Appunti Internal Audit

Internal audit

Parte 1 – Contesto storico, CoSO dal 1992 al 2013 e controlli SOX

A seguito del crollo di WS nel ’29 nasce il doppio binario di controllo interno ed esterno con il Security Exchange Act, obbligo dello SCI per quotate e società medio-grandi.

A seguito dello scandalo Watergate 1977 – Foreign Corrupt Practices Act:

1. Sanzioni inasprite per corruzione.
2. Principio di pervasività -> obblighi estesi anche a posizioni non dirigenziali.
3. Regole per tenuta contabilità e principi contabili per il monitoraggio dei flussi finanziari.

Il SCI pre CoSO pertanto presentava la seguente struttura Committee of.

Nel 1985 la SEC avviò studi sui casi di frode più eclatanti creando il Sponsoring Organization, patrocinato dalle 5 principali associazioni di professionisti in materia di accounting e financial reporting, il focus dello studio verteva tutto sul rischio e la capacità di gestirlo, dagli studi scaturì il CoSO Report del 1992.

CoSO report 1992 – “Internal Control - Integrated Framework”

Secondo il CoSO lo SCI è definito come: “un processo (meccanismi, procedure e strumenti) posto in essere dal Board, dal management e dal resto dell’organizzazione al fine di fornire un ragionevole convincimento in merito al conseguimento degli obiettivi aziendali”.

Gli obiettivi dello SCI pertanto sono di:

1. Efficacia ed efficienza delle operazioni aziendali (economicità).
2. Affidabilità del reporting finanziario.
3. Compliance con leggi, regolamenti e statuti.

I 5 elementi costitutivi dello SCI sono:

1. L’Ambiente di controllo.
2. Identificazione e valutazione dei rischi.
3. Le attività di controllo.
4. Informazione e comunicazione.
5. Monitoraggio.

L’importanza del CoSO è dimostrata dal fatto che è il primo vero modello di riferimento in materia di autodisciplina a livello mondiale, a riprova della rilevanza tutti i seguenti documenti in materia di controllo interno fanno esplicitamente riferimento al CoSO, es. il Framework for Internal Control Systems in Banking Organizations di Basilea ‘98, Handbook of International Standars on Auditing and Quality Control, le guide italiane del CNDC.

N.B. Approfondire a parte scandali Waste Management, Enron, WorldCom, Tyco, HealthSouth, Parmalat.

Rapporto Cadbury – 1992

Il primo e più noto regolamento in materia di controllo interno e Corporate Governance fu stilato nel Regno Unito e prende il nome di Rapporto Cadbury, è il risultato dei lavori di un’apposita commissione costituita nel 1991 a seguito di fallimenti di Società importanti.

La Corporate Governance è il sistema di regole secondo cui le imprese sono gestite e controllate coniugando:

• Raggiungimento obiettivi.
• Comportamento coerente con le aspettative.
• Trasparenza verso azionisti e stakeholders.

In Italia l’equivalente è stato stilato nel 1999 con il c.d. Codice Preda ossia il “Codice di autodisciplina per le società quotate”.

Un problema che sorge in materia di corporate governance è dato dalla “Agency Problem”, separazione fra proprietà ed effettivo controllo c.d. in cui la separazione causa piena autonomia del management, per ovviare al problema sono stati posti in essere i:

• Controlli SOX (Sarbanes Oxley Act) per le quotate alla borsa di NY a partire dal 2002.
• Legge sul Risparmio per l’Italia.

La SOX è il provvedimento normativo più stringente a seguito del Securities Exchange Act del ’34, formata da 11 Titoli, principali il 302 sulla certificazione dell’informativa finanziaria e 404 sulla responsabilità del management, tra le novità introdotte:

1. L’istituzione di un organismo preposto al monitoraggio e al miglioramento degli standard in tema di accounting and auditing.
2. La definizione di regole più chiare in merito ai rapporti tra audit committee società di revisione.
3. L’incremento di sanzioni penali nel caso di reati riguardanti l’audit del bilancio.
4. L’introduzione di meccanismi di protezione giuridica per coloro che denunciano reati aventi a oggetto la predisposizione e il controllo del bilancio.
5. L’introduzione di nuovi standard e procedure per l’accounting e l’auditing.
6. L’introduzione di nuovi meccanismi di monitoraggio delle professioni contabili.

La SEC 302 viene introdotta la responsabilità penale indiretta del CFO e del CEO in tema di veridicità del bilancio firmato e sottoscritto.

La SEC 404 stabilisce i doveri in capo al management:

• Responsabilità relativa alla valutazione dell’efficacia del sistema di controllo interno.
• Valutazione effettuata sulla base di un modello riconosciuto e supportato da idonee evidenze.

Le fasi dei controlli SOX.

