Fattori di rischio

FATTORI DI RISCHIO Non si prevedono, alla data di predisposizione della presente relazione, particolari rischi ed incertezze che possano determinare effetti significativi sulla situazione economica, patrimoniale e finanziaria della Società, oltre quelli menzionati nelle note esplicative al bilancio, cui si rimanda, per quanto riguarda la gestione dei rischi finanziari (rischi di credito, di liquidità, di mercato, di cambio e di tasso).

Attività di Risk Management Per rafforzare il Sistema di Controllo Interno e di Gestione dei Rischi aziendale sono state diffuse in RFI, nel corso del 2020, le Linee di indirizzo in materia di Risk Management per il presidio e la gestione del relativo processo. Tali Linee di indirizzo, in coerenza con il Framework di Risk Management di Gruppo, definiscono ruoli, assetto organizzativo e flussi operativi tra Ferrovie dello Stato Italiane, RFI e le Società controllate. Sono proseguite, nell’ambito di gruppi di lavoro inter-societari coordinati dalla Struttura di Risk Management di Gruppo, progetti specifici volti a supportare l’implementazione delle componenti del Framework di Risk Management. In particolare, la Società è stata coinvolta principalmente nelle attività di definizione di linee guida metodologiche a livello di Gruppo di Project Risk Management (in termini di processo, macro-responsabilità e modalità operative), ed in attività di test sulla fase di execution dei progetti di investimento. Sono state avviate le interlocuzioni con le principali Società controllate per condividere le più opportune modalità di attuazione e diffusione del Framework.

Il processo di Risk management di RFI consta di principi, regole, procedure, metodologie, strumenti e strutture organizzative volte a garantire un’adeguata comprensione dei rischi che possono influenzare il raggiungimento degli obiettivi aziendali e consente di individuare, misurare e stimare il rischio e, successivamente, definire e sviluppare delle apposite strategie per gestirlo opportunamente. Il processo si sviluppa secondo le seguenti fasi che possono assumere caratteristiche, metodi e metodologie differenti a seconda dei diversi ambiti di azione previsti dal Framework unico di Gruppo: - Risk Identification, finalizzata alla identificazione e descrizione dei rischi che possono influire sul raggiungimento degli obiettivi aziendali; - Risk Evaluation & Measurement, volta alla determinazione dell’entità dei rischi identificati che potrebbero influire sul raggiungimento degli obiettivi aziendali; - Risk Prioritization & Analysis, per definire una scala di priorità dei rischi maggiormente significativi ed indirizzare i processi di risk decision; - Risk Decision, volta a individuare le strategie di trattamento più opportune per i rischi più rilevanti.

Si riportano di seguito i principali aspetti a rilevanza esterna emersi dalle analisi svolte.

Rischi di business RFI si trova ad operare in un quadro generale sfidante e caratterizzato da forti elementi di trasformazione e incertezza che si coniugano con quelli già noti, apportando nuove complessità. La gestione della crisi pandemica, la tematica delle ingenti risorse finanziarie da impiegare legate al recovery fund, il percorso di cambiamento del quadro regolatorio e di apertura del mercato ferroviario alla concorrenza sono solo alcuni di tali elementi; così come la persistenza dello squilibrio tra trasporto pubblico e privato, di gap di connettività ferroviaria (integrazione tra i diversi sistemi di mobilità) e di disomogeneità nei livelli prestazionali della rete nelle diverse aree del paese. A

