Intesa Sanpaolo

Audit Report / Information • Mar 28, 2025

Relazione del Comitato per il Controllo sulla Gestione all'Assemblea degli Azionisti sull'attività di vigilanza svolta nel 2024

ai sensi dell'art. 153, comma 1, del D. Lgs. 24 febbraio 1998, n. 58 e dell'art. 23.1, lettera j), dello Statuto

Signori Azionisti,

si rammenta che il modello di amministrazione e controllo monistico adottato da Intesa Sanpaolo S.p.A. (anche "Banca" o "Capogruppo") prevede un Consiglio di Amministrazione ("Consiglio") in cui convergono le funzioni di indirizzo e supervisione strategica, le funzioni di gestione nonché le funzioni di controllo esercitate dal Comitato per il Controllo sulla Gestione ("Comitato" o "Organo di controllo"), nominato dall'Assemblea nell'ambito del Consiglio stesso. Il Comitato attualmente in carica è stato nominato dall'Assemblea tenutasi il 29 aprile 2022.

Nei propri ambiti di competenza, il Comitato svolge un ruolo proattivo nei confronti delle Funzioni Aziendali di Controllo ("FAC") e ingaggia un confronto costruttivo con il Management della Banca e del Gruppo Intesa Sanpaolo ("Gruppo"), anche sulla base delle informazioni ricevute nell'ambito delle sedute consiliari e considerate meritevoli di ulteriori approfondimenti. Le attività svolte tengono conto anche delle indicazioni fornite dal Presidente del Comitato nel corso degli incontri periodici tenuti con la Segreteria dedicata, finalizzati a un vicendevole scambio delle informazioni considerate meritevoli d'attenzione e alla conseguente pianificazione dei lavori del Comitato stesso.

Il Comitato, nell'esercizio delle proprie funzioni e per il migliore svolgimento delle stesse, scambia le informazioni di reciproco interesse e si coordina per lo svolgimento dei rispettivi compiti con il Comitato Rischi e Sostenibilità, costituito dal Consiglio al proprio interno, e con l'Organismo di Vigilanza ex D. Lgs. 231/2001. Un componente del Comitato interviene di norma alle sedute del Comitato Rischi e Sostenibilità, riferendo poi all'Organo di controllo.

Ai sensi dell'art. 153, comma 1, del D. Lgs. 58/1998 ("TUF"), il Comitato è tenuto a riferire all'Assemblea convocata per l'approvazione del bilancio dell'esercizio sull'attività di vigilanza svolta e sulle omissioni e sui fatti censurabili rilevati. Detto adempimento è previsto anche dall'art. 23.1, lettera j) dello Statuto della Banca. Lo svolgimento della Relazione tiene conto delle raccomandazioni della Consob in materia e, in particolare, della Comunicazione n. 1025564 del 6 aprile 2001 e successivi aggiornamenti, i cui riferimenti trovano nel testo il consueto richiamo esplicito.

Nel 2024 si sono tenute:

• − n. 21 riunioni del Consiglio di Amministrazione;
• − n. 41 riunioni del Comitato per il Controllo sulla Gestione.

1. ATTIVITÀ DI VIGILANZA SULL'OSSERVANZA DELLA LEGGE E DELL'ATTO COSTITUTIVO

Evoluzioni normative

Anche in virtù dell'evoluzione delle Disposizioni di Vigilanza e più in generale della regolamentazione esterna, il Comitato ha esaminato - per quanto di competenza - le proposte di adozione e di aggiornamento di normative interne.

Il Comitato ha in particolare rilasciato il previsto parere con riguardo all'aggiornamento del Regolamento di Gruppo per la gestione delle operazioni con parti correlate di Intesa Sanpaolo, soggetti collegati del Gruppo e soggetti rilevanti ex art. 136 TUB ("Regolamento OPC").

Rapporti con le Autorità di Vigilanza

Il Comitato viene puntualmente informato, anche con il supporto della Segreteria a esso dedicata, in merito alle principali comunicazioni indirizzate alla Banca da parte delle Autorità di Vigilanza italiane ed europee riferibili alle materie di propria competenza, con particolare attenzione al sistema dei controlli.

Quanto ai rapporti con la Banca Centrale Europea ("BCE"), il Comitato ha, tra le altre cose, ricevuto aggiornamenti periodici in merito alla predisposizione e all'andamento dei Supervisory Plan conseguenti le On-site Inspection, le Thematic Review e i Deep Dive della stessa Autorità.

9) Pareri

10)

Il Comitato ha altresì ricevuto le previste informative e i conseguenti aggiornamenti, per quanto di propria competenza, con riferimento ai rapporti tenuti dalla Banca con le altre Autorità di Vigilanza, sia italiane sia di altri Paesi UE ed extra UE.

Autovalutazione e verifica dei requisiti

Come previsto dalla normativa interna, il Comitato ha rinnovato la consueta autovalutazione annuale sulla propria composizione e sul proprio funzionamento, con processo distinto rispetto a quello effettuato dal Consiglio. Come noto, tale esercizio è finalizzato anche a valutare il corretto ed efficace svolgimento delle funzioni affidate al Comitato in qualità di Organo di controllo della Banca secondo criteri e modalità coerenti con le proprie caratteristiche.

Anche per l'esercizio 2024, in continuità con l'esercizio precedente e con quanto effettuato dal Consiglio, il Comitato si è avvalso dell'istruttoria svolta da un consulente esterno indipendente. I risultati quali-quantitativi hanno confermato l'adeguatezza del Comitato e l'elevato livello di compliance complessiva con le previsioni del Codice di Corporate Governance delle società quotate ("Codice di Corporate Governance"), con le linee guida dell'European Banking Authority ("EBA"), con quanto previsto dalla Circolare 285/2013 di Banca d'Italia e con le best practice. Al termine del processo, in data 16 dicembre 2024, il Comitato ha espresso una valutazione di adeguatezza relativamente alla propria dimensione, alla propria composizione e al proprio funzionamento.

Inoltre, in vista del rinnovo degli Organi, il Comitato ha esaminato - per gli aspetti di propria competenza - il documento contenente gli Orientamenti che il Consiglio ha messo a disposizione degli Azionisti al fine di favorire il percorso di definizione delle migliori proposte per l'identificazione dei candidati alla carica di componente del Consiglio di Amministrazione e di componente del Comitato per il Controllo sulla Gestione. In conformità con quanto richiesto dalla normativa interna, che recepisce le linee guida emanate in materia dall'EBA e dall'European Securities and Markets Authority ("ESMA") in attuazione dei principi stabiliti nella Direttiva UE 36/2013 ("CRD IV"), in data 25 febbraio 2025 il Comitato ha verificato il possesso dei requisiti richiesti in capo a ciascuno dei propri esponenti, ivi inclusa l'insussistenza di rapporti finanziari significativi con le società del Gruppo nonché il rispetto dei limiti al cumulo degli incarichi ai fini della verifica dell'indipendenza in coerenza con quanto stabilito dal Regolamento adottato in materia dal Consiglio. Come previsto dal Codice di Corporate Governance, i componenti del Comitato hanno verificato la corretta applicazione dei criteri e delle procedure di accertamento adottati dal Consiglio per valutare l'indipendenza dei propri membri.

