Rendicontazione societaria di sostenibilità (CSRD)

Il nome arriva quasi sempre da fuori. Lo pronuncia il commercialista in sede di bilancio, compare in una mail dell'ufficio acquisti di un cliente importante, oppure sta scritto in un questionario della banca: «dovete adeguarvi alla CSRD». E la domanda che nasce è una sola, molto concreta e molto pratica: la mia azienda è obbligata, sì o no?

Questa pagina risponde a quella domanda, e quasi a nient'altro. Per la stragrande maggioranza delle imprese italiane la risposta è no, e conviene arrivarci in fretta: ogni settimana qualcuno avvia un progetto costoso per un obbligo che non lo riguarda, sulla base di un documento scritto due anni fa. Per chi invece è obbligato, dalla metà della pagina in giù c'è che cosa comporta davvero: dove si scrive, con quali principi, chi la attesta, chi controlla e che cosa si rischia.

Che cos'è la rendicontazione societaria di sostenibilità

È l'obbligo, per un ristretto gruppo di imprese, di inserire dentro la relazione sulla gestione una sezione dedicata alle informazioni ambientali, sociali e di governance, redatta secondo principi europei uniformi e sottoposta ad attestazione da parte di un revisore. Nasce dalla direttiva europea nota come CSRD, sigla di Corporate Sustainability Reporting Directive.

La parola che conta è «dentro». Non è una pubblicazione istituzionale, non è un documento di comunicazione e non è un certificato: è un capitolo del fascicolo di bilancio, con le responsabilità e i controlli che il bilancio si porta dietro. È questa la differenza sostanziale con tutto il resto, e da qui discende quasi tutto ciò che segue.

Tre cose che vengono continuamente confuse, e che invece hanno finalità, destinatari e conseguenze diverse:

In una riga: il piano decide dove andare, il bilancio racconta dove si è arrivati, la rendicontazione CSRD è l'obbligo di legge per pochi. Chi vi propone «la CSRD» quando non siete obbligati vi sta vendendo, nella migliore delle ipotesi, un bilancio di sostenibilità volontario con il nome sbagliato.

Sono obbligato? Lo schema da percorrere

Si percorre dall'alto verso il basso e ci si ferma alla prima riga che vi somiglia. Le soglie sono quelle fissate dalla direttiva (UE) 2026/470 del 24 febbraio 2026, il cosiddetto pacchetto Omnibus I, che ha riscritto l'articolo 19 bis della direttiva 2013/34/UE.

Non siete obbligati e vi chiedono i dati lo stesso

È il caso della maggioranza di chi legge questa pagina, e non si liquida con una riga di sollievo. Non essere obbligati non significa non ricevere le richieste: significa che quelle richieste non arrivano da una legge, ma da chi vi compra e da chi vi finanzia. Non hanno una scadenza scritta in Gazzetta, ne hanno una scritta nel contratto, e si negoziano peggio. Arrivano da tre canali, e riconoscere il vostro cambia la risposta.

• Il cliente obbligato. Deve rendicontare gli impatti della propria catena del valore, e per farlo chiede i dati ai fornitori. È l'effetto a catena che i documenti europei chiamano trickle-down. La richiesta è contrattuale: si soddisfa con dati, non con certificati.
• La banca. Gli orientamenti dell'Autorità bancaria europea sulla gestione dei rischi ESG si applicano agli enti creditizi dall'11 gennaio 2026. L'obbligo è della banca, non vostro, ma la banca non ha altro modo di assolverlo che chiedere i dati ai clienti affidati.
• Il bando o il capitolato. Qui la richiesta è puntuale: assegna punti a criteri che vanno dimostrati, spesso con uno schema di certificazione preciso. Va letta alla lettera, perché quasi mai chiede «la CSRD».