ciò si aggiungono gli effetti sempre più significativi dovuti al cambiamento climatico ed alle fragilità del territorio che richiedono un’infrastruttura ferroviaria sempre più resiliente e presidiata e costituiscono aree d’intervento per ottimizzare l’attività del Gestore dell’Infrastruttura ferroviaria. Nel presente scenario di incertezza globale legato alla pandemia e contraddistinto da instabilità politica e crisi socio-economica, si assiste anche ad un cambiamento dei modelli di consumo e produzione, si modificano i comportamenti di viaggio, si determinano nuovi trend e si osserva una accelerazione di alcuni di quelli già previsti (es. contrazione della crescita mondiale e ritardo dei trend di sviluppo economico; incremento della regionalizzazione delle catene del valore e delle catene logistiche; incremento della disuguaglianza sociale; accelerazione del multipolarismo delle piccole e medie città; cambio strutturale delle abitudini di mobilità; incremento della digitalizzazione ed automazione; accelerazione e diffusione dell’e-commerce). Pertanto, anche i rischi a cui è esposta la Società si evolvono e si distinguono in funzione degli ambiti e delle iniziative aziendali, comportando la necessità di un maggiore affinamento dei processi di pianificazione strategica ed operativa tramite analisi di scenario ad hoc. Per consentire la progressiva attuazione di piani e programmi, la Società adotta sistemi per il governo dei progetti/investimenti messi in campo che comprendono, nei casi più rilevanti, la costituzione di Comitati, Task force e Gruppi di lavoro ad hoc nonché uno strutturato monitoraggio periodico del loro avanzamento. In questo momento complesso e delicato, RFI intende essere parte attiva nella ripartenza del paese, contribuendone allo sviluppo economico-sociale attraverso programmi di investimento ed interventi volti anche al rafforzamento della resilienza infrastrutturale ed operativa. In particolare, la Società si propone di interpretare un ruolo prioritario nella transizione green e digitale del sistema di mobilità, ponendo al centro le esigenze di mobilità delle persone e della logistica, gli obiettivi di sviluppo sostenibile, la costruzione dello spazio unico ferroviario europeo: - attraverso la realizzazione degli investimenti ampliati dai nuovi fondi europei ed accelerando gli interventi per innalzare l’integrazione tra territori e modalità di trasporto e rendere il paese più connesso, veloce e competitivo; - estendendo l’applicazione dei più alti standard per il miglioramento continuo dei livelli di resilienza, safety e delle performance dell’infrastruttura anche tramite l’estensione di avanzate tecnologie su tutta la rete.

Rischi di natura regolatoria e di compliance La Società opera in settori fortemente regolamentati in cui il cambiamento delle regole di funzionamento del quadro regolatorio, delle prescrizioni e degli obblighi possono influire sull’andamento della gestione ed incidere sui risultati attesi. Tra queste fonti di incertezza di natura esogena, merita evidenza in generale il rischio connesso alla riduzione/gestione delle risorse finanziare messe a disposizione dallo Stato tramite i Contratti di Programma che potrebbe avere effetti sui piani societari e sul bilancio. Così come quello di potenziali blocchi di risorse in situazioni di emergenza e lungaggini negli iter approvativi tradizionali. In generale, a fronte dei rischi che possono derivare dall’evoluzione del quadro normativo e degli scenari, la gestione dei rapporti e dei flussi informativi con gli organismi di governo e regolazione (Istituzioni, Autorità di settore indipendenti, ecc.), anche in caso di eventuali controversie, è sempre aperta a momenti di confronto ed interlocuzione, soprattutto di merito, ed è improntata alla trasparenza, collaborazione e proattività. Responsabilità, trasparenza, integrità e rispetto delle regole sono quindi i principi che guidano i processi, le procedure, i sistemi ed i comportamenti aziendali anche in coerenza con il Codice etico di Gruppo. Tuttavia la Società, data la complessità del business di appartenenza e la molteplicità delle attività svolte, è esposta a rischi