Istanze

5) Denunce

9) Pareri

6) Esposti

11) Principi di corretta amministrazione

Con riferimento a una denuncia ex art. 2408 c.c. presentata da un socio in merito a presunte irregolarità relative alla liquidazione di una polizza Intesa Sanpaolo Vita avvenuta alla morte del contraente, il Comitato ha esaminato gli esiti delle verifiche condotte dalle competenti funzioni aziendali, constatando come non siano emersi fatti meritevoli di particolare attenzione né tali da richiedere l'adozione di provvedimenti. Nel corso del 2024 sono pervenuti 3 esposti indirizzati dalla clientela all'Organo di controllo riconducibili all'ordinaria attività della Banca. Il Comitato ha chiesto alle funzioni competenti di effettuare le opportune verifiche in merito, che hanno evidenziato una situazione di sostanziale regolarità delle procedure agite.

2. ATTIVITÀ DI VIGILANZA SUL RISPETTO DEI PRINCIPI DI CORRETTA AMMINISTRAZIONE

Il Comitato ha vigilato sul rispetto dei principi di corretta amministrazione, effettuando incontri periodici con i responsabili delle FAC, delle Aree di Governo e delle Divisioni del Gruppo nonché con il Dirigente Preposto alla redazione dei documenti contabili societari di Intesa Sanpaolo ("Dirigente Preposto"), e con la Società di Revisione, anche al fine di verificare che le scelte gestionali siano fondate su di un adeguato impianto di flussi informativi agli Organi e che i processi decisionali tengano conto della rischiosità e degli effetti delle scelte di gestione adottate.

Il Comitato ha constatato che i flussi tra le strutture aziendali e il Consigliere Delegato e CEO, nonché tra questi e il Consiglio, sono continui. Lo scambio di informazioni tra il Comitato e il Consigliere Delegato e CEO è arricchito da incontri periodici, prevalentemente focalizzati sull'andamento della gestione della Banca e del Gruppo, sulla funzionalità ed efficacia del sistema dei controlli interni e di gestione dei rischi nonché sulle raccomandazioni a tal proposito formulate dal Comitato stesso nell'ambito delle proprie relazioni trimestrali al Consiglio.

Il Comitato ha svolto l'attività di vigilanza sull'osservanza delle disposizioni in materia di adempimenti previsti per le operazioni di maggiore rilievo economico, finanziario e patrimoniale effettuate dalla Banca o dalle società controllate, riscontrando come le stesse fossero conformi alla legge e allo Statuto e non fossero come richiesto dalla Consob - manifestamente imprudenti, azzardate, in conflitto di interessi, in contrasto con le delibere assunte dall'Assemblea o tali da compromettere l'integrità del patrimonio sociale. Le informative ai sensi dell'art. 150, comma 1 e 2, del TUF, sono state rese sia nell'ambito dell'informativa del

2

Dirigente Preposto sulle modalità di predisposizione dei bilanci sia in occasione dei periodici incontri con il Consigliere Delegato e CEO.

Il Comitato ha ricevuto la periodica informativa ai sensi della normativa interna in tema di governo delle Operazioni di Maggior Rilievo ("OMR"), ovvero transazioni che comportano una potenziale variazione significativa del profilo di rischio complessivo definito nel Risk Appetite Framework ("RAF").

Ai sensi del Regolamento OPC, il Comitato ha ricevuto la rendicontazione trimestrale afferente alle operazioni con parti correlate e soggetti collegati, inclusiva della valutazione della significatività delle relazioni finanziarie ai fini del requisito di indipendenza degli Amministratori. In tali occasioni, il Comitato ha ricevuto altresì la rendicontazione in merito agli interessi dichiarati dagli Amministratori nel compimento di determinate operazioni ai sensi dell'art. 2391 c.c. e/o dell'art. 53 comma 4 TUB.

Infine, il Comitato ha vigilato sull'attuazione e sul governo del Codice Etico di Gruppo, che autodisciplina l'integrazione di considerazioni sociali e ambientali, ivi comprese quelle attinenti a tematiche Environmental Social and Governance (ESG) nei processi, nelle prassi e nelle decisioni aziendali.

Alla luce di quanto sopra, non sono state riscontrate operazioni atipiche e/o inusuali - né con terzi né con parti correlate o infragruppo - da intendersi quali operazioni suscettibili di dar luogo a dubbi in ordine alla correttezza/completezza dell'informazione in bilancio, ai conflitti d'interesse, alla salvaguardia del patrimonio aziendale, alla tutela degli azionisti di minoranza. Parimenti, non sono state riscontrate irregolarità gestionali e anomalie andamentali.

Nelle relazioni sull'andamento della gestione e nelle note integrative al progetto di bilancio di esercizio di Intesa Sanpaolo S.p.A. al 31 dicembre 2024 e al bilancio consolidato del Gruppo Intesa Sanpaolo al 31 dicembre 2024 (insieme "Bilancio 2024"), sono stati adeguatamente segnalati e illustrati rispettivamente gli eventi significativi e le principali operazioni con parti correlate di maggiore rilevanza (anche infragruppo) e le altre operazioni significative realizzate nel rispetto del Regolamento OPC.

3. ATTIVITÀ DI VIGILANZA SULLE MODALITÀ DI CONCRETA ATTUAZIONE DELLE REGOLE DI GOVERNO SOCIETARIO PREVISTE DAL CODICE DI CORPORATE GOVERNANCE

Il Comitato ha esaminato la Relazione su Governo Societario e Assetti Proprietari ("Relazione sul Governo Societario") per il 2024, poi approvata dal Consiglio in data 27 febbraio 2025, con particolare riferimento alle informazioni afferenti alle principali caratteristiche dei sistemi di gestione dei rischi e di controllo interno che riguardano il processo di informativa finanziaria.

In tale ambito, il Comitato ha preso favorevolmente atto che la Relazione è stata redatta tenendo conto delle Raccomandazioni per il 2025 indirizzate dal Presidente del Comitato italiano per la Corporate Governance a tutti i Presidenti degli Organi amministrativi delle società quotate italiane, le cui evidenze pongono il governo societario della Banca a un livello di generale adeguatezza.

La Relazione sul Governo Societario, cui si rinvia per maggiori dettagli, illustra tra l'altro il modello di amministrazione e controllo di Intesa Sanpaolo e fornisce una completa informativa delle modalità secondo le quali la Banca ha adottato e attuato le raccomandazioni del Codice di Corporate Governance.

4. ATTIVITÀ DI VIGILANZA SULL'ADEGUATEZZA, EFFICIENZA E FUNZIONALITÀ DELLA STRUTTURA ORGANIZZATIVA

Il Comitato ha effettuato la consueta ricognizione della struttura organizzativa delle FAC e delle principali Divisioni del Gruppo, prestando attenzione all'adeguatezza dei meccanismi di presidio dei rischi e alle procedure a supporto dell'attività svolta.

Nel corso del 2024, il Comitato è stato informato, anche su propria richiesta, in merito alla:

• − proposta di evoluzione della struttura organizzativa dell'Area di Governo del Chief Risk Officer, che ha portato alla costituzione di due nuove Aree di Coordinamento (una relativa agli ambiti Credit Enterprise e Operational Risk, l'altra dedicata alla gestione dei rischi delle Business Units e dei Market & Financial risks);
• − costituzione, all'interno dell'Area di Governo del Chief Lending Officer, della Direzione Centrale Strategic Transactions & Credit Funds cui è stata attribuita l'attività di gestione di selezionati investimenti in quote di fondi con sottostanti portafogli creditizi/immobiliari e in partecipazioni equity rivenienti da conversione di esposizioni creditizie;
• − valutazione condotta sui requisiti di idoneità dei key function holders di Intesa Sanpaolo, per quanto di competenza, prendendo atto che non è stata riscontrata alcuna situazione rilevante ai fini del possesso dei requisiti prescritti.

