Risk Management: cosa dicono le imprese italiane

L’ultima edizione della survey 2026 “Risk Management & Governance: lo stato dell’arte nel panorama italiano”, condotta da PwC Italia e Nedcommunity, fotografa un contesto in cui i Board aziendali si trovano ad affrontare rischi sempre più interconnessi e complessi. L’instabilità macroeconomica e geopolitica (92%), gli attacchi informatici (87%), la volatilità dei prezzi delle materie prime (82%) e le interruzioni della supply chain (76%) si confermano tra le principali sfide, sia nel breve sia nel lungo periodo (2 e 10 anni). In questo scenario, disporre di competenze dedicate e di un presidio strutturato diventa essenziale per supportare processi decisionali e strategici. Tuttavia, quasi una società su due, il 33% tra le quotate e il 69% tra le non quotate, non si è ancora dotata di una funzione indipendente di Risk Management, limitando la possibilità di adottare un approccio integrato e di fornire a CEO e Board una visione organica dei principali rischi aziendali.

Lo studio mostra come la diffusione di buone pratiche cresca all’aumentare della complessità: sopra gli 1,5 miliardi di euro di fatturato l’adozione raggiunge l’84%. Nel lungo periodo aumentano le preoccupazioni legate alle tensioni socio‑politiche, che entrano nella top 10, mentre il rischio climatico rimane stabile in nona posizione. I dati evidenziano però un divario significativo tra percezione del rischio e capacità delle organizzazioni di adottare strumenti adeguati: sul rischio geopolitico circa il 70% delle aziende adotta misure reattive e non predittive, mentre su cyber risk, AI e privacy, ambiti in cui si registra maggiore sensibilità, la maggior parte dei CdA non si considera sufficientemente edotta rispetto alle responsabilità normative e il 49% dichiara un’informativa parziale o assente sulle attività svolte dalle figure responsabili.

Per quanto riguarda il ruolo del responsabile Risk Management, nelle realtà in cui la funzione è presente emerge un progressivo rafforzamento del posizionamento nella governance: nel 79% dei casi riporta direttamente al CEO o al CdA. Rimane però evidente un empowerment incompleto, poiché nel 39% dei casi non si tratta di un C‑Level. Anche il coinvolgimento nelle scelte strategiche è diffuso ma non sempre strutturato: nell’89% dei casi il Risk Manager/CRO partecipa ai processi di decision making, ma solo nel 50% ciò avviene in modo regolare e formalizzato; inoltre, nel 59% delle aziende la valutazione di rischi e opportunità sulle iniziative strategiche è assente o gestita in modo informale.

La maturità dei modelli di Risk Management risulta prevalentemente intermedia: il 61% delle aziende colloca il proprio modello agli stadi iniziali e il 41% non ha ancora adottato un framework ERM, anche se il 14% ne prevede l’introduzione entro i prossimi 12 mesi. Ancora meno diffuso il Risk Appetite Framework: tra le società che adottano un ERM, solo il 44% ha formalmente definito la propria propensione al rischio attraverso indicatori, soglie e meccanismi di escalation. Sul piano della governance emergono segnali incoraggianti: rispetto ai dati 2024, nel 2026 cresce la regolarità dell’informativa al Board (reporting trimestrale nel 38%), diminuisce il numero di aziende prive di reporting periodico (17%) e aumenta la formalizzazione di policy e documenti di supporto al CdA (64%). Resta però centrale la qualità dell’informazione, che deve essere focalizzata sui rischi primari, comparabile nel tempo e orientata alle decisioni.

Un’area in cui sono attesi miglioramenti significativi riguarda l’integrazione tra rischio e pianificazione strategica: il 90% dei CdA riceve un’informativa sul profilo di rischio associato al Business Plan, ma nel 24% dei casi il processo non è strutturato e nel 38% avviene solo su richiesta. Anche la frequenza di monitoraggio risulta limitata: nel 42% delle aziende gli aggiornamenti sull’andamento del Business Plan e dei rischi associati non sono sistematici. Un coinvolgimento più regolare e organizzato del Risk Manager nelle decisioni strategiche rafforzerebbe la capacità di anticipare criticità e di supportare il CdA nell’assunzione di decisioni più informate.

Come sottolinea Riccardo Bua Odetti, Partner PwC Italia e lead of Enterprise Risk Management: “In uno scenario in cui la complessità è diventata strutturale e il cambiamento è continuo, il Risk Management rappresenta una funzione chiave che deve evolvere dal presidio dei controlli di processo alla valutazione dei rischi legati alle scelte strategiche e al Business Plan”. La survey mostra come le aziende non finanziarie abbiano avviato un percorso di evoluzione, ma anche quanto resti da fare per rafforzare governance, integrazione e qualità delle informazioni destinate al CdA, soprattutto in un contesto privo di una normativa dedicata.