Che cosa è cambiato nel 2026, che cosa arriva nel 2027 e come imprese e banche possono lavorare sugli stessi dati.

In sintesi

• Gli orientamenti dell’Autorità bancaria europea (EBA) sulla gestione dei rischi ESG (EBA/GL/2025/01) si applicano alle banche vigilate dalla Banca centrale europea (BCE) dall’11 gennaio 2026. Gli enti piccoli e non complessi (SNCI) hanno tempo al più tardi fino all’11 gennaio 2027.
• L’obbligo ricade sulle banche, non sulle imprese. Ma le banche possono adempierlo solo con i dati, e la maggior parte di quei dati è in mano ai loro clienti. Le domande arrivano all’impresa.
• Per i grandi clienti corporate, gli orientamenti elencano i dati che una banca dovrebbe considerare. Per gli altri clienti, la banca sceglie da quell’elenco e colma le lacune con stime documentate.
• Gli orientamenti indicano gli ESRS e lo standard volontario per le PMI non quotate (VSME) come riferimento per l’informativa delle imprese. Non citano né GRI né ISSB.
• Un modo condiviso e strutturato di raccogliere i dati aiuta entrambe le parti. L’impresa risponde una sola volta e riutilizza le risposte. La banca mantiene il proprio rating, il proprio scoring e le proprie soglie.

Perché leggere questo articolo

Le banche dell’UE devono ora gestire i rischi ESG nell’ambito della normale gestione dei rischi. Per farlo hanno bisogno di informazioni che si trovano per lo più presso i loro clienti. Questo articolo spiega come una regola scritta per le banche diventi un elenco di domande sulla scrivania di un’impresa.

Tratta quattro aspetti:

• da dove nasce l’obbligo e chi ne stabilisce ciascuna parte
• che cosa dicono gli orientamenti EBA sui dati, paragrafo per paragrafo
• che cosa è definito, che cosa è ancora in evoluzione e che cosa arriva nel 2027
• come imprese e banche possono lavorare sugli stessi dati senza perdere la propria indipendenza

Non esamina nel dettaglio le parti degli orientamenti dedicate a governance, rilevanza e piano di transizione, perché sono trattate in altre pubblicazioni. Segue invece un solo filo: i dati che arrivano ai clienti.

Per le imprese, mostra a che cosa servono le domande, che cosa è obbligatorio e che cosa no, e che cosa preparare. Per le banche, mostra dove gli orientamenti lasciano margini di scelta e quali scelte contano per la qualità dei dati.

Dalla legge al questionario: una catena di sei anelli

Il questionario di una banca è l’ultimo anello di una catena. Ogni anello aggiunge una decisione, ed è per questo che due banche che applicano la stessa legge pongono domande diverse.

Gli anelli da 1 a 3 sono comuni a tutte le banche dell’UE. Autorità di vigilanza e banche aggiungono le proprie aspettative negli anelli 4 e 5. L’impresa vede solo l’anello 6, ed è per questo che un questionario può sembrare arbitrario anche quando non lo è.

Che cosa è cambiato, e quando

Nello stesso periodo sono cambiate diverse norme UE. La tabella le mette in ordine. Le date di applicazione degli orientamenti EBA possono variare da paese a paese e in base al tipo di banca. In Lussemburgo, ad esempio, la CSSF li applica agli enti meno significativi, diversi da quelli piccoli e non complessi, dal 1° aprile 2026. Verificate la data fissata dalla vostra autorità di vigilanza.

Due punti contano più di tutti ai fini di questo articolo.

Primo, gli orientamenti seguono il principio “conformarsi o spiegare”. Le autorità di vigilanza si aspettano che le banche li applichino o spieghino perché non lo fanno. La formulazione usa per lo più il condizionale “dovrebbero”, che esprime un’aspettativa più che una regola rigida. Le banche hanno quindi margine per decidere come raccogliere i dati, ed è proprio per questo che i clienti riceveranno questionari diversi.

Secondo, la CRD VI porta il rischio ESG al centro della gestione dei rischi bancari. Le banche devono individuare, misurare, gestire e monitorare gli effetti di breve, medio e lungo periodo dei fattori ESG, dando priorità ai rischi legati al clima. Una banca non può farlo senza dati a livello di singolo cliente.

