5.1 L’attività di internal auditing Definizione e tipologie di auditing

Occorre osservare che …… … le attività di internal auditing sono effettuate in contesti giuridici e culturali differenti, all’interno di organizzazioni che variano per finalità, dimensione e struttura, e da persone interne od esterne all’organizzazione. Tale circostanza, pertanto, condiziona la pratica di internal auditing in ciascuna azienda Tuttavia la “professione” individua gli elementi che caratterizzano tale attività

L’attività di revisione interna e il sistema di controllo interno È ….. posto in essere dal management e da altre persone e finalizzato a fornire ragionevole sicurezza di poter conseguire gli obiettivi aziendali assicurando al contempo: CONFORMITÀ NORMATIVA AFFIDABILITÀ DELLE INFORMAZIONI EFFICACIA ED EFFICIENZA DELLE OPERAZIONI SALVAGUARDIA DEL PATRIMONIO. Standard professionali Definizione dell’attività Skills professionali Fasi tipiche di attività Approcci professionali alla conduzione dell’audit Il contributo ai meccanismi di governance Gli internal auditors

Evoluzione dell’attività di revisione interna Staff aziendale principalmente rivolto all’osservazione e valutazione dei problemi aziendali aventi natura contabile e finanziaria Anni ’40-’50 Un’attività autonomamente operante nell’ambito di un’impresa, con l’incarico di esaminare la contabilità, le operazioni finanziarie e le altre attività dell’impresa stessa Anni ’60 Una funzione autonoma di esame ed analisi svolta ad utilità dell’alta direzione, per la valutazione dell’insieme sistematico delle funzioni amministrative e gestionali dell’impresa stessa Anni ’70-’80

La progressiva evoluzione dell’IA Prima Introduzione Trasformazione degli ispettorati in organi di controllo contabile a supporto della società di revisione Superamento del controllo contabile ed estensione dei propri compiti fino alla supervisione del sistema informativo Evoluzione Funzionale Evoluzione da ispettori ad auditor attraverso una riqualificazione professionale richiesta dal management per un migliore utilizzo dei pareri offerti Evoluzione Professionale Evoluzione Organizzativa Trasferimento dello staff dalla direzione amministrativa alla direzione generale

Internal auditing L'attività di internal auditing è regolata a livello internazionale dagli standard di riferimento dell’internal auditing, emanati dall'Institute of Internal Auditors (IIA) Gli standard indicano agli auditor il livello minimo di prestazioni accettabili o prestazioni attese necessarie ad ottemperare alle responsabilità assegnate.

L’attuale definizione di revisione interna “L’Internal Audit è un’attività indipendente ed obiettiva di assurance e consulenza, finalizzata al miglioramento dell’efficacia e dell’efficienza dell’organizzazione. Assiste l’organizzazione nel perseguimento del propri obiettivi, tramite un approccio professionale sistematico, che genera valore aggiunto in quanto finalizzato a migliorare e valutare i processi di controllo, di gestione dei rischi e di Corporate Governance”. federica (*) Professional Practice Framework - IIA

Gli standard professionali IIA 1000 - Finalità, Autorità e Responsabilità     1100 - Indipendenza e Obiettività 1110 - Indipendenza Organizzativa 1120 - Obiettività Individuale 1130 - Condizionamenti pregiudizievoli all'Indipendenza e all'Obiettività     1200 - Competenza e Diligenza Professionale 1210 – Competenze 1220 - Diligenza Professionale 1230 - Aggiornamento Professionale Continuo     1300 - Programma di Assicurazione e Miglioramento Qualità 1310 - Valutazione del Programma di Qualità 1311 - Valutazioni Interne 1312 - Valutazioni Esterne 1320 - Rapporto sul Programma di Qualità 1330 - Uso del Termine "effettuato in Accordo con gli Standard“ 1340 - Comunicazione di non Conformità Standard di Connotazione

Gli standard professionali IIA 2000 - Gestione dell'Attività di Internal Auditing 2010 – Pianificazione 2020 - Comunicazione ed Approvazione 2030 - Gestione delle Risorse 2040 - Politiche e Procedure 2050 – Coordinamento 2060 - Reporting al Board e al Senior Management    2100 - Natura dell'Attività 2110 - Risk Management 2120 – Controllo 2130 - Governance     2200 - Pianificazione dell'Incarico 2201 - Elementi della Pianificazione 2210 - Obiettivi dell'Incarico 2220 - Ambito di Copertura dell'Incarico 2230 - Allocazione delle Risorse 2240 - Programma di Lavoro      2300 - Svolgimento dell'Incarico 2310 - Identificazione delle Informazioni 2320 - Analisi e Valutazioni 2340 - Supervisione dell'Incarico Standard di  Prestazione 

