A conclusione dei lavori, AIIA ha realizzato un convegno (http://www.aiiaweb.it/eventi/risk-culture-assessment?uid=947) di categoria per rendere pubblici i risultati di questo intenso lavoro. Un momento di condivisione e di confronto con il mondo dell’Audit principalmente del settore finanziario, culminato con una tavola rotonda, che ho avuto il piacere di moderare, partecipata da esponenti del mondo accademico, membri di CdA e Audit Manager, Responsabili area Gestione Rischi e Risorse Umane.
L'analisi è partita dal definire la cultura del rischio come l’insieme di valori comuni, comportamenti e attitudini di singoli individui all’interno di un’organizzazione i quali determinano come i componenti dell’organizzazione stessa identificano, valutano, discutono e gestiscono i rischi. La cosidetta Risk Culture di un'azienda è in pratica l'elemento fondante della Corporate Governance per la tempestiva gestione dei rischi e influenza i comportamenti e le azioni di ciascun componente dell’organizzazione. Ogni individuo in azienda ha un ruolo, ogniuno diventa interprete principale della Risk Culture nel quotidiano.
A tal fine, ogni azienda si dovrà dotare di un adeguato "Risk Culture Framework"; un modello di riferimento per misurare le azioni che ogni componente aziendale compie nel quotidaino. In questo modello di riferimento dovranno essere presi in considerazione la sostenibilità dei risultati aziendali e gli equilibri economico finanziari, la padronanza aziendale dei concetti culturali chiave e il costante investimento in comunicazione e training a tutti i livelli, nonchè l'introduzione di una correlazione tra valori etici e sistemi di incentivazione e percorsi di carriera.
Benchè, come comprensibile, la risk culture non sia un "affare" dell'audit (o solo per l'audit), quest'ultimo può contribuire con un opera di "moral suasion" nei confronti della leadership aziendale per favorirne la comprensione della rilevanza e possibile implementazione. In questo processo l'auditor avrà il compito di valutare l’applicabilità di modelli differenti a seconda delle fasi di maturità della risk culture aziendale individuando chiaramente il perimetro del Framework e le responsabilità delle funzioni di business e di controllo.
Inoltre, per ciascuna fase di maturità del modello dovranno essere individuati tutti quegli elementi misurabili che facilitino la mappatura dell'organizzazione e la definizione di adeguati performance indicators. In questo processo un elemento di facilitazione potrebbe essere rappresentato dall'implementazione di un framework consolidato di riferimento quale il COSO Framework. Questo modello consente di raccogliere innumerevoli informazioni ed evidenze ai fini della Risk Culture tra cui componenti di:
-Integrità e valori etici Indipendenza del Board of Directors e competenza in materia di rischi
-Assegnazione di opportuni ruoli e responsabilità Impegno ad attrarre, sviluppare e mantenere personale competente
-Definizione di piani di successione nell'assegnazione di responsabilità
-Mantenimento di personale accountable per le proprie responsabilità
-Statuizione di sistemi di remunerazione, sanzioni e rewards collegati ai comportamenti.
Nella fase iniziale l'approccio dell'Audit alla Risk Culture è normalmente guidato dai requisiti regolamentari. Dovrebbero comunque già essere in questa fase disponibili all'interno dell'organizzazione elementi utili a valutare la Risk Culture; anche se questi potrebbero essere raccolti frammentariamente e tali da richiedere particolare attenzioni circa la qualità informativa stessa. Per fare un esempio tangibile, il raffronto dei tempi medi di risoluzione dei rilievi da parte del Business con i tempi massimi previsti dalle Funzioni di controllo o dai Regulators potrebbero essere un primo buon indicatore dell’efficacia della Risk Culture di un’organizzazione. In ogni organizzazione le funzioni di controllo adottano a questo scopo implicitamente delle metriche per rappresentare la significatività delle problematiche evidenziate e le tempistiche concordate per la loro risoluzione.
Con l'incremento della consapevolezza del concetto di Risk Culture da parte del management aziendale, l'approccio dell'Audit evolve in maniera più strutturata e si avvale anche dell'utilizzo di Survey e Benchmarking. Inoltre control objectives e risk culture indicators divengono strumenti standard di valutazione comunemente accettati. In tale contesto il management ha la possibilità di condividere con il team di Audit le criticità di cui è consapevole. Continuando nel solco dell'esempio precedente, in questa situazione raffrontando il numero delle problematiche auto dichiarate dal management con il numero criticità evidenziate dalle funzioni di controllo si possono ottenere chiare indicazioni circa la sensibilità del management verso le situazioni di rischio.
Questi sono solo i primi passi nell'evoluzione di un modello di cultura del rischio all'interno di una azienda, che nei successivi stati evolutivi prevederà il coinvolgimento di molteplici funzioni aziendali in maniera quanto più strutturata ed efficace entrando a far parte in modo stabile dell'Audit Universe e andando per altro a considerare anche i rischi di natura non prettamente finanziaria. I risultati delle survey aziendali sulla Risk Culture mostreranno l'andamento del percepito da parte dei differenti livelli dell'organizzazione anche in termini di comportamenti, processi decisionali e attraverso il confronto periodico tra il Senior Management e dipendenti. Il sistema di incentivazione diventerà così elemento cruciale di stimolo e riconoscimento dei comportamenti aziendali, testimoniando la coerenza con i valori aziendali incorporati nel framework di Risk Culture implementato.
Nessun commento:
Posta un commento