Modelli e registrazioni · ISO 37301 · Punto 4.6
Modello di matrice dei rischi di compliance ISO 37301
La valutazione che incrocia ogni obbligo con l’attività che potrebbe violarlo e decide quali controlli servono, area per area.
In una frase
La matrice dei rischi di compliance individua ogni rischio collegando un obbligo alle attività che potrebbero violarlo, lo analizza per probabilità e conseguenze, lo valuta rispetto ai controlli esistenti e decide le azioni; la ISO 37301 obbliga a conservare questa valutazione e le azioni per trattare i rischi (4.6), e a ripeterla periodicamente e in caso di cambiamenti.
- Dove lo richiede la norma
- ISO 37301 · Punto 4.6 I punti seguono la ISO 37301:2021, l’edizione in vigore, che ha sostituito la linea guida ISO 19600.
- Tipo di informazione
- Registrazione obbligatoria Informazioni documentate da conservare (4.6)
- Chi lo compila
- Funzione di compliance con ciascuna area I responsabili di area spiegano come si lavora davvero; la compliance porta il metodo
- Quando
- Almeno una volta l’anno E in caso di modifiche normative, nuove attività, nuovi mercati o violazioni rilevanti
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO 37301 non fissa termini. In Spagna conviene tenere conto dei termini di prescrizione dei reati che il sistema vuole prevenire, perché la registrazione è la prova della diligenza.
Che cosa richiede la norma
Che cosa impone la norma ISO 37301 e che cosa lascia alla sua discrezione
La norma chiede di identificare, analizzare e valutare i rischi di compliance. Il metodo di identificazione è preciso: collegare gli obblighi del 4.5 alle attività, ai prodotti, ai servizi e agli aspetti operativi. Una matrice che non parte dagli obblighi non risponde a ciò che viene richiesto.
La valutazione si ripete a intervalli pianificati e quando cambiano le circostanze o l’organizzazione. Si conservano la valutazione e le azioni decise, così da vedere come evolvono i rischi.
Non è la matrice dei rischi e delle opportunità della ISO 9001: qui il rischio è violare un obbligo, e le conseguenze includono sanzioni, responsabilità penale e danno reputazionale.
Struttura
Campi che il modello deve contenere
- Obbligo da cui nasce il rischio
- Attività, processo o area in cui potrebbe essere violato
- Descrizione del rischio e cause
- Probabilità e conseguenze (sanzionatorie, penali, reputazionali)
- Controlli esistenti e loro efficacia
- Livello di rischio residuo
- Azioni decise, responsabile e scadenza
- Data della valutazione e prossima revisione
Esempio
Esempio: rischio di corruzione nell’area commerciale
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Obbligo | Contratto quadro con un ospedale pubblico e codice etico di settore (fittizio): divieto di regali al personale degli acquisti |
| Area | Direzione commerciale · vendite a strutture pubbliche |
| Rischio | Inviti o regali a personale con potere decisionale nelle gare |
| Cause | Obiettivi commerciali legati alle aggiudicazioni; assenza di limiti scritti |
| Valutazione | Probabilità media · conseguenze molto alte (penali ed esclusione dagli appalti pubblici) |
| Controlli esistenti | Codice etico firmato dal personale |
| Azioni | Registro di regali e ospitalità con approvazione preventiva · Formazione specifica al team commerciale · Compliance · 31 dicembre |
| Data | Valutazione annuale, 15 settembre 2026 |
In audit
Errori che gli auditor rilevano più spesso
- Rischi generici («violazione normativa») senza un obbligo né un’attività concreti.
- La valutazione non si ripete dopo una violazione o un’indagine.
- Aggiornando si cancella la valutazione precedente.
- Controlli segnati come efficaci che nessuno ha verificato.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1La matrice dei rischi di compliance si registra con il suo responsabile e l’azione associata.
- 2Ogni rischio di non compliance resta identificato e classificato per priorità e per area.
- 3Dopo ogni violazione rilevante, la mappa dei rischi si aggiorna dalla stessa indagine.
Domande frequenti
Cosa ci chiedono prima di iniziare
È la stessa cosa della mappa dei rischi penali?
La mappa dei rischi penali si concentra sui reati che possono generare la responsabilità della persona giuridica secondo l’art. 31 bis del Código Penal spagnolo. La matrice della ISO 37301 è più ampia: copre qualsiasi obbligo, anche se la sua violazione non costituisce reato.
E la mappa dei rischi fiscali della UNE 19602?
È un sottoinsieme specializzato. Chi gestisce entrambi i sistemi può avere una matrice unica con i rischi tributari sviluppati più in dettaglio e il loro organo responsabile.
Gestisca le registrazioni ISO 37301 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Matrice dei rischi e delle opportunità ISO 9001: modello
Come costruire la matrice dei rischi e delle opportunità per la ISO 9001 (6.1): origine nel contesto…
Pianificazione
Pianificare nella compliance significa individuare dove può venire meno la conformità e fissare obiettivi…
Modello di registro degli obblighi di compliance ISO 37301
Come documentare gli obblighi di compliance richiesti dalla ISO 37301: requisiti obbligatori e impegni…
Modello di politica di compliance ISO 37301
Cosa deve contenere la politica di compliance secondo la ISO 37301: impegni, indipendenza della funzione…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO 37301:2021 — Sistemi di gestione per la compliance. Requisiti con guida per l’utilizzo ISO · Aprile 2021
- Ley Orgánica 10/1995, Código Penal (codice penale spagnolo), art. 31 bis BOE-A-1995-25444 · Testo consolidato