Sintesi dell'intervento al workshop AIIA del 10 Aprile

Workshop AIIA per il settore finanziario:

"CONTROLLI DI SECONDO E TERZO LIVELLO… DIVERSE RESPONSABILITA’, UN UNICO OBIETTIVO"

CONTROLLI DI SECONDO E TERZO LIVELLO…
DIVERSE RESPONSABILITA', UN UNICO OBIETTIVO.Scenari, metodologie ed evoluzione del ruolo
dell'Internal Auditor

Milano, 10 aprile 2013
ore 10.00 – 16.00
StarHotels Rosa Grand, Piazza Fontana 3

Sintesi dell'intervento (le opinioni riportate sono strettamente personali):

Quale ritenete sia il livello di maturità raggiunto dalle diverse Funzioni di Controllo, inteso come la capacità di interagire efficacemente, identificando aree di sovrapposizione e ambiti di miglioramento in termini efficienza/efficacia dell’attività di valutazione del sistema dei controlli interni? Siamo pronti per una “assurance integrata”?

Partirei col sottolineare un paio di banalità che però spesso dimentichiamo: Il sistema dei controlli di una organizzazione aziendale non si attua attraverso eventi isolati, ma mediante una serie di azioni che pervadono la vita aziendale. Il sistema di controllo così come le Funzioni di controllo stesse affondano le loro radici nella struttura aziendale stessa e nelle regole (intese come processi) che questa si è data. Il controllo non è una sovrastruttura o un processo aggiuntivo ma una parte integrante dei processi aziendali. In pratica l’organizzazione aziendale e i sistemi di controllo formano il DNA dell’azienda stessa. Per rispondere alla prima domanda quindi, penso che da queste semplici riflessioni discenda la difficoltà nell’esprimere un giudizio generalista sullo stato di maturità delle diverse Funzioni di controllo, quanto invece queste varino a seconda dell’organizzazione che le vive. Nel panorama Italiano mi pare che la situazione sia ancora molto composita mentre le realtà internazionali, che ho avuto modo di conoscere direttamente nel mio cammino professionale, abbiano in qualche modo le idee più chiare in materia. Se si parte dal presupposto che in molte realtà Italiane si sia ancora in una fase di ridisegno dei modelli, anche in concomitanza di una forte proliferazione di specifiche normative (Basilea, BoI, Consob...), Il rischio di identificare aree di sovrapposizione o peggio aree non coperte adeguatamente è alto. Le principali criticità organizzative stanno nella difficoltà di disegnare i confini organizzativi tra funzioni e distribuire i compiti ottimizzandoli; nella sostenibilità delle responsabilità assegnate agli organi di vertice (tempi e competenze); il preciso ruolo del Internal Audit è l’articolazione dei livelli di controllo sottostanti; non da ultimo la misura delle performance del sistema che devono necessariamente agire da volano di feedback per il successivo fine tuning della macchina operativa.

Ci sono sicuramente vari approcci al disegno che di fatto guidano il sistema dei controlli interni e l’interazione tra le funzioni di controllo. Volendo semplificare il panorama a 3 modelli base sui quali si appoggiano la maggior parte delle banche si potrebbe parlare di

(i)                  approccio strategico (responsabilità ultima e commitment del vertice; esplicitazione degli obiettivi di rischio – risk appetite- e politiche di rischio _banche piccole (?)),

(ii)                (ii) Approccio organizzativo (visione sistemica, funzione di controllo specializzate e ben distinte, formalizzazione di compiti, responsabilità, procedure... potremmo includere in questo anche un sub-approccio razionalizzato per processi dotato di strumenti di analisi organizzativa e di mappatura)

(iii)               Approccio integrato (basato sulla totalità dei rischi considerati, pervasività dei controlli, responsabilità diffusa e cultura del controllo in questo caso si potrebbe anche considerare di includere in questa tipologia un approccio in subordine di tipo proattivo con controlli strutturati sia ex-ante che ex-post basati nativamente sulla cultura del controllo).

 Diciamo che se dovessimo spostare la lancetta di un indicatore virtuale dal primo al terzo modello a mio avviso oggi ci si deve riconoscere di più del secondo tipo di approccio con una piccola e spesso disorganizzata spinta verso il terzo.

Chi si riconosce e dove?

Con riferimento alla prevista evoluzione del ruolo della funzione di Risk Management, all’Internal Audit viene chiesto un contributo in termini di valutazione non solo delle attività di gestione del rischio, ma anche delle politiche di governo dei rischi. Ciò può essere interpretato come una richiesta di una maggiore attenzione alle tematiche di esercizio della corporate governance? Quanto siamo pronti a questa sfida? Quali passi sono necessari per raggiungere questo obiettivo?

Così per come i principali regulators hanno  ha definito la funzione di controllo dei rischi, questa dovrà avere, a tendere sempre più un ruolo centrale nell’attuazione delle politiche di governo dei rischi, attraverso un adeguato processo di gestione dei rischi. E’ chiaro anche che tale funzione deve necessariamente essere partecipe nei confronti del comitato di controllo dei rischi aziendale ovvero dell’organo con funzione di supervisione strategica. Vista la specializzazione richiesta nelle valutazione dei rischi (credito, operativo, mercato, reputazionale...) naturalmente non sempre presente nelle funzioni di supervisione strategica,  questa dovrà essere necessariamente coinvolta nella definizione del livello di rischio accettato, nell’elaborazione delle politiche governo dei rischi e delle varie fasi che costituiscono il processo di gestione dei rischi nonché nella fissazione dei limiti operativi all’assunzione delle varie tipologie di rischio. IA nella sua veste indipendente a mio avviso giocherà un ruolo duale; dovrà a questo punto essere un partner addizionale per la funzione di supervisione strategica nella valutazione del processo di identificazione delle politiche di governo e fissazione dei limiti quanto in autonomia revisore dell’attuazione dei processi di gestione del rischio. La collaborazione tra le funzioni sarà fattore determinante. Rischi: processi di comunicazione inadeguati, chiusura informativa tra le funzioni e inadeguata complementarietà dei ruoli.  Per tornare alla domanda originaria: si a mio avviso questo si traduce in sintesi in una aumentata attenzione alle tematiche di esercizio della corporate governance.