In tutti e tre i casi la strada è la stessa, ed è l'opposto di quella che di solito viene proposta: non si compra una certificazione per rispondere a una domanda che chiedeva un dato. Si mettono in fila i dati una volta sola, in un documento unico, e si usa quello per rispondere a chiunque. Il documento adatto, per un'impresa che non è obbligata, è il bilancio di sostenibilità costruito sullo standard volontario europeo: quella pagina spiega che cosa contiene e come si fa. Se invece la domanda non è «che cosa rispondo» ma «dove voglio arrivare», il punto di partenza è un piano ESG, che decide obiettivi e priorità prima che qualcuno ve li imponga dall'esterno.

Il tetto della catena del valore: avete il diritto di fermarvi

È la parte meno conosciuta della riforma del 2026 ed è quella che protegge di più le imprese medie e piccole. L'Omnibus ha introdotto nella direttiva contabile la nozione di impresa protetta: l'impresa che non è soggetta all'obbligo di rendicontazione e che non supera in media i 1.000 dipendenti.

Tradotto in pratica: un fascicolo costruito una volta sola sul modello VSME è la risposta legittima a tutti i questionari, e vi dà il diritto di fermarvi lì. È la differenza fra rispondere una volta e rispondere quattordici volte, ogni volta in un formato diverso, con dati che a forza di essere riscritti finiscono per non coincidere.

La catena normativa, in cinque atti

Su questa materia «la direttiva sulla sostenibilità» non vuol dire niente: sono cinque atti diversi, e ognuno ha cambiato qualcosa.

1. Direttiva (UE) 2022/2464 — la CSRD. Introduce l'obbligo e i principi europei, sostituendo la vecchia dichiarazione non finanziaria.
2. Decreto legislativo 6 settembre 2024, n. 125 — il recepimento italiano. È il testo che ancora oggi, formalmente, disciplina la materia in Italia.
3. Direttiva (UE) 2025/794, detta stop the clock — rinvia di due anni l'avvio per le imprese non ancora entrate nell'obbligo.
4. Articolo 10, comma 1-bis, del decreto-legge 30 giugno 2025, n. 95, convertito dalla legge 8 agosto 2025, n. 118 — porta quel rinvio dentro l'articolo 17 del D.Lgs. 125/2024.
5. Direttiva (UE) 2026/470 del 24 febbraio 2026, pacchetto Omnibus I — riscrive il perimetro. In vigore dal 18 marzo 2026; gli Stati membri devono recepirla entro il 19 marzo 2027.

L'Italia non è ancora allineata, e questo cambia le risposte

Alla data di questa pagina il testo italiano è ancora quello precedente all'Omnibus. Il D.Lgs. 125/2024, come modificato dal rinvio del 2025, prevede l'avvio della rendicontazione per le grandi imprese non enti di interesse pubblico dall'esercizio che inizia il 1° gennaio 2027, e per le PMI quotate dall'esercizio che inizia il 1° gennaio 2028. Le soglie europee dei 1.000 dipendenti e dei 450 milioni non sono ancora entrate nel testo del decreto italiano, che dovrà essere modificato.

La conseguenza pratica va detta com'è: chi legge solo il testo italiano trova un perimetro molto più largo di quello che l'Europa ha già deciso, e chi legge solo il testo europeo trova regole che in Italia devono ancora essere scritte. Il termine per l'allineamento, il 19 marzo 2027, cade comunque prima della prima scadenza italiana. La risposta seria, oggi, è guardare tutti e due i testi e ragionare sul caso concreto: è una verifica di poche ore, non un progetto.

Che cosa succede a chi aveva già iniziato

È la domanda di chi nel 2023 o nel 2024 ha avviato un progetto, ha comprato un software, ha formato una persona, e adesso scopre che l'obbligo non lo riguarda più.

Sul piano formale la direttiva del 2026 prevede che gli Stati membri possano esentare dagli obblighi di comunicazione, per gli esercizi che iniziano fra il 1° gennaio 2025 e il 31 dicembre 2026, le imprese che erano già entrate nel perimetro ma che non superano le nuove soglie. Per gli esercizi che iniziano dal 1° gennaio 2027 vale il nuovo criterio dimensionale per tutti. In altre parole: chi era dentro e ora è fuori, esce — con la possibilità di uscire già prima, se lo Stato membro lo consente.