di non conformità derivanti in generale dalla potenziale inosservanza delle regole caratterizzanti il quadro legislativo e regolatorio, con conseguenti effetti sanzionatori, perdite finanziarie e danni reputazionali. Per presidiare tali aspetti, al monitoraggio dell’evoluzione normativa e regolamentare che la Società esegue, anche attraverso l’azione di gruppi di lavoro permanenti e presidi organizzativi, si aggiungono le verifiche sul rispetto delle disposizioni interne ed esterne da parte dalle strutture preposte ed i percorsi formativi rivolti al personale sui temi di compliance di maggiore rilevanza. In particolare, nell’ambito del Framework unico anticorruzione, è stato aggiornato e notevolmente integrato l’Anti Bribery&Corruption Management System di RFI (ABC System). L’ABC System prevede principi di controllo trasversali ed individua un set di strumenti di prevenzione specifici declinati in standard di comportamento ed indicatori di monitoraggio di possibili anomalie, finalizzati all’adozione di processi decisionali consapevoli, responsabili ed improntati ai valori di integrità, correttezza e legalità. A supporto dell’azione di sensibilizzazione verso i suddetti valori a tutti i livelli, l’ABC System prevede inoltre, tra le principali linee di intervento, una continua attività formativa e di comunicazione. Nell’ambito del potenziamento del Sistema di Controllo Interno e Gestione dei Rischi è stato anche definito il Modello di Compliance di Gruppo a prevenzione ulteriore del rischio di non conformità, ovvero del rischio di incorrere in violazioni di norme esterne e di autoregolamentazione con ricadute reputazionali. La Società ha istituito la struttura di Compliance e sta valutando le più opportune modalità di recepimento del Modello. Inoltre, in considerazione della maturità dei processi di liberalizzazione dei mercati in cui operano le Società del Gruppo FS, è emersa a livello di Gruppo la necessità di intraprendere un percorso per dotare le Società, nel rispetto delle rispettive prerogative di autonomia ed indipendenza, di un programma di complianceantitrust per migliorare la capacità di prevenzione e gestione dei rischi c.d. “antitrust” connessi al mancato rispetto della normativa a tutela della concorrenza ed all’esecuzione di pratiche commerciali scorrette. Quanto alla gestione degli aspetti relativi alla protezione dei dati personali, nel corso del 2020 sono proseguite le attività di presidio degli adempimenti previsti dal Regolamento UE 2016/679 e dal Framework di Data Protection. In particolare, in RFI è stato designato un Data Protection Officer interno ed è stato interamente recepito il Framework di Gruppo. Proseguono inoltre, ormai regolarmente, con il supporto del Data Protection Officer, le attività legate all’aggiornamento del Registro dei Trattamenti societario e delle informative, alla gestione delle richieste di esercizio dei diritti degli interessati, alla stipula degli Accordi di Data Protection per la gestione delle terze parti, ai Data Protection Impact Assessment e by Design by Default.

Rischi operativi Gli investimenti infrastrutturali sul sistema ferroviario si sostanziano in progetti complessi che richiedono ingenti risorse finanziarie ed uno strutturato apparato organizzativo e di project management che RFI, anche per il tramite delle Società del Gruppo, pone in essere. Numerosi e di diversa natura potrebbero essere gli eventi in grado di ripercuotersi sulla realizzazione delle opere nei tempi/costi previsti e sulla qualità, efficienza e disponibilità dell’infrastruttura ferroviaria e comportare, pertanto, potenziali effetti negativi sui risultati societari. Ci si riferisce, in generale, ad eventuali variazioni del quadro giuridico, lungaggini negli iter autorizzativi dei progetti da parte dei Ministeri/Enti, difficoltà nell’accesso alle fonti di finanziamento, variazioni tecniche nei programmi, carenze tecniche/organizzative degli appaltatori/contraenti generali (anche dovute a situazioni di sofferenza finanziaria o di default) e/o dei soggetti tecnici. A fronte di tali rischi, la Società attua procedure di gestione e controllo che permettono di monitorare costantemente l’andamento fisico, economico e finanziario degli interventi infrastrutturali e di innescare