Perché le banche hanno bisogno di dati a livello di cliente

Gli orientamenti non chiedono alle banche di raccogliere dati fine a se stessi. I dati sono l’input di diverse attività che le banche devono svolgere. La tabella collega ciascuna attività alla sua fonte. L’ultima colonna riporta la nostra lettura del motivo per cui servono i dati dei clienti.

Gli orientamenti non trasformano ciascuna di queste attività in un questionario. Una banca può utilizzare anche dati di terzi, fonti pubbliche e stime (GL da 25 a 27), e gli orientamenti indicano il dialogo con i clienti come una fonte tra le altre (GL 26). Secondo la nostra lettura, il questionario diventa il canale principale quando il cliente è una PMI, perché le piccole imprese di solito pubblicano poche informazioni di sostenibilità.

La stessa autorità di vigilanza considera la disponibilità dei dati una questione aperta. Il 24 febbraio 2025 l’EBA ha pubblicato una relazione sulla disponibilità e l’accessibilità dei dati ESG e sulla fattibilità di una metodologia comune, ai sensi dell’articolo 501 quater, paragrafo 1, del CRR. Ha indicato che seguirà ulteriore lavoro sulla rischiosità delle posizioni esposte a fattori ESG e sui possibili effetti di un trattamento prudenziale adeguato.

Che cosa devono raccogliere le banche

Gli orientamenti non consegnano alle banche un modulo unico. Fissano principi per la raccolta dei dati e poi elencano i dati per un gruppo di clienti. Riferimenti come GL 28 indicano i numeri di paragrafo degli orientamenti.

I principi (GL da 24 a 27). Le banche devono disporre di procedure per raccogliere e utilizzare le informazioni ESG sulle proprie controparti. Dovrebbero basarsi su dati interni ed esterni, compresa l’informativa della controparte stessa, “in particolare” gli European Sustainability Reporting Standards (ESRS) o lo standard volontario per le PMI non quotate (GL 25). Il dialogo con i clienti è indicato come fonte di dati (GL 26). Quando i dati mancano o sono deboli, la banca dovrebbe documentare le azioni correttive, comprese stime o proxy (GL 27).

Paragrafo per paragrafo. Le regole sui dati si trovano in una breve sequenza di paragrafi. Letti in ordine, mostrano come gli orientamenti concepiscono i dati.

• GL 23. Le banche devono disporre di solidi sistemi di gestione delle informazioni per individuare, raccogliere, strutturare e analizzare i dati ESG, nell’ambito della governance dei dati e dei sistemi informatici complessivi. Dovrebbero rivedere periodicamente le proprie prassi e disporre di presidi per valutare e migliorare la qualità dei dati.
• GL 24. Le banche dovrebbero raccogliere le informazioni necessarie per valutare i rischi ESG attuali e prospettici attraverso le proprie controparti, “mirando a raccogliere dati a livello di cliente e di singolo bene con un grado di granularità adeguato”.
• GL 25. Le banche dovrebbero basarsi su dati interni ed esterni, compresa l’informativa delle controparti stesse. Gli orientamenti citano gli ESRS e uno standard di rendicontazione volontario per le PMI non quotate, che descrivono con riferimento al pacchetto di sostegno alle PMI della Commissione del 2023. Sono stati scritti prima della raccomandazione della Commissione sullo standard volontario del 30 luglio 2025.
• GL 26. Le banche dovrebbero valutare altre fonti, come il dialogo con clienti e controparti o i dati di terzi. Se si affidano a un fornitore di dati, dovrebbero comprenderne fonti, dati, metodologie e limiti.
• GL 27. Quando inizialmente i dati non sono sufficienti, le banche dovrebbero valutare le lacune e il loro impatto, e adottare e documentare azioni correttive. Tra queste rientrano stime o proxy, ad esempio a livello settoriale o regionale, adattate alla controparte ove possibile. Le banche dovrebbero cercare di ridurre nel tempo il ricorso a stime e proxy.
• GL 28 e GL 29. I dati per i grandi clienti corporate e la scelta della banca per le altre controparti, trattati più avanti.

Due espressioni contano più di tutte. “Con un grado di granularità adeguato” spinge le banche verso dati concreti sul cliente e sui suoi beni. “Ridurre nel tempo” significa che una stima è un punto di partenza, non un punto di arrivo. Secondo la nostra lettura, una banca che non migliora mai i propri dati avrà difficoltà a spiegare perché si considera conforme.

