Revisione Interna, Compliance e Risk Management

Corporate governance e internal control system

Breve excursus

Il tema del sistema dei controlli risale al 1980 circa e parte da tematiche di corporate governance: ogni società deve essere governata da un organismo, che tipicamente è il CDA.

Strategie del sistema dei controlli

Nelle società per azioni, il CDA è responsabile nel definire le strategie aziendali.

• 1970: Audit Committees (nell’accezione originaria si occupava solo della revisione di conti).
• 1980: Si è intensificato il dibattito sulla necessità di creare meccanismi di balance tra manager e CDA (e gli stakeholder), poiché negli USA erano soprattutto company con la criticità che, avendo tanti azionisti di minoranza, il manager che ha le deleghe esecutive acquisisca potere, generando conflitti di interessi.
• 1985: Committee of Sponsoring Organizations of the Treadway Commission ha sviluppato best practice.
• 1990: OECD ha sviluppato linee guida globali sulla corporate governance.
• 1992: UK Cadbury Report: primo codice di disciplina per le quotate, non obbligatorio. (Quindi, oltre a rispettare le norme dei Paesi, si sono adeguate alle norme di autodisciplina):

• Maggior presenza di independent directors (indipendenza dal management o da relazioni con l’azienda).
• Separazione tra il Presidente e il CEO.
• Introduzione di un Remuneration Committee per supervisionare i compensi dei manager e consiglieri.
• Introduzione di un Nomination Committee con il compito di proporre i nuovi membri del CDA.
• Regolare adesione al codice o viceversa spiegazione dei motivi.

Negli USA non c’è un codice, ma una vera legge, che alla fine prevede sempre gli stessi requisiti.

Sviluppi nel 21° secolo

• Nuovi codici e studi sulla correlazione fra buona corporate governance e rendimento azionario.
• Crollo di grandi società (Enron, Worldcom, Parmalat): più regolamentazione.
• Director Professionalism:

2001: NACD istituisce una Commissione che pubblica un Board composto a maggioranza da indipendenti, e dovrebbe richiedere che il comitato chiave sia composto interamente da indipendenti.

• Ogni comitato chiave dovrebbe avere una carta approvata dal CDA.
• Tra i doveri dell’Audit dovrebbe esserci la supervisione di: qualità, integrità dei report finanziari e gestione rischi.
• Lead independent directors, valutazione performance del CEO, valutazione periodica compliance e del sistema di reporting, incontri periodici tra Comitato di revisione e l’internal e l’external audit.

Definizione di corporate governance

Sistema con cui le società sono dirette e controllate (Report on the Financial Aspects of governance di Adrian Cadbury).

A Relationship Perspective

• La struttura di corporate governance specifica le regole e le responsabilità tra i diversi partecipanti dell’organizzazione (board, managers, shareholders, stakeholders) e stabilisce le regole e procedure del decision-making.
• È la relazione tra gli shareholders e il management della società, come definito dall’azienda, dalle leggi.

Prospettiva degli stakeholder

• La corporate governance riguarda l’attività del Board e le sue relazioni con: shareholders, stakeholders, external auditors, leggi, e con chi gestisce l’impresa. (E’ come rispondono alle leggi ed ai desideri degli stakeholders).

Prospettiva finanziaria

• La corporate governance riguarda il modo in cui chi fornisce finanze all’azienda, si assicura un ritorno degli investimenti.

Prospettiva sociale

• La corporate governance è l’insieme degli accordi legali, culturali e istituzionali, che determinano cosa possono fare le società pubbliche, chi e come esercita il controllo, e come sono allocati il rischio e il ritorno delle attività che intraprendono.

Lo scopo della corporate governance

Parti coinvolte nelle varie prospettive della corporate governance:

• Gli Statuti attribuiscono ai Board i più ampi poteri per l’ordinaria e straordinaria gestione della società, facendo poi rinvio alle norme (perché ci sono responsabilità che non possono essere delegate al CDA).
• Il Board delega parte dei poteri al Comitato esecutivo o al CEO, salvo i poteri di sua specifica responsabilità.
• Ha anche l’obbligo di nominare il dirigente preposto alla parte contabile e alla gestione dell’attestazione dell’adeguatezza delle procedure amministrative per la redazione dei documenti contabili (che avrà responsabilità e autonomia di budget come se fosse un consigliere).

