In sintesi. Oltre alla fiscalità, una PMI italiana deve presidiare un sistema di compliance operativa che include fatturazione elettronica, gestione documentale, GDPR, sicurezza sul lavoro, antiriciclaggio, NIS2, modello 231 e — sempre più spesso — certificazioni di parità di genere e ESG richieste dal mercato. Questa guida operativa fa il punto su cosa è davvero obbligatorio, cosa è “de facto” necessario per restare nei mercati B2B e come strutturare procedure interne sostenibili.
Una compliance sempre più articolata
Negli ultimi dieci anni il carico di compliance operativa delle PMI italiane è cresciuto in modo significativo: alla burocrazia fiscale tradizionale si sono aggiunti adempimenti su privacy (GDPR 2018), titolare effettivo (direttiva antiriciclaggio europea), cybersecurity (NIS2 2024), parità di genere (PNRR), sostenibilità (CSRD/VSME). La risposta strategica giusta non è “fare il minimo indispensabile” ma costruire un sistema integrato di compliance, perché molti di questi requisiti — anche se non formalmente obbligatori per le PMI sotto certe soglie — sono diventati prerequisiti di accesso ai mercati B2B e ai bandi.
Questo sub-pillar fa parte del cluster Adempimenti e Fisco di Imprendo24 e si concentra su burocrazia e compliance operativa. Per il quadro complessivo vai alla pillar Adempimenti fiscali e burocratici per PMI.
Fatturazione elettronica e gestione documentale
La fatturazione elettronica è oggi obbligatoria per la quasi totalità delle operazioni B2B, B2C e B2G in Italia. Ogni fattura deve transitare attraverso il Sistema di Interscambio (SdI) dell’Agenzia delle Entrate in formato XML strutturato.
Soggetti obbligati
- Tutte le imprese e i professionisti, indipendentemente dal regime contabile
- Dal 2024 anche i contribuenti in regime forfettario (l’esonero precedente è stato eliminato)
- Per le operazioni transfrontaliere (verso UE ed extra-UE) l’esterometro è stato sostituito dalla trasmissione delle fatture tramite SdI con formato specifico
Conservazione sostitutiva
Le fatture elettroniche devono essere conservate a norma per 10 anni in formato digitale. La conservazione deve essere effettuata da un conservatore accreditato AgID (o internalizzata con processo certificato). I principali software di fatturazione (Fatture in Cloud, Aruba, Zucchetti, TeamSystem) integrano già la conservazione sostitutiva nei propri abbonamenti.
Best practice gestione fatturazione
- Verificare quotidianamente le ricevute SdI (notifiche di consegna, scarto, mancata consegna)
- Gestire scarti SdI entro 5 giorni per evitare la perdita del numero progressivo
- Conservare le fatture passive ricevute, non solo le attive emesse
- Tenere allineato il registro IVA elettronico con i flussi gestionali
Sulla dematerializzazione e gestione documentale abbiamo dedicato un approfondimento specifico.
Libri contabili e sociali
I libri contabili e sociali restano obbligatori, anche se la maggior parte delle imprese li tiene oggi in formato digitale con conservazione sostitutiva.
Libri contabili (per tutte le imprese in contabilità ordinaria)
- Libro giornale: cronologico di tutte le operazioni
- Libro inventari: situazione patrimoniale annuale + bilancio
- Registri IVA (vendite, acquisti, corrispettivi)
- Registro beni ammortizzabili: prospetti di ammortamento
- Libro unico del lavoro (LUL): gestione dipendenti, retribuzioni, presenze
Libri sociali (solo società di capitali)
- Libro soci (limitatamente alle S.r.l.: dal 2009 non obbligatorio per S.r.l. semplici, ma raccomandato)
- Libro decisioni dei soci (assemblee)
- Libro delle adunanze del consiglio di amministrazione
- Libro del collegio sindacale (dove presente)
- Libro degli obbligazionisti (per società che emettono obbligazioni)
Vidimazione
I libri sociali e alcuni libri contabili richiedono vidimazione iniziale (presso CCIAA o notaio) con pagamento della tassa di concessione governativa (€ 309,87 annui per società di capitali).
