Due diligence aziendale: cosa verifica davvero

Prima di un'operazione, un controllo di due diligence aziendale verifica chi c'è davvero dietro la controparte: assetti societari, titolari effettivi, reputazione dei dirigenti, contenziosi, sanzioni e legami con soggetti politicamente esposti. Non è una lettura di bilancio, è una raccolta di prove su persone e strutture, con fonti incrociate e riscontri documentali.

Per chi lavora nei sistemi informativi la domanda pratica è un'altra: quali dati entrano in questo processo, da dove arrivano e come si conservano. Un controllo di due diligence aziendale non si esaurisce in una visura camerale, e la parte più utile per un informatico è capire dove finiscono le informazioni e come restano tracciabili.

Che cosa copre davvero un controllo di due diligence prima di un'operazione?

Un controllo di due diligence copre quattro blocchi distinti, che spesso vengono confusi in un unico pacchetto.

Il primo è l'identità giuridica: denominazione, sede, codice fiscale o equivalente, data di costituzione, forma societaria, stato di attività, amministratori in carica e cessati, procure e poteri di firma. Sono dati che si trovano nei registri pubblici, ma vanno letti insieme, non uno per uno.

Il secondo è la catena di controllo: chi possiede la società, attraverso quante holding, con quali quote e con quali patti parasociali. Qui il registro pubblico mostra la prima maglia, non l'intera rete. Una società con un unico socio che è a sua volta una fiduciaria in una giurisdizione opaca richiede passaggi ulteriori.

Il terzo è la reputazione delle persone: amministratori, soci rilevanti, direttori generali. Si cercano procedimenti giudiziari, notizie negative, ruoli in società fallite, interdizioni, contenziosi con clienti o fornitori.

Il quarto è la conformità: liste sanzionatorie, liste di soggetti politicamente esposti, divieti di operare con determinate controparti, esposizione a giurisdizioni a rischio. Questo blocco non riguarda solo la società bersaglio, ma anche i suoi principali partner commerciali.

Un controllo completo produce un rapporto con fonti citate per ogni affermazione. Se una voce resta senza fonte, va segnata come non verificata, non omessa.

Come si verifica che una società e i suoi titolari effettivi siano chi dichiarano di essere?

La verifica parte dai documenti ufficiali e poi li mette alla prova. Il registro delle imprese fornisce l'atto costitutivo e le variazioni; il registro dei titolari effettivi, dove esiste, fornisce la dichiarazione del beneficiario finale. Nessuno dei due, da solo, è sufficiente.

Il primo passaggio è la coerenza temporale. Le date di nomina degli amministratori, le cessioni di quote e le variazioni di sede vanno confrontate con gli eventi esterni: un cambio di amministratore a ridosso di una gara pubblica o di un'operazione straordinaria merita una domanda.

Il secondo passaggio è la ricostruzione grafica della catena societaria. Si disegna l'albero delle partecipazioni fino alle persone fisiche, indicando per ogni nodo la percentuale, la giurisdizione e la data di acquisizione. Quando la catena supera tre o quattro livelli, o passa da giurisdizioni con registri non pubblici, la verifica richiede documenti contrattuali, non solo visure.

Il terzo passaggio è il riscontro incrociato. I nominativi dichiarati si cercano in fonti indipendenti: registri di altri paesi, banche dati di contenzioso, elenchi di sanzioni, archivi di stampa. Una persona che compare come amministratore in tre società diverse nello stesso giorno, o che ha ricoperto ruoli in società poi liquidate, emerge solo dall'incrocio.

Il quarto passaggio è la verifica documentale diretta: documenti di identità, prove di residenza, dichiarazioni firmate. Nei processi di adeguata verifica della clientela questi elementi sono richiesti per legge in molti ordinamenti, e la loro assenza è un dato di fatto da registrare.

Per un sistema informativo questo significa una cosa concreta: i dati anagrafici della controparte non sono un campo statico. Vanno versionati, con data di rilevazione e fonte, perché una visura di due anni fa non prova nulla su oggi.

Che cos'è un audit di reputazione e cosa trova che un database non mostra?

Un audit di reputazione è una ricerca condotta su fonti aperte e non strutturate, con metodo investigativo. Non interroga una banca dati: legge atti giudiziari, articoli di stampa locale, comunicati, registri di protesti, verbali di assemblee, archivi di giornali non indicizzati.

Un database risponde a una domanda chiusa: questo nome compare in una lista? Un audit risponde a una domanda aperta: che cosa si sa di questa persona, e quanto è credibile ciò che si sa?

Le cose che un audit trova e un database non mostra sono di solito queste.

Il contenzioso minore. Cause civili di valore contenuto, spesso non presenti nelle banche dati commerciali, che però rivelano un modello di comportamento: fornitori non pagati, soci in disaccordo, dipendenti che contestano il licenziamento.

