T Il sistema di controllo interno sull’informativa finanziaria Roma |Corporate Governance & Internal Auditing 2015.

Presentazione sul tema: "T Il sistema di controllo interno sull’informativa finanziaria Roma |Corporate Governance & Internal Auditing 2015."— Transcript della presentazione:

1 t Il sistema di controllo interno sull’informativa finanziaria Roma |Corporate Governance & Internal Auditing 2015

2  Finalità  Normativa di riferimento  Il Framework di riferimento: COSO Framework  Approccio Top down – Risk based  Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria Entity Level Controls IT General Controls Process Level Controls  Monitoraggio del sistema di controllo. Index

3  Per sistema di controllo sull’informativa finanziaria si intende l’insieme di tutti gli strumenti necessari o utili ad indirizzare, gestire e verificare l’accuratezza e l’affidabilità dell’informativa finanziaria e non, comunicata all’esterno comprendente: Finalità (1/3) I documenti contabili periodici Ogni altra comunicazione di carattere finanziario Bilancio d’esercizio e consolidato; Relazioni finanziarie semestrali Comunicati stampa relativi al bilancio; Prospetti informativi redatti per specifiche transazioni

4  Il sistema di controllo interno sul financial reporting è finalizzato a garantire: Dell’informativa finanziaria. Finalità (2/3) L’attendibilitàL’accuratezza L’affidabilitàLa tempestività

5  Il sistema di controllo interno sull’informativa finanziaria è focalizzato sulla redazione del bilancio nel rispetto delle disposizioni previste dai principi contabili applicabili e alla salvaguardia del patrimonio aziendale.  L’obiettivo dei controlli e delle procedure per il rispetto degli obblighi informativi è assicurare uno standard generale di qualità dell’informativa e la conoscenza tempestiva da parte del vertice aziendale di ogni fatto rilevante in modo da consentire decisioni tempestive in merito all’informazione da fornire nelle relazioni periodiche. La ragionevole certezza che il sistema di controllo interno sull’informativa finanziaria mira ad assicurare consiste nell’esistenza di un rischio relativamente basso (remoto) che si verifichino, e non siano tempestivamente individuate, dichiarazioni ingannevoli rilevanti sull’informativa finanziaria determinate da frodi o errori non intenzionali. Finalità (3/3)

6 Normativa di riferimento - Quadro d’insieme (1/7) Sarbanes Oxley Act Legge 262/2005 J-SOX Loi de Sécurité Financière Il Sarbanes Oxley Act, 2002 ha l’intento di garantire la trasparenza e l’attendibilità dell’informativa finanziaria. In tal senso: ridefinisce l’assetto della Governance aziendale (es. composizione e ruolo dell’Audit committee) regolamenta il tema dell’indipendenza del Revisore (“prohibeted services” e iter autorizzativo) introduce le attestazioni su reporting periodico e sull’ICFR (Section 302 e 404). La Financial Instruments and Exchange Law (FIEL) prevede l’obbligo di: sottoscrizione dell’Internal Control Report allegato al bilancio annuale da parte della società quotata attestazione sull’Internal Control Report del Management da parte del revisore contabile La Loi de Sécurité Financière mira a ridurre i rischi connessi all’attività d’impresa, in particolare in ambito contabile e finanziario, introducendo l’obbligo di attestazione in capo all’AD ed al Presidente del Consiglio di Sorveglianza: sulle procedure di controllo interno implementate (non solo finalizzate agli ICFR ma rivolte al controllo dei rischi aziendali nel loro complesso); sulle modalità di preparazione e organizzazione dei lavori del CDA/Consiglio di sorveglianza. La legge 262/05 “Disposizioni sulla tutela del risparmio e disciplina dei mercati finanziari” mira alla tutela del risparmio mediante l’introduzione della figura del Dirigente Preposto, responsabile dell’adeguatezza ed effettiva delle procedure amministrative e contabili.