Inoltre, nel corso del 2024, il Comitato ha valutato con favore la:

− creazione dell'Area di Governo del Chief Sustainability Officer, che ha l'obiettivo di guidare le strategie di sviluppo del Gruppo sul tema della sostenibilità, unitamente alla pianificazione delle relative attività e al loro monitoraggio;

2) Operazion i atipiche e/o inusuali

3) Adeguatezza delle informazioni

17) Adesione Codice di Corporate Governanc

e

12) Struttura organizzativa

− costituzione dell'Area di Governo del Chief Security Officer, in grado di garantire un unico punto di presidio dei modelli e delle soluzioni in materia di sicurezza, ivi compresi gli aspetti riferiti alla sicurezza tecnologica.

Per quanto riguarda le valutazioni svolte dal Comitato sull'adeguatezza delle FAC, si rimanda al capitolo riportato più nel seguito della presente relazione.

Nel rinviare alla Relazione sul Governo Societario per un maggior dettaglio circa la struttura organizzativa e operativa del Gruppo, di seguito si rappresenta l'organigramma della Banca alla data odierna.

5. ATTIVITÀ DI VIGILANZA SULL'ADEGUATEZZA, EFFICIENZA E FUNZIONALITÀ DEL SISTEMA AMMINISTRATIVO CONTABILE E DELL'INFORMAZIONE CONTABILE E FINANZIARIA

Il Comitato - anche in qualità di Comitato per il controllo interno e la revisione contabile ai sensi dell'art. 19, comma 2, lettera c), del D. Lgs. 39/2010 - ha esaminato l'informativa periodica in merito alle attività svolte e alle azioni correttive predisposte dal Dirigente Preposto a supporto delle attestazioni di legge e ha approfondito cause e rimedi delle eventuali lacune degli assetti contabili.

La funzione di Governo Amministrativo Finanziario ("GAF") ha illustrato le relazioni semestrali sulle attività di governo e controllo svolte sul sistema dei controlli interni rilevanti per l'informativa finanziaria, con i relativi Tableau de Bord ("TdB") che riassumono i principali punti di attenzione e l'avanzamento delle relative azioni di mitigazione, ivi incluse le attività svolte dalla funzione Presidio Valutazione Poste Patrimoniali, nonché il piano delle attività per l'esercizio 2025.

Considerate le attività di governo e controllo svolte nell'esercizio 2024 nonché il contenuto livello di rischio residuo, la GAF ha espresso un giudizio positivo - pur in presenza di aree di ulteriore miglioramento per le quali sono in corso interventi di mitigazione - sui requisiti di legge dell'informativa di bilancio, consentendo al Consigliere Delegato e CEO e al Dirigente Preposto di rilasciare le attestazioni previste dall'art. 154-bis del TUF con riferimento alla relazione semestrale consolidata al 30 giugno 2024, ai risultati consolidati al 31 dicembre 2024 inviati a fini segnaletici alle competenti Autorità, al Bilancio 2024 nonché alla Rendicontazione Consolidata di Sostenibilità 2024.

Il Comitato - dopo aver ricevuto un aggiornamento semestrale al 30 giugno - ha esaminato la Relazione sull'attività di presidio del rischio fiscale svolta nel 2024 dalla Banca, così come previsto dal regime di adempimento collaborativo, e il piano delle attività previsto per il 2025.

Il Comitato, insieme al Dirigente Preposto, ha incontrato la Società di Revisione - anche ai sensi dell'art. 150, comma 3 e 5, del TUF - per esaminare il piano di revisione e ricevere aggiornamenti sulle attività svolte per la formulazione del giudizio in merito al Bilancio 2024.

Con riferimento alla vigilanza sul sistema amministrativo-contabile, il Comitato, su propria richiesta, è stato aggiornato progressivamente in merito allo stato di avanzamento dell'iniziativa progettuale finalizzata

16) Incontri con la Società di Revisione

all'implementazione a livello di Gruppo del framework di rendicontazione di sostenibilità definita dalla Direttiva UE 2022/2464 (CSRD).

Nell'ambito della propria attività di vigilanza sull'informativa contabile e societaria, anche al fine di contribuire alla valutazione sul corretto utilizzo dei principi contabili, il Comitato ha incontrato il Dirigente Preposto, le altre competenti funzioni della Banca nonché la Società di Revisione per esaminare le modalità di predisposizione del resoconto consolidato intermedio al 31 marzo 2024, della Relazione Semestrale Consolidata al 30 giugno 2024, del resoconto consolidato intermedio al 30 settembre 2024 e del Bilancio 2024.

Il Comitato ha altresì esaminato il processo di predisposizione della Rendicontazione Consolidata di Sostenibilità, inclusa - a partire dal corrente esercizio - in un'apposita sezione della relazione sulla gestione e approvata dal Consiglio in data 27 febbraio 2025. Tale nuovo documento contiene le informazioni necessarie alla comprensione dell'impatto dell'impresa sulle questioni di sostenibilità e di come queste influiscono sull'andamento dell'impresa, sui suoi risultati e sulla sua situazione. Il Comitato ha in particolare verificato l'osservanza delle disposizioni di cui al D. Lgs. 125/2024 (che ha sostituito la precedente disciplina sulla dichiarazione di carattere non finanziario contenuta nel D. Lgs. n. 254/2016 ora abrogato), il rispetto degli standard di rendicontazione previsti dalle normative UE nonché le modalità di gestione, pianificazione e controllo delle tematiche ESG, ambientali, sociali, attinenti al personale e ai diritti umani, poste in essere da parte del Gruppo. Infine, il Comitato - in sede consiliare - ha ricevuto informativa sul processo di predisposizione del Pillar 3, approvato dal Consiglio in data 12 marzo 2025.

Il bilancio di esercizio della Banca e il bilancio consolidato del Gruppo, in applicazione del D. Lgs. 38/2005, sono redatti secondo i principi contabili IAS/IFRS emanati dall'International Accounting Standards Board e le relative interpretazioni dell'International Financial Reporting Interpretations Committee, omologati dalla Commissione Europea, come stabilito dal Regolamento Comunitario 1606/2002. Tali documenti sono predisposti sulla base delle istruzioni emanate dalla Banca d'Italia con la Circolare 262/2005 e con i successivi aggiornamenti.

Il progetto di bilancio di esercizio di Intesa Sanpaolo al 31 dicembre 2024 e il bilancio consolidato del Gruppo al 31 dicembre 2024 sono stati approvati dal Consiglio in data 27 febbraio.

L'informativa al pubblico, secondo le previsioni indicate dalla normativa di vigilanza prudenziale, è stata resa attraverso il sito Internet della Banca entro i termini previsti per la pubblicazione dei bilanci.