…è un’attività… non necessariamente una funzione aziendale prescinde dalla collocazione di chi la svolge (outsourcing)

indipendenza organizzativa …indipendente… neutralità ‘super partes’ ma accettazione di forme di coinvolgimento non contrapposizione aprioristica ma supporto architettonico partecipazione, non correzione a posteriori Il responsabile dell’IA deve possedere indipendenza organizzativa ovvero la sua attività deve essere libera da ogni interferenza nella definizione dell’ambito di copertura, nell’esecuzione del lavoro e nella comunicazione dei risultati. STANDARD DI CONNOTAZIONE IA

…ed obiettiva… l’atteggiamento mentale deve essere fondato sulla competenza Per obiettività si intende che gli IA devono avere una atteggiamento imparziale, senza preconcetti e devono evitare i conflitti di interesse STANDARD DI CONNOTAZIONE IA

…di assurance… «oggettivo esame delle evidenze allo scopo di ottenere una valutazione indipendente dei processi di gestione del rischio, di controllo o di governance»

Assurance promessa certezza Proviamo a tradurre letteralmente…. fiducia assicurazione confidenza Non esiste una fedele traduzione del termine inglese, perchè….. …. “non esiste un equivalente che sia al tempo stesso sintetico ed efficace” Assurance?! Per servizi di assurance si intendono tutte le attività utili a migliorare la qualità dell’informazione (attendibilità, tempestività, economicità e rilevanza) a supporto delle decisioni del management.

…e consulenza… dire che c’è un problema non basta più bisogna suggerire come risolverlo, o meglio non farlo sorgere priorità in modo particolare all’analisi e miglioramento dei sistemi di controllo interno Si parla di … .. consulenza architettonica o organizzativa sui sistemi di controllo interno

minimizzare l’uso delle risorse …finalizzata al miglioramento… non più solo “regolarità” ma anche: Efficacia conseguire gli obiettivi Efficienza minimizzare l’uso delle risorse acquisire le risorse a costi competitivi Economicità federica Quindi consulenza non solo in un ottica di compliance audit ma anche e soprattutto a livello operational e management audit

…assiste l’organizzazione… rimane funzione di staff alla direzione responsabilità finale del management di linea

…tramite un approccio professionale sistematico… l’importante è il metodo!!!! cioè le competenze, la metodologia e gli strumenti propri dell’IA nel condurre le analisi Know How Capacità interpersonali Competenze professionali Standard Gestione funzione Pianificazione di audit Esecuzione audit Valutazione rischi/controlli Strumenti statistici Test Leadership Lavoro in team Rete di relazioni Comunicazione scritta e orale Problem solving Sistemi informatici Contabilità e Finanza aziendale Analisi di processo Leggi e regolamenti Marketing Risk management etc federica

… che genera valore aggiunto … Intendendo con ciò il fatto che i benefici generati dallo svolgimento dell’attività devono essere superiori ai costi prodotti

… in quanto finalizzato a…… Necessario un atteggiamento propositivo e collaborativo nella comprensione dei problemi … valutare e migliorare ... La conoscenza dei controlli operanti nei processi aziendali caratteristici rappresenta la base per il lavoro dell’IA … processi di controllo … … processi di gestione dei rischi … Rappresenta uno dei campi di evoluzione dell’IA L’attività di IA ha assunto progressivamente un ruolo ben delineato nella tutela degli stakeholder aziendali … e di corporate governance …

La metodologia professionale fa la differenza (24 discipline) (*) Revisione Interna: le competenze La metodologia professionale fa la differenza (24 discipline) (*) Standard Controllo interno Pianificazione e amministrazione dell’incarico Raccolta, analisi e interpretazione dati Governance Etica e codici etici Frode Risk management CRSA EDP auditing Informatica e information technology Info security Campionamento statistico Controllo statistico dei processi Procedimenti e tecniche di analisi Qualità e qualità totale Project management Process management Inventory management Comunicazione e intervista Negoziazione Dinamiche di gruppo Problem solving Management e organizzazione STANDARD CONTROLLO INTERNO PIANIFICAZIONE E AMMINISTRAZIONE DELL’INCARICO RACCOLTA, ANALISI E INTERPRETAZIONE DATI GOVERNANCE ETICA E CODICI ETICI FRODE RISK MANAGEMENT CRSA EDP AUDITING INFORMATICA E INFORMATION TECHNOLOGY INFO SECURITY CAMPIONAMENTO STATISTICO CONTROLLO STATISTICO DEI PROCESSI PROCEDIMENTI E TECNICHE DI ANALISI QUALITÀ E QUALITÀ TOTALE PROJECT MANAGEMENT PROCESS MANAGEMENT INVENTORY MANAGEMENT COMUNICAZIONE E INTERVISTA NEGOZIAZIONE DINAMICHE DI GRUPPO PROBLEM SOLVING MANAGEMENT E ORGANIZZAZIONE (*) Professional Practice Framework - IIA 21

