Integrità nella condotta aziendale

Le “Linee Guida Anticorruzione di Gruppo” individuano i principi, identificano le aree sensibili e definiscono i ruoli, le responsabilità e i macro-processi per la gestione del rischio di corruzione e definiscono l’impegno a rispettare le disposizioni normative volte a contrastare la corruzione in ogni sua forma (principio di “tolleranza zero”). Vengono approvate dagli Organi Societari. Il presidio della materia è assegnato all’Area di Governo Chief Compliance Officer. Devono essere rispettate dagli esponenti aziendali e da tutto il personale del Gruppo e si applicano a tutte le società e i paesi in cui il gruppo opera ad eccezione delle entità che svolgono esclusivamente attività accessorie di servizi e di ricerca. Si rivolgono altresì ai soggetti esterni (fornitori, agenti, consulenti, professionisti, partner commerciali, lavoratori autonomi o parasubordinati, ecc.) che prestano la loro collaborazione al Gruppo per la realizzazione delle sue attività. Per questo motivo, sono messe a disposizione di tutti gli stakeholder attraverso il sito web istituzionale del Gruppo e alle controparti beneficiarie di iniziative liberali o di sponsorizzazione nonché alle terze parti, che collaborano con il Gruppo, in sede di formalizzazione dei relativi rapporti.

A livello operativo, il personale del Gruppo deve immediatamente segnalare violazioni delle disposizioni delle “Linee Guida Anticorruzione” al proprio Responsabile che a sua volta ha l’obbligo di trasmettere la segnalazione ricevuta al Responsabile aziendale Anticorruzione e alla funzione preposta all’Internal Audit per le valutazioni del caso. Resta ferma la possibilità di utilizzare i sistemi di segnalazione previsti dalle apposite regole in merito ai sistemi interni di segnalazione delle violazioni (Whistleblowing). 

Il Gruppo è soggetto alla procedura di certificazione UNI ISO 37001:2016 Anti-bribery management systems che costituisce lo standard internazionale in materia (valida sino al 2025) da parte di una società esterna.

Le principali azioni attuate nell’ambito della prevenzione della corruzione consistono nella revisione costante delle “Linee Guida Anticorruzione di Gruppo” (ultimo aggiornamento approvato dal CdA nel corso del 2025), nell’aggiornamento delle regole in materia di gestione degli omaggi e delle spese di rappresentanza e nella pianificazione dell’adeguamento alle raccomandazioni dell'organismo di certificazione ai fini ISO 37001:2016.

Il Gruppo ha ottenuto nel corso del 2025 il rinnovo della certificazione.

La revisione delle “Linee Guida Anticorruzione” avviene con frequenza annuale. 

In Intesa Sanpaolo la formazione in materia di anticorruzione e antiriciclaggio è obbligatoria e segue cicli pluriennali, anche in base alle normative locali. Nel 2025 sono state erogate complessivamente per anticorruzione e antiriciclaggio 452.194 ore di formazione a 87.113 persone del Gruppo (il 96% del totale). 

Nel 2025 non si segnalano condanne e/o sanzioni per violazione delle leggi anticorruzione e anti-concussione, di conseguenza non sono state comminate multe e sanzioni a carico del Gruppo Intesa Sanpaolo.

Intesa Sanpaolo presidia e promuove costantemente la libera concorrenza e diffonde la cultura di compliance alla normativa antitrust anche tramite la costituzione di uno specifico team interno volto a vigilare sul rispetto delle norme antitrust, l’adozione di una Policy e un programma di formazione e informazione. Nel 2025 sono state 69.474 persone del Gruppo formate (76,5% del totale) e 1.291.710 ore erogate.

Il Gruppo Intesa Sanpaolo mantiene da sempre alto e costante l’impegno nella protezione dei dati personali delle persone con cui il Gruppo interagisce, assicurando la raccolta ed il trattamento dei dati nel rispetto delle disposizioni legislative vigenti. Medesimo impegno si riflette anche nella protezione dei dati personali dei clienti.

