Source: http://docplayer.it/9676319-Oggetto-commenti-dell-associazione-italiana-internal-auditors-al-documento-di-consultazione-n-42-2011.html
Timestamp: 2018-03-21 13:43:45+00:00

Document:
Oggetto: Commenti dell Associazione Italiana Internal Auditors al documento di consultazione N. 42/ PDF
Download "Oggetto: Commenti dell Associazione Italiana Internal Auditors al documento di consultazione N. 42/2011"
1 Oggetto: Commenti dell Associazione Italiana Internal Auditors al documento di consultazione N. 42/2011 Come noto, l Associazione Italiana Internal Auditors, parte dell Institute of Internal Auditors, da molti anni a questa parte sta promuovendo, da una parte, lo sviluppo della professione del revisore interno e, dall altra, lo sviluppo di una sana e consapevole cultura del controllo interno, proponendo iniziative in tal senso dirette non solo al mondo professionale di riferimento, ma a tutti i principali attori aziendali. Ciò nel convincimento che la materia dei controlli interni non sia di esclusiva competenza della nostra figura professionale. In questo ambito quindi, l Associazione ha assunto nel tempo un ruolo sempre più propositivo anche nei confronti dei propri Associati, facilitando il dibattito interno e cercando di assumere un approccio positivo nei confronti di un contesto normativo che negli ultimi anni ha saputo garantire giusta centralità alla materia dei controlli ed al ruolo della nostra professione. Anche questa volta come nel recente passato, l Associazione intende fornire attraverso il proprio Comitato Assicurativo il proprio contributo professionale ed apolitico allo sviluppo di una nuova normativa come quella in parola, che di per certo aumenterà il grado di presidio su una tematica specifica come quella dell antiriciclaggio, ma al contempo deve ben integrarsi in un sistema di controlli, ancora troppo spesso soggetto ad interpretazioni ed approcci diversi. Proprio il proliferare delle funzioni aziendali di controllo, nonché di specifiche attività di controllo richieste all azienda da normative di legge via via succedutesi, talvolta poco coordinate tra loro, hanno scatenato vasti dibattiti tra i nostri Associati, che si sono spesso confrontati con problematiche quotidiane di sovrapposizioni di ruoli e di responsabilità, causate dalle differenti practices indotte da diversi approcci interpretativi delle norme. Uno dei dibattiti che si è sviluppato con maggior vigore è quello attorno alla suddivisione di compiti e responsabilità tra le funzioni di internal auditing, di compliance, di risk management, nonché alle possibili interazioni che la nostra professione deve avere con l organo di controllo e con le altre funzioni deputate al controllo in azienda, quali il Dirigente Preposto, il responsabile della sicurezza, il responsabile degli ispettorati agenziali, liquidativi ecc. La difficile risoluzione di tali complesse relazioni deriva talvolta dalla incapacità oggettiva di porre in pratica dichiarazioni di principio contenute nella normativa, altre volte semplicemente dal proliferare di interpretazioni indotte da atteggiamenti normativi differenti assunti dalle varie authorities.
2 Noi riteniamo doveroso fornire anche in questo caso il nostro contributo per dirimere alla radice tali problematiche, visto che siamo fortemente convinti che un chiaro contesto normativo che eviti sovrapposizioni genera valore aggiunto prima di tutto per l Azienda ed in seconda battuta permette la piena assunzione di responsabilità da parte dei soggetti coinvolti. E proprio l assunzione chiara di responsabilità che aiuta la norma ad essere efficace. Fatta questa doverosa premessa che ci permette anche di sottolineare la nostra volontà di essere una parte proattiva per il futuro riordino della materia dei controlli interni, anche e soprattutto in vista di Solvency II, passiamo rapidamente in disamina gli aspetti che riteniamo fondamentale sottolineare riguardo la bozza di Regolamento n. 42 in consultazione.