Comunicazione del titolare effettivo
Introdotto in attuazione della V direttiva antiriciclaggio europea, l’obbligo di comunicare il titolare effettivo al Registro delle Imprese è esteso a tutte le società di capitali, persone giuridiche private, trust e istituti simili.
Cos’è il titolare effettivo
La persona fisica che, in ultima istanza, possiede o controlla la società (criterio dominante: partecipazione superiore al 25% del capitale; in mancanza, controllo tramite governance o altri criteri sussidiari).
Modalità di comunicazione
Comunicazione telematica tramite il portale del Registro Imprese entro:
- 30 giorni dalla costituzione
- 30 giorni da ogni variazione del titolare effettivo
- Conferma annuale entro 12 mesi dalla precedente comunicazione
Il mancato adempimento comporta sanzioni amministrative significative.
Antiriciclaggio (D.Lgs. 231/2007)
Le imprese che svolgono attività finanziarie, di intermediazione, fiduciarie, di consulenza sono soggette agli obblighi pieni di antiriciclaggio: adeguata verifica della clientela, archivio unico informatico, segnalazione operazioni sospette, formazione del personale dedicato.
Per le PMI industriali e commerciali ordinarie gli obblighi sono limitati a soglie di operazioni in contanti (limite € 5.000) e ad alcuni adempimenti specifici nei contratti rilevanti. Conviene comunque sensibilizzare il personale amministrativo sulle operazioni sospette che possono richiedere attenzione.
GDPR e protezione dei dati personali
Il Regolamento UE 2016/679 (GDPR) è applicabile a tutte le imprese che trattano dati personali (di clienti, fornitori, dipendenti, candidati). Gli adempimenti minimi includono:
- Registro dei trattamenti (obbligatorio per chi tratta dati sistematicamente, raccomandato per tutti)
- Informativa privacy chiara, accessibile, conforme agli artt. 13 e 14 GDPR
- Base giuridica del trattamento identificata per ogni trattamento (contratto, obbligo legale, consenso, legittimo interesse)
- Conservazione limitata dei dati al tempo necessario (data retention policy)
- Misure tecniche e organizzative adeguate (sicurezza informatica, controllo accessi, backup, crittografia dove serve)
- Procedure di gestione data breach (notifica al Garante entro 72h se rischio per i diritti)
- Data Protection Officer (DPO): nomina obbligatoria solo per imprese che trattano dati su larga scala o categorie particolari; raccomandata per molte realtà strutturate
Errori GDPR comuni
- Cookie banner non conformi (consenso pre-flaggato, mancanza di “rifiuta tutti” facilmente accessibile)
- Informative copia-incolla generiche
- Mancata regolamentazione dei trattamenti effettuati da fornitori (data processor agreement)
- Nessun riscontro alle richieste di accesso degli interessati
- Dati conservati ben oltre il necessario
Sicurezza sul lavoro (D.Lgs. 81/2008)
Il Testo Unico Sicurezza sul Lavoro impone a tutte le imprese con dipendenti (e in misura ridotta alle ditte individuali con collaboratori familiari) di:
- Redigere il Documento di Valutazione dei Rischi (DVR) (procedura standardizzata OiRA per micro-imprese)
- Nominare il Responsabile del Servizio di Prevenzione e Protezione (RSPP): interno o esterno
- Nominare il medico competente dove la sorveglianza sanitaria è dovuta
- Effettuare la formazione obbligatoria dei lavoratori (4 ore generali + ore specifiche per rischio)
- Designare e formare addetti antincendio e primo soccorso
- Aggiornare DVR ad ogni variazione rilevante (nuove attività, nuovi macchinari, infortuni significativi)
Le sanzioni in caso di violazione sono significative, sia amministrative sia penali per il datore di lavoro.