Il quadro normativo di riferimento per la tutela dei dati personali è rappresentato dal Regolamento (UE) 2016/679 (c.d. General Data Protection Regulation, GDPR) entrato in vigore il 25 maggio 2018, i cui nuovi precetti sono stati assimilati dal Gruppo e formalizzati nei principali documenti interni di governance costituiti dal Codice Etico, che delinea i principi ed i valori su cui il Gruppo basa le proprie scelte e attività, e dal Codice Interno di Comportamento dove sono definite le condotte che i dipendenti ed i collaboratori dello stesso sono chiamati ad osservare per assicurare il corretto trattamento dei dati. Le prescrizioni in materia sono indicate nelle Linee Guida sulla protezione dei dati personali delle persone fisiche e nelle Regole aziendali per il trattamento e la protezione dei dati personali delle persone fisiche.

Le Linee Guida definiscono il modello di gestione del rischio di non conformità in materia di protezione dei dati personali di tutte le persone fisiche con cui il Gruppo interagisce, inclusi i dipendenti e collaboratori, stabilendo i principi generali e declinando i ruoli e le responsabilità degli Organi e delle strutture aziendali coinvolte, i macro-processi di presidio e controllo del rischio, nonché il modello di indirizzo e coordinamento di Gruppo. Inoltre, sanciscono gli adempimenti richiesti ai fini del trattamento e della protezione dei dati personali e stabiliscono l’applicazione di sanzioni in caso di inosservanza delle disposizioni.

L’informativa privacy è stata aggiornata a marzo 2025 con elementi di novità che riguardano:

• il trattamento dei dati che la Banca effettua mediante l’utilizzo di sistemi di intelligenza artificiale, la valutazione automatica della sostenibilità finanziaria delle operazioni (c.d. Affordability), la base giuridica del legittimo interesse nella gestione di operazioni societarie e strategiche, la comunicazione tra società del Gruppo relative alle segnalazioni di operazioni sospette, la profilazione per finalità antifrode e presidio della sicurezza IT e la contitolarità tra la Banca e S.W.I.F.T.,  nelle operazioni di pagamento internazionale. L’informativa privacy, pubblicata sul sito web istituzionale, specifica che il Gruppo Intesa Sanpaolo attua il trattamento dei dati personali solo per le finalità descritte ed esplicitamente indicate nella stessa, resa disponibile agli interessati. Nessun trattamento viene attuato per finalità secondarie non esplicitamente indicate. In relazione al trattamento di dati personali per finalità di marketing, è richiesta la manifestazione di un consenso libero, esplicito e inequivocabile da parte dell’interessato; qualora quest’ultimo neghi il consenso o non effettui alcun tipo di scelta, i dati raccolti non saranno in alcun modo trattati e utilizzati per tale scopo. Il mancato rispetto della normativa esterna o interna inerente alla tutela della privacy da parte di un autorizzato al trattamento comporta l’attivazione di un iter volto a verificare l’effettiva condotta non conforme. Nel caso di violazioni accertate e non giustificate, vengono sempre informate le funzioni preposte per l’avvio di un procedimento disciplinare che di norma si conclude comminando uno dei provvedimenti previsti dalla normativa di riferimento.

Il Gruppo, con società localizzate in diversi paesi UE ed extra-UE, si conforma alle normative locali secondo quanto dalle stesse espressamente previsto in materia di protezione dei dati personali. 

A giugno 2025 è stato approvato dal Consiglio di Amministrazione di Intesa Sanpaolo l’aggiornamento delle Linee Guida sulla protezione dei dati personali delle persone fisiche, che recepisce la declinazione del principio (già presente nella precedente versione e ulteriormente rafforzato nella versione aggiornata) per cui il trattamento dei dati personali, svolto dalle persone autorizzate, deve essere attinente e/o connesso alle mansioni affidate, oltre ai principi dei trattamenti effettuati mediante sistemi di intelligenza artificiale. 

Intesa Sanpaolo richiede ai Fornitori e Terze Parti di rispettare le norme, i regolamenti e gli standard interni in materia di protezione dei dati personali, individuando il loro ruolo soggettivo nel trattamento dei dati personali, valutando l'esistenza delle garanzie necessarie, formalizzando le condizioni contrattuali e valutandone la conformità e l'adeguatezza.