Sul piano sostanziale, però, quel lavoro non è stato buttato via: i dati raccolti sono esattamente quelli che clienti e banche continuano a chiedere. Cambia il contenitore, non il contenuto. Chi è uscito dal perimetro non deve smontare la raccolta dati: deve smettere di scriverla nella relazione sulla gestione con i principi obbligatori e cominciare a usarla in un documento volontario, molto più leggero da produrre e da mantenere.

Gli ESRS: i principi con cui si scrive

Chi è obbligato non sceglie che cosa raccontare. Deve seguire gli ESRS, i principi europei di rendicontazione di sostenibilità, che sono emanati dalla Commissione europea sotto forma di regolamento delegato, su elaborazione tecnica dell'EFRAG. Il primo blocco è il regolamento delegato (UE) 2023/2772.

Nel 2026 sono stati riscritti. Dopo il parere tecnico dell'EFRAG del dicembre 2025 e una consultazione pubblica chiusa il 3 giugno 2026, la Commissione ha adottato all'inizio di luglio 2026 l'atto delegato con i principi rivisti: la riduzione dichiarata è di oltre il 60% degli obblighi informativi obbligatori e di oltre il 70% del totale delle informazioni richieste, con un alleggerimento anche del processo di valutazione della rilevanza.

Dove va la rendicontazione: dentro il bilancio, non accanto

È il punto che distingue la rendicontazione CSRD da qualunque altra cosa si chiami «report di sostenibilità», ed è quasi sempre il primo che sorprende chi la affronta.

La rendicontazione va inserita in una apposita sezione, come tale contrassegnata, della relazione sulla gestione, collegata all'informativa finanziaria. Non è un allegato, non è un opuscolo e non è una pagina del sito: è parte del fascicolo di bilancio, segue lo stesso iter di approvazione e di deposito, e va predisposta in formato elettronico unico europeo, con la marcatura delle informazioni che ne consente la lettura automatica e, in prospettiva, la confluenza nel punto di accesso unico europeo.

Da qui discendono tre conseguenze che vale la pena mettere in fila, perché cambiano il modo di organizzare il lavoro:

• I tempi sono quelli del bilancio, non quelli della comunicazione. La sezione deve essere pronta quando è pronta la relazione sulla gestione, non quando fa comodo pubblicarla.
• Il contenuto passa dagli stessi controlli: organo amministrativo, organo di controllo, revisore. Non è materiale che l'ufficio marketing chiude da solo.
• Il dato deve essere tracciabile. Un numero scritto lì dentro deve poter essere ricostruito, perché qualcuno verrà a chiedere da dove viene.

Un bilancio di sostenibilità volontario, al contrario, è un documento a sé: si pubblica quando si vuole, nel formato che si vuole, con l'ampiezza che si decide. È molto più libero, ed è anche molto meno gravoso — ragione per cui, quando non c'è obbligo, non ha alcun senso replicare volontariamente l'impianto della CSRD.

L'asseverazione: chi firma e che cosa attesta

La rendicontazione non si autocertifica. Deve essere accompagnata da una attestazione di conformità, rilasciata da un revisore della sostenibilità — un revisore legale o una società di revisione abilitati anche a questa attività, che può essere lo stesso che revisiona il bilancio oppure un soggetto diverso. L'attestazione è oggetto di una relazione distinta da quella di revisione contabile.

Il livello di garanzia richiesto è quello limitato, la cosiddetta limited assurance: il revisore dichiara di non aver rilevato elementi che facciano ritenere la rendicontazione non conforme, che è una conclusione in forma negativa e non l'affermazione positiva tipica della revisione contabile. La CSRD originaria prevedeva un passaggio successivo alla reasonable assurance, il livello più alto: l'Omnibus lo ha eliminato. Resta la garanzia limitata, e la Commissione europea deve adottare i principi di attestazione entro il 1° luglio 2027.

Chi controlla e che cosa si rischia

Vale la pena dirlo subito: questo capitolo riguarda soltanto chi è obbligato. Chi non lo è non rischia nulla per non aver rendicontato, perché non c'è alcun obbligo da violare.