Netta distinzione di ruoli tra:

• CEO: ha la responsabilità della gestione dell’azienda, riceve dal Board le deleghe e a sua volta può delegare ad altri soggetti (e periodicamente riferisce dell’esercizio delle deleghe conferite).
• Il Board ha la responsabilità unitaria.

Dilemma di Agenzia

Conflitti che ci possono essere fra azionisti di controllo e di minoranza, fra società e manager. Buona parte della disciplina di regolamentazione a livello internazionale cerca di prevenire eventuali conflitti, che dipendono molto dai sistemi.

La teoria dell'agenzia implica un contratto in cui una o più persone (shareholders) impegnano altre persone (amministratori) ad eseguire un servizio per loro conto, delegandoli di alcune autorità decisionali. Se le due parti sono massimizzatori di utilità, probabilmente l'agente non agirà sempre nell'interesse del principale. Come hanno mostrato Berle e Means, mentre le società quotate sono cresciute, la separazione fra proprietari ed amministratori è aumentata ed il potere si è spostato verso quest’ultimi, e qualcuno di questi ne ha abusato. Le richieste di trasparenza, rendicontazione, responsabilità, audit, amministratori indipendenti sono tutte risposte al dilemma di agenzia.

Codice di autodisciplina delle società quotate

L’adozione è volontaria, prevalendo il principio comply or explain. Ogni società quotata deve pubblicare un report sulla corporate governance che illustri nel dettaglio come sono declinati in azienda ciascun articolo e principio, ed il perché se ci sono eventuali differenze. Ogni articolo è diviso in Principi, Criteri, Commenti.

Articolo 1: Ruolo del CDA

Principi:

• Le società quotate sono governate da un CDA, che si incontra in intervalli regolari, adotta un proprio modus operandi che gli consente di funzionare.
• I Consiglieri prendono decisioni in autonomia, con piena conoscenza dei fatti, e con il prioritario obiettivo di creare valore per gli shareholders nel medio-lungo termine.

Criteri: (tali principi portano ai seguenti compiti del CDA, i Consiglieri devono):

• Interessarsi ai piani strategici, operativi e finanziari.
• Definire il profilo di rischio, sia la natura che il livello del rischio che l’azienda si può assumere in coerenza con gli obiettivi strategici, tenendo conto dell’eventuale impatto sulla sostenibilità nel lungo termine.
• Valutare: adeguatezza organizzazione, sistema amministrativo e contabile, sistema gestione rischi.
• Specificare la frequenza con cui gli organi delegati riferiscono dell’esercizio delle deleghe complessiva.
• Valutare le performance dell’azienda, comparandola con quella programmata.
• Risolvere eventuali transazioni che possono avere un impatto significativo sulle strategie, asset.
• Autovalutazione (almeno ogni anno), quindi riferire agli azionisti quali sono i profili ritenuti appropriati per la composizione del CDA.
• Nel corporate governance report dare informazione sulla composizione, indicando per ogni membro la qualifica.

Chi governa il CDA è il Presidente, assicura che la documentazione relativa all'ordine del giorno del Consiglio sia messa a disposizione degli amministratori e dei revisori legali in modo tempestivo. Ha responsabilità di gestione della governance, per questo non può avere deleghe (se non marginali). Gli Amministratori devono accettare il ruolo se ritengono di poter dedicare il tempo necessario all'esecuzione diligente delle loro funzioni. Il corporate governance report dà informazioni, con una tabella, sull’effettiva partecipazione degli amministratori. Il Comitato sottolinea il ruolo del CDA, nel valutare il funzionamento del sistema dei controlli e gestione dei rischi, anche in tema di sostenibilità. In circostanze rilevanti acquisisce le informazioni necessarie per proteggere l’azienda e le informazioni sul mercato.

Articolo 2: Composizione del Board

Principi: criteri di diversità

• Per la composizione del Board devono essere applicati criteri di diversità (anche di genere) tenendo conto dell'obiettivo primario di garantire adeguate competenze e capacità professionali dei direttori.

Criteri:

• Numero, competenza, autorità e disponibilità di tempo degli amministratori non esecutivi sono tali affinché il loro giudizio possa avere un impatto significativo nel prendere decisioni del CDA.

