Source: http://docplayer.it/9676497-Osservazioni-generali.html
Timestamp: 2018-10-16 07:13:02+00:00

Document:
Osservazioni generali - PDF
Download "Osservazioni generali"
1 Documento di consultazione n. 1/2014 Schema di Regolamento 20/2008 recante nuove disposizioni in materia di controlli interni, gestione dei rischi ed esternalizzazione Legenda Nella riga Commentatore i singoli soggetti dovranno inserire la loro denominazione abbreviata. Nella riga Osservazioni generali i singoli soggetti potranno inserire commenti di carattere generale. Nelle colonne Articolo e Comma andranno inseriti, rispettivamente, l articolo e il comma a cui si riferisce l osservazione e la proposta di modifica. Nella colonna Contributi e proposte andranno inserite i singoli contributi e le relative proposte di modifica. Il Commentatore inserirà in tale colonna l eventuale richiesta, motivandone le ragioni, di pubblicazione del contributo in forma anonima. Commentatore Osservazioni generali AIIA Associazione Italiana Internal Auditors L Associazione Italiana Internal Auditors, parte dell Institute of Internal Auditors, ha nella propria mission la promozione dello sviluppo della professione del revisore interno nel contesto di una sana e consapevole cultura del controllo interno. In tal senso propone iniziative dirette non solo al mondo professionale di riferimento, ma a tutti i principali attori aziendali. Queste attività sono svolte nel convincimento che la materia dei controlli interni non sia di esclusiva competenza della nostra figura professionale. In questa ottica, l Associazione intende fornire - attraverso il proprio Comitato Assicurativo un contributo professionale ed apolitico al meritevole percorso che questo spettabile Istituto di Vigilanza sta da anni perseguendo per allineare la governance delle compagnie italiane non solo alle normative comunitarie, Solvency II in primis, ma anche alle best practice internazionali. In termini generali, l Associazione apprezza il documento in pubblica consultazione il quale, seppur cogliendo appieno gli elementi chiave del documento EIOPA - Final Report on Public Consultation No. 13/008 on the Proposal for Guidelines on the System of Governance emesso il , mantiene la struttura di fondo dell attuale Regolamento 20, permettendo così un adeguamento armonico delle imprese. A maggior supporto di questo percorso, e anche per
2 tener conto delle specificità italiane, si espongono di seguito alcune considerazioni migliorative, con particolare attenzione alle tematiche a diretto impatto della funzione auditing, che si auspica trovino positivo riscontro nella versione definitiva. Articolo Comma Contributi e proposte 5 2 lettera k Si suggerisce di integrare il testo con il richiamo di cui all articolo lettera o Si suggerisce di chiarire la dicitura dal personale, che parrebbe definire uno scenario in cui ogni dipendente possa riferire all organo amministrativo in autonomia rispetto all alta direzione. Al fine di limitare le duplicazioni di organismi e aumentare efficienza ed efficacia del sistema di controllo interno, si 8 suggerisce di valutare l opportunità di stimolare le compagnie ad assegnare all organo di controllo anche le funzioni di Organismo di Vigilanza come previsto dall art 6 comma 4bis del D.Lgs. 231/01 (il cosiddetto OdV 231). In tal senso, si propone un allineamento alle previsioni in vigore per gli istituti bancari contenute nella Circolare n. 263 Nuove disposizioni di vigilanza prudenziale per le banche che recita: L organo con funzione di controllo svolge, di norma, le funzioni dell organismo di vigilanza - eventualmente istituito ai sensi del d.lgs. n. 231/2001, in materia di responsabilità amministrativa degli enti - che vigila sul funzionamento e l osservanza dei modelli di organizzazione e di gestione di cui si dota la banca per prevenire i reati rilevanti ai fini del medesimo decreto legislativo. Le banche possono affidare tali funzioni a un organismo appositamente istituito dandone adeguata motivazione. 