Il modello di Audit interno della Banca d’Italia Vice Capo Servizio Revisione Interna Massimo Marotta Sistemi di audit a confronto – Sa.di.ba., Perugia 15 giugno 2018

La Banca d’Italia Istituzione “multiservizi” per la collettività Gestione sistemi di pagamento Servizi per lo Stato (gestione del debito pubblico ; collocamento dei titoli di stato; analisi e previsioni di liquidità; incassi e pagamenti) Servizi ai cittadini (esposti; ricorsi ABF; educazione finanziaria, servizi informativi; servizi supporto dei pagamenti) Servizi informatici (realizzazione e gestione infrastrutture) Produzione, distribuzione, ritiro e verifica qualità banconote Ricerca economica e statistiche … … senza dimenticare le funzioni proprie di una Banca Centrale, quelle di regolamentazione e quelle di supervisione 2

L’Internal Audit in Banca d’Italia La funzione di internal audit in Banca d’Italia è svolta dal Servizio Revisione interna (REV) L’indipendenza di REV è garantita dalla posizione organizzativa al di fuori delle aree di business Il Servizio riferisce direttamente al Governatore e al Comitato di Audit

Cosa fa REV Effettua interventi di revisione: valuta l’adeguatezza del sistema di controllo interno e di gestione dei rischi e ne promuove il miglioramento continuo Fa parte della funzione di audit dell’Eurosistema/SEBC/SSM e partecipa ai relativi interventi di revisione

Conformità agli standard IIA L’applicazione degli standard è prevista: nel Regolamento per l’attività di Revisione Interna nel mandato dell’Eurosistema/Sistema Europeo di Banche Centrali (SEBC)/ Single Supervisory Mechanism (SSM) La piena conformità agli Standard è stata certificata nei due external assessment svolti (2008, 2013). A fine anno sarà svolto il terzo external assessment.

Vision Il Servizio Revisione interna vuole assistere attivamente la Banca d’Italia nel conseguimento degli obiettivi e nel rafforzamento del ruolo e della reputazione sia a livello nazionale che internazionale. Per questo intende favorire il miglioramento continuo dei processi di governo aziendale, di gestione del rischio e di controllo, adottando un approccio pro- attivo e rivolto al futuro e svolgendo il ruolo di facilitatore della piena integrazione tra le funzioni aziendali. Vuole infine diventare punto di riferimento, anche a livello scientifico, nel campo dell’internal audit in ambito nazionale e internazionale.

Mission Il Servizio Revisione interna fornisce al Vertice e ai vari stakeholder servizi di assurance e consulenza per valutare e migliorare i sistemi di controllo, gestione dei rischi e governance. Contribuisce alla definizione e all’implementazione delle attività di audit dell’Eurosistema e partecipa attivamente nelle sedi di cooperazione internazionale. In tale ambito, intende ora promuovere la condivisione di informazioni e il coordinamento delle attività tra i diversi soggetti che forniscono servizi di monitoraggio sui rischi e sui controlli al fine di favorire una sempre maggiore integrazione tra le funzioni aziendali. Inoltre svolgerà attività di approfondimento su tematiche di audit e dialogherà con associazioni professionali di riferimento per favorire l’evoluzione degli standard e delle migliori pratiche della professione.

Fattori critici di successo Indipendenza, obiettività e integrità Coerenza dell’azione di audit con le strategie, gli obiettivi e i rischi rilevanti della Banca Approccio basato sul rischio Orientamento al problem solving Mentalità innovativa e capacità di approfondimento nelle materie della professione Rigoroso e costante aggiornamento dei metodi e delle procedure Efficacia del sistema informativo della funzione Qualità dei prodotti Adeguato mix di competenze (tecniche e relazionali) Comunicazione chiara, sintetica, utile Approccio inclusivo e massima circolazione delle informazioni nel rispetto del principio del need-to-know

(incluse le applicazioni di supporto) L’universo di audit Strutture (Filiali e Servizi) Processi (incluse le applicazioni di supporto) Progetti Infrastrutture IT 9

Il ciclo di audit 10 1. Monitoraggio e analisi cartolare 8. Follow-up 2. Pianificazione 3. Preparazione dell’audit 4. Accertamento sul campo 5. Stesura del rapporto 6. Revisione del rapporto 7. Comunicazione delle risultanze 8. Follow-up (cartolare e sul campo) 10

Il piano annuale di audit Approccio risk based Graduatorie di rischiosità degli oggetti basate su una metodologia che considera le informazioni di audit e quelle delle “seconde linee di difesa” assicurare un’ampia copertura delle diverse funzioni della Banca sfruttare ogni possibile sinergia ed evitare sovrapposizioni con gli accertamenti EU/SEBC/SSM considerare le richieste del Senior Management, del Comitato di Audit e del Direttorio Criteri di selezione, nell’ambito delle graduatorie: 11