Tipologie di audit Compliance Audit o Audit di Conformità Financial Audit o Audit Finanziario Operational Audit o Audit tecnico-operativo Management Audit o Audit Direzionale o Audit Strategico Fraud Audit IT Audit o revisione dei sistemi informativi

Compliance, financial, operational e management auditing Per comprendere il significato dei termini possiamo riferirci al modello del comprehensive auditing Espressione coniata dal General Accounting Office (USA) che intende rappresentare il concetto più ampio di revisione svolta all’interno di un’azienda. In particolare definisce … ... una metodologia di controllo articolata su tre livelli così definiti: Compliance and financial Operational Management

Come interpretare il modello del comprehensive auditing Ciascun livello propedeutico ai successivi costituisce un grado di approfondimento ulteriore teso ad attestare la veridicità dei dati informativi aziendali come supporto alle decisioni Il prodotto della revisione è una relazione, utilizzabile da colui che deve assumere la decisione, che evidenzia per ogni livello il grado di significatività e di affidabilità delle procedure utilizzate. Essendo ciascun livello propedeutico ai successivi anche i report avranno una logica consequenziale non essendo possibile produrne uno senza aver perlomeno predisposto il precedente

Compliance and financial auditing L’attività di auditing tende a verificare: se sono rispettate procedure e norme che organizzano e disciplinano l’attività aziendale (compliance auditing o audit di conformità); se è funzionante un sistema di controlli a garanzia della veridicità delle rilevazioni contabili (financial auditing o audit contabili) 25

Compliance and financial auditing FINE Giudizio sul rispetto delle norme, delle procedure interne, delle prescrizioni contrattuali Giudizio sulla situazione economica e suggerimenti per la gestione contabile AMBITO DI INDAGINE Attività esecutive Rilevazioni contabili 26

Operational auditing Analisi dei meccanismi operativi caratterizzanti i processi gestionali e aventi il compito di assicurare la compatibilità e la coerenza tra i risultati raggiunti da un'organizzazione aziendale ed il sistema degli obiettivi ad essa assegnato. 27

Operational auditing FINE AMBITO DI INDAGINE Accertare e valutare i presupposti di efficacia (capacità di conseguire i propri obiettivi istituzionali), efficienza (capacità di realizzare obiettivi minimizzando l’utilizzo delle risorse) ed economicità (capacità di acquisire risorse necessarie al conseguimento degli obiettivi al minimo costo) nell’impiego delle risorse sulla base di prefissati standard operativi o anche il miglioramento della conoscenza e competenza della direzione e soluzioni per migliori performance aziendali (consulenza organizzativa) AMBITO DI INDAGINE Tutte le funzioni e operazioni di line e di staff 28

Management auditing Indagine condotta in un'azienda in tutta la sua articolazione, allo scopo di accertare se in ogni punto è realizzata una coerente politica direzionale, così che siano resi possibili i più efficaci rapporti con il mondo esterno e le più adeguate condizioni di efficiente gestione all'interno. 29

Management auditing FINE verificare l'efficacia dei controlli ed il loro grado di tempestività e la coerenza dell’attività aziendale rispetto alle proprie politiche. AMBITO DI INDAGINE tutta la struttura organizzativa, effettua le analisi dei processi e dei risultati, entrando anche nel merito delle decisioni della direzione N.B. Mentre nei precedenti livelli di audit le procedure interne e l’impianto organizzativo dell’azienda sono considerati premesse indiscutibili, nel management auditing, invece, metodi operativi e struttura organizzativa sono essi stessi l’oggetto dell’auditing 30

Le altre tipologie di Audit - Fraud Auditing È finalizzato all’identificazione e alla quantificazione delle frodi subite dall’azienda. La frode: fa riferimento ad irregolarità o atti illeciti derivanti da comportamenti intenzionalmente finalizzati a trarre in inganno. può essere perpetrata a vantaggio o a svantaggio dell’Ente si determina attraverso aggiramento del sistema di controllo interno o sfruttamento di debolezze dello stesso.

Le altre tipologie di Audit - Fraud Auditing Solitamente si esplica secondo tre tipologie: Finalizzato al rafforzamento del sistema di controllo preventivo Di tipo ispettivo per individuare atti sospetti e per fungere da deterrente Di tipo investigativo per determinare responsabilità e quantificazione dei danni subiti a seguito di gravi sospetti di atti illeciti

Le altre tipologie di Audit - IT Auditing Consiste in un processo di verifica sulla conformità dei sistemi informativi, di un’azienda o organizzazione, a quanto previsto da norme, regolamenti o politiche interne