3 Rapporto tra funzione di internal auditing e compliance Partendo da un generale apprezzamento per l innovazione introdotta dal Regolamento n. 20 ISVAP nel nostro campo tipico d azione, nel tempo ci si è chiesti quale sia effettivamente il ruolo delle funzioni di controllo ed in particolare quale sia il nuovo ruolo attribuito alla funzione di compliance: semplicemente il distacco di una costola dell internal auditing orientata esclusivamente alla verifica degli aspetti normativi, ovvero una nuova funzione vera e propria di gestione dei rischi di conformità. La distinzione non è banale perché le tecniche utilizzate, gli ambiti e perimetri di azione, i piani di lavoro cambiano radicalmente; nel primo caso sono del tutto simili a quelle utilizzate dall internal auditing con forte specializzazione delle conoscenze normative, nel secondo caso, valgono invece capacità di identificazione dei rischi di non conformità e conseguentemente delle misure organizzative di mitigazione degli stessi. Le modalità dell intervento sono fondamentalmente diverse, laddove, come nel caso dell internal auditing, con l analisi più puntuale del contesto di riferimento in cui si svolgono effettivamente i processi, con l osservazione delle eventuali deviazioni, il giudizio di adeguatezza dei processi assume un rilievo diverso e di maggiore portata. La nostra Associazione tende ad escludere che questa nuova funzione abbia assorbito parte delle attività precedentemente svolte dall internal auditing e che quindi le due funzioni operino su piani diversi. Se così è ben si capisce che l internal auditing debba svolgere un analisi complessiva del processo, attuando le attività di verifica che ritiene necessarie ed in misura del tutto complementare rispetto alla funzione di compliance qualora essa svolga il ruolo di responsabile dell antiriciclaggio (come peraltro ritenuto possibile ai sensi del regolamento in consultazione e oggetto delle presenti osservazioni). A questo punto però emergono due fondamentali considerazioni. Come primo aspetto, la tecnica usata dall internal auditing, tornando a quanto detto sopra, non può non essere una tecnica di analisi di processo, di valutazione di adeguatezza basata anche sulle deviazioni eventualmente osservate rispetto alle procedure definite. Pertanto, più che un elencazione specifica di attività da svolgere, che appaiono difficilmente in grado di permettere la formulazione di un giudizio complessivo sul processo, riteniamo preferibile che il Regolamento n.42 esprima l esigenza di una verifica sull intero processo, lasciando alle strutture di internal auditing l onere di valutare in che misura e con quale estensione osservare i vari aspetti rilevanti del processo e gli esiti dell attività di controllo effettuate da altre figure aziendali. Il secondo aspetto attiene all approccio risk based, che verrebbe meno o potrebbe essere minato se la normativa definisce a priori che le attività di verifica sono comunque rilevanti ai fini dell Impresa, salvo poi lasciare
4 maggiore flessibilità di pianificazione prevedendo una periodicità indeterminata di talune verifiche. Ciò premesso, riteniamo che professionalmente debba essere sancito che l internal auditing, secondo i principi prestabiliti nel Regolamento n. 20, garantisca un attività di verifica sull adeguatezza dell assetto organizzativo, ivi compresi processi e procedure previste, anziché dettagliarne le verifiche da svolgere, circostanza quest ultima che può generare così una frammentarietà di giudizi che non gioverebbe alla sintesi di giudizio e quindi all essenza della bontà dei processi. Con riferimento al secondo tema, si sente la necessità che si chiarisca se l antiriciclaggio costituisce a priori uno dei processi ad alta priorità, chiarendo quindi se con il termine periodico si intende lasciare la possibilità o meno di includere queste verifiche nell ambito di ogni piano di audit annuale e facilitando l osservanza del principio risk based auditing. E convinzione della nostra Associazione che, avendo previsto la possibilità che le Imprese dedichino la compliance o il risk management alla gestione di tale processo, il grado di priorità di intervento per contro sia meno elevato grazie al coinvolgimento nel processo nel continuo di una funzione di controllo dotata della necessaria obiettività ed indipendenza, accomunata alla funzione di Audit nel riporto al Consiglio di Amministrazione. Altrimenti, dovrebbe essere esplicitato che la scelta di sottoporre a verifica l antiriciclaggio viene sottratta agli amministratori e non vale a riguardo alcuna valutazione di priorità, principio che è sancito dal Regolamento ISVAP n. 20. Qualunque sia la scelta operata, tuttavia, riteniamo che sia doveroso escludere in ogni caso che la funzione possa garantire la verifica del costante rispetto dell obbligo di adeguata verifica del rapporto assicurativo. La funzione di internal auditing non può infatti garantire al pari delle funzioni operative (che svolgono nel continuo controlli di primo livello) e delle funzioni di controllo di secondo livello (compliance, risk management, ispettorato, etc.) un attività costante di controllo indipendente, in quanto ciò snaturerebbe la propria attività selettiva e di assurance sull operato delle varie funzioni aziendali e sul sistema dei controlli nel suo complesso (incluso l operato delle funzioni di controllo).
