Appunti Internal Audit

Internal audit

Prof. Provasi

CFU 6

Disciplina dell'internal auditing

External auditing vs. internal auditing

Revisione legale dei conti = ha per oggetto l’analisi sul fascicolo di bilancio, ovvero il controllo contabile da parte di Audit Firm (società di revisione)/revisore legale dei conti – Questa è la parte più evoluta di auditing/controllo, in quanto fatta da un soggetto esterno.

Internal auditing: Forme di controllo interno svolte da soggetti interni alla società (dipendenti) ed ha un ambito applicativo più esteso (a 360°) che riguarda sia l’ambito contabile, ma anche sistemi informativi, modelli di gestione ecc. È una disciplina relativamente nuova e differente da quella dell’external auditing.

Nascita della disciplina

Nasce prima l'external auditing (controllo contabile), che esisteva già ai tempi degli egizi/greci e romani. Il concetto di controllo dei conti come lo conosciamo oggi lo abbiamo dopo le rivoluzioni industriali (a partire dall'Inghilterra a fine '700 – le regole per la revisione legale dei conti hanno matrice anglosassone – perfezionata poi dagli inglesi).

Principi di revisione = ISA (International Standard Auditing) [non c’è differenza di principi applicati a livello nazionale e internazionale – applicate in tutto il mondo, contenute nel CoSO Report] In Italia invece il mondo dell’auditing è nato tardi. In Italia resta il primato della contabilità con le regole della partita doppia (Pacioli). Ha preso poi in mano la situazione l’Inghilterra potenziando le conoscenze e aggiungendo all’accounting l’external auditing (soggetto terzo indipendente che revisioni ed esprima il suo parere).

In particolare, l’external auditing nasce dopo la seconda rivoluzione industriale – dalla fine del '800 fino ai primi '900. L’Inghilterra ha poi potenziato e migliorato la revisione legale dei conti, iniziando ad introdurre i primi standard ISA + la costituzione delle prime società di revisione.

Negli anni '70/75 le società di revisione arrivano a Milano e mettono le loro basi, trasmettendo le conoscenze che servono alla revisione legale dei conti. L’ODCEC traduce poi i principi di revisione in italiano, senza buoni risultati, continuando a fare fatica nell’apprendimento dei principi. Le società di revisione, quindi, iniziano ad assumere giovani laureati, formandoli ed avviandoli alla professione legale dei conti. Ad oggi dalle Big 8 ad oggi sono nelle Big 4 (PwC – PricewaterhouseCooper, EY – Ernest & Young, KPMG, Deloitte).

L'internal auditing nasce inizialmente a fianco all’external auditing nel 1929 in America.

Approccio reazionario della normativa "moderna" dei controlli interni

Approccio reazionario: tutte le regole di SCI si sono evolute e modificate come reazione a qualche evento (crisi finanziarie e default) – comportamento avvenuto in maniera ripetuta nella storia:

• Stabilite regole
• Conosciute bene le regole ed aggirate (mette in moto meccanismo di manipolazione dei dati di bilancio per farli risultare migliori di quanto sono)
• Crisi finanziaria
• Nuova normativa

Cambiano nel tempo i motivi per cui le aziende attuano queste manipolazioni, che variano nel corso delle diverse epoche storiche. Nell’era moderna dei controlli interni (XX secolo) è interessante studiare l’evoluzione normativa dei Sistemi di Controllo Interno come reazione alle frodi contabili/finanziarie perpetrate. Il primo evento rilevante catastrofico lo si può individuare nel crollo di Wall Street del ’29 (venerdì nero).

Il crollo di Wall Street

(Falsificazione dei bilanci, principalmente della società McKesson & Robbinson Incorporated) La fine della WW fu accolta dalla Borsa di New York come buon auspicio per l’avvenire. Nel giro di poco tempo in USA si notò la prima era d’oro (Roaring Twenties) del mercato borsistico con tassi annui di crescita a tripla cifra. L’economia americana nel decennio precedente aveva corso troppo (golden era), periodo delle grandi opere portando tutte le società americane alla crescita.