In data 20 marzo 2025 la Società di Revisione ha rilasciato, ai sensi dell'art.14 del D. Lgs. 39/2010 e dell'art. 10 del Regolamento UE 537/2014, le relazioni sulla revisione contabile del bilancio d'esercizio di Intesa Sanpaolo S.p.A. e del bilancio consolidato del Gruppo Intesa Sanpaolo chiusi al 31 dicembre 2024. In particolare, la Società di Revisione ha:

• rilasciato un giudizio dal quale risulta che tali bilanci forniscono una rappresentazione veritiera e corretta della situazione patrimoniale e finanziaria di Intesa Sanpaolo e del Gruppo, del risultato economico e dei flussi di cassa per l'esercizio chiuso a tale data;
• presentato gli aspetti chiave della revisione contabile che, secondo il proprio giudizio professionale, sono maggiormente significativi e che concorrono alla formazione del giudizio complessivo sui bilanci;
• attestato che le relazioni sulla gestione e alcune specifiche informazioni contenute nella Relazione sul Governo Societario sono coerenti con i bilanci cui si riferiscono e sono redatte in conformità alle norme di legge;
• dichiarato di non avere nulla da riportare ai sensi dell'art. 14, comma 2, lettera e), del D. Lgs. 39/2010, sulla base delle conoscenze e della comprensione dell'impresa e del relativo contesto acquisite nel corso dell'attività di revisione.

Tale giudizio rilasciato dalla Società di Revisione sulla conformità alle norme di legge non si estende alla sezione della relazione sull'andamento della gestione del Gruppo relativa alla Rendicontazione Consolidata di Sostenibilità. La Società di Revisione ha infatti rilasciato, ai sensi dell'art. 14-bis del D. Lgs. 39/2010, una specifica relazione sull'esame limitato della Rendicontazione Consolidata di Sostenibilità relativa all'esercizio chiuso al 31 dicembre 2024, nella quale ha reso noto come dall'attività svolta non siano emersi elementi tali da ritenere che:

• la Rendicontazione Consolidata di Sostenibilità del Gruppo non sia stata redatta, in tutti gli aspetti significativi, in conformità ai principi di rendicontazione adottati dalla Commissione Europea ai sensi della Direttiva (UE) 2013/34/UE (European Sustainability Reporting Standards);
• le informazioni contenute nel paragrafo "La rendicontazione ai sensi della Tassonomia UE (Regolamento UE 2020/852)" della Rendicontazione Consolidata di Sostenibilità non siano state redatte, in tutti gli aspetti significativi, in conformità all'art. 8 del Regolamento (UE) n. 852 del 18 giugno 2020.

Sempre in data 20 marzo 2025 la Società di Revisione ha rilasciato al Comitato la relazione aggiuntiva prevista dall'art. 11 del Regolamento UE 537/2014, dalla quale risulta che non sono emerse carenze significative nel sistema di controllo interno per l'informativa finanziaria e/o nel sistema contabile meritevoli di essere portate all'attenzione dei responsabili delle attività di governance.

Unitamente a tale relazione, è stata emessa la conferma annuale dell'indipendenza ai sensi dell'art. 6, paragrafo 2, lettera a), del Regolamento UE 537/2014 e del paragrafo 17 del principio di revisione internazionale (ISA Italia) 260.

4) Relazioni della Società di Revisione

6. ATTIVITÀ DI VIGILANZA SUL PROCESSO DI REVISIONE LEGALE DEI CONTI E SULL'INDIPENDENZA DELLA SOCIETÀ DI REVISIONE

Intesa Sanpaolo ha adottato uno specifico Regolamento di Gruppo per il governo degli incarichi a società di revisione legale e loro reti. Questo disciplina, tra gli altri, il sistema di supervisione degli incarichi per servizi di revisione e altri servizi conferiti dalla Capogruppo e dalle Società del Gruppo a Società di revisione legale, alle loro reti e ai soggetti collegati alle medesime, con l'obiettivo di presidiare l'applicazione della normativa in materia nonché l'indipendenza dei revisori.

In tale contesto, il Regolamento prevede specifici processi di autorizzazione preventiva, monitoraggio e reporting periodico al Comitato, volti a presidiare l'indipendenza della società di revisione legale. Agli effetti di tale monitoraggio sono definite le seguenti tipologie di incarico:

• Audit, ovvero i servizi di revisione legale ai sensi dell'art. 14 del D. Lgs. n. 39/2010 e art. 2409-bis c.c. nonché gli altri servizi di revisione di natura volontaria;
• Audit Related, ovvero le attività affidate ex lege o su incarico di un'Autorità nonché le attività che rappresentano un'estensione dell'incarico di revisione (rilascio di attestazioni, esame di segnalazioni, procedure di verifica concordate). Tali incarichi sono di norma conferiti al Revisore in quanto, per loro natura, non comportano pregiudizio all'indipendenza;
• Non Audit, aventi a oggetto servizi non compresi nelle precedenti tipologie Audit o Audit Related, che ai sensi del Regolamento non possono essere conferiti al Revisore Principale, vale a dire la Società di revisione incaricata della revisione legale della Capogruppo.

Il monitoraggio garantisce inoltre che non siano conferiti al Revisore Principale gli incarichi espressamente vietati ex artt. 10 e 17, comma 3, del D. Lgs. n. 39/2010.

EY è la società di revisione cui è stato attribuito il ruolo di Revisore Unico. Ogni proposta d'incarico riguardante la Società di revisione e soggetti appartenenti al suo network è stata preventivamente monitorata e - ove previsto - autorizzata. Sulla base delle risultanze di tale processo di controllo, si conferma che nel corso dell'esercizio 2024 non sono stati conferiti incarichi non audit a EY e a soggetti a questa legati da rapporti continuativi.

Secondo quanto previsto dal Regolamento di Gruppo, il quadro completo degli incarichi alla società di revisione viene rappresentato con cadenza semestrale dal Dirigente Preposto al Comitato, anche ai fini dei correlati obblighi di reporting in bilancio e verso l'Assemblea degli Azionisti. Un quadro completo degli importi corrisposti nell'esercizio 2024 alla società di revisione è rappresentato nell'allegato ai bilanci denominato "Corrispettivi di revisione e dei servizi diversi dalla revisione ai sensi dell'art. 149-duodecies del Regolamento Consob n. 11971", al quale si rimanda.

Di seguito, si riporta il dettaglio dei corrispettivi degli incarichi Audit Related per l'esercizio 2024.

	(milioni di euro)
Tipologia di servizi	Intesa Sanpaolo		Società del Gruppo (*)
	EY	Rete EY	EY	Rete EY
Servizi di attestazione (**)	2,74	-	3,81	-
Altri servizi:
procedure di verifica concordate	0,08	-	0,30	-
rendicontazione di sostenibilità	1,32	-	0,26	-
Totale	4,14	-	4,37	-

(*) Società del Gruppo controllate e altre società consolidate.

(**) Comprensivi dei costi di revisione, su base volontaria, per l'informativa "Pillar 3".

Corrispettivi al netto di IVA, spese vive e Contributo Consob.

In continuità con i precedenti esercizi, i corrispettivi per incarichi Audit Related si riferiscono principalmente ad attività riconducibili agli adempimenti ricorrenti in materia di deposito e sub-deposito dei beni dei clienti degli intermediari (ai sensi delle disposizioni del Regolamento di Banca d'Italia del 5 dicembre 2019), a verifiche finalizzate al rilascio di comfort letter in attuazione dei programmi di emissioni internazionali e ad altre attività contrattuali previste da impegni già assunti dalla Banca.

Sono state, inoltre, sottoposte al Comitato alcune proposte d'integrazione agli incarichi di revisione in essere con EY (in linea con le condizioni previste dalle stesse): si richiama, in particolare, l'integrazione all'incarico per l'esame limitato della Dichiarazione Consolidata Non Finanziaria (DCNF) 2021-2029, funzionale al conferimento dell'incarico di limited assurance sulla Rendicontazione Consolidata di Sostenibilità 2024- 2029. Il Comitato, laddove richiesto, ha espresso parere favorevole alle proposte di integrazione, dopo averne verificato le motivazioni sottostanti e la loro congruità rispetto alla proposta di revisione.

