Sunshine Act Italia: per le aziende farmaceutiche, rendicontare i trasferimenti di valore senza poterli provare è un rischio
Le aziende farmaceutiche italiane convivono da anni con la trasparenza sui rapporti economici con medici e strutture sanitarie. Per molto tempo è stata una questione di autoregolamentazione: il Codice Deontologico Farmindustria chiedeva alle associate di pubblicare ogni anno i pagamenti verso il mondo sanitario. Poi è arrivata una legge dello Stato. Il Sunshine Act Italia, la Legge 62/2022, ha trasformato quella prassi volontaria in un obbligo pubblico, con un registro nazionale e sanzioni economiche reali per chi sbaglia.
Qui nasce una complicazione che pochi reparti compliance hanno messo a fuoco. Una cosa è comunicare un numero al Ministero della Salute. Un'altra è dimostrare, mesi o anni dopo, che quel numero corrisponde davvero a un trasferimento di valore avvenuto: un compenso da consulenza, una sponsorizzazione, una donazione. La domanda che ne deriva è semplice e scomoda: quando un'autorità chiede conto di ciò che è stato rendicontato, l'azienda è in grado di provarlo?
La risposta di questo articolo è che la conformità al Sunshine Act non si esaurisce nella dichiarazione. Serve un dato autentico, datato e opponibile a monte della rendicontazione. È il passaggio dalla trasparenza dichiarata alla trasparenza provabile, e TrueScreen acquisisce, verifica e certifica con metodologia forense proprio i contenuti che alimentano quel registro.
Cosa sono i trasferimenti di valore e perché sono regolati
I trasferimenti di valore sono qualsiasi beneficio economico, diretto o indiretto, che un'impresa del settore della salute riconosce a un operatore sanitario o a un'organizzazione sanitaria. Si regolano perché incidono sull'indipendenza delle scelte cliniche: chi prescrive un farmaco non dovrebbe essere influenzato da chi quel farmaco lo produce.
Rientrano nella categoria i compensi per consulenze e advisory board, le quote di iscrizione a congressi, viaggi e ospitalità, le sponsorizzazioni di eventi, le donazioni e i grant di ricerca. Possono essere ToV diretti, quando l'azienda paga il destinatario, oppure indiretti, quando il pagamento passa attraverso un soggetto terzo come una società di organizzazione eventi. La logica è quella che negli Stati Uniti il Physician Payments Sunshine Act ha introdotto già nel 2010 e che l'Europa ha recepito con strumenti propri.
I trasferimenti di valore comprendono compensi per consulenze, iscrizioni a congressi, viaggi, ospitalità, sponsorizzazioni, donazioni e finanziamenti alla ricerca, erogati a HCP (operatori sanitari individuali) e HCO (organizzazioni sanitarie). In Italia la disclosure di questi flussi nasce nel 2013 con il recepimento dell'EFPIA Disclosure Code da parte di Farmindustria, che ha imposto alle associate la pubblicazione annuale dei pagamenti. Con la Legge 62/2022 questo obbligo è uscito dal perimetro dell'autoregolamentazione associativa per diventare un dovere di legge presidiato dallo Stato, esteso non solo alle aziende del farmaco ma anche ai produttori di dispositivi medici, integratori e nutraceutici. La rendicontazione scatta sopra soglie precise: per gli HCP oltre 100 euro per singola erogazione o oltre 1.000 euro annui, per le HCO oltre 1.000 euro per erogazione e 2.500 euro su base annua. La differenza non è formale: cambia chi controlla, cambiano le conseguenze del non rispettare le regole.
I tre livelli della rendicontazione: EFPIA, Farmindustria, Sunshine Act
In Italia la trasparenza dei pagamenti al mondo sanitario poggia su tre livelli che convivono. C'è lo standard europeo di settore (EFPIA), il suo recepimento associativo italiano (Codice Deontologico Farmindustria) e ora l'obbligo di legge (Sunshine Act). Capire come si sovrappongono evita di trattarli come alternative.
I primi due sono regole che il settore si è dato da solo. Il terzo è una norma statale che vale per tutti, anche per chi non è associato a Farmindustria. Accanto a questi, il Codice del farmaco (D.Lgs. 219/2006) disciplina da prima di tutti la condotta degli informatori scientifici e i limiti agli incentivi verso i medici.