Due gruppi di clienti.

Gli orientamenti non definiscono gli “altri tipi di controparti” né forniscono un elenco. È una delle lacune che ogni banca deve colmare con una propria politica.

I temi alla base dei dati. La nostra lettura degli orientamenti scompone la GL 28 e i paragrafi collegati in 178 dati. Il conteggio è frutto della nostra analisi, non un numero riportato negli orientamenti.

Gli altri 120 dati riguardano energia e acqua, natura ed ecosistemi, effetti finanziari, reputazione e contenzioso, provenienza dei dati e modalità di dialogo della banca con il cliente.

Che cosa verrà chiesto alle imprese

Un’impresa non vedrà i 178 dati. Vedrà delle domande, e il loro numero dipende dalle sue dimensioni. Nella nostra bozza di set di domande per le PMI e le altre controparti ci sono 107 domande suddivise in tre livelli. I livelli sono una nostra impostazione, non una categoria regolamentare.

Alcuni esempi mostrano il livello di dettaglio:

Nella bozza, 103 delle 107 domande ammettono la risposta “Non lo so”. La banca può allora applicare una proxy documentata invece di lasciare un campo vuoto. Molte imprese più piccole non misurano ancora tutto.

Gli orientamenti non impongono alle imprese alcun obbligo giuridico diretto di rispondere. Se un’impresa non risponde, la banca deve colmare la lacuna con delle proxy e dispone di informazioni meno accurate su di essa. Rispondere bene è nell’interesse dell’impresa stessa.

Che cosa può preparare un’impresa fin da ora. Sono suggerimenti, non obblighi.

• Dati del soggetto giuridico, il codice LEI (Legal Entity Identifier) se disponibile e il codice di settore
• Gli indirizzi e gli usi principali dei vostri siti principali
• Consumi di energia e combustibili dell’ultimo esercizio di rendicontazione
• Dati sulle emissioni, se le misurate. In caso contrario, una nota che lo indichi
• Eventuali politiche o piani climatici o di sostenibilità, anche brevi
• Documentazione come certificati, autorizzazioni e politiche, conservata in un unico luogo

Il problema dei dati

Poiché ogni banca sceglie i propri dati, un’impresa con tre banche può ricevere tre questionari, in tre formati, con domande che si sovrappongono. Ogni risposta va cercata e inserita di nuovo. Per la banca il quadro è altrettanto disomogeneo: le risposte arrivano in formati diversi, con livelli di qualità diversi, e alcune non arrivano affatto.

Le norme indicano tre modi per ridurre il problema.

• Usare un riferimento comune. Gli orientamenti citano gli ESRS e lo standard volontario per le PMI (GL 25). La raccomandazione della Commissione del 30 luglio 2025 va oltre e incoraggia le grandi imprese e gli istituti finanziari che chiedono informazioni di sostenibilità alle PMI a basare le proprie richieste sul VSME “ove possibile”.
• Accettare stime documentate. Quando i dati non sono disponibili, la banca può usare stime o proxy, purché le documenti (GL 27 e GL 29). Una stima documentata è più facile da gestire per una banca rispetto a un campo vuoto.
• Dialogare con il cliente. Gli orientamenti indicano il dialogo come fonte di dati (GL 26). Una richiesta strutturata e ripetibile funziona meglio di un’email occasionale.

Una nota sul limite Omnibus per la catena del valore. Le modifiche Omnibus alla direttiva sulla rendicontazione societaria di sostenibilità (CSRD) limitano ciò che le imprese soggette alla CSRD possono chiedere ai partner commerciali con 1.000 dipendenti o meno: non più di quanto previsto dallo standard volontario. Secondo lo studio legale Covington, questo limite si applica alle richieste legate alla rendicontazione CSRD, non ad altri scambi di informazioni commerciali. Secondo la nostra lettura, la richiesta di una banca ai sensi degli orientamenti EBA è una questione prudenziale e non di rendicontazione CSRD, quindi nessuna delle due parti dovrebbe dare per scontato che il limite si applichi. Prima di fare affidamento su una delle due interpretazioni è opportuno un parere legale.