7 Normativa di riferimento – Serbanes Oxley Act (2/7) Creazione di un Board indipendente per il monitoraggio delle società di revisione di società quotate al NYSE (Sez 302) Obbligo di certificazione dei bilanci societari a carico di amministratori e direttori finanziari (Sez 302) Attestazione del CEO e del CFO relativamente all’adeguatezza ed efficacia del sistema di controllo interno sull’informativa finanziaria (Sez 404 a) Obbligo di attestazione sul sistema di controllo interno sull’informativa finanziaria da parte del revisore (Sez 404 b) In particolare: introduce la responsabilità personale (civile) del CEO e del CFO per il contenuto dei bilanci e delle relazioni finanziarie delle società quotate al NYSE; precedentemente gli amministratori attestavano, con apposita sottoscrizione, la provenienza del bilancio, mentre ora il CEO e il CFO sono ritenuti responsabili per qualsiasi incongruenza o errore rilevato in bilancio. La section 404/a descrive la responsabilità del Management della società nell’introduzione e manutenzione di un adeguato sistema di controllo e di procedure per la redazione delle relazioni finanziare, al fine di garantire l’efficacia del sistema di controllo interno che sovraintende la redazione del bilancio La section 404/b stabilisce i requisiti dell’attestazione sull’ICFR della società di revisione e le relative responsabilità. SOX

8 Normativa di riferimento – Serbanes Oxley Act overview (3/7) La legge mira ad eliminare alla radice le cause degli scandali finanziari che hanno interessato le società quotate negli ultimi anni (es. Enron, Worldcom), mediante: la creazione di un Organo indipendente (Public Company Accounting Oversight Board - PCAOB), responsabile di emanare standard di audit e di vigilare sull’operato delle società di revisione; l’introduzione di regole rigide e rigorose tese ad assicurare l’indipendenza delle società di revisione (es. obbligo di rotazione dei partner, identificazione dei “prohibited services”); l’inasprimento delle sanzioni penali per i reati finanziari; Il rafforzamento della responsabilità della società circa l’accuratezza e la completezza dell’informativa economico-finanziaria richiesta; L’incremento degli obblighi di comunicazione (“disclosure”) in capo alle società emittenti.

9 Normativa di riferimento – L 262/2005 e Testo Unico della Finanza (4/7) Predisposizione di adeguate procedure amministrative e contabili L’Art 154 bis, comma 3 del TUF prevede che: “Il dirigente preposto alla redazione dei documenti contabili societari predispone adeguate procedure amministrative e contabili per la formazione del bilancio di esercizio e del consolidato nonché di ogni altra comunicazione di carattere finanziario.” Attestazione relativa alla corrispondenza di atti e comunicazioni al mercato, relativi all’informativa contabile anche infrannuale, alle risultanze documentali, ai libri e alle scritture contabili Attestazione dell’adeguatezza e dell’effettiva applicazione delle procedure amministrative e contabili L’art. 154-bis, comma 2 del TUF prevede che “ Gli atti e le comunicazioni della società diffusi al mercato, e relativi all'informativa contabile anche infrannuale della stessa società, sono accompagnati da una dichiarazione scritta del dirigente preposto alla redazione dei documenti contabili societari, che ne attestano la corrispondenza alle risultanze documentali, ai libri e alle scritture contabili.” 262 Gli aspetti maggiormente innovativi introdotti sono: L’art 154 bis, comma 5 del TUF prevede che il DP, congiuntamente con gli organi amministrativi delegati, ha l’obbligo di redigere una Relazione da allegare al bilancio d’esercizio, bilancio semestrale abbreviato e consolidato attestante: l’adeguatezza delle procedure; l’effettiva applicazione delle procedure; che i documenti sono redatti secondo gli IAS/IFRS; la corrispondenza dei documenti alle risultanze dei libri e delle scritture contabili.

10  L’art 154 bis TUF prevede in particolare: l’istituzione nell’ambito delle società con azioni quotate in borsa della figura del Dirigente Preposto alla redazione dei documenti contabili societari; Normativa di riferimento – L 262/2005 e Testo Unico della Finanza (5/7) 1.Identifica e valuta i principali rischi in ambito financial reporting 2.Progetta le procedure di controllo in ambito amministrativo-contabile 3.Verifica periodicamente l’adeguatezza e l’operatività delle procedure proposte. RESPONSBAILITA’ PER L’INFORMATIVA FINANZIARIA FORNITA AL MERCATO COMMA 3, ART 154- bis TUF