EFPIA Disclosure Code: lo standard europeo
L'EFPIA Disclosure Code è lo standard di trasparenza adottato dalla federazione europea dell'industria farmaceutica nel giugno 2013 e integrato nell'EFPIA Code of Practice. Impone la pubblicazione annuale dei trasferimenti di valore verso HCP e HCO, con i primi dati relativi al 2015 resi pubblici nel 2016.
La pubblicazione avviene ogni anno a giugno e copre l'anno solare precedente. Funziona per Paese del destinatario: il national code applicabile è quello del luogo in cui il destinatario ha la sede fisica della propria attività. Il Code richiede anche una Methodology Note, cioè un documento che spiega i criteri usati, il trattamento dell'IVA, la gestione dei contratti pluriennali, le valute e la distinzione tra ToV diretti e indiretti. Il modello di riferimento è la named disclosure, la pubblicazione nominativa con consenso del destinatario; in assenza di consenso, i dati si pubblicano in forma aggregata. Tutta la documentazione è consultabile sul sito dell'EFPIA Code of Practice.
Codice Deontologico Farmindustria: il recepimento italiano
Il Codice Deontologico Farmindustria è il documento con cui l'associazione italiana del settore recepisce l'EFPIA Disclosure Code e lo rende vincolante per le imprese associate. La versione più recente è quella del 21 febbraio 2025.
Le associate devono documentare e pubblicare sul proprio sito i trasferimenti di valore, diretti e indiretti, verso HCP e HCO con sede in Europa. Le categorie ricalcano quelle europee: congressi ed eventi (iscrizioni, viaggi, ospitalità), sponsorizzazioni, consulenze e prestazioni professionali come advisory board e attività di relatore, donazioni e grant, finanziamenti alla ricerca. La scadenza per la pubblicazione è il 30 giugno. Il Codice vieta esplicitamente la regalistica di valore agli operatori sanitari. Il testo completo è disponibile nel Codice Deontologico Farmindustria.
D.Lgs. 219/2006: la cornice della condotta degli informatori
Il D.Lgs. 219/2006, noto come Codice del farmaco, recepisce la Direttiva 2001/83/CE e disciplina la pubblicità del medicinale e l'informazione scientifica. È la cornice giuridica entro cui si muove tutto il resto.
Stabilisce i requisiti dell'informatore scientifico del farmaco, regola il materiale promozionale, fissa i limiti agli incentivi e ai benefici verso i medici e disciplina la consegna di campioni gratuiti. Mentre EFPIA e Farmindustria si occupano della trasparenza dei pagamenti, il D.Lgs. 219/2006 governa il comportamento quotidiano di chi quei rapporti li costruisce sul campo. I due piani sono complementari: l'uno racconta cosa è stato pagato, l'altro definisce come ci si può comportare nel pagarlo.
Il Sunshine Act italiano (Legge 62/2022): da autoregolamentazione a obbligo di legge
Il Sunshine Act italiano è la Legge 62/2022, in vigore dal 26 giugno 2022, che obbliga le imprese produttrici di farmaci, dispositivi medici, integratori e servizi sanitari a rendere pubblici i trasferimenti di valore verso medici (HCP) e organizzazioni sanitarie (HCO) oltre le soglie di legge, attraverso il registro telematico Sanità Trasparente del Ministero della Salute.
Il Sunshine Act italiano è la Legge 31 maggio 2022 n. 62, in vigore dal 26 giugno 2022, che impone alle imprese del settore della salute di comunicare i trasferimenti di valore verso operatori e organizzazioni sanitarie a un registro pubblico telematico gestito dal Ministero della Salute. Sposta la trasparenza dall'autoregolamentazione di settore al diritto positivo.
Il registro si chiama "Sanità Trasparente" ed è consultabile da chiunque. La differenza rispetto al passato è sostanziale: prima la mancata pubblicazione esponeva al massimo a conseguenze associative, ora l'omissione è una violazione di legge con sanzioni pecuniarie e pubblicità del nome dell'impresa inadempiente.