9) Pareri

6

Da ultimo, il Comitato ha preso atto delle risultanze del monitoraggio svolto nel continuo dalla preposta struttura della Banca sul processo di conferimento degli incarichi alla Società di Revisione, constatando come dallo stesso non sia emersa alcuna ricaduta sotto i profili di indipendenza.

7. ATTIVITÀ DI VIGILANZA SULL'ADEGUATEZZA, EFFICIENZA E FUNZIONALITÀ DEL SISTEMA DEI CONTROLLI INTERNI

Il Regolamento del sistema dei controlli interni integrato del Gruppo, in attuazione della vigente Disciplina di Vigilanza, delinea i compiti e le responsabilità di tutti gli attori del sistema dei controlli interni, le modalità di coordinamento e interazione tra funzioni con responsabilità di controllo, le modalità di indirizzo e coordinamento delle società del Gruppo e delle filiali estere e i principali flussi informativi tra i vari attori del sistema. Il sistema dei controlli interni è strutturato su tre livelli:

• − I° livello: controlli di linea effettuati dalle strutture operative e di business anche attraverso unità dedicate esclusivamente a compiti di controllo - e per quanto possibile incorporati nelle procedure informatiche, diretti ad assicurare il corretto svolgimento delle operazioni;
• − II° livello: controlli volti ad assicurare la corretta attuazione del processo di gestione dei rischi, il rispetto dei limiti operativi e la conformità dell'operatività alle norme. Le funzioni preposte a tali controlli sono distinte da quelle produttive e concorrono alla definizione delle politiche di governo e del processo di gestione dei rischi. Tali controlli sono svolti:
  • ✓ dall'Area di Governo del Chief Compliance Officer, cui sono attribuiti i compiti e le responsabilità della funzione di Conformità alle norme e all'interno della quale è presente la funzione Antiriciclaggio,
  • ✓ dall'Area di Governo del Chief Risk Officer, cui sono attribuiti i compiti e le responsabilità della funzione di Risk Management e all'interno della quale è presente la funzione di Convalida;
• − III° livello: controlli di revisione interna, volti a individuare violazioni delle procedure e della regolamentazione nonché a valutare la completezza, l'adeguatezza, la funzionalità e l'affidabilità del sistema dei controlli interni e del sistema informativo di Gruppo in relazione alla natura e all'intensità dei rischi. In Intesa Sanpaolo, il Chief Audit Officer è posto alle dirette dipendenze del Consiglio e riporta funzionalmente anche al Comitato, fermi restando gli opportuni raccordi con il Consigliere Delegato e CEO.

Il sistema dei controlli interni di Gruppo - ampiamente rappresentato nella Relazione sul Governo Societario, alla quale si rinvia per ulteriori dettagli - vede coinvolte altre funzioni con compiti di controllo (la funzione di Continuità Operativa, la funzione di Cybersecurity, le funzioni specialistiche) e, tra gli altri, anche il responsabile del Piano di Continuità Operativa di Gruppo, il Dirigente Preposto, la Società di Revisione, l'Organismo di Vigilanza ex D. Lgs. 231/2001 della Capogruppo.

Con riferimento a quest'ultimo, il Comitato ha esaminato con cadenza semestrale la relazione delle attività svolte prendendo atto che, dall'informativa resa, non emergono fatti o circostanze meritevoli di essere segnalati. Secondo un approccio sinergico, il Comitato e l'Organismo si sono scambiati tempestivamente, nel corso dell'esercizio, i dati e le informazioni rilevanti, coordinandosi nell'ambito di riunioni congiunte per le materie di reciproca competenza.

Di seguito si fornisce una sintesi delle attività svolte dai soggetti preposti a effettuare i controlli interni.

Chief Compliance Officer

Il Chief Compliance Officer ha reso al Comitato le relazioni istituzionali e periodiche di competenza e, in particolare, la relazione semestrale, la relazione annuale e il Risk Assessment, con il piano degli interventi per il 2025, redatte ai sensi della normativa vigente; a tali relazioni, che forniscono anche un'informativa di sintesi sull'andamento dei reclami, esposti e ricorsi da parte della clientela, è allegato il TdB di Compliance, che fornisce un quadro sull'evoluzione delle aree di attenzione a maggiore rilevanza. La relazione di fine anno include anche il dettaglio delle attività svolte nel 2024 e delle attività programmate per il 2025 con riferimento alle Società in gestione accentrata e alle Entità presidiate secondo il modello di indirizzo, coordinamento e controllo, la relazione sulla governance delle SGR del Gruppo, la Relazione in materia di Product Governance, gli ambiti normativi presidiati nonché un dettaglio delle risorse umane e finanziarie allocate ai macro-processi di compliance.

Ai sensi della normativa emanata dalla Consob, il Chief Compliance Officer, coadiuvato dal Chief Transformation & Organization Officer, ha presentato al Comitato la relazione annuale sulle modalità di svolgimento dei servizi e delle attività di investimento e dei servizi accessori e dell'attività di distribuzione di prodotti finanziari emessi da imprese di assicurazioni o da banche.

Il Chief Compliance Officer ha inoltre presentato al Comitato:

• − la relazione annuale di Gruppo sulla situazione complessiva dei reclami, dei disconoscimenti, degli esposti ad Autorità di vigilanza e dei ricorsi ad Organismi di risoluzione alternativa delle controversie;
• − la relazione annuale sulle situazioni di conflitto di interesse registrate nell'ambito di servizi di investimento o accessori, di attività di investimento e di distribuzione di prodotti di investimento assicurativi;

• − su richiesta del Comitato, lo stato di avanzamento lavori del Programma Compliance Next, le cui attività proseguono in linea con quanto pianificato e senza particolari criticità nel raggiungimento delle milestone previste;
• − le soluzioni tecnologiche che Intesa Sanpaolo ha adottato in ottemperanza agli Orientamenti EBA sull'utilizzo di soluzioni di onboarding a distanza del cliente;
• − le aspettative dell'Istituto per la Vigilanza sulle Assicurazioni (IVASS) in materia di governo e controllo dei prodotti assicurativi nonché le principali evidenze emerse dall'autovalutazione effettuata con riferimento alle stesse e agli interventi di miglioramento che il Gruppo intende attuare;
• − un aggiornamento in merito agli interventi di rafforzamento adottati in conformità a quanto richiesto dalla normativa statunitense in materia di Swap Dealer (Dodd-Frank Act);
• − esiti dell'autovalutazione risultata adeguata richiesta da Banca d'Italia in merito alla coerenza degli assetti, delle procedure e delle prassi in uso in materia di disconoscimenti con le previsioni normative e con le aspettative della stessa Autorità.

Al fine di consentire al Comitato di svolgere un'adeguata azione di vigilanza sull'osservanza delle norme per il contrasto del riciclaggio, del finanziamento del terrorismo e per la gestione degli embarghi nonché di verificare la completezza, funzionalità e adeguatezza del sistema dei controlli in materia, il Responsabile della funzione Antiriciclaggio ha illustrato la relazione semestrale e la relazione annuale per l'esercizio 2024, con i rispettivi TdB, il Risk Assessment annuale sugli ambiti antiriciclaggio, finanziamento del terrorismo e violazione degli embarghi nonché il piano degli interventi per il 2025. Tali relazioni includono informative di sintesi in merito all'avanzamento del piano di formazione nonché un dettaglio delle risorse umane e finanziarie allocate ai macro-processi di compliance rispetto alla normativa antiriciclaggio, antiterrorismo, embarghi e anticorruzione.