Articolo 3: Consiglieri indipendenti

Per un adeguato numero, gli amministratori non esecutivi dovrebbero essere indipendenti, e tale indipendenza deve essere attestata dal Board e comunicata al mercato.

Criteri: il Board dovrebbe valutare l’indipendenza dei non esecutivi da:

• Indipendenza rispetto al controllo, diretto o indiretto, delle controllate (o rilevante influenza).
• Dopo 3 mandati, si presuppone che si perda l’indipendenza.
• Non deve avere una relazione significante, diretta o indiretta, commerciale, finanziaria o professionale, con l’emittente.
• Se riceve dall’emittente o da una sussidiaria una significante remunerazione aggiuntiva.
• Non deve essere stato amministratore dell’emittente per più di 9 anni negli ultimi 12 anni.

Il numero e le competenze dei consiglieri indipendenti dovrebbero essere adeguati in relazione alla dimensione del Board e all’attività dell’emittente; in ogni caso non devono essere inferiori a 2.

Articolo 4: Comitati interni del CDA

Il CDA stabilisce tra i suoi membri uno o più Comitati, con funzioni propositive e consultive, secondo quanto stabilito nei seguenti articoli: (costituiti in alcuni casi esclusivamente da indipendenti). Hanno sempre funzione consultiva e di supporto per il Board.

Criteri:

• I Comitati sono composti da almeno 3 membri, e le attività sono coordinate da un presidente.
• Il CDA assegna, e può integrare o modificare con successiva risoluzione del verbale, i compiti dei comitati.
• Viene redatto un verbale delle riunioni di ciascun comitato, il Presidente ne dà informazione anche al CDA, durante la prima riunione disponibile.
• Nelle loro funzioni, i Comitati hanno accesso alle informazioni e funzioni aziendali necessarie, secondo procedure stabilite dal CDA. (Possono anche avvalersi di consulenti esterni).

Articolo 7: Sistema dei controlli interni e gestione dei rischi (SCIGR)

Principi:

• Ogni emittente dovrebbe adottare un Sistema di Controlli interni e Gestione dei Rischi, fatto di policy, procedure, strutture organizzative per gestire, misurare e monitorare i principali rischi.
• Un efficace SCIGR contribuisce alla gestione dell’impresa e al perseguimento degli obiettivi da parte del CDA attraverso un processo decision-making informato, a salvaguardare gli asset aziendali e l’efficacia ed efficienza delle procedure, l’affidabilità delle informazioni al mercato, la compliance a leggi, regolamenti e procedure.

Il Sistema coinvolge ciascuno dei seguenti organi aziendali:

• CDA: dovrebbe fornire una direzione strategica e una valutazione generale sull’adeguatezza del sistema, identificando all’interno del Board uno o più consiglieri che se ne occupano (di solito a.d.), un Comitato controllo e rischi che fa la valutazione sul sistema.
• La persona responsabile dell’internal audit: “è il vertice della piramide della funzione di controllo”: riferisce al Board direttamente, ed ha il compito di valutare l’intero sistema.
• Collegio sindacale.
• Gli altri ruoli e funzioni di Business di prima linea (es: controllo del badge, della firma).

Criteri:

• Il CDA, con il parere del Comitato controllo e rischi, deve definire le linee guida del sistema, affinché i principali rischi (anche delle controllate) siano identificati e adeguatamente misurati, gestiti e monitorati.
• Valuta almeno una volta l’anno l’adeguatezza del sistema, considerando caratteristiche dell’impresa e del business.
• Approva, almeno una volta l’anno, il piano dell’audit.
• Cg Report:

• Illustra nel Caratteristiche del SCIGR e valutazione di come le varie funzioni di controllo collaborano.
• Guarda i Report dell’Internal audit.
• Nomina/Revoce il capo dell’Internal audit, si accerta che abbia adeguate risorse e si occupa della remunerazione.

Il Comitato controllo e rischi, quando assiste il CDA, deve:

• Valutare con il dirigente preposto, l’adeguatezza del sistema amministrativo e contabile, anche ascoltando external auditors.
• Monitorare l’indipendenza, l’adeguatezza, l’efficacia e l’efficienza dell’Internal audit, e revisionare i report.
• Riferisce al Board, almeno ogni 6 mesi, sull’adeguatezza del sistema de controlli.

