Il Sistema di Controllo Interno e di Gestione dei Rischi

IL MODELLO DI GOVERNANCE PRIVACY ACEA

In Acea è presente un consolidato Modello di Governance Privacy di Gruppo, conforme alle indicazioni del Regolamento UE 2016/679 sulla protezione dei dati (GDPR), che costituisce il framework organizzativo e di controllo nel quale si identificano sia ruoli e responsabilità sia modalità di attuazione dei principi basilari della disciplina Privacy, con un approccio preventive risk based sorretto da un monitoraggio continuo e review periodiche.

Tale Modello – conclusa la fase di implementazione nelle Società controllate – nel corso dell’anno è stato revisionato sulla base delle risultanze applicative emerse nel biennio precedente e arricchito di adeguati strumenti metodologici per rafforzarne l’efficacia applicativa (Control Framework).

Il 2021, caratterizzato ancora da un elevato impegno nella gestione della pandemia da Covid-19, ha visto Acea impegnata in iniziative ad elevato impatto privacy, tra le quali l’attivazione dell’HUB vaccinale aziendale, che ha comportato l’introduzione di specifiche procedure atte a garantire la gestione in sicurezza e compliance dei dati (Status vaccinale, gestione delle assenze/sostituzioni, ecc.).

È stato avviato, inoltre, un programma di analisi dei rischi di tutti i trattamenti inclusi nel registro della Capogruppo, per consentire l’aggiornamento costante e puntuale del rischio associato. Sui trattamenti ritenuti potenzialmente ad elevato rischio vengono svolte, a seconda delle casistiche, analisi specifiche quali DPIA (Data Protection Impact Assessment), LIA (Legitimate Interest Assessment) e TIA (Transfer Impact Assessment). Per le attività esternalizzate sono adottati strumenti contrattuali specifici per regolare il trattamento dei dati personali e viene assicurato un monitoraggio continuo alle attività di procurement.

Nel 2021 si sono svolte le attività necessarie a dare attuazione alle “Linee guida cookie e altri strumenti di tracciamento” dell’Autorità Garante Privacy, mediante l’adozione di un tool dedicato alla gestione dei cookies sui vari siti web del Gruppo. Si sono svolte, infine, iniziative di comunicazione e sessioni formative sugli impatti privacy dei singoli processi ed un Workshop on-line dedicato ai temi del Digital Marketing e Telemarketing, con la partecipazione di esperti del settore, membri dell’Autorità Garante e di Associazioni di Imprese.

PROGRAMMA COMPLIANCE ANTITRUST

La conformità al diritto antitrust e alla normativa a tutela del consumatore è un aspetto prioritario per il Gruppo Acea. A tal fine, Acea ha avviato un progetto di revisione ed aggiornamento del vigente Programma di Compliance, volto all’ulteriore rafforzamento del sistema di controllo interno in ambito Antitrust & Consumer Protection e al miglioramento delle strategie di compliance secondo gli standard applicati a livello europeo ed in linea con le “Linee Guida sulla Compliance Antitrust” emanate dall’AGCM, dalle best practice nazionali ed europee e dalla giurisprudenza. Le Società controllate hanno approvato, secondo le linee guida dettate dalla Capogruppo, un proprio Programma Antitrust, in funzione delle specifiche caratteristiche, del contesto di mercato e delle disposizioni normative e regolatorie applicabili, e garantiscono la presenza di un presidio con un Referente Antitrust responsabile delle attività di implementazione del Programma.

LA GESTIONE DEL CYBER RISK E LA TUTELA DEL PATRIMONIO INFORMATIVO E SISTEMI ICT

La minaccia cyber, potenzialmente in grado di causare il malfunzionamento o l’interruzione dell’erogazione di prestazioni essenziali, come l’energia e l’acqua, è uno dei aspetti della sicurezza nazionale presidiati da Acea.

L’Unità Cyber Security, all’interno della Funzione Technology & Solution, ha adottato un modello in linea con quanto richiesto dalle pubbliche istituzioni, attivando la struttura operativa dello CSIRT (Computer Security Incident Response Team) con successivo accreditamento presso lo CSIRT Nazionale della Presidenza del Consiglio dei Ministri. In risposta al mutato contesto normativo nazionale, è stato quindi conseguito l’accreditamento presso l’Agenzia per la Cybersicurezza Nazionale, il Ministero dell’Interno e della Difesa.