Anche su richiesta del Comitato, il responsabile della funzione Antiriciclaggio ha inoltre presentato:

• − specifici aggiornamenti in merito allo stato di avanzamento del Piano strategico pluriennale ENIF, con focus sui diversi cantieri di intervento individuati, prendendo favorevolmente atto dei risultati finora ottenuti;
• − la proposta d'aggiornamento dell'Anti Money Laundering e Counter-Terrorism Financing Program della filiale di Sidney, così come previsto dalla normativa australiana, in vista della sua sottoposizione per approvazione al Consiglio;
• − un aggiornamento sul rischio di Countering Financing of Terrorism (CFT) e dei presidi applicati dal Gruppo al riguardo. Con l'occasione è stato altresì informato sulle misure rafforzate adottate relativamente al rischio emergente connesso al conflitto israeliano palestinese e all'operatività da/verso l'Iran;
• − la proposta di affinamento dei criteri individuati dal Gruppo per la gestione della clientela a rischio "Alto" con connessioni con la Russia oggetto di segnalazioni di operazioni sospette.

Chief Risk Officer

Il Chief Risk Officer ha presentato al Comitato il TdB delle criticità della propria Area di Governo su base semestrale, la relazione annuale sulle attività svolte nel 2024, il Risk Assessment e la pianificazione delle attività previste per il 2025, ivi incluse quelle della funzione di Convalida. In ottemperanza all'art. 13 comma 2 del Regolamento emanato dalla Banca d'Italia e dalla Consob ai sensi dell'articolo 6, comma 2-bis, del TUF, ha inoltre illustrato la Relazione sull'attività di gestione del rischio nell'ambito dei servizi d'investimento alla clientela svolte nel corso del 2024.

Il Chief Risk Officer ha illustrato altresì:

• − gli esiti positivi della valutazione annuale sulla complessiva coerenza tra i rating delle External Credit Assessment Institutions e le valutazioni elaborate in autonomia dalla Banca;
• − le indicazioni preliminari sui controlli di 2° livello svolti nell'ambito del processo di valutazione dei Credits Funds ai fini di bilancio (con un focus sulle variabili utilizzate per le valutazioni di tali investimenti con l'obiettivo di verificarne la consistenza e nel rispetto dei vincoli informativi e legali che caratterizzano il comparto).

Chief Audit Officer

Per l'espletamento dei propri compiti di vigilanza, il Comitato si avvale in via primaria della funzione di Internal Audit. Il Chief Audit Officer partecipa di norma alle riunioni e fornisce nel continuo un'informativa sulle attività svolte - alcune delle quali su richiesta del Comitato stesso - e sull'avanzamento dei piani di rimedio posti in essere dalle competenti funzioni aziendali per il superamento delle criticità riscontrate. Le priorità segnalate dal Comitato vengono tenute in considerazione in sede di definizione del piano annuale delle verifiche di Internal Audit. Inoltre, il Comitato, come da propria richiesta, ha incontrato il Chief Audit Officer al fine di condividere preliminarmente i principali ambiti da presidiare nel 2025 nonché le linee guida della pianificazione delle attività di Audit.

Nel corso dell'esercizio, il Chief Audit Officer ha sistematicamente e tempestivamente presentato al Comitato, anche su specifica richiesta dello stesso, le principali evidenze emerse nello svolgimento delle proprie attività nonché, in presenza di ambiti di miglioramento, l'avanzamento delle correlate azioni di rimedio. In particolare, si richiamano gli esiti delle verifiche sui seguenti temi:

• − criticità rilevate in merito alla rispondenza dei processi aziendali di aggregazione e reportistica dei dati di rischio agli standard definiti dalla BCE nella nuova "Guide on effective risk data aggregation and risk reporting - RDARR". Il Comitato ha successivamente esaminato il relativo Piano di implementazione pluriennale finalizzato al rafforzamento dei menzionati processi;
• − capacità del Gruppo di produrre la segnalazione Single Customer View, come richiesto dalle istruzioni del Fondo Interbancario di Tutela dei Depositi, con l'evidenza di un processo operativo e di controllo per la produzione della segnalazione risultato adeguatamente strutturato;
• − accertamenti condotti in merito all'anomala operatività di un ex Consulente Finanziario di Fideuram;
• − adeguatezza dei presidi posti in essere dal fornitore Italpol a cui sono affidati i servizi di gestione della Control Room;
• − criticità rilevate presso la partecipata Mooney (detenuta tramite Isybank), per le quali è stato attivato uno stretto monitoraggio degli interventi pianificati dalla società per il raggiungimento degli obiettivi di business;
• − aggiornamento circa le attività di ICT Audit poste in essere con particolare riferimento al Cloud Computing;
• − autovalutazione richiesta da Banca d'Italia in materia di disconoscimenti, ove è stata confermata l'adeguatezza del Piano di interventi, che è stato completato nei termini richiesti dalla Vigilanza pur con residui ambiti di miglioramento;
• − processo di gestione delle operazioni con parti correlate e soggetti collegati, dalle quali è emerso un ambito di complessiva adeguatezza seppur in presenza di talune aree di miglioramento, per le quali sono state individuate le necessarie azioni di rimedio.

Il Chief Audit Officer ha altresì presentato al Comitato, anche su richiesta dello stesso, un aggiornamento degli impatti sul sistema dei controlli interni derivanti dall'assegnazione alla richiamata Direzione Centrale Strategic Transactions & Credit Funds (all'interno dell'Area di Governo del Chief Lending Officer) dell'attività di gestione di selezionati investimenti in quote di fondi con sottostanti portafogli creditizi/immobiliari e in partecipazioni equity rivenienti da conversione di esposizioni creditizie.

Con cadenza trimestrale, avvalendosi del TdB di Audit Sintetico, il Chief Audit Officer ha rendicontato al Comitato l'evoluzione dei punti di debolezza di maggiore rilevanza riscontrati nel corso dell'attività di Internal Audit anche alla luce dei rispettivi piani di rimedio. Su base semestrale, nell'ambito di una apposita relazione, ha espresso le proprie considerazioni e valutazioni in merito all'adeguatezza del sistema dei controlli interni a presidio dei rischi e ha presentato, su richiesta del Comitato, l'evoluzione dei punti di debolezza di minore rilevanza contenuti nel TdB di Audit Analitico. Su base annuale ha predisposto, e poi condiviso con il Comitato, il consuntivo delle attività svolte, i risultati del Risk Assessment Audit e il piano delle attività per l'esercizio successivo. La relazione di consuntivo sulle attività svolte nel 2024 risponde anche agli obblighi dettati dalla Banca d'Italia in materia di informativa agli Organi su alcuni specifici ambiti quali la gestione del rischio di liquidità, l'antiriciclaggio, i sistemi informativi, la governance di Capogruppo nei confronti delle SGR del Gruppo, l'esito delle verifiche svolte presso le filiali estere e i sistemi interni di segnalazione delle violazioni delle norme disciplinanti l'attività bancaria (c.d. whistleblowing).