NIS2 e cybersecurity
La direttiva NIS2 (Direttiva UE 2022/2555) è stata recepita in Italia con D.Lgs. 138/2024 e amplia significativamente la platea di imprese obbligate a presidiare specifici requisiti di cybersecurity. Soggetti obbligati includono:
- Soggetti essenziali (grandi imprese in settori critici: energia, trasporti, sanità, finanza, infrastrutture digitali)
- Soggetti importanti (medie e grandi imprese in altri settori: digitale, manifatturiero, alimentare, postale, gestione rifiuti, etc.)
Per le PMI sotto le soglie dimensionali NIS2 non c’è obbligo diretto, ma il tema cybersecurity diventa rilevante per:
- Fornitori di soggetti obbligati (richieste contrattuali “a cascata” su standard di sicurezza)
- Settori critici (anche con dimensioni piccole possono essere designate)
- Reputazione e continuità operativa
Requisiti NIS2 chiave
- Misure tecniche e organizzative per la gestione del rischio cyber
- Notifica incidenti significativi al CSIRT Italia entro tempi stretti
- Formazione del personale, controllo accessi, vulnerability management
- Governance della cybersecurity con responsabilità di top management
Su questo tema abbiamo dedicato l’articolo Direttiva NIS2: impatti sulle PMI italiane.
Modello 231 (responsabilità amministrativa degli enti)
Il D.Lgs. 231/2001 disciplina la responsabilità amministrativa degli enti per reati commessi nel loro interesse o vantaggio da soggetti apicali o dipendenti. Non è formalmente obbligatorio, ma adottare un Modello di Organizzazione, Gestione e Controllo (MOG 231) costituisce esimente in caso di contestazione.
Quando il 231 è “de facto” obbligatorio
- Partecipazione ad appalti pubblici rilevanti (spesso richiesto come prerequisito)
- Relazioni con grandi corporate che lo impongono in subfornitura
- Settori a rischio specifico (corruzione, ambiente, sicurezza lavoro, antiriciclaggio)
- Imprese partecipate da fondi di investimento
Componenti chiave di un Modello 231
- Analisi dei rischi (mappatura dei reati 231 applicabili al business)
- Codice etico aziendale
- Procedure e protocolli per le aree a rischio
- Sistema sanzionatorio interno
- Organismo di Vigilanza (OdV) indipendente
- Formazione continua
- Sistema di whistleblowing (obbligatorio per legge per molte imprese)
Certificazioni di sistema
Sempre più spesso le PMI sono chiamate ad adottare certificazioni di sistema che, pur non essendo formalmente obbligatorie, diventano prerequisiti per gare e relazioni B2B:
- UNI/PdR 125:2022 — Parità di genere: certificazione richiesta in molti bandi pubblici e da molte grandi corporate; offre anche premialità contributive INPS
- ISO 9001 — Sistemi di gestione qualità: standard storico, ancora richiesto in molte filiere
- ISO 14001 — Gestione ambientale: per imprese con impatto ambientale rilevante
- ISO 45001 — Salute e sicurezza sul lavoro: rilevante per cantieri e industria
- ISO 27001 — Sicurezza informazioni: prerequisito per molti contratti tecnologici
- EcoVadis — Sostenibilità: rating ESG sempre più richiesto da multinazionali
Whistleblowing (D.Lgs. 24/2023)
Dal 2024, le imprese private con oltre 50 dipendenti (e tutte quelle in settori specifici, anche più piccole) devono dotarsi di canali interni per segnalazioni di illeciti (whistleblowing). Il sistema deve garantire:
- Riservatezza del segnalante
- Possibilità di segnalazione scritta, orale, di persona
- Riscontro entro 7 giorni dalla segnalazione
- Esito istruttorio entro 3 mesi
- Tutela contro le ritorsioni
Esistono piattaforme dedicate (anche cloud) che semplificano l’implementazione per le PMI.