meccanismi volti alla definizione di azioni migliorative o correttive. Al riguardo sono state attuate specifiche azioni di natura contrattuale ed organizzativa, tese a rafforzare il presidio sui progetti d’investimento da parte di RFI in quanto Committente. Prosegue il progetto di ampio respiro volto a innovare le modalità di gestione degli investimenti attraverso l’ottimizzazione degli strumenti informativi necessari alla loro gestione operativa e, più in generale, a supportare il modello di gestione a vita intera degli asset nonché sono in corso azioni specifiche di internalizzazione di attività per favorire la continuità di progetti strategici (messa a regime nuova società controllata IFR Firenze per contribuire allo sviluppo del progetto del Passante Ferroviario AV del nodo di Firenze e alla realizzazione della nuova stazione AV di Firenze Belfiore) e sono allo studio azioni volte all’affinamento dei processi di projectmanagement in ottica riskbased. L’infrastruttura ferroviaria è inoltre sensibile a interruzioni/inconvenienti dovuti a guasti degli impianti e delle tecnologie, a fenomeni naturali di grave intensità ed ad atti contro il patrimonio che possono influire sull’offerta dei servizi di circolazione in via continuativa nel rispetto degli standard di qualità attesi. Per fronteggiare tali eventi, la Società, oltre a disporre di sistemi di sicurezza, controllo e monitoraggio all’avanguardia, realizza, con il supporto sempre maggiore delle tecnologie, cicli manutentivi sulla rete ed adotta procedure di gestione delle anormalità ed emergenze e specifici piani di contingenza con costante attenzione all’informazione al pubblico ed alla fornitura dei servizi accessori ai clienti. Al riguardo in ottica di ottimizzazione e rafforzamento della resilienza dell’infrastruttura è in corso un progetto di ampio respiro legato al climate change (mitigazione rischio idrogeologico e sismico). Per migliorare le performance di qualità del servizio, la Società, tra le altre cose, ha avviato progetti d’implementazione dei sistemi per la programmazione ottimizzata dell’orario ferroviario e di gestione del traffico e ha costituito in via permanente il Comitato Puntualità, responsabile di presidiare e monitorare le prestazioni di puntualità reale e di tutti i soggetti coinvolti ed individuare azioni di breve, medio e lungo periodo in termini di gestione della circolazione, offerta commerciale e scenario tecnico, modello manutentivo, progettazione e realizzazione investimenti, standardizzazione per la risoluzione dei guasti ripetitivi degli impianti. Per presidiare il rischio di saturazione delle tratte a maggior valenza commerciale e, in generale, per far crescere capacità, prestazionalità ed accessibilità della rete, la Società sta mettendo in atto interventi al fine di rendere più fluida la circolazione, aumentare la capacità di traffico nei grandi nodi urbani, e sta pianificando, a livello di intera rete, ingenti programmi di investimento per rinnovi, per upgrade tecnologici nonché volti ad accelerare la transizione digitale e l’automazione dei sistemi e dei processi e proseguire con le iniziative di efficientamento. Sono inoltre allo studio progetti di diagnostica evoluta e manutenzione predittiva. RFI è comunque costantemente impegnata nell’informare i propri stakeholder sulle attività svolte e sugli obiettivi raggiunti, monitorando e rendicontando i risultati nell’ambito di un percorso di miglioramento continuo delle performance. In particolare, per arricchire i servizi offerti, indirizzare le scelte aziendali, valorizzare e tutelare la propria immagine, RFI gestisce, in coordinamento con la Capogruppo, la comunicazione verso l’esterno attraverso strutturati processi di osservazione, ascolto e gestione delle relazioni con i media.

Rischi legati all’approvvigionamento La Società, in generale, gestisce gli acquisti in modo accentrato e, per le prestazioni e competenze specialistiche proprie del sistema ferroviario, si avvale anche di appositi sistemi di qualificazione di operatori economici e di elenchi di professionisti di comprovata idoneità. Per garantire un’efficienza sempre maggiore nell’uso delle risorse pubbliche prosegue il progetto volto al ridisegno del processo di approvvigionamento basato su un modello analitico per la determinazione del prezzo ottimale delle forniture, anche nell’ottica di una maggiore

velocizzazione, semplificazione, tracciatura e dematerializzazione. In particolare, il progetto si prefigge di minimizzare i tempi di attraversamento del processo (dalla definizione della specifica materiali alla contabilizzazione), di garantire continuità sui cantieri, aumentando la puntualità nella consegna ordini, di ridurre il capitale immobilizzato nelle scorte presso le strutture territoriali ed il magazzino centrale. Sono in atto le prime attivazioni nelle strutture territoriali. Riguardo alle variazioni dei prezzi di fornitura di beni dovute alle oscillazioni di mercato, la Società, attraverso le sue strutture specialistiche, monitora l’andamento dei prezzi delle materie fondamentali per l’esercizio del business, nonché la normativa che eventualmente li regola; questo per intraprendere politiche di gestione degli approvvigionamenti mirate a mitigare i rischi, ovvero porre in essere azioni per tutelare gli interessi Societari (ad esempio tramite l’utilizzo di Accordi Quadro in cui i prezzi sono fissati per la durata del contratto e sono previste clausole di revisione dei prezzi al superamento di determinati margini). In particolare, in merito al settore elettrico ed alle diverse Delibere di modifica del costo dell’energia emesse negli ultimi esercizi dall’Autorità di settore, l’evoluzione del quadro di riferimento continua a essere costantemente monitorata. Per limitare possibili situazioni di dipendenza da ditte costruttrici/fornitrici e rafforzare il know how ferroviario, la Società ha attuato una progressiva internalizzazione dei processi critici di manutenzione e realizzazione dell’infrastruttura, di progettazione e gestione degli impianti tecnologici e di produzione di componenti ferroviari, e ha definito, per le forniture strategiche, i livelli delle scorte di emergenza, le relative modalità di reintegro e politiche di diversificazione dei fornitori. A ciò si aggiungono le iniziative in atto volte a definire un modello generale di valutazione del rischio del parco fornitori RFI per supportare le più opportune scelte di approvvigionamento dei materiali (anche strategici), nonché azioni specifiche a beneficio della sostenibilità tese a estendere l’utilizzo della valutazione delle performance dei fornitori in ambito Corporate Social Responsibility come requisito premiale di tutte le gare tecnico-economiche bandite da RFI. Sono altresì in corso specifiche iniziative volte all’estensione di protocolli per la progettazione sostenibile dell’infrastruttura.