Le imprese che non riuscivano più a mantenere questa crescita utilizzavano dei metodi non consoni e aggiratori/manipolatori per far apparire bilancio come volevano. Questo repentino incremento non fu però sorretto da regole sufficientemente rigide, utili a evitare frodi. Infatti, l’ottimismo creatosi si trasformò in una più facile concessione di prestiti utili a fare investimenti, senza però fare adeguate verifiche sulla effettiva capacità di rimborso. Questa spirale smise di funzionare quando le aspettative di crescita si disallinearono fortemente rispetto alle performance effettive, e le speculazioni iniziarono a non essere ripagate. La spirale speculativa fu, quindi, seguita da un circolo vizioso al ribasso, riequilibrando il sistema azionario.

Istituzionalizzazione internal audit

1934: Nascita del doppio binario: CONTROLLI ESTERNI + INTERNI

La risposta americana si può sintetizzare in questi punti:

• 1933: istituita la SEC (Securities Exchange Commission – commissione governativa americana per le società quotate, con il compito di controllare/vigilanza tutte le attività delle società quotate per evitare situazioni di crisi) [in Italia la CONSOB – commissione nazionale per le società della borsa – corrisponde alla SEC americana]
• La SEC era preposta a stabilire delle regole/leggi a supporto del sistema di controllo interno
• Obbligatorietà di introdurre un Sistema di Controlli Interno (Internal Control System) all’interno delle società medio-grandi e quotate: finalizzato all’AUTOCONTROLLO/AUTOMONITORAGGIO (implementare delle attività di controllo interno per tenere i corretti comportamenti ed evitare situazioni che riproducano nuovamente la situazione del crollo di Wall Street)
• 1933: SECURITY ACT = Regolamenta l’offerta e vendita di titoli (con la quale sarà anche istituita la SEC)

N.B.: In realtà si sostiene che già in Inghilterra erano state stabilite delle regole con la BUBBLE ACT (1720) a seguito di una crisi della borsa di Londra (causa speculazioni sui titoli – falsificazione dei bilanci al fine di ottenere investimenti) gli inglesi ed americani quindi storicamente si sono sempre contesi le normative in ambito di revisione.

• Necessità di individuare delle professionalità adeguate al ruolo, ovvero professionisti separati dell’external audit.
• Introdotta un’associazione AICPA (Association International Certified Public Accountant) – si occupa di definire tutte le regole da seguire per gli addetti del controllo contabile inizia nel ‘35/36 a pubblicare le prime regole tecniche/linee guida “Opinion” per implementare il sistema di controllo interno.

Poco prima dello scoppio della Seconda guerra mondiale su richiesta delle società quotate, c'era l'esigenza di regole tecniche per il controllo interno. Istituita un’apposita commissione (Committee On Auditing Procedure), che nel 1941 emise le prime regole tecniche nel documento Statement on Auditing Procedure (SAP). Questi processi sono stati interrotti negli anni ’50 a causa delle 2WW per poi negli anni ’70 riprendere il processo con le pubblicazioni di tutte le regole e gli standard.

Viene ripreso il processo negli USA: perché prima della 2WW fu istituito nel 1941 l’Internal Institute of Auditors (IIA = associazione degli internal auditors): istituto americano che si occupa di produrre regole/norme tecniche per far funzionare il sistema di controllo interno ricominciò a funzionare dando il suo supporto dal 1947: definisce cosa si intende per sistema di controllo interno + (fino agli anni ’70) evoluzione standard.

Prima definizione Internal Auditing (1947 – IIA): “Internal auditing is an independent appraisal activity within an organization for the review of accounting, financial and their operations. It does primarily with accounting and financial matters, but it may also properly deal with matters of and operating nature.”

Indipendent: per poter fare al meglio il lavoro di auditing (sia esterno che interno) è necessaria indipendenza.

And their operations: riguarda tutto l’ambito operativo

Definizione via via aggiornata negli anni

• 1972 – IIA pubblicato una guida: Statement on Auditing Procedure N° 54 ritenuto più importante ed ultimo in quanto è il primo che riporta tabelle di distinzione tra le attività/funzioni di internal ed external auditing, chiarendo le idee sui due ruoli.