Il Chief Audit Officer ha altresì condotto attività di assurance di natura obbligatoria e ha predisposto le seguenti informative periodiche ai sensi della vigente Disciplina di Vigilanza:

• − la relazione annuale sull'esternalizzazione di funzioni essenziali o importanti al di fuori del Gruppo;
• − la rendicontazione trimestrale circa le segnalazioni whistleblowing;
• − la relazione annuale sull'attività di revisione interna di cui all'art. 14 del Regolamento congiunto Consob-Banca d'Italia ai sensi dell'art. 6, comma 2-bis, del TUF.

In sede consiliare, il Comitato ha esaminato le relazioni della funzione di Internal Audit in merito agli esiti delle verifiche di coerenza delle prassi operative seguite nell'effettiva erogazione del sistema incentivante 2024 nonché della quantificazione e approvazione del sistema incentivante 2025 con le politiche e con i profili applicativi deliberati dagli Organi e con le disposizioni emanate da Banca d'Italia in materia in recepimento delle Direttive comunitarie. Il Chief Audit Officer ha espresso un giudizio di adeguatezza.

Reportistica Integrata delle Funzioni Aziendali di Controllo

Con cadenza semestrale è stato presentato al Comitato il TdB Integrato, che fornisce una sintesi delle evidenze a maggiore impatto tra quelle evidenziate dalle FAC e dalla GAF nei propri TdB, con il dettaglio dello stato avanzamento delle rispettive azioni di mitigazione. Sulla base degli accertamenti svolti dalle FAC nel corso del 2024, è stata redatta la relazione annuale di sintesi che evidenzia un presidio dei rischi nel complesso adeguato in termini di completezza, funzionalità e affidabilità del sistema dei controlli interni. Tale

giudizio è suffragato dal Risk Assessment Integrato, le cui risultanze sono incluse nel RAF per il 2025. Inoltre, con cadenza semestrale, sono stati altresì presentati al Comitato i TdB Integrati delle Banche Estere, che ricomprendono una sintesi delle evidenze a maggior impatto sul perimetro estero.

Con riferimento alle criticità evidenziate dalle FAC, il Comitato - alla presenza del Chief Audit Officer - ha costantemente monitorato l'implementazione delle azioni di rimedio previste per la loro risoluzione.

Avuto riguardo ad Intesa Sanpaolo RBM (incorporata nell'altra compagnia danni della Divisione Insurance e ora ridenominata Intesa Sanpaolo Protezione) e a Previmedical, il Comitato ha favorevolmente constatato la realizzazione delle principali attività contenute negli impegni assunti con l'AGCM nonché una dinamica dei reclami in diminuzione.

Il Comitato, su propria richiesta, ha altresì incontrato il Chief Data, A.I., Innovation and Technology Officer (CDAITO), anche alla presenza del Chief Audit Officer, per:

• esaminare lo stato di avanzamento dei presidi introdotti e delle azioni di rimedio attivate con il Programma Remediation ION volti a rafforzare la Business Resilience del Gruppo sui Servizi Critici esternalizzati;
• ricevere un'informativa relativa all'evoluzione dei controlli di I° livello a presidio del Rischio ICT e di Sicurezza.

Il Comitato ha periodicamente approfondito il Risk Assessment condotto dalle FAC sull'avanzamento delle macro-iniziative del Piano d'Impresa 2022-2025, soffermandosi sui principali aspetti oggetto di presidio - fra i quali rilevano altresì le iniziative della Banca in ambito ESG - nonché sulle azioni tempo per tempo individuate per la mitigazione dei correlati rischi potenziali.

Valutazione delle Funzioni Aziendali di Controllo

Ai fini della valutazione dell'adeguatezza degli elementi essenziali dell'architettura del sistema di controlli interni a presidio dei rischi, il Comitato ha esaminato l'informativa annuale circa l'evoluzione degli organici, dei costi e degli investimenti direttamente attribuibili alle FAC. Ulteriori dettagli in merito all'organico e al dimensionamento Target delle strutture delle FAC sono forniti nelle rispettive relazioni periodiche agli Organi. Alla luce delle evidenze ottenute nel corso delle proprie attività, il Comitato ha espresso le proprie considerazioni positive sugli aspetti di indipendenza, obiettività ed efficacia delle azioni di presidio dei rischi ai fini dell'assessment annuale svolto dal Consiglio in merito all'adeguatezza delle FAC.

Il Comitato, ai fini della corresponsione della componente variabile della remunerazione per il 2024, ha dapprima incontrato, anche alla presenza del Chief People & Culture Officer, il Chief Audit Officer, il Chief Compliance Officer e il Chief Risk Officer per ricevere le risultanze dell'attività svolta dalle rispettive aree nel corso del 2024. Ha quindi incontrato in fase di Performance Evaluation le competenti strutture del Chief People & Culture Officer per esaminare le proposte di valutazione da queste formulate ed esprimere il proprio parere al Comitato Remunerazioni - per quanto di competenza - in merito al raggiungimento degli obiettivi da parte del Chief Audit Officer, del Chief Compliance Officer, del responsabile della Direzione Anti Financial Crime, del Chief Risk Officer, della Responsabile dell'Area di coordinamento Internal Validation & Controls e del Dirigente Preposto.

Ai fini del sistema incentivante 2025, in fase di Goal & Target Setting, il Comitato ha dapprima incontrato, sempre alla presenza del Chief People & Culture Officer, il Chief Audit Officer, il Chief Compliance Officer e il Chief Risk Officer per esaminare il piano delle attività previsto da ciascuna delle rispettive funzioni per il 2025 anche ai fini di valutare il panel dei possibili Key Performance Indicators con i quali svolgere un monitoraggio dell'efficacia dell'azione delle relative funzioni e valutare le performance dei responsabili. Il Comitato ha poi espresso il proprio parere - per quanto di competenza - al Comitato Remunerazioni ai fini della definizione degli obiettivi e dei livelli di performance individuale da attribuire ai citati Chief nonché ai responsabili dell'Area di coordinamento Internal Validation & Controls, della Funzione di Antiriciclaggio e al Dirigente Preposto. Il Comitato ha preso favorevolmente atto della previsione, anche per il 2025, di un KPI trasversale di Gruppo attinente alle tematiche ESG.

8. ATTIVITÀ DI VIGILANZA SULL'ADEGUATEZZA, EFFICIENZA E FUNZIONALITÀ DEL PROCESSO DI GOVERNO E GESTIONE DEI RISCHI

Il Comitato ha vigilato:

• − sul rispetto delle disposizioni relative all'Internal Capital Adequacy Assessment Process e all'Internal Liquidity Adequacy Assessment Process (ICAAP/ILAAP), approfondendo in particolare gli scenari e gli aspetti metodologici e di processo nonché le evidenze della funzione di Convalida sull'adeguatezza del framework per la quantificazione del capitale economico e per la gestione del rischio di liquidità e gli esiti dell'auto-valutazione dell'Internal Audit sui processi di quantificazione e valutazione adottati;
• − sulla completezza, adeguatezza, funzionalità e affidabilità dei sistemi interni di misurazione dei rischi per la determinazione dei requisiti patrimoniali, riscontrandone la rispondenza ai requisiti normativi anche ai fini dell'attestazione annuale resa dal Consiglio. Il Comitato ha esaminato, rilasciando il richiesto parere, le specifiche relazioni annuali delle funzioni di Internal Audit e di Convalida nonché

9) Pareri

9) Pareri

10

l'Action Plan della funzione di Risk Management al fine di mitigare le criticità evidenziate;

− sulla completezza, adeguatezza, funzionalità e affidabilità del RAF per il 2025, esaminandone gli aspetti metodologici, il processo di definizione e la coerenza con il Recovery Plan.