Un esempio pratico: un’impresa, tre banche

L’esempio che segue è illustrativo. Non descrive un cliente reale e i dettagli sono scelti solo per mostrare il meccanismo.

Un’impresa manifatturiera con due siti e un finanziamento presso ciascuna di tre banche riceve tre richieste nello stesso trimestre.

Tre cose non funzionano. Lo stesso dato sulle emissioni viene inserito tre volte. Ogni banca definisce il perimetro in modo leggermente diverso, quindi l’impresa deve verificare quale numero va dove. E nessuno registra se un dato è stato misurato o stimato.

Con un archivio condiviso, l’impresa inserisce le proprie emissioni una sola volta, allega il calcolo e indica se il dato è misurato o stimato. Ogni banca riceve la parte che ha chiesto, nella propria struttura, con lo stato e la documentazione allegati. Se in seguito una banca aggiunge una domanda, l’impresa risponde solo alla parte nuova.

Il lavoro dell’impresa scende da tre richieste a un unico archivio più piccole integrazioni. Le banche non rinunciano a nulla: ciascuna continua a scegliere le proprie domande e ad applicare il proprio punteggio.

Rispondere una volta, riutilizzare ovunque

L’impresa inserisce ogni informazione una sola volta. La piattaforma la associa agli standard che la richiedono, così la stessa risposta può servire per una richiesta bancaria, per un report VSME e, in seguito, per altri framework.

Funziona solo se la mappatura è trasparente sui propri limiti. La nostra tavola di corrispondenza confronta i 178 dati bancari con quattro standard. La maggior parte dei collegamenti è parziale, cioè lo standard chiede qualcosa di simile, ma non identico.

Tre indicazioni per leggere la tabella:

• Gli orientamenti citano ESRS e VSME. Non menzionano GRI né ISSB. Questi due sono una comodità per le imprese che già rendicontano secondo tali standard, non qualcosa che la banca possa pretendere.
• 105 delle 178 corrispondenze sono collegamenti da noi proposti e non ancora convalidati rispetto agli elenchi dei campi di ciascuno standard. Presentiamo i numeri come indicativi. I conteggi ESRS potrebbero cambiare una volta mappati i dati sugli ESRS rivisti, descritti più avanti.
• Anche una corrispondenza parziale fa risparmiare lavoro. L’impresa riutilizza i dati di base e adatta la formulazione o il perimetro, invece di partire da un modulo vuoto.

Il risultato per l’impresa è meno lavoro ripetuto. Il risultato per la banca sono dati che arrivano in una struttura coerente, con l’indicazione dello standard di provenienza.

Come la banca mantiene il proprio giudizio

Una struttura dati condivisa non significa un punteggio condiviso. Gli orientamenti si aspettano che ogni banca integri i rischi ESG nel proprio quadro di gestione dei rischi, e ogni banca è titolare della propria metodologia.

In pratica questo comporta una divisione chiara:

Due banche possono ricevere le stesse risposte dalla stessa impresa e giungere a conclusioni diverse. La loro propensione al rischio e i loro portafogli sono diversi.

Il livello dei dati non produce un rating, una probabilità di default o una decisione di credito. Mantenere chiaro questo confine lascia la banca responsabile dei propri modelli.

Come funziona in pratica

L’impresa ha il controllo delle proprie risposte. Il livello condiviso registra che cosa è stato condiviso, con chi e quando. La banca lavora solo su ciò che le è stato fornito. Il flusso è una nostra impostazione e semplifica un processo più lungo. I cinque punti che seguono raggruppano le otto fasi.

• Invito e onboarding. La banca invita il cliente. L’impresa accetta e configura i propri utenti.
• Compilazione, allegati, verifica. L’impresa risponde una sola volta, allega la documentazione e la piattaforma verifica la qualità di ciascuna risposta.
• Consenso e condivisione. L’impresa sceglie che cosa condividere e con quale banca. Il livello condiviso registra ogni condivisione.
• Ricezione, scoring, monitoraggio. La banca riceve i dati e applica le proprie regole. Monitora il cliente nel tempo e lo coinvolge dove ci sono lacune.
• Aggiornamento. L’impresa aggiorna le proprie risposte e la banca vede la modifica.

Qualità dei dati e lacune

Nessuna impresa risponderà a tutte le domande fin dall’inizio. Ciò che conta è che la banca sappia distinguere tra un dato effettivo, una stima e una lacuna. Nella nostra impostazione ogni risposta ha uno di tre stati.