1978: In USA l’internal auditor è una figura ben delineata con funzioni e compiti ben precisi viene stabilito dall’IIA Standard for Professional Practice of Internal Auditing: il compendio riassuntivo di tutti i principi che servono a chi deve svolgere in modo professionale un’attività di Internal auditing, quindi finalizzato a:

• Definire il ruolo, l’ambito, la performance e gli obiettivi dell’IA
• Coordinare la professione di IA nel mondo
• Incoraggiare e sostenere lo sviluppo dell’IA
• Stabilire le operazioni di IA
• Sostenere il riconoscimento dell’IA come professione.

(Nel mentre si iniziò ad insegnare nelle università la disciplina) Diventa sempre più nel tempo una funzione esternalizzata (società consulenti) per le società più piccole che non possono permettersi una figura interna di IA.

Verso la fine degli anni ’70 1974 l’AICPA ha pubblicato il CODICE ETICO della professione, enfatizzando le norme di deontologia professionale ed in particolare rafforza i concetti di indipendenza e integrità.

In Italia

Modelli di governance della società:

1. Tradizionale (o all’italiana) basato sulla presenza di tre organi: Assemblea Azionisti (potere di deliberare), CdA (tradurre in pratica le delibere dell’assemblea), Collegio Sindacale (organo di controllo nel contesto italiano) esistente solo in Italia
2. Monistico (o one tier) focalizzato sull’unico organo, ovvero il CdA/Board of Directors. Assemblea Azionisti nomina amministratori e al loro interno nominano il Comitato di Controllo interno. Mondo anglosassone
3. Dualistico (o dual tier) caratterizzato dal Consiglio di Sorveglianza e dal Comitato di Gestione. Assemblea Azionisti nomina il Consiglio di Sorveglianza (organo di controllo) e poi questo a sua volta nomina comitato gestione (organo amministrativo) paesi sotto influenza della Germania e Giappone

Ogni modello di Corporate Governance prevede un organo di controllo interno. Il collegio sindacale nel nostro ordinamento è presente dal 1881 introdotto con il Codice di Commercio.

1977: FCPA

Reazione allo scandalo/tracollo Watergate (1973 – 1976) scoperta di intercettazioni illegali effettuate da esponenti partito repubblicano: truffe e prime forme di corruzione/tangenti da parte delle società ai funzionari pubblici per avere delle normative di supporto e per sostenere le campagne presidenziali questo per il tramite dei fondi neri/riserve occulte (agli azionisti) in bilancio (modifica dei dati di bilancio) = Il sistema non è più efficiente e le regole non sono più adeguate al nuovo contesto economico sistemi di controllo interno non più adeguati.

1977 – Foreign Corrupt Practices Act (FCPA): Il governo americano per porre rimedio introduce una norma per combattere le pratiche di corruzione; contiene vincoli e regole tecniche da rispettare per evitare forme di corruzione ormai diffuse.

Ci sono due sezioni (103 e 104) in cui si va fortemente a potenziare le regole per implementare in modo adeguato il sistema di controllo interno. Tre aspetti significativi:

• Sanzioni inasprite per corruzione di pubblici ufficiali esteri;
• Estensione della normativa a tutto il personale, e non solo ai dirigenti (INTRODUZIONE CONCETTO DI PERVASIVITÀ).
• Misure atte a garantire la tracciabilità dei flussi finanziari imponendo regole per la tenuta dei bilanci e dei libri contabili.

Negli anni a seguire ciò che si è verificato in USA si è verificato nel resto del mondo le varie nazioni hanno anche loro pubblicato normative idonee per fronteggiare fenomeno di corruzione prendendo spunto dal FCPA:

• UK Bribery Act (in UK);
• D.Lgs. 231/2001 (in ITA);
• Loi Sapin II (in FRA).

FCTA nella normativa aveva previsto inoltre un quadro sanzionatorio pesante per dissuadere dalle manipolazioni e le commissioni di reati.

Sistema di controllo interno pre-CoSO (1977 – 1980/82)

Importanza della normativa sul controllo interno, creando il Sistema di Controllo Interno con le caratteristiche pre CoSO (Committee of Sponsoring Organizations), costituito a livello di ordinamento governativo americano. Tutte le società americane devono adeguarsi della normativa FCPA.

Prima del CoSO era presente il modello organizzativo gerarchico o piramidale (base: operai/contabili, quadri, dirigenti, direttori generali, manager e CdA) (“processo gerarchico”) posizionare specifiche attività di controllo ad ogni livello della piramide.