11 Normativa di riferimento - L 262/2005 e Testo Unico della Finanza (6/7) Gli organi amministrativi delegati ed il DP alla redazione dei documenti contabili attestano con apposita relazione sul bilancio di esercizio, semestrale abbreviato e, ove redatto, sul bilancio consolidato:  l’adeguatezza e l’effettiva applicazione delle procedure …nel corso del periodo cui si riferiscono i documenti  che i documenti sono redatti in conformità ai principi contabili internazionali applicabili ai sensi del regolamento (CE) n. 1606/2002 del Parlamento europeo e del Consiglio, del 19 luglio 2002;  la corrispondenza dei documenti alle risultanze dei libri e delle scritture contabili;  l'idoneità dei documenti a fornire una rappresentazione veritiera e corretta della situazione patrimoniale, economica e finanziaria dell'emittente e … delle imprese incluse nel consolidamento;  Per il bilancio d’esercizio e consolidato, che la relazione sulla gestione comprende un'analisi attendibile dell'andamento e del risultato della gestione, nonché della situazione dell'emittente e dell'insieme delle imprese incluse nel consolidamento, unitamente alla descrizione dei principali rischi e incertezze cui sono esposti;  per il bilancio semestrale abbreviato, che la relazione intermedia sulla gestione contiene un'analisi attendibile delle informazioni di cui al comma 4 dell'articolo 154-ter OBBLIGO INFORMATIVO CIRCOSCRITTO ALLA PARTE DEL FINANCIAL REPORTING E NON COPRE L’INTERO SISTEMA DI CONTROLLO INTERNO

12 Normativa di riferimento - L 262/2005 vs SOX (7/7) SARBANES OXLEY ACT Il CEO ed il CFO devono valutare e documentare l’adeguatezza e l’efficacia del sistema di controllo interno che sovrintende la redazione del bilancio Il CEO ed il CFO devono sottoscrivere una relazione allegata al bilancio attuale che attesti l’adeguatezza e l’efficacia del sistema di controllo interno relativo al “financial reporting” Vi sono molti aspetti in comune con il Sarbanes Oxley Act: L 262/2005 Il CFO deve predisporre adeguate procedure amministrative e contabili per la formazione del bilancio di esercizio e, ove previsto, del bilancio consolidato nonché di ogni altra comunicazione di carattere finanziario Il CFO per ogni atto e comunicazione diffusa al mercato, relativa all’informativa contabile, anche infrannuale, deve predisporre una dichiarazione scritta che né attesti la corrispondenza alle risultanze documentali, ai libri e alle scritture contabili. Il CFO e gli Organi Amministrativi Delegati devono attestare con apposita relazione allegata al bilancio d’esercizio, alla relazione semestrale e al consolidato, la corrispondenza di detti documenti alle risultanze dei libri e delle scritture contabili. Tale attestazione deve essere resa secondo il modello stabilito con regolamento della Consob. La legge sul risparmio non richiede esplicitamente che il revisore esterno attesti le “Assertion” del management Non indirizza esplicitamente aspetti quali la materialità a livello di bilancio di esercizio e conto contabile significativo (PCAOB Standard n. 2) e frode Tuttavia vi sono alcune differenze significative:

13 Il Framework di riferimento: il COSO report La section 404 del Sarbanes Oxley Act prevede che il Management identifichi (e dichiari) il framework di riferimento alla base della valutazione del proprio sistema di controllo interno. I regolamenti attuativi della SOX – section 404 - non impongono l’utilizzo di uno specifico framework; tuttavia ne identificano le caratteristiche imprescindibili (il framework deve essere internazionalmente riconosciuto e comparabile) e individuano nell’Internal Control Integrated Framework del 1992 pubblicato dal Committee of Sponsoring Organizations della Treadway Commission (“CoSO”) un valido esempio di framework idoneo (“suitable”).

14 Approccio Top down – Risk based In linea con i principi del CoSO Framework, la SEC Guidance e lo Standard AS n. 5 mirano alla semplificazione del processo di compliance ed enfatizzano l’approccio “top-down, risk-based”, secondo cui il Management dovrebbe: focalizzarsi sui rischi inerenti di errore materiale di bilancio (“financial reporting risks”) valutare esclusivamente i controlli disegnati per prevenire o “intercettare” errori materiali in bilancio (non è necessario identificare tutti i controlli o tutte le carenze ) valutare l’impatto degli Entity/company level controls; ottenere una “ragionevole” evidenza per la propria valutazione; in particolare la valutazione dell’”evidenza” dell’effettiva operatività del controllo dovrebbe essere guidata dall’assessment del rischio inerente e del rischio di control failure (e.g. self risk assessment in low risk areas). SEC Guidance: “there is no requirement in our guidance to identify every control in a process or document the business processes impacting ICFR. Rather, under the approach described herein, management focuses its evaluation process and the documentation supporting the assessment on those controls that it believes adequately address the risk of a material misstatement in the financial statements”.