Il mancato rispetto della normativa esterna o interna inerente alla tutela della privacy da parte di un autorizzato al trattamento comporta l’attivazione di un iter volto a verificare l’effettiva condotta illecita. Nel caso di violazioni accertate e non giustificate, vengono sempre informate le funzioni preposte per l’avvio di un procedimento disciplinare, che di norma si conclude comminando uno dei provvedimenti previsti dal codice disciplinare nei confronti del soggetto inadempiente.

Come parte di questo approccio, promuovere una cultura della privacy a tutti i livelli aziendali è fondamentale per la supervisione del rischio di conformità. Il piano di formazione per i dipendenti riguardo alla protezione dei dati personali è definito e aggiornato dal Data Protection Officer, che fornisce e convalida il materiale di formazione e monitora la partecipazione e i risultati dei corsi.

Nel 2025, il Gruppo ha proseguito le attività di sensibilizzazione sulla protezione dei dati personali per i dipendenti offrendo corsi obbligatori e monitorando i risultati. È stata inoltre completata l'adozione di una piattaforma di gestione, per uso interno, che facilita la gestione integrata dei principali processi di privacy. Nel 2025 sono state formate 74.618 persone sui temi della protezione della privacy (82,2% del totale) e 106.261 ore di formazione sono state erogate.

Intesa Sanpaolo promuove un’organizzazione del lavoro trasparente e sostenibile, con responsabilità chiare a tutti i livelli. La responsabilità della gestione e, di conseguenza, anche del monitoraggio dell’effettiva applicazione degli accordi sindacali è attribuita alla Direzione Centrale Affari Lavoro, Politiche e Sicurezza.

Con riferimento al Codice Interno di Condotta del Gruppo, nel corso del 2025 il Gruppo ha previsto corsi di formazione digitale obbligatori ai propri dipendenti al momento dell'assunzione; questi corsi sono sempre disponibili su piattaforme aziendali dedicate al personale del Gruppo (in italiano e inglese). Corsi di formazione specifici aditsono stati previsti anche per i dipendenti della Divisione Banche Estere.

La pianificazione delle attività di audit all'interno del Gruppo è coordinata da una struttura interna dedicata, la Funzione Internal Audit. Nel 2025 le attività di audit sono state strutturate su tre livelli (strategico pluriennale, operativo annuale e operativo trimestrale) e hanno riguardato 269 Aree di Rischio, con 320 audit completati (di cui 51 audit "straordinari").

Come richiesto dagli standard internazionali, la Funzione di Internal Audit è soggetta a un regolare Quality Assurance Review (QAR) esterno. Il QAR più recente è stato avviato nella seconda metà del 2024 ed è ancora in corso, mentre la precedente revisione, condotta nel 2022, ha confermato il continuo sviluppo della Funzione in linea con gli standard internazionali, nonché un aumento dell'efficacia rispetto ai precedenti risultati del QAR.

L'attività di audit ha riguardato 82 audit classificati come significativi ai sensi del D.Lgs. 231/2001, di cui 10 focalizzati sul rischio corruzione. Inoltre, nell'ambito del programma di audit ESG sono stati condotti 68 audit ESG, che hanno affrontato temi quali la governance ESG, il rischio di greenwashing, finanziamenti EU Taxonomy aligned, rischi reputazionali, rischi fisici e idrologici,  fattori ESG nei processi di credito, gestione delle iniziative in ottica di economia circolare, attività di stewardshio ESG, impatto sociale dei crediti retail (in particolare sulle iniziative di Impatto), la gestione delle liberalità delle sponsorizzazioni e delle attività di beneficenza. Queste attività hanno confermato un livello di rischio complessivo accettabile, con misure di mitigazione monitorate attraverso strumenti digitali dedicati.

Tra le ulteriori iniziative avviate nel 2025, il programma SAIL (Strategic Audit Innovation Line-up) ha supportato la continua evoluzione della Funzione di Internal Audit. 