Il Sunshine Act italiano (Legge 62/2022) è la prima norma di rango statale che obbliga le "imprese produttrici" a rendere pubblici i propri rapporti economici con il mondo sanitario. Per imprese produttrici la legge intende chi produce o commercializza farmaci, dispositivi medici, beni e servizi sanitari, inclusi integratori e nutraceutici: un perimetro più ampio di quello coperto dal solo Codice Farmindustria. La comunicazione riguarda tre oggetti distinti: le convenzioni e le erogazioni di denaro, beni, servizi o altre utilità; gli accordi che generano vantaggi come convegni, consulenze e ricerca; le partecipazioni azionarie o obbligazionarie e i proventi derivanti da diritti di proprietà industriale o intellettuale. In vigore dal 26 giugno 2022, la norma fa confluire i dati nel registro pubblico telematico "Sanità Trasparente" del Ministero della Salute, consultabile da chiunque, e impone di conservare ogni informazione per almeno cinque anni dalla comunicazione.
Chi è obbligato e cosa va comunicato
Sono obbligate tutte le imprese produttrici, una definizione che la legge tiene volutamente larga: aziende del farmaco, produttori di dispositivi medici, di beni e servizi sanitari, e anche chi produce integratori e nutraceutici. È un perimetro più esteso di quello associativo, perché non dipende dall'adesione a Farmindustria.
La legge individua tre oggetti di comunicazione. Il primo sono le convenzioni e le erogazioni di denaro, beni, servizi o altre utilità verso HCP e HCO. Il secondo sono gli accordi che producono un vantaggio, come la partecipazione a convegni, gli incarichi di consulenza e i progetti di ricerca. Il terzo sono le partecipazioni azionarie e obbligazionarie e i proventi da diritti di proprietà industriale o intellettuale che legano un operatore o una struttura all'impresa. Sono tre flussi diversi, con regole e scadenze proprie.
Soglie e scadenze
Le soglie distinguono tra operatori sanitari individuali (HCP) e organizzazioni sanitarie (HCO), con valori più bassi per i primi. Scattano sia su base unitaria, cioè per singola erogazione, sia su base annua cumulata.
La tabella seguente riassume i valori oltre i quali la comunicazione è obbligatoria.
| Destinatario | Soglia per singola erogazione | Soglia annua cumulata |
|---|---|---|
| HCP (operatore sanitario individuale) | oltre 100 euro | oltre 1.000 euro |
| HCO (organizzazione sanitaria) | oltre 1.000 euro | oltre 2.500 euro |
Sulle scadenze, la legge separa i flussi. Le convenzioni, le erogazioni e gli accordi vanno comunicati entro il semestre successivo a quello di riferimento. Le partecipazioni e i proventi da diritti di proprietà industriale o intellettuale seguono invece il calendario annuale, con comunicazione entro il 31 gennaio dell'anno successivo. In ogni caso i dati vanno conservati per cinque anni, un orizzonte che impone di pensare alla loro archiviazione e reperibilità nel tempo.
Le soglie del Sunshine Act italiano operano su due livelli. Per gli HCP la comunicazione scatta sopra i 100 euro per singola erogazione oppure sopra i 1.000 euro complessivi nell'anno. Per le HCO le soglie salgono a 1.000 euro per singola erogazione e 2.500 euro su base annua. Le scadenze differiscono per tipo di flusso: convenzioni, erogazioni e accordi entro il semestre successivo a quello di riferimento, mentre partecipazioni azionarie e proventi da diritti di proprietà intellettuale entro il 31 gennaio dell'anno seguente. Le soglie operano sia su base unitaria, per singola erogazione, sia su base annua cumulata, e distinguono sempre tra operatori sanitari individuali e organizzazioni. L'obbligo di conservazione quinquennale dei dati, spesso sottovalutato, ha una conseguenza pratica precisa: l'azienda deve poter ritrovare e dimostrare la natura di ogni voce rendicontata anche a distanza di anni, non solo nel momento della comunicazione.
Lo stato del registro "Sanità Trasparente"
Il registro "Sanità Trasparente" non è ancora operativo a metà 2026, e questo è il punto che più disorienta i reparti compliance. La legge è in vigore dal 2022, ma gli obblighi di comunicazione non sono ancora decorsi perché manca l'atto formale che li attiva.
Il percorso attuativo è andato avanti. Lo schema di decreto attuativo e il disciplinare tecnico sono stati predisposti, la consultazione pubblica si è chiusa a settembre 2023 e le interlocuzioni con AgID, ANAC e Garante per la protezione dei dati personali sono state completate. La piattaforma informatica è stata progettata. Una risposta parlamentare di novembre 2025 ha confermato che il decreto è pronto, e a marzo 2026 il sistema risultava tecnicamente pronto ma non ancora operativo. Il dettaglio che conta: gli obblighi decorrono solo dalla pubblicazione in Gazzetta Ufficiale dell'avviso di piena operatività del registro, avviso che a oggi non è stato pubblicato. Significa che le aziende hanno tempo per prepararsi, non per ignorare il tema. Diverse analisi di studi legali specializzati, come Osborne Clarke e Portolano Cavallo, hanno seguito da vicino questo iter.