Questo è in linea con la GL 27, che chiede alle banche di documentare le azioni correttive, comprese stime e proxy. Gli stati e i tipi di scheda sono una nostra impostazione.

Tre abitudini fanno la differenza:

• Indicare le stime come stime, da entrambe le parti.
• Registrare perché una risposta manca. “Non applicabile” e “rifiutato” portano a seguiti diversi.
• Pianificare il miglioramento nel tempo. Una lacuna aperta oggi dovrebbe ridursi all’aggiornamento successivo.

Le domande che ci vengono poste

Siamo obbligati a rispondere al questionario della nostra banca? Gli orientamenti si applicano alle banche e non impongono alcun obbligo giuridico diretto alle imprese. Il vostro contratto di finanziamento può prevedere propri obblighi di informazione, quindi verificatelo. Se non rispondete, la banca deve usare delle proxy e avrà un quadro meno accurato della vostra impresa.

Lo standard volontario per le PMI (VSME) basta alla banca? Gli orientamenti lo citano come riferimento (GL 25) e la Commissione incoraggia le banche a basare su di esso le richieste alle PMI. Ma ogni banca sceglie i propri dati, e non tutti hanno un equivalente nel VSME. Nella nostra tavola di corrispondenza indicativa, 10 dei 178 dati bancari hanno una corrispondenza piena con il VSME e 48 una corrispondenza parziale.

Rendicontiamo secondo GRI. Ci aiuta? Gli orientamenti non citano GRI, quindi una banca non può pretenderlo. I vostri dati GRI possono comunque essere riutilizzati come fonte per le risposte. Nella nostra tavola di corrispondenza indicativa, 11 dati hanno una corrispondenza piena con GRI e 55 una corrispondenza parziale.

E se non misuriamo le nostre emissioni? Rispondete “Non lo so” dove la domanda lo consente e aggiungete ciò che avete, ad esempio i consumi di energia e combustibili. La banca potrà così applicare una proxy documentata. Nel tempo, la risposta migliore è iniziare a misurare.

Tutte le banche porranno le stesse domande? No. Per i grandi clienti corporate gli orientamenti elencano i dati che una banca dovrebbe considerare (GL 28). Per gli altri clienti la scelta spetta alla banca (GL 29). Aspettatevi differenze tra banche, e tra gruppi di clienti della stessa banca.

Il livello dei dati decide qualcosa in materia di credito? No. Raccoglie, struttura e conserva l’archivio. Rating, scoring e decisioni di credito restano alla banca.

Che cosa cambia la semplificazione, e che cosa no

Gran parte delle notizie del 2026 riguarda la riduzione degli obblighi di segnalazione e informativa delle banche. È facile concludere che le banche chiederanno meno ai clienti. Le fonti indicano un quadro più sfumato, perché sono coinvolti tre livelli diversi.

Secondo la nostra lettura, ne derivano tre conseguenze.

• Meno modelli non significa necessariamente meno domande. Le aspettative degli orientamenti sui dati riguardano la gestione interna dei rischi, non i modelli di segnalazione.
• Le domande potrebbero concentrarsi su ciò che i modelli mantengono o aggiungono: settore, localizzazione, esposizione fisica ed emissioni.
• La qualità dei dati conterà di più. Secondo la sintesi di Forvis Mazars sulle priorità 2026-2028, la BCE esaminerà più da vicino la qualità dei dati ESG, l’allineamento alla Tassonomia UE e l’informativa di terzo pilastro.

Secondo la nostra lettura, una banca che semplifica le proprie segnalazioni senza semplificare la raccolta dei dati continuerà a chiedere ai clienti le stesse cose. Un’impresa che mantiene un unico archivio strutturato è in una buona posizione, in qualunque direzione evolvano i modelli.

Che cosa arriva nel 2027

Quattro elementi contano per entrambe le parti. L’ultimo cambia ciò che può essere chiesto alle imprese.