Nel Gruppo è attivo un sistema interno di segnalazione di violazioni (Whistleblowing) relative a normative sia nazionali sia europee, che ledono l’interesse pubblico o l’integrità di Intesa Sanpaolo e delle Società del Gruppo ovvero a politiche e/o procedure interne dell’azienda, di cui si è venuti a conoscenza nell’ambito del contesto lavorativo.

La normativa interna di riferimento in materia, di responsabilità dell’Area Chief Audit Officer, è rappresentata da apposito documento di regole di Gruppo sui sistemi interni di segnalazione delle violazioni ed è consultabile da tutti i soggetti che prestano la loro attività nel Gruppo Intesa Sanpaolo sulla intranet aziendale. Inoltre, un’informativa di sintesi è presente anche sul sito web istituzionale del Gruppo. Possono effettuare una segnalazione whistleblowing:

• i lavoratori dipendenti e i lavoratori autonomi che svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i titolari di un rapporto di collaborazione professionale;
• i lavoratori o collaboratori che forniscono beni o servizi o che realizzano opere in favore di terzi e svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i liberi professionisti e i consulenti che svolgono o hanno svolto la propria attività lavorativa presso il Gruppo;
• i volontari e i tirocinanti;
• gli azionisti (persone fisiche);
• le persone con funzione di amministrazione, controllo, vigilanza o rappresentanza.

Tali soggetti possono segnalare una violazione tramite canali disponibili 24 ore su 24 (e-mail o messaggistica vocale) reperibili sul sito web istituzionale del Gruppo e sul portale intranet del Gruppo, in italiano o in inglese (lingua internazionale di riferimento), ovvero con la lingua della nazione di appartenenza. Le informazioni sul canale, sulle procedure e sui presupposti per effettuare le segnalazioni sono disponibili sul portale intranet della Banca e nell’apposita sezione del sito internet di Gruppo.

Nel 2025 sono state ricevute 64 segnalazioni, di cui 10 giudicate non pertinenti, mentre 55 hanno dato luogo all’avvio di specifiche istruttorie. Sono attivi canali dedicati di whistleblowing anche presso le Banche Estere del Gruppo, che hanno ricevuto 10 segnalazioni, di cui 2 giudicate non pertinenti.

Per le segnalazioni di presunta inosservanza del codice etico, è disponibile l’indirizzo e-mail: codice.etico@intesasanpaolo.com

Nel rispetto del Codice Etico, l'intero Gruppo si impegna ad osservare principi improntati a valori di onestà e integrità nella gestione della materia fiscale, al rispetto delle normative fiscali applicabili nei Paesi in cui il Gruppo opera e al mantenimento di un rapporto di collaborazione e trasparenza con l'Amministrazione finanziaria, anche attraverso l'adesione a schemi di adempimento cooperativo.

Intesa Sanpaolo riconosce l'importanza di contribuire alle comunità delle giurisdizioni in cui opera, attraverso il pagamento del giusto importo delle imposte e per questo pone particolare attenzione all'evoluzione della normativa fiscale, sia a livello nazionale che internazionale, volta a contrastare l'erosione della base imponibile e il trasferimento degli utili, con il costante impegno ad aderire a tali principi.

Il Gruppo ha rafforzato il sistema interno di controllo del rischio fiscale, il Tax Control Framework ("TCF"). Il TCF ha lo scopo di monitorare l'importanza strategica del rischio fiscale e di soddisfare i requisiti per l'accesso al regime di adempimento cooperativo introdotto in Italia (ai sensi del D.Lgs. 128/2015) e, contestualmente, ha aggiornato il Modello di Organizzazione, Gestione e Controllo, ai fini della responsabilità degli enti per reati tributari,  sancito dal D.Lgs. n. 231 del 2001, al fine di monitorare il rischio di frode fiscale.

A dicembre 2017 il Gruppo Intesa Sanpaolo si è dotato dei Principi di condotta in materia fiscale al fine di assicurare nel tempo la conformità alle regole fiscali e tributarie dei Paesi dove opera e di garantire l’integrità patrimoniale e reputazionale di tutte le Società del Gruppo. 