Le tracce locali. Un articolo di un quotidiano provinciale su un incendio in un capannone, su una protesta di residenti, su un'appalto contestato. Sono notizie che non entrano negli aggregatori internazionali e che spesso spiegano meglio di un bilancio come lavora una società.

Le relazioni non dichiarate. Società con lo stesso indirizzo, gli stessi telefoni, lo stesso commercialista, gli stessi prestanome. Sono indizi che si costruiscono incrociando fonti diverse, non leggendo un campo.

Le contraddizioni. La società dichiara di non avere contenziosi, ma un atto di citazione depositato due mesi prima dice il contrario. La persona dichiara di non ricoprire cariche, ma un verbale la nomina. L'audit non produce accuse, produce scostamenti tra ciò che è dichiarato e ciò che è documentato.

Il risultato di un audit di reputazione è un rapporto con fonti citate e una valutazione del rischio. Non è una prova di colpevolezza, è una base per decidere se approfondire, chiedere garanzie o rinunciare.

Perché la tracciabilità dei dati conta più della singola verifica

Un controllo di due diligence produce valore solo se resta ricostruibile. Chi ha verificato, quando, su quale fonte, con quale esito. Sei mesi dopo, davanti a un revisore o a un'autorità, la domanda non è se il controllo è stato fatto, ma se è documentato.

Per i sistemi informativi questo si traduce in requisiti precisi. Ogni dato sulla controparte deve avere un campo fonte e un campo data di rilevazione. Le verifiche ripetute nel tempo non sovrascrivono le precedenti, si aggiungono. I documenti acquisiti vanno conservati con un riferimento univoco e, dove serve come prova, con una catena di conservazione che ne attesti l'integrità.

Questi requisiti sono gli stessi che si applicano alla conformità antiriciclaggio e alla gestione delle prove digitali. Un archivio di verifiche costruito bene serve sia per l'operazione in corso sia per un contenzioso futuro.

Cosa cambia per chi gestisce i sistemi informativi

Chi progetta o amministra sistemi che trattano dati di controparti incontra la due diligence in tre momenti.

In fase di integrazione, quando due organizzazioni uniscono anagrafiche e archivi. Le liste di clienti e fornitori vanno confrontate con le liste sanzionatorie e con i titolari effettivi dichiarati, e le differenze vanno gestite, non appiattite.

In fase di monitoraggio, quando la conformità richiede controlli periodici. Un sistema che non distingue tra un dato verificato e un dato importato non è in grado di produrre un rapporto di verifica.

In fase di contenzioso o ispezione, quando serve ricostruire chi sapeva cosa e quando. La documentazione delle verifiche è spesso la prima cosa richiesta.

La due diligence non è un documento da produrre una volta. È un processo con dati versionati, fonti citate e responsabilità assegnate. Per chi lavora nei sistemi informativi, la parte difficile non è trovare le informazioni: è conservarle in modo che restino utilizzabili quando servono davvero.

La due diligence aziendale verifica assetti societari, bilanci, contratti e contenziosi, ma il suo esito resta incompleto se non si guarda anche a come l'impresa gestisce i crediti che non incassa. Prima di stringere un accordo conviene quindi leggere il controllo della controparte, che spiega come costruire il fascicolo di prove, impostare la sequenza dei solleciti e decidere tra agenzia di recupero e tribunale nelle fatture insolute tra imprese. È il completamento operativo di quanto esposto in questa pagina: la solidità di un partner si misura anche dalla capacità di far valere i propri crediti.

La due diligence aziendale verifica assetti societari, bilanci, contratti e conformità, ma alcuni elementi sfuggono ai documenti: la concorrenza sleale, le frodi e le assenze si accertano sul campo, con metodi che variano da paese a paese. In Spagna le agenzie di investigazione privata raccolgono prove per i tribunali seguendo regole precise, e la guida verifiche di due diligence descrive come imprese e prove vengono documentate in quel contesto. Chi si occupa di due diligence trova così un riferimento operativo per capire cosa si può verificare oltre i dati contabili, senza confondere l'accertamento documentale con quello investigativo.

La verifica dei titolari effettivi e la tracciabilità dei dati descritte in questa pagina trovano il loro riferimento normativo nella direttiva europea antiriciclaggio, pubblicata in versione italiana su Eur-Lex. Il testo raccoglie gli obblighi di identificazione del titolare effettivo, le regole di adeguata verifica della clientela, i criteri di valutazione del rischio e i termini di conservazione dei documenti. Per chi progetta o mantiene sistemi informativi aziendali, la direttiva è il punto di partenza per capire quali dati anagrafici e quali evidenze documentali devono restare disponibili, e per allineare le procedure interne senza interpretazioni arbitrarie.