In coerenza con le indicazioni delle Autorità competenti, Acea ha investito nel potenziamento delle misure di protezione delle reti e dei sistemi IT, IoT ed OT, ed ha avviato un progetto di ricognizione dello stato dei sistemi centrali e di campo, in particolare quelli strategici, per procedere alla realizzazione di interventi per la protezione dei sistemi.

Nel 2021 è stato avviato il Programma di analisi del rischio cyber su tutti i servizi di Acea, per l’identificazione, la misurazione e la gestione del rischio dovuto alle minacce cibernetiche. Contestualmente, con la creazione della struttura di Security Engineering è stato avviato il Programma di Vulnerability Management, volto alla ricerca e mitigazione delle vulnerabilità, per l’individuazione e il contrasto di azioni illecite, con strumenti di machine learning, advanced analytics e big data; è stato altresì attivato un processo di Security by design, per l’implementazione di requisiti di sicurezza durante gli sviluppi di tutti i progetti tecnologici.

Attraverso la struttura dello CSIRT, le capacità di Real Time Security Monitoring ed Incident Management sono state potenziate di oltre il 50% rispetto al 2020 ed è stata avviata l’integrazione tra processi, procedure e tecnologie di protezione IT, IoT ed OT, come da best practice di settore, per garantire una visione olistica ed il governo unitario della sicurezza.

Per adattare il contesto normativo aziendale alle esigenze operative, sono in continuo aggiornamento linee guida e procedure che definiscono i comportamenti richiesti al personale, le modalità di utilizzo delle risorse informatiche e i controlli.

È stato inoltre reso operativo un nuovo modello di erogazione dei servizi, basato sulla flessibilità in funzione delle esigenze delle Società operative, per efficientare la gestione della cyber security del Gruppo, a livello economico e operativo. È proseguita anche la campagna di awareness & training rivolta a tutta la popolazione aziendale, per accrescere sensibilità e competenze individuali sui temi cyber security.

Infine, è continuato l’impegno di Acea nel Programma europeo ECHO (European network of Cybersecurity centres and competence Hub for innovation and Operations) per la costituzione di una rete europea dei centri di competenza sulla cyber security e nel progetto H2020 ATENA che si occupa di sicurezza e resilienza delle infrastrutture digitali.

TUTELA DEL PATRIMONIO FISICO E GESTIONE DEI RISCHI INTERNI

L’Unità Security, all’interno della Funzione Risorse Umane, cura le attività a protezione del patrimonio fisico aziendale, funzionali alla prevenzione di fenomeni fraudolenti ed al rispetto delle normative vigenti in materia di security.

Definisce, inoltre, le Linee guida e le politiche in materia di tutela e protezione del patrimonio; presidia la progettazione, l’installazione e la manutenzione dei Sistemi di Sicurezza per i siti aziendali delle Società controllate dal Gruppo e coordina l’attuazione dei piani di continuità operativa e gestione delle emergenze.

L’Unità Security gestisce le strutture e il personale della vigilanza e dell’accoglienza e controlla la Sala Operativa Sicurezza (SOS), i sistemi di videosorveglianza, antintrusione e allarme; coordina, infine, in collaborazione con le competenti strutture e le Società del Gruppo, il corretto svolgimento delle attività richieste dall’Autorità Giudiziaria, dalle Istituzioni di Sicurezza e dalle Forze dell’Ordine.

È proseguita nell’anno l’attenzione mirata al rischio pandemico nelle sedi di lavoro, mediante la predisposizione di “filtri accessi” per limitare il contagio da Covid-19, realizzati con l’attivazione di 39 termocamere presso le principali Sedi aziendali, soluzioni di App su dispositivi mobili per la firma digitale e per il controllo del Green Pass agli accessi, che hanno consentito la piena applicazione della normativa per la gestione del flusso dei dipendenti e degli esterni nei luoghi di lavoro.