Il quadro di sintesi a metà 2026 è il seguente:
| Elemento | Stato a metà 2026 |
|---|---|
| Legge 62/2022 | In vigore dal 26 giugno 2022 |
| Decreto attuativo | Adottato |
| Piattaforma Sanità Trasparente | Pronta |
| Avviso operatività in Gazzetta Ufficiale | Non ancora pubblicato |
| Decorrenza obblighi di comunicazione | Sospesa fino all'avviso |
Implicazioni, sanzioni e rischi
Il Sunshine Act introduce conseguenze economiche e reputazionali che non hanno precedenti nel regime di autoregolamentazione. Le sanzioni colpiscono sia le omissioni sia le informazioni false, e si aggiungono alla pubblicazione del nome dell'impresa inadempiente.
C'è poi un terzo rischio, meno discusso ma più insidioso, che riguarda la capacità di dimostrare ciò che si è dichiarato. È qui che la conformità formale e la difendibilità sostanziale si separano.
Le sanzioni del Sunshine Act
Le sanzioni del Sunshine Act sono pecuniarie e crescono con la gravità della violazione. L'omissione delle convenzioni e delle erogazioni è la più onerosa, perché alla sanzione fissa si somma un multiplo dell'importo non comunicato.
La tabella riassume il quadro sanzionatorio previsto dalla Legge 62/2022.
| Violazione | Sanzione |
|---|---|
| Omessa comunicazione di convenzioni ed erogazioni | 1.000 euro più 20 volte l'importo dell'erogazione non comunicata |
| Omessa comunicazione di partecipazioni e proventi | da 5.000 a 50.000 euro |
| Comunicazione di informazioni false | da 5.000 a 100.000 euro |
| Imprese con fatturato inferiore a 1 milione di euro | riduzione del 50% delle sanzioni |
| Tutte le violazioni accertate | pubblicazione del nome dell'impresa per almeno 90 giorni |
Il regime sanzionatorio del Sunshine Act italiano combina sanzioni pecuniarie e una misura reputazionale. L'omessa comunicazione di convenzioni ed erogazioni comporta 1.000 euro di sanzione fissa più 20 volte l'importo dell'erogazione non comunicata: per un compenso da 5.000 euro la sanzione supera quindi i 100.000 euro. L'omessa comunicazione di partecipazioni e proventi va da 5.000 a 50.000 euro, mentre la comunicazione di informazioni false arriva fino a 100.000 euro. Le imprese con fatturato sotto il milione di euro beneficiano di una riduzione del 50% degli importi, ma nessuna è esente dalla misura reputazionale. A queste sanzioni si aggiunge infatti la pubblicazione del nome dell'impresa inadempiente per almeno 90 giorni, un meccanismo di name and shame che amplifica il danno ben oltre l'esborso economico e che si applica a tutte le violazioni accertate.
Il rischio reputazionale
Il rischio reputazionale del Sunshine Act è strutturale, non accidentale. La pubblicazione del nome dell'impresa inadempiente per almeno 90 giorni è parte integrante della sanzione, pensata proprio per produrre un effetto deterrente che il solo importo non garantirebbe.
Per un'azienda del farmaco la reputazione è un asset che si costruisce in decenni e si incrina in giorni. Comparire in un elenco pubblico di inadempienti, in un settore dove l'indipendenza del rapporto con i medici è continuamente sotto osservazione, ha un costo che difficilmente si quantifica in euro. Stampa specializzata, associazioni di pazienti e concorrenti leggono quel registro. Il danno d'immagine può pesare più della sanzione stessa.
Il rischio meno discusso: dimostrare ciò che si dichiara
Il rischio più trascurato non è sbagliare la comunicazione, ma non riuscire a provarla. Quando un'autorità contesta un dato rendicontato, l'azienda deve poter ricostruire la natura, la data, l'importo e il consenso relativi a quel trasferimento di valore, e deve poterlo fare con elementi credibili.