15 Approccio Top down – Risk based 3. ICFR Risk assessment TOP-DOWN RISK-BASED APPROACH 1. Identificare conti significativi e assertion Bilancio consolidato Company-level controls 4. Identificare i controlli chiave 2. Identificare entità/processi su cui condurre l’assessment Top-down significa: iniziare dal bilancio consolidato e dalla comprensione e valutazione “overall” dell’ICFR valutare gli “entity-level controls” identificare conti e assertion rilevanti e rispettivi rischi inerenti effettuare il testing dei controlli posti in essere per mitigare tali rischi

16 Approccio Top down – Risk based Risk based significa: focalizzarsi sui rischi inerenti che potenzialmente potrebbero avere un impatto sull’affidabilità del bilancio, considerando sia fattori qualitativi sia fattori quantitativi; identificare le fonti di errore (likely sources of misstatement/what could go wrong) nel processo o in altre attività legate alla predisposizione del bilancio 3. ICFR Risk assessment TOP-DOWN RISK-BASED APPROACH 1. Identificare conti significativi e assertion Bilancio consolidato Company-level controls 4. Identificare i controlli primari 2. Identificare entità/processi su cui condurre l’assessment

17 Approccio Top down – Risk based Un processo di risk assessment efficace focalizza l’attività del management sulla rilevazione e valutazione dei soli rischi che potrebbero avere una impatto materiale sul bilancio d’esercizio, riducendo conseguentemente l’impegno ed i costi della compliance. RISK ASSESSMENT Scoring dei fattori di rischio e selezione conti significativi Collegamento dei fattori di rischio alle asserzioni di bilancio (includendo rischi di frode) Identificazione dei company level controls diretti (CLCs) che riducono i rischi identificati Identificazione dei company level controls diretti (CLCs) che riducono i rischi identificati Valutazione a livello di asserzioni Determinazione dei rischi residui a livello di asserzioni di bilancio Risk Assessment a livello di bilancio consolidato Assessment iniziale dei Company Level Controls Pianificazione: assessment iniziale delle tempistiche, natura e portata delle procedure da svolgere sui CLCs diretti e indiretti e sui processi rilevanti. Valutazione della probabilità di accadimento e del potenziale impatto dei rischi sulle asserzioni di bilancio Idenficazione del perimetro di analisi sulla base di specifici rischi afferenti le asserzioni di bilancio Identificazione di “unit-level” CLCs e rivalutazione dei livelli di rischio Identificazione di “unit-level” CLCs e rivalutazione dei livelli di rischio Identificazione dei processi rilevanti sulla base dei rischi residui afferenti le asserzioni di bilancio Risk Assessment per reporting unit

18 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria Le attività da svolgere in sede di prima applicazione e nella gestione a regime del sistema di controllo interno sull’informativa finanziaria partono dal confronto tra la situazione in essere, esaminata sotto il profilo delle distinte componenti del COSO Report e quanto previsto dal modello di riferimento. Nell’ambito dei controlli sono identificati: Entity Level Controls; Process Level Controls; Information Technology General Controls.

19 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria In funzione delle caratteristiche delle componenti del sistema di controllo, l’analisi quindi è svolta A livello di Processo A livello di Entità E’ svolta con riferimento alle componenti del sistema di controllo che operano in maniera trasversale rispetto ad una Entità organizzativa (Gruppo, settore, Divisione/società) al fine essenzialmente di valutare il disegno e l’operatività degli elementi strutturali del sistema di controllo. Esempio: corsi obbligatori per il personale responsabile della predisposizione dei documenti contabili. E’ caratterizzata da una vista per sua natura interfunzionale essendo guidata dai processi operativi dell’impresa. La sua finalità è valutare l’adeguatezza del sistema di controllo interno operante nell’ambito dei distinti flussi informativi che alimentano il bilancio. Esempio. riconciliazioni bancarie volte alla verifica delle concordanza tra le risultanze contabili e quelle delle banche.