• 11 gennaio 2027. La data ultima per l’applicazione degli orientamenti da parte degli enti piccoli e non complessi. Si applicano alle banche vigilate dalla BCE anche gli orientamenti EBA sull’analisi degli scenari ambientali (EBA/GL/2025/04).
• 1° gennaio 2027. Gli ESRS rivisti e semplificati si applicano agli esercizi che iniziano a partire da questa data, con i primi report nel 2028. Secondo Linklaters, l’atto delegato della Commissione è stato pubblicato nella Gazzetta ufficiale il 21 settembre 2026 ed entra in vigore il 10 novembre 2026. Per l’esercizio 2026, le imprese nel perimetro possono usare gli ESRS esistenti, gli ESRS esistenti con le nuove agevolazioni oppure gli ESRS rivisti nella loro interezza, e devono indicare quale opzione hanno applicato.
• 19 marzo 2027. Il termine per il recepimento delle modifiche alla CSRD da parte degli Stati membri.
• Dagli esercizi che iniziano a partire dal 1° gennaio 2027. Secondo Linklaters, inizia ad applicarsi il limite per la catena del valore previsto dall’atto delegato sullo standard volontario. Le imprese tenute alla rendicontazione CSRD non possono pretendere più di un breve elenco di informazioni dai partner commerciali con 1.000 dipendenti o meno. Il limite riguarda solo le informazioni raccolte per la rendicontazione CSRD del richiedente stesso.

Altre date da tenere d’occhio. Incidono su ciò che le banche vorranno dai clienti, e su quando lo vorranno.

• 31 dicembre 2026. Data di riferimento per l’informativa ESG di terzo pilastro rivista degli enti diversi da quelli piccoli e non complessi, subordinatamente all’ulteriore lavoro della Commissione.
• 2027. La prova di stress EBA a livello UE, con un modulo sul rischio climatico che non incide sui risultati principali. L’EBA ha pubblicato i materiali preliminari il 12 giugno 2026. Secondo la sintesi di Forvis Mazars sulle priorità della BCE, il ciclo 2027 richiederebbe un’analisi climatica granulare, a livello di controparte.
• Settembre 2027. Avvio proposto delle segnalazioni di vigilanza ESG semplificate dell’EBA, subordinatamente alla Commissione.
• 31 dicembre 2027. Data di riferimento per l’informativa ESG di terzo pilastro degli enti piccoli e non complessi.
• Nessuna data nelle fonti. La BCE ha annunciato che avvierà una revisione tematica sulla pianificazione della transizione prudenziale ai sensi dell’articolo 87 bis della CRD.

Quali ESRS? Gli orientamenti fanno riferimento agli ESRS senza indicarne una versione. Gli ESRS rivisti mirano a ridurre il numero di dati obbligatori. Secondo la nostra lettura, l’elenco di riferimento per le grandi imprese potrebbe quindi cambiare, e durante la transizione la stessa risposta potrebbe dover essere mappata su due versioni. È un motivo in più per archiviare ogni risposta una sola volta e associarla agli standard che la richiedono.

Che cosa possono fare le banche fin da ora

Sono suggerimenti, non obblighi.

• Scrivere la politica per le “altre controparti”. Gli orientamenti lasciano aperta la definizione (GL 29). Decidete quali clienti rientrano in quale gruppo e quali dati si applicano a ciascuno, e registratene il motivo.
• Usare un riferimento comune per le domande. Basare le domande sugli ESRS o sullo standard volontario per le PMI permette ai clienti di riutilizzare le risposte e a voi di registrare da quale standard proviene ciascuna risposta.
• Accettare ed etichettare le stime. Definite come documentare le proxy (GL 27) e tenete separati nei vostri archivi dati effettivi, stime e lacune.
• Tenere il livello dei dati separato dal punteggio. Raccogliete in una struttura condivisa, poi applicate i vostri pesi, le vostre soglie e i vostri segnali di allerta.
• Pianificare l’aggiornamento. Concordate un ciclo di aggiornamento delle risposte e un modo per dare seguito alle lacune aperte.

Un percorso pratico verso l’11 gennaio 2027. La tabella che segue è un suggerimento per le banche più piccole e i loro clienti, e può essere adattata alla data fissata dalla vostra autorità di vigilanza.

In breve

Le regole ESG dell’EBA si applicano già, e le domande arrivano alle imprese attraverso le loro banche. Le banche decidono che cosa chiedere, e la maggior parte lo chiederà in modo diverso. Un modo condiviso di raccogliere i dati permette all’impresa di rispondere una sola volta e alla banca di mantenere il proprio giudizio.