Nel 2021 è stata avviata la sostituzione di apparecchiature informatiche presenti nella Sala Operativa Sicurezza al fine di migliorare le prestazioni e raggiungere la compliance ai migliori standard di sicurezza e sono state adottate nuove tecnologie (cilindri digitali) per gli accessi presso i luoghi sensibili.

SEGNALAZIONI PERVENUTE SUL CODICE ETICO

Nel corso del 2021 sono state avviate le attività progettuali di aggiornamento del Codice Etico alla luce delle modifiche organizzative e normative intervenute dalla sua ultima approvazione. I principi e i valori propri del Gruppo Acea, già parte del patrimonio individuale e aziendale, saranno quindi riletti per verificarne l’aderenza al contesto di riferimento odierno.

In Acea è in vigore una procedura attivabile sia dai dipendenti che da soggetti esterni, per la ricezione, analisi e trattamento di segnalazioni – c.d. “whistleblowing” – relative ad eventuali inosservanze della legge, delle regole interne e del Codice Etico, nonché a temi riconducibili al Sistema di controllo interno, all’informativa societaria, alla responsabilità amministrativa della Società (D. Lgs. n. 231/01), a frodi e conflitti di interesse, assicurando il massimo grado di confidenzialità e riservatezza nel trattamento delle comunicazioni ricevute a tutela del segnalante e del segnalato. La piattaforma informatica aziendale “Comunica Whistleblowing”, tramite un sistema avanzato di criptazione delle comunicazioni e del database, garantisce il rispetto degli standard normativi richiesti (L. n. 179/2017), la riservatezza dell’identità del segnalante, l’archiviazione sicura dei documenti trasmessi e caricati a sistema, la gestione riservata dei processi di analisi e gestione.

Le segnalazioni relative a presunte violazioni del Codice Etico e dello SCIGR delle Società del Gruppo sono trasmesse all’Ethic Officer, Organo collegiale di Gruppo che gestisce il sistema di segnalazioni di presunte violazioni per inosservanza della legge, della normativa interna e del Codice Etico e vigila sul rispetto dei valori di trasparenza, legalità, equità ed integrità etica nei rapporti con i dipendenti, fornitori, clienti e tutti gli stakeholder. L’Ethic Officer, inoltre, predispone relazioni periodiche sulle principali evidenze emerse ai Vertici aziendali e agli Organi di Controllo.

Nel 2021 sono pervenute all’Ethic Officer 14 segnalazioni, di cui 12 relative a presunte violazioni al Codice Etico e 2 per presunte violazioni dello SCIGR; 8 di queste segnalazioni sono state trasmesse all’indirizzo e-mail dell’Ethic Officer, 1 tramite posta ordinaria e 5 tramite la Piattaforma whistleblowing. Classificando per argomento le segnalazioni, 7 attengono il tema degli approvvigionamenti/rapporti con i fornitori; 4 l’ambito delle risorse umane; 2 le prescrizioni in tema di salute, sicurezza e ambiente ed 1 la tutela del patrimonio aziendale.

Successivamente alle fasi di verifica preliminare o di accertamento, in fase di chiusura, le segnalazioni sono state classificate con i seguenti esiti: 1 segnalazione è stata ritenuta fondata e, pertanto, la Società interessata ha messo in atto le iniziative volte all’implementazione e rafforzamento dei controlli in essere, 6 segnalazioni sono state ritenute "non fondate", 7 sono state "archiviate" in quanto “non circostanziate” e “non verificabili”.

ETHIC OFFICER ACEA ED IL CODICE ETICO: PROSEGUE LA CAMPAGNA PROTEGGO L’AZIENDA CHE MI PROTEGGE

L’Ethic Officer ha anche il compito di supportare le strutture aziendali deputate alla formazione sul Codice Etico, promuovendo programmi di comunicazione e attività finalizzate a darne massima diffusione, ed il Comitato Etica e Sostenibilità nel monitoraggio dell’adeguatezza e dell’attuazione del Codice Etico (per le materie di competenze). A tal fine, può proporre al Comitato per l’Etica e la Sostenibilità l’emanazione o la modifica di eventuali linee guida e di procedure operative per ridurre il rischio di violazione del Codice Etico ed indicarne l’opportunità di aggiornamento.