20 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS Per Entity Level Controls si intendono: gli strumenti di controllo che operano in maniera trasversale rispetto alle funzioni di un’entità di riferimento; Gli strumenti di controllo comuni nell’ambito di una specifica area di business. Descrizione dell’obiettivo del controllo Adozione del Codice Etico e continuo aggiornamento dello stesso per riflettere i cambiamenti regolamentari Esempio

21 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS Il management ha caratteristiche e competenze frutto di esperienze maturate nell'ambito di diversi uffici e/o funzioni aziendali. Competenza del personale I compiti e le responsabilità operative sono individuati con chiarezza. Ruoli e responsabilità Ambiente di controllo La governance della società è affidata ad un organo di amministrazione in conformità alla normativa e ai regolamenti di riferimento. Corporate Governance Sono disegnate specifiche funzioni interne (Garante e Comitato per il Codice di comportamento) demandate a favorire l'applicazione del Codice di comportamento (Codice). Integrità, valori etici Filosofia del Management e stile operativo La filosofia del management e dei responsabili che svolgono attività di supervisione è monitorata a valuatta. Sistema di controllo di gestione Esiste un’unità espressamente preposta al controllo di gestione. Oggetto di analisi Esempi Componente COSO Report

22 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS Esistono processi che consentono alla funzione amministrativa di conoscere e gestire i cambiamenti del contesto aziendale e della normativa che potrebbero avere degli effetti sui principi contabili adottati. Identificazione, valutazione e gestione del rischio Valutazione del rischio Esiste un processo strutturato e documentato di pianificazione strategica che prevede la definizione, la periodica revisione e l’eventuale aggiornamento degli obiettivi di business. Definizione, comunicazione e controllo degli obiettivi di business Esempi Oggetto di analisi Componente COSO Report Rischio di non corretta applicazione dei principi contabili Rischio di frode Le procedure aziendali mitigano opportunamente il rischio di management override (frode commesse da parte del top management) attuabile con registrazioni contabili intenzionalmente non appropriate e non corrette. Esiste un processo strutturato e documentato di identificazione dei rischi basati sull’analisi di fattori interni ed esterni e sulle relative implicazioni sull’informativa finanziaria.

23 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS Segregazione dei compiti e livelli autorizzativi Sistema amministrativo contabile Sistema normativo aziendale Oggetto di analisi Sono previste riconciliazioni sui conti significativi di bilancio e appropriati review (ad. es. riconciliazioni bancarie, riconciliazioni magazzino fisico/contabile). Esistono normative aziendali definite per prevenire l'accesso non autorizzato, ovvero la distruzione, di documenti, registrazioni, file, programmi o altri beni aziendali. Attività di controllo Le normative aziendali regolano e documentano tutte le policy e i processi rilevanti della società; esse sono definite coerentemente agli indirizzi dati dall'Eni/Divisione/principale società operativa. La società rivede periodicamente le normative aziendali al fine di assicurarne l'adeguato aggiornamento. I responsabili dell'aggiornamento sono chiaramente identificati. Esiste un'adeguata segregazione delle attività incompatibili (es. separazione tra la contabilità e la gestione fisica dei beni). E’ richiesta l’approvazione preventiva da parte del management per consentire l’accesso a specifiche applicazioni o database. Esempi Componente COSO Report Esistono criteri e procedure formalizzate che regolano i processi di contabilizzazione e di chiusura del bilancio. Le valutazioni, le stime e le transazioni inusuali rilevanti nonché le scritture contabili atipiche (non standard) sono oggetto di revisione da parte del management. Controlli di natura operativa

24 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS E’ dedicata adeguata attenzione alle esigenze informative espresse dalla funzione amministrativa. Le risorse dedicate al sistema informativo di reporting sono adeguate. Evoluzione dei sistemi informativi e dei flussi di comunicazione Informazione e comunicazione Comunicazione delle responsabilità relative al sistema di controllo interno Esempi Oggetto di analisi Componente COSO Report Il management comunica le responsabilità in materia di controllo interno a tutti i livelli organizzativi. Sistemi Informatici e attendibilità dell’informativa finanziaria Il piano strategico ICT è definito coerentemente alle strategie aziendali e tiene in adeguata considerazione l'obiettivo di attendibilità dell'informativa finanziaria da produrre ai fini interni ed esterni. Raccolta e distribuzioni delle informazioni Il management monitora le informazioni esterne rilevanti per l’azienda. Segnalazioni riguardanti tematiche contabili, di controllo interno, di revisione e in merito a distrazione di patrimonio aziendale