Per chi è obbligato, il D.Lgs. 125/2024 dedica alle sanzioni il proprio articolo 10. Le sanzioni sono amministrative pecuniarie, l'autorità competente a irrogarle è la Consob, e i destinatari sono gli amministratori, i componenti dell'organo di controllo e, per le irregolarità proprie, il revisore. Le violazioni tipiche sono due: non aver incluso la sezione di rendicontazione nella relazione sulla gestione, e non averla resa conforme ai principi.

Il decreto prevede inoltre un regime transitorio attenuato nei primi anni di applicazione, con massimali nell'ordine dei 150.000 euro e dei 2.500.000 euro a seconda della violazione e del soggetto, e importi propri e più contenuti per le società di revisione e per i revisori della sostenibilità. Per un caso concreto la norma va letta articolo per articolo, non riassunta.

C'è poi un piano che nessuna tabella di sanzioni cattura: la rendicontazione sta dentro il bilancio, quindi ciò che vi è scritto entra nel perimetro delle responsabilità degli amministratori per l'informativa societaria. Non è un opuscolo: è un documento che qualcuno firma.

Se siete obbligati, che cosa comporta davvero

L'ordine conta, perché il passaggio più sottovalutato — il terzo — è quello che decide tutto il resto.

1. Ricerca di bandi e finanziamenti. Prima di ogni altra cosa verifichiamo, gratuitamente, quali bandi, contributi e forme di finanziamento a fondo perduto sono disponibili per il vostro progetto. Va fatto per primo perché può cambiare la convenienza dell'intera operazione, e perché molte scadenze non aspettano.
2. Perimetro. Si stabilisce chi rendiconta: la singola impresa o la capogruppo su base consolidata, e quali società del gruppo sono esonerate perché incluse nella rendicontazione della capogruppo.
3. Analisi di rilevanza. È il cuore del lavoro e determina che cosa va scritto e che cosa no, guardando sia agli impatti dell'impresa sia agli effetti finanziari delle questioni di sostenibilità sull'impresa. Farla male significa raccogliere per un anno dati che non servivano.
4. Raccolta dei dati, anche di catena. Qui si scopre quasi sempre che metà delle informazioni esiste già in azienda, sparsa fra amministrazione, personale, manutenzione e acquisti. Per i fornitori si applica il tetto della catena del valore.
5. Stesura secondo i principi, dentro la relazione sulla gestione, nel formato elettronico marcato richiesto.
6. Attestazione da parte del revisore della sostenibilità, che va coinvolto prima e non alla fine: la garanzia limitata si ottiene se il dato è tracciabile, non se è verosimile.

Un'avvertenza sui tempi che vale più di qualunque diagramma: chi rendiconta per la prima volta sull'esercizio 2027 deve avere i sistemi di raccolta già in funzione il 1° gennaio 2027. Il dato di un anno non si ricostruisce a dicembre, e i consumi, gli infortuni e i dati di fornitura o si registrano quando accadono o non ci sono.

Quanto costa

Non pubblichiamo listini, e su questo tema un listino sarebbe più finto che altrove: fra il fascicolo di dati di un'impresa non obbligata e la rendicontazione attestata di un gruppo obbligato c'è un ordine di grandezza di differenza, e la voce che pesa di più — quanto materiale esiste già in azienda — non si conosce prima di guardarla.

Come si forma il prezzo di un progetto, quali voci non dipendono da noi e come si legge un preventivo lo abbiamo scritto per esteso nella pagina quanto costa certificarsi. Per un numero riferito al vostro caso il modo più rapido è richiedere un preventivo allegando il questionario, il capitolato o la lettera che avete ricevuto: quel documento dice più di qualunque telefonata.

Come lavoriamo

La prima cosa che facciamo non è vendervi un progetto: è stabilire se ne avete bisogno. La verifica del perimetro si chiude in poche ore e in gran parte dei casi finisce con un «non siete obbligati», seguito da che cosa conviene fare comunque e con quale sforzo. Ce lo possiamo permettere perché non abbiamo un prodotto da collocare.