Sono inoltre state approvate le Linee Guida per la gestione del rischio fiscale nell’ambito del regime di adempimento collaborativo con l’Agenzia delle Entrate che disciplinano i criteri e i processi che Intesa Sanpaolo deve adottare per garantire adeguatezza ed effettività al proprio Tax Control Framework nonchè le relative Regole.

L’informativa sulle tasse è disponibile all’interno del SDGs report pagina 127

Intesa Sanpaolo considera la cybersecurity un pilastro strategico. Per rafforzare questo impegno, la sicurezza aziendale e fisica, la cybersecurity e la continuità del business sono gestite dall'Area di Governo Chief Security Officer.
Per affrontare la crescente complessità delle minacce informatiche, la banca adotta misure strutturate per rafforzare i sistemi di controllo, introducendo soluzioni di autenticazione per l'accesso critico sicuro, oltre al monitoraggio di eventi e reti esterne, al fine di garantire la continuità aziendale.
La banca ha, inoltre, introdotto questionari per aumentare la consapevolezza dei clienti sui rischi di frode, in linea con i requisiti di rafforzamento richiesto in ambito europeo su questi temi. È stata inoltre potenziata la piattaforma antifrode con soluzioni tecnologiche ancora più avanzate.
Queste evoluzioni mirano a supportare decisioni semplificate, gestione trasparente delle risorse, conformità normativa e allineamento con i principali framework di sicurezza al mondo.
Nel 2025, la banca ha bloccato circa 16,1 milioni di euro di frodi e 175,7 milioni di euro di truffe, per un totale di 191,8 milioni di euro di transazioni fraudolente.
Il framework di cybersecurity del Gruppo si basa su una strategia definita e un piano d'azione dettagliato che comprende: 

• allineamento normativo: aggiornamento continuo di politiche e procedure per adeguarsi agli standard di cybersecurity e continuità aziendale; 
• gestione delle vulnerabilità: identificare, prioritizzare e correggere sistematicamente le debolezze in tutti i sistemi; 
• rafforzamento dei controlli delle minacce: implementazione di strumenti avanzati di machine learning e analisi dei dati per rilevare e mitigare attacchi informatici e frodi in tempo reale; 
• resilienza operativa: migliorare la capacità di rispondere rapidamente agli incidenti, minimizzare le interruzioni e garantire la continuità dei servizi; 
• cultura della sicurezza: fornire formazione obbligatoria, anche basata sui ruoli, per aumentare la consapevolezza sulle migliori pratiche di protezione dei dati e sui requisiti GDPR.

Per rafforzare la fiducia dei clienti, il Gruppo ha sviluppato una guida interna ai processi di cybersecurity. Intesa Sanpaolo ha inoltre adottato un modello di gestione della cybersecurity che include:

• Piano di Sicurezza IT del Gruppo Intesa Sanpaolo: definisce l’impostazione strategica in termini di governance, priorità di investimento, calendari di controllo e progetti evolutivi. Basandosi su un'analisi del rischio identifica gli ambiti del sistema informativo da valutare e affida al Centro Operazioni di Sicurezza il compito di coordinare la gestione continua delle vulnerabilità. Queste attività comprendono sia scansioni automatizzate che test manuali di penetrazione condotti da esperti terzi qualificati, coprendo componenti di rete e infrastruttura, oltre ad applicazioni su laptop, desktop, smartphone e tablet, orientati sia a internet che intranet. Vengono, inoltre, eseguiti test per simulare scenari di attacco reali e convalidare l'efficacia delle difese; settimanalmente vengono eseguite scansioni delle vulnerabilità utilizzando strumenti come Tenable e Qualys per rilevare e risolvere tempestivamente i problemi emergenti. Tutte le conclusioni e le attività di bonifica pervengono alla struttura di Audit Interno, che riferisce sistematicamente al Comitato di Revisione in ottica di trasparenza, allineamento normativo e miglioramento continuo della governance della sicurezza. Attraverso questo approccio strutturato e guidato dal rischio, Intesa Sanpaolo mira a rafforzare le sue difese informatiche, a ridurre l'esposizione alle minacce e mantenere i più alti standard di gestione della sicurezza. 
• Intesa Sanpaolo Business Continuity Management Model: comprende i componenti necessari a monitorare e mitigare i rischi, definendo misure organizzative, infrastrutturali e tecnologiche la cui usabilità e manutenzione sono supportate nel tempo da test e controlli regolari. Il framework operativo è dettagliato nel Business Continuity Plan (BCP), mentre le salvaguardie tecnologiche sono definite nel Disaster Recovery Plan (DRP). L'attivazione del BCP segue i protocolli del Group Crisis Management Model (CMM), che fornisce un insieme unico e coerente di regole e processi per gestire emergenze e crisi in modo unificato. Il CMM prevede che le operazioni possano essere ripristinate rapidamente ed efficacemente, prescrivendo percorsi chiari di escalation per il processo decisionale, stabilendo canali di comunicazione tempestivi e assegnando responsabilità e autorità definite. 
• Regole per la gestione degli incidenti di sicurezza: definiscono i requisiti minimi per monitorare e rispondere a eventi che riguardano gli asset informativi del Gruppo, supportando un ripristino rapido, efficiente ed efficace delle normali condizioni operative. 
• Modello di Gestione delle Crisi del Gruppo Intesa Sanpaolo: si attiva automaticamente ogni volta che tali incidenti si verificano, anche contemporaneamente, in una o più controllate. In queste situazioni, la Capogruppo assume il coordinamento di tutti gli sforzi di contenimento dell'impatto, con l’obiettivo di implementare le contromisure nel modo più efficace e armonioso. Le attività di cybersecurity seguono le linee guida condivise del Gruppo, combinando un approccio di gestione centralizzata per le entità strettamente integrate con la Capogruppo e lo stretto coordinamento delle altre entitià. Integrando le procedure specifiche per la crisi già in atto, questo framework operativo mira a garantire il flusso tempestivo delle informazioni, a definire una catena di comando appropriata e ad assumere decisioni rapide e informate in risposta alle minacce. Un chiaro processo di escalation guida le persone del Gruppo attraverso ogni fase: rilevamento, classificazione, gestione di incidenti/emergenze/crisi e eventuale ritorno alle operazioni normali, affinché il Gruppo possa ripristinare la stabilità in modo rapido e resiliente.

Nel 2025, tre eventi di cybersecurity sono stati identificati e gestiti efficacemente: gli impatti effettivi sono stati trascurabili, anche se gli eventi hanno comportato un potenziale rischio di esposizione di limitate informazioni. Un evento riguardava un problema di sicurezza su un dispositivo utente, mentre gli altri due erano associati a un incidente di sicurezza che coinvolgeva un fornitore terzo di servizi, che processava informazioni potenzialmente attribuibili al Gruppo Intesa Sanpaolo.
L'intero processo di escalation di Intesa Sanpaolo è pubblicato sull'intranet aziendale, dove la procedura di Critical Event Management definisce chiaramente i ruoli e le responsabilità per la segnalazione, l'identificazione e la gestione degli incidenti legati alla sicurezza che possa interessare il Gruppo. Il processo è stato rivisto e aggiornato per semplificare la gestione degli eventi e garantire un costante allineamento con i requisiti normativi che regolano la segnalazione degli incidenti. Il Computer Emergency Readiness Team (CERT), il Cybersecurity Incident Response Team (CSIRT) e l'Emergency Management Operations Centre (EMOC) sono integrati nel flusso di lavoro degli eventi critici, garantendo un coordinamento senza intoppi. Vengono condotte simulazioni di crisi regolari per validare e rafforzare l'efficacia delle procedure di escalation e decisione.
Alla pagina pubblica del sito di Gruppo dedicata al CSIRT – CERT sono riportati gli obiettivi del Cyber Security Incident Response Team, le relative competenze, i Paesi e le entità giuridiche del Gruppo in cui è attivo, i servizi offerti e le modalità con cui è possibile contattare il servizio al fine di segnalare eventi anomali.