Nel 2021, l’Ethic Officer ha continuato a sostenere la campagna di comunicazione interna “Proteggo l’azienda che mi protegge” volta a diffondere la conoscenza dello strumento del whistleblowing nonché a stimolare maggiore consapevolezza sui valori e sui principi contenuti nel Codice Etico del Gruppo Acea e sull'importanza di tutelarli, tramite la pubblicazione, sulla intranet aziendale, di “news” inerenti la Campagna e di video pillole, prodotte con il contributo dei colleghi e colleghe e dei Vertici aziendali.

L’ANALISI DEI POTENZIALI RISCHI AMBIENTALI GENERATI

Le Società operative nelle aree industriali dell’Idrico, Infrastrutture Energetiche, Generazione e Ambiente, dotate di Sistemi di gestione ambientale certificati ISO 14001:2015, hanno identificato i potenziali impatti ambientali negativi generati dalle attività in relazione a specifici eventi o accadimenti.
Per il settore Idrico, i principali rischi riguardano: gli episodi di fenomeni climatici acuti o cronici o eventi sismici, che potrebbero causare cedimenti strutturali o malfunzionamenti sugli impianti e sui sistemi a rete, causando carenze idriche all’utenza o sversamenti accidentali di inquinanti; gestione operativa non efficiente della risorsa idrica, che potrebbe causare livelli elevati di perdite con conseguenti consumi eccessivi; stress idrico; possibili sforamenti dei parametri di controllo della risorsa con conseguenze ambientali; inadeguati interventi sul sistema fognario-depurativo con possibile contaminazione del suolo e dei corpi idrici; rischi di incendi ed esplosioni presso impianti di depurazione collegati alla produzione di biogas con possibili impatti in termini di emissioni in atmosfera.
Nell’ambito Infrastrutture Energetiche, i principali rischi sono riconducibili a: insistenza degli impianti aerei e interrati, con impatti in termini di uso del territorio e del sottosuolo; generazione di rifiuti e impatti su ecosistemi; generazione di campi elettromagnetici, con impatti in termini di esposizioni; manutenzione degli impianti di trasformazione, con potenziali contaminazioni di suolo e sottosuolo con materiali pericolosi; manutenzione e realizzazione di impianti, con impatti in termini di produzione di rifiuti speciali.
Per le attività di Generazione di energia elettrica, realizzata con centrali a fonti rinnovabili e convenzionali, i potenziali rischi ambientali riconducibili alla gestione ordinaria degli impianti o in caso di eventi critici come incendi o esplosioni possono determinare lo sversamento accidentale di sostanze inquinanti o il superamento dei valori soglia nelle emissioni (in atmosfera, nelle acque superficiali e in fognatura). Un profilo di rischio ambientale deriva dalla potenziale pericolosità di cedimenti strutturali delle opere idrauliche, imputabili a fenomeni naturali critici (come terremoti di particolare intensità e/o piene millenarie), che potrebbero determinare effetti sul territorio a valle degli impianti (come inondazioni).
Il settore Ambiente riguarda le attività di trattamento, recupero e smaltimento di rifiuti, recupero di materia e di energia (termovalorizzazione e compostaggio) e servizio di raccolta, trasporto e conferimento a recupero o a smaltimento dei rifiuti non pericolosi prodotti dagli impianti di depurazione e di trattamento dei rifiuti. In tale ambito, i potenziali rischi potrebbero manifestarsi in termini ambientali con sversamenti di sostanze pericolose e conseguente contaminazione del suolo e delle falde acquifere o delle acque superficiali, oppure con emissioni in atmosfera o in acqua oltre gli specifici valori limite prescritti; nel trattamento di rifiuti non conformi rispetto alla normativa di riferimento con ripercussioni sull'operatività degli impianti; in episodi di incendi di natura non dolosa che possano determinare interruzioni dell'operatività degli impianti e l’inquinamento delle aree circostanti, così come nella mancata realizzazione di investimenti o di interventi sugli impianti, con impatto sulla gestione della società per ritardi nel rilascio di atti autorizzativi; infine, esposizioni ambientali possono generarsi da rumori, odori e polveri prodotti durante attività manutentive straordinarie degli impianti.