5 Verifiche sulla rete di vendita Come è noto sicuramente a Codesta Autorità, le imprese assicurative hanno avuto orientamenti differenziati nel definire i rapporti tra funzione di internal auditing e quella incaricata del controllo della rete distributiva. In taluni casi quest ultima funzione è considerata parte integrante del servizio che la funzione internal auditing deve dare alla propria compagnia; in molti altri casi si è separato l internal auditing dall ispettorato agenziale, ritenendo che quest ultima sia una funzione orientata a cogliere la conformità o meno dei comportamenti della rete di vendita rispetto alle norme statuite. Quindi, al fine di evitare che l internal auditing debba snaturare la propria attività di assurance complessiva sulla tenuta del sistema di controllo interno, dovendo peraltro costituire una struttura di controllo della rete in netta sovrapposizione con quella degli ispettorati, riteniamo che il comma 2. dell art. 16 debba essere riformulato come segue: Le verifiche della funzione di revisione interna in materia di antiriciclaggio e di contrasto al finanziamento del terrorismo, formano oggetto di pianificazione nell ambito del Piano di Audit predisposto secondo una logica risk based ed interessano sia le strutture operative interne che l analisi dell adeguatezza e le risultanze dei controlli svolti dalle strutture aziendali deputate al controllo della rete distributiva diretta, nonché esterna di cui le imprese si avvalgono per lo svolgimento di specifiche attività che possono interessare anche il processo antiriciclaggio, ove tali ultimi controlli siano svolti da una funzione separata da quella di revisione interna. Fermo restando quanto sopra riportato, si evidenzia come, a parere della scrivente Associazione, debba anche essere tenuto in considerazione il caso in cui, come nei rapporti di bancassurance, la rete di vendita appartenga ad un entità esterna alla Compagnia, nella fattispecie il partner bancario, che effettua verifiche presso la rete distributiva mediante proprie strutture di controllo, anche in materia di antiriciclaggio. In tale circostanza, non solo i controlli sono svolti da una funzione separata da quella di revisione interna della Compagnia, ma addirittura da un soggetto appartenente ad altra società e ad altro gruppo: andrebbero pertanto tenute in considerazione le connesse peculiarità e necessità di coordinamento.
6 Ruolo dell organo di controllo e rapporti con l internal auditing Le disposizioni in materia di antiriciclaggio sull organo di controllo fissate dall art. 8 paiono ampliare i compiti dello stesso, riflettendo anche in questo caso un modello di governance dei controlli di matrice bancaria. Infatti, nell ambito di un sistema integrato l organo di controllo dovrebbe avere compiti in merito alla verifica di adeguatezza dell assetto organizzativo amministrativo e contabile e di efficienza e di efficacia del sistema di controllo interno, cioè compiti che si pongono allo stesso livello dei compiti di governo e di monitoraggio del Consiglio di Amministrazione. Infatti, al pari dell organo amministrativo, anche il Collegio Sindacale non può svolgere funzioni operative e quindi riteniamo che l organo di controllo non debba svolgere verifiche e accertamenti puntuali (il suo compito è vigilare sull operato del Consiglio di Amministrazione in primis), anche servendosi delle funzioni di controllo. Si genererebbe peraltro di fatto un doppio riporto di queste funzioni all organo amministrativo e a quello di controllo. Riteniamo che sia più corretto prevedere che il Collegio Sindacale nell ambito dei propri compiti possa chiedere al Consiglio di Amministrazione di integrare/modificare le verifiche già previste, ma evitando l accesso diretto alle funzioni di controllo. Ricordiamo infatti che una cosa è disporre delle informazioni prodotte, altra cosa è utilizzare una funzione, come quella di internal auditing, che ricordiamo viene sottoposta a periodica valutazione di adeguatezza proprio dal Collegio Sindacale, rispetto alla quale si potrebbe ingenerare una situazione di conflitto di interessi, con l organo di controllo che sarebbe portato ad esprimere la propria opinione sulla struttura anche in funzione dei propri bisogni di verifica sull antiriciclaggio. Riteniamo che vada mantenuto il principio sancito dall ordinamento giuridico attuale che ha privilegiato la dipendenza delle strutture di controllo dall organo amministrativo nell ambito dei doveri di monitoraggio propri di questo organo, ciò per evitare quindi doppie forme di riporto e conflitti di interesse. Si suggerisce quanto meno di sostituire l attuale dicitura dell emittendo regolamento all art. 8.2 a) l organo di controllo: a) si avvale delle strutture interne per lo svolgimento delle verifiche con la dicitura del Reg. 20 art. 8.2 l organo di controllo può richiedere la collaborazione di tutte le strutture che svolgono funzioni di controllo. In tale ambito, infine, si segnala che la tempistica della informativa ( senza ritardo ) di segnalazione della violazione non pare compatibile con l obbligo di segnalare contestualmente anche le iniziative correttive che si intendono intraprendere e il loro esito, che evidentemente necessitano di una tempistica più lunga.