25 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – ENTITY LEVEL CONTROLS E' definito un sistema di reporting delle attività di monitoraggio e un software di supporto. I risk owner attestano in merito allo svolgimento delle attività di monitoraggio. La veridicità delle attestazioni dei risk owner sono verificate a campione dalla funzione di Internal Audit. Monitoraggio e valutazione complessiva dei risultati del sistema di controllo Monitoraggio Obiettivi e responsabilità della funzione di internal audit EsempiOggetto di analisi Componente COSO Report Obiettivo delle attività dell'Internal Audit è la verifica indipendente delle attività svolte dalle funzioni aziendali. L'Internal Audit ha un numero di risorse adeguato ed è strutturato in modo tale da conseguire gli obiettivi della funzione. L'organizzazione è dotata di un dipartimento audit interno responsabile della revisione delle attività e dei controlli IT. Aderenza agli standard professionali del personale della funzione di internal audit L'Internal Audit è indipendente dalle attività su cui svolge l'attività di controllo. L'Internal Audit comunica direttamente con gli organi di controllo. All'Internal Audit è proibito avere ruoli operativi nelle attività oggetto di controllo.

26 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – IT GENERAL CONTROLS Gli IT General Controls sono controlli pervasivi volti a ridurre ad un livello accettabile il rischio di un non corretto funzionamento dei sistema informatici e ridurre così, indirettamente, il rischio di potenziali errori e/o frodi di bilancio rilevanti. In particolare i controlli mirano a presidiare i rischi connessi alle attività di sviluppo e manutenzione dei sistemi applicativi e delle infrastrutture di supporto, sicurezza dei dati e dei programmi, accesso ai sistemi e alle informazioni aziendali, operatività dei sistemi informatici. Descrizione dell’obiettivo del controllo Le modifiche ai sistemi applicativi esistenti sono appropriatamente implementate e la funzionalità dei sistemi applicativi modificati è in linea con le direttive del management. Esempio

27 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – IT GENERAL CONTROLS Le aree disegnate in modo da raccogliere tutti i controlli capaci di mitigare i rischi connessi ai processi di sviluppo, manutenzione, sicurezza logica e/o fisica del software e dell’hardware di un sistema applicativo sono: Sviluppo sistemi applicativi, finalizzati ad assicurare il corretto svolgimento dei processi di sviluppo, implementazione dei sistemi applicativi; Manutenzione dei sistemi applicativi, che regolano il processo di aggiornamento di un’ applicazione già in produzione; Operatività dei sistemi informatici, finalizzati alla verifica della corretta e completa supervisione, manutenzione, pianificazione, monitoraggio delle elaborazioni; Gestione delle reti di comunicazione, finalizzati ad assicurare il corretto svolgimento dei processi relativi al disegno, all’acquisizione, all’installazione e all’operatività delle architetture delle reti di comunicazione; Gestione del software di sistema, finalizzati ad assicurare il corretto svolgimento dei processi di selezione, acquisto, installazione e manutenzione del software di base; Sicurezza delle informazioni, finalizzati a proteggere l’accesso alla rete e utilizzi non autorizzati.

28 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS I Process Level Controls (PLC) sono controlli specifici integrati e svolti nell’ambito dei processi operativi di business volti a prevenire, individuare e correggere errori e/o frodi rilevanti ai fini dell’informativa finanziaria. L’analisi dei process level controls prevede: Analisi delle attività che compongono i processi (mappatura); Individuazione e valutazione dei rischi sull’informativa finanziaria; Identificazione dei controlli esistenti e valutazione del loro disegno. Descrizione dell’obiettivo del controllo Verificare che tutti i debiti siano inseriti in bilancio Esempio

29 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS Processi operativi Processi operativi (market driven): sono quelli a maggior impatto sui risultati dell’azienda; creano valore riconoscibile dal cliente e spesso sono caratteristici del settore in cui opera l’azienda; i clienti di tali processi sono esterni (sono individuati in ragione della gamma e della tipologie di prodotti-servizi offerti e clientela servita). Processi di supporto Processi di supporto (internal driven): sono quelli che, pur non contribuendo direttamente al valore aggiunto del prodotto/servizio fornito al cliente, sono necessari alla gestione aziendale; i clienti di tali processi sono interni all’azienda ed appunto supportano i processi operativi (sono individuati in ragione della natura delle attività svolte e non in ragione del prodotto e/o del cliente servito). I processi possono essere divisi in due grandi famiglie:

30 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS Identificazione e valutazione dei controlli Un controllo costituisce qualsiasi azione atta a mitigare o gestire i rischi insiti nel processo e ad aumentare la probabilità che un processo possa raggiungere gli obiettivi. L’identificazione dei controlli nei processi aziendali è mirata all’individuazione dei controlli più efficaci e, a parità di efficacia, più efficienti, per consentire di ridurre il rischio ad un livello accettabile, fornendo una ragionevole sicurezza sul conseguimento degli obiettivi aziendali.