Per chi è obbligato non arriviamo con un modello già scritto da appoggiarvi sopra: guardiamo quali dati esistono, da dove vengono e chi li tiene, e costruiamo la raccolta su quello che già funziona. Vi diciamo anche che cosa non serve, e non percepiamo alcun compenso da nessun organismo di certificazione né da nessuna società di revisione.

Domande frequenti

La mia azienda è obbligata alla CSRD?
Quasi certamente no. Dopo la direttiva (UE) 2026/470 l'obbligo riguarda chi supera entrambe le soglie di più di 1.000 dipendenti in media nell'esercizio e oltre 450 milioni di euro di ricavi netti, a partire dagli esercizi che iniziano dal 1° gennaio 2027. Superarne una sola non basta. Il testo italiano, il D.Lgs. 125/2024, non è ancora allineato e dovrà esserlo entro il 19 marzo 2027: per questo la verifica va fatta sul caso concreto, ed è una verifica di poche ore.

Che differenza c'è fra rendicontazione CSRD e bilancio di sostenibilità?
La rendicontazione CSRD è un obbligo di legge, si scrive dentro la relazione sulla gestione secondo i principi europei ESRS e viene attestata da un revisore. Il bilancio di sostenibilità è volontario, è un documento a sé stante, lo si pubblica quando e come si vuole e non richiede alcuna attestazione. Chi non è obbligato ha bisogno del secondo, non del primo.

Il mio cliente obbligato può chiedermi qualunque dato?
No. Se non siete soggetti all'obbligo e non superate in media i 1.000 dipendenti siete un'impresa protetta: avete il diritto di rifiutare informazioni che eccedano quelle previste dai principi di rendicontazione volontaria, e chi è obbligato non può pretenderle nemmeno per contratto. È una tutela introdotta dalla direttiva (UE) 2026/470 e conviene conoscerla prima di compilare il quarto questionario dell'anno.

Quanto costa mettersi in regola con la CSRD?
La prima risposta utile è che, se non siete obbligati, il costo giusto è zero: non c'è nulla da mettere in regola. Se invece lo siete, la spesa dipende dal perimetro, dal numero di società del gruppo e da quanti dati esistono già. Come si compone il prezzo lo spieghiamo in quanto costa certificarsi; per una cifra riferita al vostro caso serve una mezz'ora di conversazione.

La CSRD è una certificazione?
No, e non esiste alcun «certificato CSRD». La conformità è attestata da un revisore della sostenibilità con garanzia limitata, non da un organismo di certificazione accreditato. Se qualcuno vi offre un attestato con quel nome, non ha valore né in gara né davanti all'ufficio acquisti che vi ha scritto.

Se non sono obbligato, mi conviene rendicontare lo stesso?
Conviene avere i dati, non l'impianto. Replicare volontariamente la CSRD è sproporzionato e costoso; costruire un fascicolo sullo standard volontario europeo risponde alle stesse domande di clienti e banche con una frazione dello sforzo, e ha anche il vantaggio di fissare il limite oltre il quale potete legittimamente non rispondere.

Devo rendicontare anche i miei fornitori?
Chi è obbligato deve dare conto degli impatti rilevanti della propria catena del valore, ma non deve «certificare» i fornitori: raccoglie da loro le informazioni necessarie, entro il tetto previsto per le imprese protette. In pratica il lavoro consiste nel chiedere poche cose giuste a molti, non tutto a tutti.

Esistono contributi o finanziamenti?
Sì, e capita spesso che coprano una parte rilevante della spesa fra bandi camerali, misure regionali e fondi interprofessionali per la parte formativa. La ricerca la facciamo noi, gratuitamente e prima di iniziare. Non promettiamo l'esito: l'ammissione dipende dal bando e dalla graduatoria, e questo lo diciamo prima e non dopo.

Da dove comincio se ho ricevuto una richiesta con una scadenza?
Dalla richiesta. Mandatecela: vi diciamo se vi riguarda un obbligo o un contratto, quali risposte avete già in casa e quali si costruiscono nei tempi che avete. La prima analisi non ha alcun costo e serve esattamente a questo.