Differenze principali CoSO Report (1992) e SOX

• CoSO -> focalizzato su obiettivi dello SCI: economicità, compliance e attendibilità.
• SOX -> obblighi e responsabilità del management in merito ad efficacia SCI e dell’informativa finanziaria.

CoSO ERM Report II (2004) - Enterprise Risk Management-Integrated Framework

Nel 2004 viene aggiornato per garantire:

1. Maggior tutela per gli stakeholders a seguito delle crisi finanziarie.
2. Per recepire i rilevanti cambiamenti che hanno coinvolto l’economia globale: tecnologia, globalizzazione, nuovi modelli di organizzazione (outsourcing, joint-venture).
3. Cambiamento della prospettiva nell’approccio al rischio non più interpretato come unicamente una minaccia ma anche come potenziale componente del Sistema di Controllo Interno in grado di generare valore.

Tale evoluzione si ritiene sia transitata attraverso tre differenti modelli di Business Corporate Model Risk:

Il Risk management:

• Di impronta tradizionale, rischio inteso come azzardo individuale, senza un titolare effettivo per mitigarli.

Il Business risk management.

L’Enterprise Wide Risk management:

• Rischio contestualizzato nella business strategy, sviluppo del risk portfolio con focus su rischi critici con definite responsabilità sui rischi mappati e una strategia definita per fronteggiarli, il rischio è responsabilità collettiva.

Le linee guida dell’integrazione del CoSO ERM Report II rispetto alla versione del 1992 sono pertanto:

1. L’allineamento della strategia al rischio accettabile.
2. Il miglioramento alla risposta del rischio individuato.
3. La riduzione degli imprevisti e delle perdite conseguenti.
4. L’identificazione e la gestione dei rischi correlati e multipli.
5. Identificazione delle opportunità.
6. Il miglioramento dell’impiego di capitale.

Gli obiettivi dello SCI per il CoSO ERM Report II pertanto diventano 4:

1. Strategico -> Gli obiettivi strategici sono quelli che, attraverso un’ottica di lungo periodo, permettono di raggiungere fini aziendali ed in particolare la creazione di valore per i vari soggetti che si relazionano con l’impresa; di conseguenza, nell’elaborazione delle strategie aziendali, il management dovrà trovare “un equilibrio ottimale tra target di crescita, di redditività e rischi conseguenti”.
2. Economicità.
3. Affidabilità.
4. Compliance.

Le componenti diventano 8, 3 in più della versione antecedente, di seguito illustrate:

1. Definizione degli obiettivi (Objective Setting): gli obiettivi devono essere adeguatamente definiti, coerentemente con la mission aziendale e con il rischio accettabile.
2. Identificazione degli eventi (Event Identification): consiste nella metodologia con cui vengono identificati eventi che influiscono sul raggiungimento degli obiettivi aziendali, distinguendoli tra rischi ed opportunità.
3. Risposta al rischio (Risk Response): consiste negli interventi che il management pone in essere per mantenere i rischi emersi al di sotto del livello accettabile. Le azioni da intraprendere sono:
   • Evitarlo: eliminando un prodotto o un’attività.
   • Accettarlo: decidendo di non intraprendere alcuna azione per contenere il rischio.
   • Ridurlo: implementando azioni in grado di diminuire l’incidenza della probabilità e/o dell’impatto.
   • Condividerlo: attuando azioni come il trasferimento del rischio, vale a dire una polizza assicurativa.

Le altre 5 componenti rimangono inalterate ma integrate della nuova concezione di rischio: ambiente, valutazione, attività di controllo, informazione e comunicazione e monitoraggio.

CoSO aggiornato 2013

Nel 2013 viene pubblicata un’ulteriore versione aggiornata del CoSO da recepire entro il 2014.

Necessario perché:

1. Complessità crescente e globalizzazione.
2. Cambiamenti tecnologici.
3. Nuovi modelli di business.
4. Complessa normativa dello SCI a livello internazionale.
5. Ritenuta necessaria maggiore responsabilità da parte del management.
6. Esigenze da parte degli stakeholder su efficienza ed efficacia.

Obiettivo dell’aggiornamento è duplice, la salvaguardia dei 5 elementi costitutivi del CoSO report del 1992 e promozione di approccio risk-based rispetto ad approccio “check the box” al fine di eliminare controlli superflui o inefficaci.

Vengono pubblicati quattro nuovi Framework:

1. Internal Control – Integrated Framework Executive Summary.
2. Internal Control - Integrated Framework and Appendices.
3. Internal Control - Integrated Framework Illustrative Tools for Assessing Effectiveness of a System of Internal Control.
4. Internal Control Over External Financial Reporting: A Compendium of Approach and Examples.

Viene semplificata la struttura del framework, maggiore specificazione e introduzione di 17 principi fondamentali e standardizzati.