7 Altri aspetti In aggiunta agli aspetti di principio sopra delineati, più nello specifico si segnala l opportunità di chiarire i seguenti punti rivenienti dalla lettura dei singoli articoli. 1. In merito all organo amministrativo, il disposto dell art. 6 dell emittendo regolamento prevede che il Consiglio di Amministrazione non si limiti a definire direttive in materia di controllo interno, come da Regolamento ISVAP 20/08 art. 5 lett. d) e lett. h), ma in materia di antiriciclaggio assuma una funzione più pervasiva, quasi operativa fino ad impartire direttive per l adozione di adeguate misure correttive, indipendentemente dalla significatività della criticità segnalata. Nella sostanza, si induce il Consiglio, per la tematica in questione, ad attività più implementative che dovrebbero ricadere nell alveo di responsabilità dell Alta Direzione. Anche il punto h) evidenzia una necessità di riportare tempestivamente ogni carenza ed anomalia al Consiglio di Amministrazione, elemento che solitamente è in carico all Alta Direzione; al Consiglio per tutte le altre tematiche la reportistica è periodica e la tempestività è limitata alle gravi carenze. 2. Avendo a riguardo i compiti della funzione antiriciclaggio fissati dall art. 11, se ne desume una attribuzione di funzione operative (ad esempio punto f, trasmette mensilmente all UIF i dati aggregati concernenti le registrazioni nell AUI e punto l svolge l attività di rafforzata verifica della clientela. ), a nostro avviso in contrasto con le ampiamente condivisibili norme del medesimo documento di richiesta di presidi per garantire la separatezza di compiti, ancor più accentuata con la possibilità che la funzione antiriciclaggio sia attribuita alla funzione di compliance, che ex Regolamento 20 è tipicamente funzione di controllo. 3. Sempre con riferimento all art. 11, II comma, l) si chiede di meglio precisare le circostanze oggettive e/o soggettive che potrebbero richiedere che le attività di rafforzata verifica siano svolte direttamente dalla Funzione Antiriciclaggio, nonché di valutare se possa essere preferibile un assetto che preveda da parte della Funzione Antiriciclaggio una mera supervisione puntuale dell operato degli organi operativamente preposti all attività di rafforzata verifica al ricorrere di alcune ipotesi preferibilmente individuate dal Regolamento stesso ovvero, in subordine, dalla stessa Funzione Antiriciclaggio nell ambito del Documento di cui alla precedente lettera i) dello stesso comma. 4. Con riferimento all art. 14, II comma, si chiede di precisare, nell ipotesi in cui la Funzione Antiriciclaggio istituita ex art. 10 non sia stata attribuita alla Funzione di Compliance al di là dell introduzione di idonei e reciproci flussi informativi tra le due funzioni se quest ultima debba comunque
8 assicurare la valutazione dell adeguatezza e dell efficacia delle misure organizzative adottate per la prevenzione del rischio di non conformità alle disposizioni in materia di antiriciclaggio e finanziamento del terrorismo, proponendo, ove necessario, modifiche volte ad assicurare un più adeguato presidio del rischio. 5. Al fine di facilitare l attività della Funzione Antiriclaggio, si propone di modificare il primo comma dell art. 15 come segue: «Il legale rappresentante dell impresa ovvero un suo delegato, ai sensi dell articolo 42, comma 4 del decreto, esamina le segnalazioni di operazioni sospette inoltrate dal personale e dai collaboratori, nonché dagli intermediari costituenti la rete distributiva diretta e trasmette all UIF e al Responsabile della Funzione Antiriclaggio, qualora questi non sia il delegato ai sensi del successivo comma IV, le segnalazioni ritenute fondate». Fiduciosi di aver fornito un contributo professionale allo sviluppo della materia in oggetto, rimaniamo a disposizione di Codesta Autorità per poter dare delucidazione circa il pensiero contenuto nello scritto. Distinti saluti.
ESITI DELLA PUBBLICA CONSULTAZIONE. Roma, 15 maggio 2012
REGOLAMENTO N. 41 DEL 15 MAGGIO 2012 CONCERNENTE DISPOSIZIONI ATTUATIVE IN MATERIA DI ORGANIZZAZIONE, PROCEDURE E CONTROLLI INTERNI VOLTI A PREVENIRE L UTILIZZO DELLE IMPRESE DI ASSICURAZIONE E DEGLI INTERMEDIARI

References: art. 16
 art. 8
 art. 8
 art. 8
 art. 6
 art. 5
 art. 11
 art. 11
 art. 14
 art. 10
 art. 15
 articolo 42