Pensiamo a un'erogazione comunicata tre anni prima. Dov'è l'accordo di consulenza firmato? Chi può attestare che la videochiamata di brief è avvenuta in quella data e con quel medico? La ricevuta del pagamento è collegabile in modo inequivoco a quell'incarico? Nella maggior parte delle aziende queste prove esistono, ma sono sparse tra email, cartelle condivise, CRM e archivi di reparti diversi, senza una catena di custodia che ne garantisca l'integrità. Un'email può essere stata modificata, una data può essere contestata, un file può non avere alcun valore probatorio. La rendicontazione dice "è successo questo"; il problema è dimostrarlo quando qualcuno chiede di vederlo. È un rischio probatorio, lo stesso che le imprese affrontano quando un'email deve valere come prova in sede civile.
Come si dimostra l'autenticità di un trasferimento di valore rendicontato?
Si dimostra acquisendo e certificando alla fonte l'evento che genera il trasferimento di valore, prima che venga rendicontato. TrueScreen cattura con metodologia forense email, video meeting, telefonate, documenti e screenshot, e ne certifica data, integrità e provenienza con sigillo elettronico e marca temporale, in linea con eIDAS e ISO/IEC 27037.
TrueScreen acquisisce e certifica con metodologia forense email, video meeting, telefonate e documenti, conferendo valore probatorio al dato prima che venga rendicontato. La metodologia si articola in quattro fasi: acquisizione del contenuto in un ambiente che ne preserva l'integrità alla fonte, verifica di autenticità e integrità, certificazione con sigillo elettronico e marca temporale di valore legale riconosciuti internazionalmente attraverso QTSP qualificati terzi integrati via API, e conservazione sicura. Il risultato è un fascicolo probatorio che documenta natura, data, importo e consenso di ogni trasferimento di valore. La logica è la stessa già applicata nei servizi finanziari per le comunicazioni certificate per la conformità MiFID II, dove la conservazione regolatoria continuativa è un obbligo operativo: si certifica il dato quando si forma, non quando serve dimostrarlo.
Acquisizione e certificazione con metodologia forense
L'acquisizione con metodologia forense è la cattura di un contenuto digitale in un ambiente controllato che ne preserva l'integrità dal primo istante. Non è uno screenshot salvato a mano, ed è qui la differenza che conta in caso di contestazione.
Il processo si svolge in quattro fasi. Il contenuto viene acquisito alla fonte senza alterarlo, poi se ne verifica l'autenticità e l'integrità, quindi viene certificato con sigillo elettronico e marca temporale di valore legale, infine conservato in modo sicuro. Sigillo e marca temporale sono rilasciati da QTSP qualificati terzi, integrati nei processi via API: TrueScreen non è un'autorità di certificazione, è la piattaforma che acquisisce e certifica il dato e integra quel sigillo nella propria metodologia. Il prodotto non è il timbro finale, ma l'intera filiera che lo rende opponibile.
Tutte le modalità: email, documenti, video meeting, telefonate e altro
La certificazione è agnostica rispetto al tipo di contenuto: vale per qualunque formato in cui si manifesta un trasferimento di valore. Questo conta nel pharma, dove un singolo incarico lascia tracce in canali molto diversi tra loro.
Si possono acquisire e certificare le email, comprese quelle che veicolano un accordo di consulenza o una conferma di sponsorizzazione. Si certificano i documenti PDF e Office, le scansioni dei contratti firmati, le ricevute di pagamento. Si acquisiscono i video meeting in diretta su Zoom, Teams e Meet, utili per documentare un advisory board o un brief con un medico, con la stessa logica delle videochiamate con valore legale. Si certificano le telefonate e i file audio, le pagine web statiche e dinamiche, le registrazioni dello schermo, le foto, le chat e i messaggi, i contenuti social e qualsiasi file tramite notarizzazione dell'hash. Anche i dati prodotti da agenti AI rientrano nel perimetro. In pratica, ogni traccia che documenta un trasferimento di valore può essere resa difendibile, indipendentemente dal canale.
API, SDK e MCP: certificazione automatica nel flusso degli informatori
Le API, gli SDK e l'MCP permettono di integrare la certificazione direttamente nei sistemi che gli informatori già usano, senza chiedere loro un passaggio manuale. È il modo per rendere la trasparenza provabile un processo continuo e non un'attività da svolgere a ridosso della scadenza.