A. Control environment

Cultura e valori di fondo dell’organizzazione, influenzato da modelli di assegnazione di autorità/responsabilità, stile di direzione del management, presenza di organi amministrativi indipendenti dal management, competenza ed obiettivi.

I principi cardine devono essere quelli di integrità, supervisione e indipendenza del management, struttura organizzativa, poteri e responsabilità, attrarre competenze e responsabilizzare le risorse.

B. Risk assessment

Individuare e mitigarlo, rischio al netto dei controlli dà il rischio accettabile, la cui soglia è data dal risk appetite della società.

I principi che guidano l’assessment sono: la chiara esplicazione degli obiettivi, i rischi connessi al perseguimento di essi, rischi di frode (incentivi/pressioni/opportunità) e valutazione dei cambiamenti che hanno impatto sullo SCI.

C. Control activities

Presenti a tutti i livelli gerarchici dell’organizzazione, devono rispettare i principi di:

1. Separazione adeguata dei compiti.
2. Corretta autorizzazione delle operazioni.
3. Documentazione e registrazione delle operazioni.
4. Controllo fisico di beni/registrazioni, sulla base del timing di tipo preventivo/concomitante/successivo.

Le tipologie principali di attività di controllo sono:

1. Manuale (persone fisiche), es. riconciliazioni, accantonamenti.
2. Automatiche, es. IT.
3. Preventive, es. Approvazioni di ordini, fidi, ore di straordinario.
4. Detective, disegnati per catturare eccezioni, es. analisi varianza budget-actual.

D. Information and communication

Tempestiva e rapida diffusione di informazioni rilevanti e utili alle persone per adempiere alle proprie responsabilità, caratteristiche info -> utili, affidabili, tempestive, significative e accessibili.

E. Monitoring

Attività continuativa o periodica di monitoraggio dell’efficacia del disegno dei controlli interni e della loro effettiva operatività.

Parte 2 – CoSO ERM Report 2017

CoSO ERM Report 2017 – Integrating with Strategy and Performance

Aggiornamento del concetto di Enterprise Risk Management, non è una funzione o dipartimento a sé stante ma è integrata con vision e strategia dell’organizzazione in modo da prevedere in maniera concreta ed efficace il rischio. È parte di cultura e strategia aziendale.

L’evoluzione del controllo interno è schematizzabile come segue:

SCI (1992) -> SCIGR (SCI + Gestione rischio 2004) -> GRC (Governance, compliance and risk 2017).

Il CoSO ERM Report 2017 presenta una struttura dei controlli più flessibile.

Executive Summary – Novità CoSO 2017

1. ERM nei processi di definizione e attuazione della strategia.
2. Allineamento ERM e performance.
3. Chiarisce aspettative in termini di governance, approccio GRC.
4. Globalizzazione -> necessità di approccio comune.
5. Nuove modalità di riconoscimento del rischio.
6. Aumenta attività di reporting per maggiore trasparenza verso terzi.
7. Aggiornamento sulla base dell’evoluzione tecnologica.
8. Comprende definizioni e principi per ideazione e implementazione dei controlli a tutti i livelli di gestione.

I principi fondanti del CoSO 2017 sono 20, 3 in più della versione del 2013.

All’interno del report vengono anche affrontate le questioni relative all’ESG, CoSO ERM 2017 individua 4 tendenze principali rilevanti al risk management ossia:

1. Proliferazione dei dati.
2. AI e automazione.
3. Contenimento dei costi per attività di RM.
4. Necessità di organizzazioni più forti.

Ricordiamo:

1. Environment -> contributo a tematiche ambientali.
2. Social -> diritti umani, lavoro, filiera produttiva e catene di approvvigionamento sostenibili.
3. Governance -> regole e principi che stabiliscono aspettative reciproche tra le parti interessante dell’org.

A supporto del tema ESG il The Global Risks Report 2019 evidenzia le 5 macroclassi di Rischio es. Economic-Environmental-Geopolitical-Social-Technological, quest’ultimo di rilevante importanza, si veda GDPR.

L’andazzo è sempre più verso quello di una politica di sostenibilità aziendale sempre più rilevante e indirizzata sia verso l’interno che l’esterno, ormai non è più sufficiente il solo rispetto delle norme giuridiche.

Compiti del CdA secondo CoSO ERM 2017

1. Definire strategia e risk appetite.
2. Valutazione coerenza tra strategia e obiettivi.
3. Decisioni in merito ad operazioni straordinarie.
4. Valutazione delle risposte in merito a fluttuazioni di performance.
5. Azioni in caso di devianza da strategie fondamentali.
6. Approvazione meccanismi di incentivo per personale.
7. Relazioni con stakeholders.

Parte 3 – Modello 3 linee di difesa, ISO 31000 e IPPF

Ruolo del Revisore nello SCIGR

Dispone che il revisore comprenda l’impresa e il contesto in