Strumenti e best practice di compliance
Una compliance moderna in una PMI passa attraverso quattro pilastri:
- Mappatura periodica degli adempimenti: registro aggiornato di tutti gli obblighi, con scadenze, responsabili interni, evidenze di adempimento
- Procedure scritte per i processi critici (fatturazione, gestione dati, sicurezza, sicurezza lavoro)
- Formazione continua del personale sui temi compliance (privacy, sicurezza, 231 dove applicabile)
- Audit interno periodico, anche solo informale, per verificare l’effettiva applicazione delle procedure
Errori frequenti di compliance
- PEC non monitorata: notifiche fiscali, cartelle, comunicazioni del Garante via PEC hanno effetti legali pieni
- Cookie banner non conformi: una delle violazioni GDPR più frequenti e sanzionate
- Deposito bilancio tardivo o omesso: sanzioni fino a 1.032 € per amministratori
- Comunicazione titolare effettivo non aggiornata dopo cambi compagine sociale
- Mancata vidimazione libri sociali
- DVR generico copia-incolla non personalizzato sui reali rischi aziendali
- Mancata formazione obbligatoria dipendenti su sicurezza, GDPR, antiriciclaggio dove applicabile
Domande frequenti su compliance PMI
Sanzione amministrativa da € 103 a € 1.032 per ciascun amministratore. Inoltre, l’omessa comunicazione può comportare la non opponibilità degli atti societari verso terzi che si affidano al Registro Imprese.
Non automaticamente: la nomina del DPO è obbligatoria solo se trattate dati personali su larga scala o categorie particolari (es. dati sanitari, profilazione di clientela su larga scala). Per la maggior parte delle PMI con 10 dipendenti il DPO è raccomandato ma non obbligatorio. Resta comunque obbligatoria la conformità sostanziale al GDPR.
Direttamente solo a medie e grandi imprese in settori specifici (criteri quantitativi e settoriali). Le PMI sotto le soglie non sono soggette in modo automatico, ma possono diventarlo: se designate dall’autorità (per il loro ruolo specifico), se in settori critici, o “di fatto” se fornitori di soggetti obbligati che richiedono standard di sicurezza coerenti.
Non è formalmente obbligatorio. Diventa opportuno o “de facto necessario” se: partecipi ad appalti pubblici rilevanti, sei in filiera di grandi corporate che lo richiedono, operi in settori a rischio specifico (corruzione, ambiente, sicurezza lavoro). Per molte PMI di piccola dimensione un MOG semplificato è realisticamente realizzabile con costi contenuti.
Costo variabile: per una piccola srl la certificazione UNI/PdR 125:2022 si aggira tra 3.000 e 8.000 euro per la fase iniziale + costi annuali di mantenimento. A fronte di questo investimento, si accede a esoneri contributivi INPS fino a 50.000 € l’anno (regime in evoluzione, verificare aliquote vigenti) e a premialità in gare e bandi.
Fonti istituzionali e risorse utili
- Agenzia delle Entrate — Fatturazione elettronica — Sistema di Interscambio, fatturazione, guide
- Registro Imprese — Comunicazione titolare effettivo
- Garante Privacy — provvedimenti, modulistica, FAQ GDPR
- INL — Ispettorato Nazionale Lavoro — sicurezza sul lavoro
- Agenzia per la Cybersicurezza Nazionale — NIS2 e standard cyber
- UNI — standard tecnici e certificazioni di sistema
- Confindustria Servizi Imprese — supporto compliance
Approfondimenti correlati
- Adempimenti fiscali e burocratici per PMI — pillar principale del cluster
- Costituzione e scelta della forma giuridica per PMI — sub-pillar costituzione
- Fiscalità ordinaria e imposte per PMI — sub-pillar fiscalità
- Agevolazioni fiscali e crediti d’imposta per PMI — sub-pillar agevolazioni
- Direttiva NIS2: impatti sulle PMI italiane
- Rischio compliance normativa in settori regolamentati
- Dematerializzazione e gestione documentale
Per maggiori informazioni scrivici a info@imprendo24.it.
Ultimo aggiornamento: [data pubblicazione]