Il Comitato ha poi esaminato le seguenti informative periodiche:

• − relazione sui rischi operativi e di sicurezza nei servizi di pagamento;
• − esiti delle verifiche annuali degli Asset Monitor sui programmi di Obbligazioni Bancarie Garantite. Parimenti, la Funzione di Revisione Interna ha assegnato un giudizio di rischio residuo "Basso" relativamente agli ambiti esaminati;
• − flussi informativi in tema di rischio ICT e sicurezza informatica per l'esercizio 2024;
• − esiti delle verifiche e dei controlli del piano di continuità operativa del Gruppo;
• − predisposizione del piano di sicurezza informatica del Gruppo per l'esercizio in corso;
• − relazione del Data Protection Officer sull'attività svolta al 30 giugno e al 31 dicembre 2024, unitamente al piano delle attività previste per il 2025, che sono state oggetto di ampia rappresentazione al Comitato, con particolare riguardo al continuo miglioramento dei presidi a salvaguardia della riservatezza dei dati personali.

Il Comitato è stato inoltre aggiornato circa lo stato di avanzamento degli interventi di rafforzamento individuati dalla Funzione di Internal Audit a seguito della richiamata attribuzione all'Area di Governo del Chief Lending Officer della gestione di selezionati investimenti in quote di fondi con sottostanti portafogli creditizi/immobiliari e in partecipazioni equity rivenienti da conversione di esposizioni creditizie e ha successivamente esaminato gli esiti dei controlli ex post svolti dalle funzioni di Risk Management e Convalida al riguardo.

Il Comitato ha altresì incontrato il Chief Lending Officer, anche su propria richiesta, per approfondire:

• l'informativa semestrale in merito alle rettifiche di valore operate in valutazione analitica su posizioni NPL rientranti nel perimetro di propria competenza;
• lo stato di avanzamento dei cantieri progettuali afferenti al Progetto FLAG (Forward looking Lending for sustainable Asset Growth), finalizzato all'implementazione di un nuovo modello decisionale del credito, in grado di gestire l'intero ciclo del processo creditizio dall'origination, alla valutazione creditizia, al monitoraggio e alla gestione.

Infine, il Comitato ha progressivamente esaminato l'evoluzione della vicenda relativa agli accessi abusivi a informazioni personali dei clienti effettuati da parte di alcuni dipendenti di Intesa Sanpaolo. Il Comitato si è soffermato in particolare sulle iniziative individuate nell'ottica del continuo rafforzamento dei presidi di natura informatica in materia di data privacy - volti a garantire la riservatezza e il corretto trattamento dei dati e delle informazioni della clientela - nonché di quelli organizzativi e operativi rivolti, tra l'altro, a intensificare l'azione di sensibilizzazione e le iniziative formative dei dipendenti sulle tematiche in esame. Il Comitato è stato inoltre costantemente aggiornato sugli sviluppi delle interazioni in essere con le varie Autorità coinvolte.

9. ATTIVITÀ DI VIGILANZA SUL RISPETTO DELLA NORMATIVA APPLICABILE ALLA BANCA IN QUALITÀ DI CAPOGRUPPO

Il Comitato - avvalendosi tra l'altro del supporto delle FAC - ha appurato che la Banca, nel quadro dell'attività di direzione e coordinamento del Gruppo, esercita il controllo sull'evoluzione delle diverse aree di attività in cui il Gruppo opera e dei rischi incombenti, sul mantenimento delle condizioni di equilibrio economico, finanziario e patrimoniale sia delle singole società sia del Gruppo nel suo insieme nonché sulla valutazione dei vari profili di rischio apportati dalle singole controllate e dei rischi complessivi. Le norme e le procedure in essere permettono alla Capogruppo di adempiere tempestivamente agli obblighi di informativa al pubblico secondo le vigenti disposizioni ai sensi dell'art. 114, comma 2, TUF. I flussi informativi tra la Capogruppo e le società controllate garantiscono un efficace scambio di informazioni in merito ai sistemi di amministrazione e controllo e all'andamento generale dell'attività.

Nell'ambito dei flussi informativi previsti dall'art. 151-ter, comma 1 e 4, del TUF, il Comitato ha incontrato il Collegio Sindacale di Isybank al fine di approfondire, tra gli altri, i punti di attenzione riscontrati dalle FAC e discutere in merito all'avanzamento delle azioni di rimedio individuate.

Inoltre, nell'ottica di uniformare a livello di Gruppo le modalità di recepimento e attuazione del D. Lgs. 231/2001, il Comitato ha esaminato la consueta rendicontazione semestrale sulle attività svolte dagli Organismi di Vigilanza ex D. Lgs. 231/2001 delle società italiane del Gruppo.

10. VALUTAZIONI CONCLUSIVE IN ORDINE ALL'ATTIVITÀ DI VIGILANZA SVOLTA

Come dettagliato nello svolgimento della Relazione, il Comitato ha verificato la funzionalità delle procedure interne, che anche nel 2024 sono risultate idonee a garantire l'osservanza delle norme di legge, regolamentari e statutarie. Il Comitato ha appurato che il processo decisionale tiene in adeguata considerazione la rischiosità e gli effetti delle scelte di gestione adottate e che gli Organi societari dispongono di un adeguato impianto di flussi informativi, anche con riferimento a eventuali interessi degli Amministratori. La struttura organizzativa, il sistema dei controlli interni nel suo complesso, il sistema amministrativo

15) Disposizioni alle controllate

12) Struttura organizzativa

contabile e il processo di revisione legale dei conti sono risultati adeguati e funzionali ai compiti che sono chiamati a svolgere. Laddove ritenuta opportuna, è stata promossa l'adozione degli interventi correttivi funzionali a colmare le carenze rilevate.

In particolare, il Comitato ritiene che il sistema amministrativo contabile della Banca e del Gruppo sia in grado di assicurare una corretta rappresentazione degli accadimenti gestionali e che non vi siano carenze significative nel sistema di controllo interno in relazione al processo di informativa finanziaria. Il Comitato ha inoltre riscontrato l'effettiva applicazione delle procedure amministrative e contabili per la formazione del bilancio e di ogni altra comunicazione di carattere finanziario nonché della Rendicontazione Consolidata di Sostenibilità.

Tenuto conto di tutto quanto precede, considerato il contenuto dei pareri emessi dalla Società di Revisione e preso atto delle attestazioni rilasciate congiuntamente dal Consigliere Delegato e CEO e dal Dirigente Preposto, il Comitato non segnala - per quanto di propria competenza - elementi ostativi all'approvazione del bilancio di esercizio di Intesa Sanpaolo S.p.A. al 31 dicembre 2024 accompagnato dalla Relazione sull'andamento della gestione – ivi compresa la Rendicontazione Consolidata di Sostenibilità - e dalla Nota integrativa, così come deliberato dal Consiglio in data 27 febbraio 2025.

Il Comitato esprime infine parere favorevole in merito alla proposta di ripartizione dell'utile d'esercizio e della relativa distribuzione di dividendi formulata dal Consiglio di Amministrazione.

Milano, 20 marzo 2025 per il Comitato per il Controllo sulla Gestione

il Presidente – Alberto Maria Pisani

14) Adeguatezza del sistema contabile

18) Valutazioni conclusive