2026-09-29-gartner-says-enterprise-risk-management-leaders-shouldd-target-three-key-innovations-in-risk-reporting)Gartner ## Domande frequenti ### Was regelt Art. 716a OR zur Risikoüberwachung durch den Verwaltungsrat? Art. 716a OR weist dem Verwaltungsrat unübertragbare und unentziehbare Aufgaben zu, darunter die Oberleitung der Gesellschaft und die Oberaufsicht über die Geschäftsführung. Wie der Verwaltungsrat diese Pflicht in der Praxis erfüllt, schreibt das Obligationenrecht nicht vor. ### Was verlangt die FINMA von der Risikoberichterstattung bei Banken? Das FINMA-Rundschreiben 2017/1 legt fest, dass das Oberleitungsorgan das Rahmenkonzept für das institutsweite Risikomanagement genehmigt und für dessen Wirksamkeit verantwortlich ist. Das Rundschreiben 2023/1 sieht mindestens eine jährliche Berichterstattung über die operationelle Resilienz an Verwaltungsrat und Geschäftsleitung vor. ### Was empfiehlt der Swiss Code zur Risikobeurteilung? Der Swiss Code empfiehlt börsenkotierten Gesellschaften ausserhalb des Finanzsektors eine mindestens jährliche Risikobeurteilung durch den Verwaltungsrat. Das Ergebnis fliesst in die Weiterentwicklung des internen Kontrollsystems ein. ### Warum verfehlen viele Risikoberichte ihren Zweck? Sie sind laut Gartner oft zu repetitiv, zu langsam oder zu subjektiv. Dadurch werden sie zu Statusmeldungen mit wiederholten Kennzahlen, verspäteten Informationen und fehlender messbarer Grundlage. ### Wie prüft der Verwaltungsrat, ob ein Risikobericht wirkt? Die Risikofunktion legt eine Liste der im laufenden Jahr vorgelegten Berichte vor und markiert, ob eine Entscheidung, eine Rückfrage oder keine Reaktion erfolgte. So wird sichtbar, welcher Berichtstyp wirkt und welcher nur dokumentiert.