Le aziende farmaceutiche usano TrueScreen per integrare la certificazione del dato direttamente nel CRM degli informatori tramite API, SDK e MCP. Quando un informatore registra un accordo, carica un contratto o conclude una videochiamata, la certificazione via API avviene in tempo reale, in background, senza interrompere il lavoro. Il trigger può essere automatico e continuo, oppure on-demand per singolo evento.
Un esempio concreto. Un informatore organizza una consulenza retribuita da 800 euro con un medico. La videochiamata di brief, l'email con l'accordo di consulenza firmato e la ricevuta del pagamento vengono acquisiti e certificati in tempo reale via API direttamente dal CRM. Quando quel dato confluisce nel registro Sanità Trasparente, l'azienda dispone di un fascicolo probatorio completo, con natura, data, importo e consenso, opponibile in caso di verifica. La rendicontazione e la sua prova nascono insieme.
Consensi e contratti con firma elettronica avanzata
I consensi e i contratti possono essere firmati con firma elettronica avanzata e certificati nello stesso flusso. Nel modello EFPIA la named disclosure richiede il consenso del destinatario, e quel consenso va raccolto in forma dimostrabile.
Con il Document Signing si gestiscono la firma semplice e la firma elettronica avanzata di accordi di consulenza, lettere di incarico e moduli di consenso alla pubblicazione nominativa. La firma di documenti e contratti con valore legale chiude il cerchio: non solo si prova che un pagamento è avvenuto, ma anche che il destinatario aveva acconsentito a comparire nel registro con nome e cognome. Per un reparto compliance è la differenza tra una dichiarazione e un atto difendibile.
Conservazione permanente con la Certified Data Room
La Certified Data Room è lo spazio in cui i fascicoli probatori restano conservati nel tempo e consultabili quando servono. Risponde direttamente all'obbligo di conservazione quinquennale del Sunshine Act, ma con un orizzonte che può andare oltre.
Con la Certified Data Room di TrueScreen i fascicoli probatori restano conservati in modo permanente e consultabili in caso di audit o contestazione. Ogni elemento (l'accordo, la videochiamata, la ricevuta, il consenso) resta legato alla propria certificazione, con la catena di custodia intatta. Quando un'autorità chiede conto di una voce rendicontata anni prima, il fascicolo è già pronto, non va ricostruito a posteriori sperando che le tracce siano ancora reperibili.
TrueScreen e gli standard normativi (eIDAS, ISO/IEC 27037, GDPR, NIS2)
La metodologia di TrueScreen si allinea agli standard normativi che danno valore legale e tecnico al dato certificato. Non è una scelta estetica: nel pharma, dove ogni prova può finire davanti a un'autorità, l'aderenza agli standard è ciò che rende il fascicolo opponibile.
Il riferimento europeo è eIDAS, il regolamento che disciplina il sigillo elettronico e la marca temporale con valore legale riconosciuti negli Stati membri. Sul piano della gestione delle prove digitali, la metodologia si ispira alla ISO/IEC 27037, lo standard internazionale per l'identificazione, la raccolta e la conservazione delle prove digitali, che è poi la disciplina della catena di custodia. Il GDPR governa il trattamento dei dati personali degli operatori sanitari, un tema centrale visto che la named disclosure pubblica nomi e importi. La NIS2 entra in gioco sul versante della sicurezza del dato nei processi critici. Quattro riferimenti diversi che convergono su un punto: il dato certificato deve reggere a una verifica, tecnica e giuridica.
Conclusione: dalla trasparenza dichiarata alla trasparenza provabile
Il Sunshine Act italiano chiude un'epoca in cui la trasparenza sui rapporti con il mondo sanitario era una buona pratica e ne apre una in cui è un obbligo presidiato dalla legge. Quando il registro Sanità Trasparente diventerà operativo, le aziende del settore della salute saranno misurate non solo su cosa dichiarano, ma su cosa riescono a dimostrare.
La distinzione tra trasparenza dichiarata e trasparenza provabile è la posta in gioco reale. Comunicare un trasferimento di valore è un atto amministrativo; provarne natura, data, importo e consenso anni dopo è un problema probatorio che si risolve a monte, certificando il dato nel momento in cui nasce. Acquisire e certificare con metodologia forense gli eventi che alimentano la rendicontazione, integrare la certificazione nel flusso quotidiano degli informatori e conservare i fascicoli in modo che reggano a un audit non è un adempimento in più. È ciò che separa un'azienda che dichiara di essere conforme da una che, se interrogata, può dimostrarlo.