Il piano 2018 Macro-processi Strutture A.C. Audit  6 Macro-processi   1 Strutture A.C. Infrastrutture informatiche 9 Rete territoriale Interventi consulenziali 12 Eurosistema/SEBC/SSM 12

Gli accertamenti sul campo Tipologie accertamenti: assurance, consulenza, follow-up, special investigation Metodo: analisi delle informazioni rilevanti, interviste, osservazione diretta delle attività, acquisizione sul campo dei piani di azione (tracciabilità dei risultati conseguiti) Strumenti: manuale di audit manuali specifici per ogni tipologia di oggetto (strutture, processi, infrastrutture IT, servizi IT, consulenze) check-list criteri di campionamento template ecc. Divulgazione delle risultanze secondo il principio del «need to know» 13

Schema accertamento assurance Rilevazione punti di forza Survey Esame delle attività e delle variabili organizzative Rilevazione criticità Finding Rilevazione punti di forza REPORT 14

La scheda «piano di azione» FINDING: Criteria: ciò che dovrebbe essere (should be) Condition: ciò che ho rilevato (the way it is) Cause: la motivazione (the reason why) Effect: le conseguenze (so what?) RACCOMANDAZIONE Auditor Auditee PIANO DI AZIONE: Decrizione iniziative Tempo di realizzazione Soggetti coinvolti FOLLOW-UP 15

Follow-up È un processo per verificare la realizzazione dei piani di azione Fasi: Aggiornamento semestrale sullo stato delle iniziative; Analisi del singolo PdA e analisi aggregata Riferimento annuale sullo stato complessivo delle iniziative al Direttorio e al Comitato di audit Input per pianificazione Modalità interlocuzione REV/Strutture: Scambi documentali Incontri Referente per l’attività di follow-up presso ogni Struttura della Banca 16

Il control risk self assessment per le Filiali Caratteristiche: Strumento di autovalutazione per i Capi delle Filiali Metodologia condivisa REV/Filiali Tracciato di rilevazione aggiornato annualmente da REV/Filiali Rilevazione annuale, contestuale per tutte le Filiali Obiettivi: Creare cultura e «linguaggio» comuni REV/Filiali in materia di rischi e controlli Consentire a REV di avere informazioni qualitative aggiornate periodicamente su rischi e controlli presso la rete Ridurre frequenza/estensione accesi di audit presso la rete Intercettare problemi locali e trasversali (pianificazione di audit, circolazione alle funzioni aziendali competenti) Rischi: autovalutazioni non attendibili (controllo qualità, verifiche in occasione degli audit) 17

Non solo audit… (1/2) Il Servizio Revisione interna persegue il miglioramento del SCI anche con attività di tipo progettuale/consulenziale: ha promosso e realizzato il Sistema integrato di gestione del rischio operativo (ORM) in Banca  L’ORM è stato poi assegnato a una funzione ad hoc separata dall’internal audit sta svolgendo il ruolo di facilitatore per realizzare la piena integrazione delle informazioni nell’ambito del modello delle «Tre linee di difesa» Per motivi di indipendenza Nesso tra le due attività: favorire l’integrazione tra le diverse funzioni 18

Non solo audit… (2/2) Sta promuovendo un forum di collaborazione con primarie istituzioni con finalità pubblicistiche Collabora stabilmente con l’Associazione Italiana Internal Auditors È attivo nella cooperazione internazionale e assistenza tecnica nei confronti di altre banche centrali Per motivi di indipendenza Nesso tra le due attività: favorire l’integrazione tra le diverse funzioni 19

Key Performace Indicators del Servizio KPI (*) Alcuni numeri Key Performace Indicators del Servizio KPI (*) 55 Staff del Servizio   6.778 Staff Banca d’Italia Numero Certificazioni di Audit possedute dal Servizio (CIA, CRMA, QAR, CISA ecc) 67 Numero medio ore di training pro capite (*) Dati riferiti a fine 2017 20

Rafforzamento del ruolo nella governance aziendale Linee di sviluppo Rafforzamento del ruolo nella governance aziendale Aumentare la capacità di comunicazione: potenziare l’orientamento al servizio e far meglio comprendere il ruolo della Funzione nel miglioramento dei processi Fornire una visione d’insieme sul sistema di gestione dei rischi e dei controlli a beneficio dei diversi stakholder, promuovendo l’integrazione informativa e il coordinamento tra gli attori del sistema 21

22