Si parla di diverse componenti di cui si comporrà lo SCI affinché funzionino bene i controlli:

1. Devono basarsi sull’ambiente di controllo generalizzato in tutti i livelli di organizzazione aziendale, sensibilizzando anche gli operai.
2. Valutare con attenzione la valutazione dei rischi (mappatura) ci vuole qualcuno che abbia delle conoscenze in più a livello di mansioni in azienda (risk assessment).
3. Attività di controllo che compete a figure manageriali (direttori): dopo la raccolta di informazione da parte dei quadri e dirigenti rispetto alla propria area vengono organizzate delle attività di controllo poi implementate.
4. Top management/amministratore delegato che deve essere a conoscenza di tutto ciò con un’attività di monitoraggio (o supervisor).

Nella parte centrale, inoltre, si ha informazione e comunicazione: la parte centrale per poter funzionare deve basarsi su uno scambio continuo e ripetuto delle informazioni. Per organizzare un adeguato SCI bisogna che tutti vengano a conoscenza di queste informazioni (condivisione di informazioni). Lo schema serve per organizzare al meglio i Sistemi di Controllo Interno.

Costruire i controlli interni basandosi esclusivamente sulla quantità di controlli

I controlli interni assumono una valenza scientifica-matematica, che contribuiscono alla formazione di regole (matematici e ingegneri).

Business process reengineering modello organizzativo evoluto (anni ’70/’80) entrano in azienda assumendo funzioni manageriali, partendo dalla ristrutturazione di tutte le attività aziendali (creando strutture a processi, quale somma di attività).

Sistema cartesiano con livello/n° dei controlli ed i costi implementare risorse di questo tipo comporta delle spese.

Analisi costi-benefici: bisogna trovare livello di efficienza di controllo in cui punto di pareggio dei costi sostenuti dal sistema dei controlli e benefici ottenuti dall’implementazione degli SCI razionalizzazione dei controlli.

Costo dei controlli (andamento crescente): più aumento controlli e più aumenta il costo.

Valore Incrementale del rischio (andamento decrescente – in quanto rispetta il concetto delle economie di scala): per livelli di controllo bassi ho un costo molto alto (investimenti iniziali), all’aumento dei controlli il valore incrementale è più proporzionale in quanto spalmo su più tempi i costi fissi connessi all’implementazione dello SCI.

Arriviamo poi ad un punto di ottimo/efficienza all’intersecarsi delle due curve.

Il CoSO

All’inizio degli anni ’80 negli Stati Uniti si assiste ancora all’emergere di una serie di situazioni di default, ovvero al proliferare di procedure fallimentari spesso associate a condotte illegali (manipolazioni di bilancio) che hanno portato al crack finanziario. Necessità di introduzione regole più strutturate (in quanto le sanzioni previste nell’FCTA non erano più sufficienti).

Nel 1985 la SEC decise di avviare degli studi sui casi di frode più incisivi. Fu istituito il Committee of Sponsoring Organization (CoSO: Organizzazione/Istituto che si occupa della pubblicazione sul sistema di controllo interno), presieduto da Treadway per questo scopo. La commissione, infatti, è anche nota come Treadway Commission [quando vengono costituite delle commissioni parlamentari viene poi nominato il presidente della commissione, il quale si identifica nella commissione stessa (James Treadway è stato per tanti anni un commissario/membro importante della SEC)].

CoSO era una commissione federale con il compito di:

1. Mappare le principali motivazioni/intenzioni e cause che hanno indotto le società a commettere manipolazioni dati di bilancio e frodi che hanno portato alle crisi finanziarie. Analogie tra intenzioni;
2. Acquisisce ed elabora i dati ottenuti per definire delle regole di funzionamento del sistema di controllo interno.

Tale organizzazione fu supportata e patrocinata dalle 5 organizzazioni americane più importanti in tema di controlli e bilanci (dipende dai principi contabili utilizzati – GAAP): AAA (domestic), AICPA (international), IIA, IMA (controller: manager che si occupano della contabilità analitica per la predisposizione del budget generale di esercizio) e FEI (finanza).

La peculiarità di tale studio fu il focus sul rischio (analisi società centro del default, da quelle fallite a quelle dell’ultimo crack).