31 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS I controlli possono essere distinti in base a diverse caratteristiche: 1.Momento in cui è effettuato: –preventivo, atto a prevenire il verificarsi dell’errore –successivo, atto ad individuare l’errore una volta che questo si è manifestato; 2.Modalità di controllo –manuali o –informatici; 3.Ripetizione –controllo ad hoc o –sistematicamente inserito all’interno di un processo.

32 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS Tipologie di controlli: un esempio Rischio da mitigare: Gli ordini di vendite continuano ad essere elaborati dopo che i limiti di credito del cliente sono stati superati Es.: Politiche e Procedure sulla gestione del Credito Es.: Blocco automatico di ordini per clienti sconfinati Es.: Controlli Automatici sul monitoraggio dei limiti di credito Es.: Controllo man. ed Autoriz. di un nuovo ordine di vendita InformaticiManuali Es.: Controllo Mensile del report dei crediti scaduti 2 1 3 Preventivi Successivi

33 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS Il prospetto sotto riportato dettaglia il diverso grado di efficacia per tipologia di controllo:

34 Istituzione ed implementazione del sistema di controllo interno sull’informativa finanziaria – PROCESS LEVEL CONTROLS Correlazione tra controllo e rischio individuato nell’attività operativa Gli elementi (es. tipo di ordine, fatture,bolle di spedizione ecc.) sottoposti a controllo sono adeguati rispetto al rischio da mitigare (es. emissione di fatture errate). Ad es. in presenza di un rischio specifico identificato come “errata imputazione a sistema del valore del contratto”, il controllo deve essere volto a verificare che “i valori dei contratti siano inseriti correttamente a sistema” e non, ad esempio, che “i contratti siano firmati secondo i limiti previsti dalle procure”.

35 Monitoraggio del sistema di controllo (1/3) La verifica periodica dell’adeguatezza ed effettiva operatività dei controlli sull’informativa finanziaria è effettuata mediante due differenti modalità a seconda del soggetto aziendale cui ne è affidata la responsabilità di esecuzione: Monitoraggio di linea (Management aziendale); Monitoraggio indipendente (Internal Audit) Monitoraggio esterno (società di revisione o soggetti terzi).

36 Monitoraggio del sistema di controllo (2/3) Di seguito si rappresentatno gli ambiti dell’attività di monitoraggio finalizzate alla verifica dell’efficacia ed efficienza del sistema di controllo interno. Entity Level Controls, per verificare il raggiungimento degli obiettivi di carattere trasversale; Descrizione dell’obiettivo del controllo Adozione del Codice Etico e continuo aggiornamento dello stesso per riflettere i cambiamenti regolamentari Controllo di monitoraggio Verificare che il codice etico sia stato adottato; Verificare che sia stato nominato un organo incaricato del monitoraggio ed aggiornamento del codice etico

37 Monitoraggio del sistema di controllo (3/3) IT General Controls, finalizzato a verificare l’adeguatezza del disegno e l’effettiva operatività dei controlli rispetto agli obiettivi a fronte dei quali i controlli sono stati individuati; Process Level Controls, volti a verificare e valutare l’adeguatezza del disegno e l’effettiva operatività del controlli identificati come chiave nell’ambito dei processi rilevanti Descrizione dell’obiettivo del controllo Le modifiche ai sistemi applicativi esistenti sono appropriatamente implementate e la funzionalità dei sistemi applicativi modificati è in linea con le direttive del management. Controllo di monitoraggio Verificare che le modifiche ai sistemi informativi siano tracciate ed autorizzate Verificare che le modifiche siano coerenti con le procedure interne Descrizione dell’obiettivo del controllo Verificare che tutti i debiti siano inseriti in bilancio Controllo di monitoraggio Verificare che le fatture passive siano inserite correttamente nel l sistema informativo dall’addetto all’attività. Quotidianamente il Responsabile deve rivedere ed approvare le registrazioni.