Titolo IV: Il sistema dei controlli interni

Disposizioni preliminari e principi generali

Il Sistema dei controlli interni è un elemento fondamentale del complessivo sistema di governo delle banche: assicura che l’attività aziendale sia in linea con le strategie e le politiche, e sia improntata a canoni di sana e prudente gestione. Le presenti disposizioni definiscono principi e linee guida a cui il SCI delle banche si deve uniformare, e definiscono i principi generali di organizzazione, ruolo e i compiti degli organi aziendali, caratteristiche e i compiti delle funzioni aziendali di controllo.

La disciplina:

• È la cornice generale del sistema dei controlli aziendali. In materia di istituti di vigilanza prudenziale è integrata e completata dalle specifiche disposizioni previste in materia.
• Forma parte integrante del complesso di norme concernenti gli assetti di governo e controllo delle banche, quali le disposizioni di natura organizzativa in materia di: governo societario, information and communication technology, assetti proprietari.

I presidi relativi al sistema dei controlli interni devono coprire ogni tipologia di rischio aziendale. La responsabilità primaria è rimessa agli organi aziendali, ciascuno secondo le rispettive competenze. L’articolazione dei compiti e delle responsabilità degli organi e delle funzioni aziendali deve essere chiaramente definita.

Nel processo di revisione e valutazione prudenziale, la Banca d'Italia verifica la completezza, l’adeguatezza, la funzionalità (in efficienza ed efficacia), l’affidabilità del sistema dei controlli interni delle banche.

Definizioni

Ai fini delle presenti disposizioni si intendono per:

• Organo con funzione di supervisione strategica: organo aziendale con funzioni di indirizzo della gestione dell’impresa (per c.c. o per disposizione statutaria) mediante esame e delibera dei piani industriali o finanziari e delle operazioni strategiche.
• Organo con funzione di gestione: organo aziendale, o i suoi componenti, a cui spettano o sono delegati compiti di gestione corrente. Il D.G. è il vertice della struttura interna e come tale partecipa alla funzione di gestione.
• Organo con funzione di controllo: Collegio sindacale, Consiglio di sorveglianza o il Comitato per il controllo sulla gestione.
• Organi aziendali: complesso degli organi con funzioni di supervisione strategica, di gestione e di controllo. Supervisione e Gestione attenendo alla gestione dell’impresa, possono essere nello stesso organo aziendale. Nel monistico e dualistico, l’organo con funzione di controllo può svolgere anche supervisione strategica.
• Funzione aziendale: Compiti e Responsabilità per l’espletamento di una fase dell’attività aziendale (compliance).
• Funzioni aziendali di controllo: la funzione di conformità alle norme (risk management function), funzione di controllo dei rischi e la funzione di revisione interna (internal audit).
• Funzioni di controllo: insieme delle funzioni che hanno compiti di controllo.
• Processo di gestione dei rischi: regole, procedure, risorse (umane, tecnologiche e organizzative) e attività di controllo per identificare, misurare, monitorare, prevenire/attenuare e comunicare ai livelli gerarchici, i rischi assunti o assumibili nei vari segmenti a livello di ptf di impresa e di gruppo, cogliendone le interrelazioni reciproche e con l’evoluzione del contesto esterno.
• Risk Appetite Framework (RAF): sistema degli obiettivi di rischio, quadro di riferimento che definisce (in coerenza con il massimo rischio assumibile) il business model e il piano strategico, la propensione al rischio, le soglie di tolleranza, i limiti di rischio, le politiche di governo dei rischi, i processi di riferimento necessari per definirli ed attuarli.

a. Risk Capacity: Massimo rischio assumibile che una banca è tecnicamente in grado di assumere, senza violare i requisiti regolamentari o gli altri vincoli imposti dagli azionisti o dall’autorità di vigilanza.

b. Risk Appetite: Obiettivo di rischio o Propensione al rischio complessivo e per tipologia, che la banca vuole assumere per il perseguimento dei suoi obiettivi strategici.

c. Risk Tolerance: Soglia di tolleranza massima accettabile nel perseguimento degli obiettivi strategici della banca.