Rischi ICT (Information and Communication Technology) La Società opera attraverso l’utilizzo di sistemi/piattaforme informatiche per il coordinamento e la pianificazione delle attività, per gli aspetti riguardanti la circolazione ed i servizi correlati, per la vendita delle tracce, per la gestione degli approvvigionamenti, della manutenzione e degli investimenti, per il monitoraggio delle scorte e per numerose altre attività, inclusa la gestione dei processi contabili. Hardware e software utilizzati, possono essere danneggiati da un errore umano, da disastri naturali, dalla perdita di potenza e da altri eventi. Problemi inaspettati alle strutture, guasti di sistema, cyber attack potrebbero influenzare la qualità dei servizi e causare interruzioni, rallentamenti e/o blocchi alle attività aziendali con conseguenti danni economici e ricadute reputazionali. Al fine di assicurare nel continuo la disponibilità, l’integrità e la riservatezza dei dati informatici, RFI si è dotata di sistemi di prevenzione e protezione (operazioni di backup, procedure di autenticazione e profilazione utenti, firewall, ecc.) e ha ulteriormente rafforzato ed ampliato i propri processi di sicurezza (attraverso verifiche di vulnerabilità, penetration test, ecc.) e di business continuity/disaster recovery in particolare per i sistemi ritenuti business critical. È inoltre in corso un progetto di ampia portata e complessità per dotare il Gruppo FS di un modello di gestione e controllo volto alla classificazione delle informazioni in relazione alle caratteristiche di riservatezza al fine di proteggere, in particolare, le informazioni confidenziali e strettamente confidenziali da possibili violazioni in grado

di comportare danni rilevanti conseguenti ad un utilizzo improprio, accidentale o intenzionale, delle informazioni (ad es. in termini di possibile perdita economica, degrado o interruzione di servizi, impatti su persone e cose, perdita di competitività, sanzioni, deterioramento dell’immagine e della reputazione del Gruppo o dei rapporti con stakeholder, etc.). In relazione alla costituzione di FS Technology, Service Provider per il Gruppo FS, proseguono le attività del Comitato Interdirezionale con funzioni di coordinamento in materia di investimenti e sviluppi IT e di controllo dei relativi livelli di servizio e di qualità delle prestazioni erogate. Il Comitato garantisce in generale la definizione e l’attuazione del Piano dello Sviluppo dei Sistemi IT e le relative priorità di intervento, in coerenza con il Piano Industriale e con i relativi obiettivi di Business, assicura le modalità più efficaci ed efficienti di interfaccia con FS Technology a garanzia della continuità del business, nonché delle esigenze di sviluppo/progettuali e delle attività di conduzione dei sistemi.

Rischi legati alla diffusione di malattie infettive La diffusione su scala globale di emergenze epidemiologiche o pandemiche che colpiscono la popolazione (es. COVID-19) può determinare, oltre a un deterioramento del quadro macroeconomico, rallentamenti nell’attività dell’impresa, derivanti da provvedimenti emanati da autorità nazionali ed estere, da indisponibilità di personale, da difficoltà incontrate dalla clientela nella fruizione dei servizi di mobilità collettiva, da discontinuità nella catena di fornitura, con impatti negativi sui risultati della Società. La Società è dotata di processi e procedure che supportano l’identificazione, la gestione ed il monitoraggio degli eventi con potenziali impatti significativi sulle risorse e sul business dell’impresa. Tali processi sono volti a massimizzare la tempestività della reazione e l’efficacia delle azioni intraprese sia per fronteggiare l’emergenza sia per rafforzare nel lungo periodo la resilienza operativa e gestionale della Società.