4 Si concorda sulla centralità per la figura dell internal auditor dell indipendenza (condizione oggettiva, legata in 15 maniera significativa alle scelte organizzative della società) e dell imparzialità (che è viceversa una condizione soggettiva, dunque anche connessa ad aspetti di personalità e professionalità del responsabile e degli addetti). Va però sempre ricordato che in particolare l indipendenza deve essere nella impresa e non dalla impresa: l organo amministrativo rimane il massimo responsabile del sistema di controllo interno, ad esso anche il responsabile della revisione interna deve rendere conto del proprio operato. Si ritiene tale punto essenziale a tutela sia dell organo amministrativo, che altrimenti vedrebbe aree aziendali fuori del proprio alveo di responsabilità, sia dell auditor, che opererebbe fuori dal Mandato e dunque dalla tutela consiliare. Tale elemento è supportato anche del fatto che questo tipo di indipendenza totale viene deputata ad altri organi (Collegio sindacale e Società di Revisione) che sono nominati dall Assemblea alla quale relazionano sulla loro attività, contrariamente all auditor interno che relaziona all organo amministrativo. Nella sostanza, si suggerisce di riformulare il comma come segue Durante l esecuzione dell attività di audit e in sede
3 di valutazione e segnalazione delle relative risultanze, la funzione di revisione interna svolge i compiti ad essa assegnati con autonomia ed obiettività di giudizio, in modo da preservare la propria indipendenza e imparzialità, in coerenza con le direttive a tal fine definite all organo amministrativo. 15bis 1 Si ritiene che la nomina e revoca del responsabile della revisione interna sia sottoposta a valutazione anche di altri comitati endoconsiliari. Si suggerisce quindi il testo Il responsabile della funzione è nominato e revocato dall organo amministrativo, sentito il Collegio Sindacale e, ove presente, il Comitato di Controllo Interno..., che si ritiene possa rafforzare l indipendenza e l autonomia del responsabile stesso. 15 bis 3 Sul tema, si ritiene opportuna una generale considerazione in merito alla pianificazione delle attività svolte dalla funzione di Revisione Interna. L Associazione Italiana Internal Auditors riconosce la validità dell approccio di pianificazione coerente con i principali rischi cui l impresa è esposta (art. 15 bis comma 3) che risulta in linea con gli standard della professione adottati. La funzione però d altro canto deve prevedere nei piani di lavoro attività specificamente richieste dai Regolamenti emessi dall Istituto di Vigilanza (quali Regolamento n 39, 20, 24, 41, 5) nonché attività specificamente richieste da altri Organismi (Organismo di Vigilanza adottato in recepimento della normativa 231/2001, Organismo di Sorveglianza dei Fondi Pensione, ecc). Tali temi non necessariamente rispondono sempre ad una logica risk based : si pensi alla gestione dei reclami per una compagnia che, in virtù del canale o delle dimensione, rileva un numero ristrettissimo di reclami annui. Anche sul comma in questione, sebbene si concordi appieno sulla criticità del sistema informatico, si ritiene anche che gli aspetti IT debbano rispondere al summenzionato risk based approach. Dunque la frase Il piano include anche attività di verifica delle componenti del sistema dei controlli interni ed in particolare del flusso informativo e del sistema informatico appare ridondante in quanto riprende, nell ordine, la mission della funzione come indicata al comma 1 dell articolo 15 ( monitorare e valutare l efficacia e l efficienza del sistema di controllo interno ) e i compiti della funzione già elencati dal comma 3 dell articolo 15 alle lettere b) ( la regolarità e la funzionalità dei flussi informativi tra settori aziendali ) e c) ( l adeguatezza dei sistemi informativi e la loro affidabilità ). 4 Premettendo che si concorda con la facoltà riservata alla revisione interna di effettuare verifiche non previste dal piano 15bis di audit, si rileva che l ultima frase del comma 3 ai piani approvati, che comunque sono definiti in modo da fronteggiare le esigenze impreviste già implica che vi siano dei margini nel piano per interventi discrezionali o su necessità. Si ritiene dunque il comma 4 eliminabile senza impatto della sostanza. 15 bis 5 La funzione di revisione interna non può essere responsabile dell indicazione delle azioni correttive, dei relativi
4 15 bis 6 responsabili e dei tempi necessari per la risoluzione delle criticità individuate. Questo assunto comporterebbe che la risoluzione delle anomalie riscontrate sarebbe da attribuirsi in ultima istanza all operato della funzione di revisione stessa, evitando pertanto ogni conseguenza per i responsabili dei processi stessi che hanno gestito i processi in parola con le debolezze stesse senza intervenire in autonomia. Alla luce dell osservazione formulata, l Associazione ritiene prioritario che i compiti della funzione di revisione interna devono essere tenuti ben distinti da quello dei responsabili delle strutture sottoposte ad audit ed in particolare la funzione di revisione interna, nell ambito di un ruolo che le è stato sempre riconosciuto, ha certamente il compito di individuare le debolezze o criticità del processo fornendo i suggerimenti per la loro risoluzione mediante una tempestiva emissione del rapporto di audit che può individuare il grado di priorità nella risoluzione delle anomalie (ad esempio, alta media bassa) a cui associare poi gli orizzonti temporali di risoluzione. A fronte di tali indicazione i responsabili delle strutture devono, secondo le modalità operative interne, indicare le azioni correttive previste indicando i tempi di risoluzione tenuto conto del grado di priorità indicato dalla funzione di revisione interna. Sempre le modalità operative interne dovranno prevedere i meccanismi di escalation verso il Consiglio di Amministrazione nel caso in cui il piano di risoluzione predisposto dalla funzione auditata si discosti dai suggerimenti forniti e dal grado di priorità determinato dall'audit. Nella sostanza si suggerisce di eliminare l innovazione indicando i tempi previsti per la loro rimozione ed individuando le persone responsabili al riguardo e di modificare l ultimo periodo come segue: Le risultanze delle attività di revisione svolte in ogni singola area sono comunicate al responsabile della funzione interessata in modo che la stessa provveda alla formulazione di un piano di risoluzione e all indicazione della relativa tempistica. La relazione annuale rappresenta il sunto di un anno di attività della funzione audit. Si concorda con l opportunità di dare contezza di tutte le verifiche effettuate (eventualmente raffrontate con il piano approvato) e dei risultati emersi sunteggiati secondo gli standard in uso presso la compagnia (quali parametri numerici, semaforici, discorsivi, ecc). Viceversa, anche considerando che l organo amministrativo riceve nel corso dell anno (come correttamente richiesto dal comma 5) la valutazione delle risultanze e le eventuali disfunzioni e criticità come parte integrante degli audit report, la richiesta di riportare nuovamente nella relazione annuale i punti di debolezza o carenze rilevate e gli interventi proposti per la loro rimozione (oltretutto avulsi dal contesto da cui sono scaturiti) rappresenta un inutile appesantimento per una relazione che vuole essere riepilogativa. Sul punto si suggerisce di lasciare al giudizio professionale dell internal auditor il livello di dettaglio. Ha invece oggettivamente un livello di granularità eccessiva, oltre che contraria al condivisibile obiettivo di sintesi dichiarato nel precedente comma 5 sugli audit report, l informativa su: esito della singola verifica, tipologia di intervento, rispetto o meno della tempistica iniziale, soggetto che ha effettivamente portato a termine l azione
5 migliorativa. Nel complesso, quindi, l Associazione, anche sulla base degli standard professionali (in particolare la Guida Interpretativa Monitoraggio delle azioni correttive che chiede l invio al senior management e/o al board di relazioni di audit sintetiche sullo stato delle azioni intraprese in risposta a rilievi e raccomandazioni ), suggerisce di modificare il comma come segue. Il responsabile della funzione di revisione interna presenta, almeno annualmente, una relazione all organo amministrativo sull attività svolta che riepiloga tutte le verifiche effettuate, i risultati emersi, i principali punti di debolezza o carenze rilevate e gli interventi proposti per la loro rimozione; nella relazione riepilogativa si deve altresì dare conto delle azioni completate e di quelle ancora in fase implementativa alla data della relazione stessa. 21 bis 1 Sostituire il riferimento all articolo 20 comma 3 con l articolo 21 comma bis 3 Si suggerisce di modificare e integrare la parte finale del comma come segue:...sui risultati emersi e sulle criticità riscontrate, dando conto dello stato di implementazione dei relativi interventi migliorativi. 21 bis - Si suggerisce, per analogia, di riportare nell articolo 21 bis un comma analogo al comma 2 dell articolo 24, quantomeno relativamente al primo periodo Si suggerisce di completare il comma con l indicazione in coerenza con il documento approvato dall organo amministrativo di cui all articolo 5, comma 2 lettera j) già presente nel comma 2 dell articolo Si suggerisce di modificare e integrare la parte finale del comma come segue:...sui risultati emersi e sulle criticità riscontrate, dando conto dello stato di implementazione dei relativi interventi migliorativi L Articolo fissa il 30 giugno 2014 come scadenza per l adeguamento alle disposizioni di nuova introduzione. Se tra queste è da ricomprendere anche la redazione dei documenti resi obbligatori per la prima volta dalle modifiche in consultazione, la scadenza appare eccessivamente ravvicinata. I documenti di nuova introduzione (o che per la prima volta devono esplicitamente passare al vaglio dell organo amministrativo) riguardano, tra l altro: - Compiti e responsabilità degli organi sociali, dei comitati consiliari e delle funzioni di risk management, di compliance e di revisione interna. Flussi informativi, ivi comprese le tempistiche, tra le diverse funzioni, comitati consiliari e tra questi e gli organi sociali. Modalità di coordinamento e di collaborazione nel caso di sovrapposizioni o di sinergie. [Art. 5, comma 2, lettera j] - Politica aziendale e procedure per la valutazione del possesso dei requisiti di idoneità alla carica, in termini di onorabilità e professionalità, dei soggetti preposti alle funzioni di amministrazione, di direzione e di controllo nonché dei responsabili delle funzioni di risk management, compliance e revisione interna. [Art. 5, comma 2, lettera l]
6 - Politica delle segnalazioni destinate all IVASS (c.d. reporting policy) e relative procedure dell impresa. [Art. 5, comma 2, lettera m] - Standard aziendale di data governance che individua ruoli e responsabilità delle funzioni coinvolte nell utilizzo e nel trattamento delle informazioni aziendali. [Art. 12bis, comma 3] - Procedure di estrazione dei dati, di controllo e di caricamento negli archivi accentrati al pari dell attività di utilizzo dei dati nel caso di utilizzo di un data warehouse aziendale. [Art. 12bis, comma 4] - Procedure di gestione e aggregazione dei dati, con indicazione specifica delle circostanze in cui è consentita l immissione manuale o rettifica dei dati aziendali. [Art. 12bis, comma 5] - Processi di acquisizione dei dati da strutture esterne. [Art. 12bis, comma 6] - Adeguati piani di emergenza per le maggiori fonti di rischio identificate che dovranno essere rivisti, aggiornati e testati con cadenza almeno annuale ed approvati dall organo amministrativo. [Art. 19, comma 4] - Piani di emergenza e relative procedure, ivi incluse le strategie di uscita, nei casi di esternalizzazioni di funzioni e attività essenziali o importanti. [Art. 31, comma 1, lettera e] Il numero e, con particolare riferimento all Articolo 12 bis, il livello di estremo dettaglio della documentazione richiesta rendono oltremodo impegnativo il rispetto della tempistica proposta. Si chiede di prevedere un arco temporale di almeno sei mesi a partire dalla data di entrata in vigore del Regolamento.

References: articolo 15
 articolo 15
 articolo 20
 articolo 21
 articolo 21
 articolo 24
 articolo 5
 Articolo 12