Upload
phungnhi
View
217
Download
0
Embed Size (px)
Citation preview
Università degli Studi Roma Tre
Dipartimento di Studi Aziendali
Corso di Laurea Magistrale in Economia Aziendale
Curriculum: Audit e Valutazioni Aziendali
Tesi di Laurea in
Revisione Aziendale Interna
Evoluzione della funzione di Internal Audit & Compliance:
il caso del gruppo FCA
Relatore: Candidata:
Prof. Carlo Regoliosi Giada Giorgiantoni
Correlatore:
Prof. Giustino Di Cecco
Anno Accademico 2014/2015
Indice Premessa .................................................................................................................................... 1
Capitolo 1 Generalità sull’Internal Audit in FCA ................................................................ 8
1.1 Definizioni ed aspetti normativi ....................................................................................... 9
1.1.1 La Sarbanes Oxley Act statunitense ........................................................................ 14
1.1.2 Aspetti della normativa italiana: il D. lgs. 231/01 e la Legge n. 262/05 ................. 18
1.1.3 Il Codice di Autodisciplina della Borsa Italiana ..................................................... 21
1.2 La funzione di Internal Audit nel sistema di Corporate Governance ............................. 24
1.2.1 L’evoluzione dall’Ispettorato Fiat alla funzione di revisione interna in FCA ........ 28
1.2.2 L’Internal Audit in FCA .......................................................................................... 33
Capitolo 2 Il sistema di controllo interno in FCA ............................................................... 39
2.1 Il sistema di controllo interno: aspetti definitori ............................................................ 40
2.2 Gli obiettivi del sistema di controllo interno .................................................................. 43
2.3 Struttura di sistema di controllo interno ......................................................................... 46
2.4 I rapporti tra l’internal auditor e i principali attori del sistema di controllo interno ...... 51
2.5 Il modello proposto nel COSO I .................................................................................... 53
2.6 Gli elementi del sistema di controllo interno nel framework COSO ............................. 56
2.7 I limiti del framework COSO I ...................................................................................... 61
2.8 Adozione dei framework COSO da parte di Fiat Group ................................................ 63
2.9 Enterprise Risk Management ......................................................................................... 66
2.10 Adozione dell’ERM in FCA ........................................................................................ 72
2.11 Il framework COSO III per il report finanziario .......................................................... 77
2.12 Adozione del framework COSO III in FCA ................................................................ 85
2.12.1 Dettagli dell’implementazione del framework COSO III presso FCA ................. 88
2.12.2 Il processo di controllo interno dei report finanziari di Fiat: la situazione prima
della fusione ..................................................................................................................... 95
Capitolo 3 . Governance, Risk Management and Compliance in FCA ........................... 100
3.1 GRC: Governance, Risk Management and Compliance .............................................. 101
3.2 L’implementazione della fusione dei processi di controllo interno di Fiat e Chrysler in
FCA .................................................................................................................................... 105
3.2.1 La pianificazione del processo di convergenza dei sistemi di controllo interni di
Fiat e Chrysler ................................................................................................................ 106
3.2.2 I modelli alla base della nuova struttura organizzativa ......................................... 110
3.2.3 Struttura progettuale del processo di convergenza ................................................ 113
3.3 Il progetto di convergenza verso una infrastruttura IT unificata a supporto del controllo
interno di FCA .................................................................................................................... 117
3.3.1 Il prodotto IT: caratteristiche generali ................................................................... 118
3.3.2 Il prodotto IT: gestione e tracciatura dei dati ........................................................ 121
3.3.3 Il prodotto IT: supporto all’operatività nei controlli ............................................. 123
3.3.4 Il prodotto IT: supporto nei monitoraggi ............................................................... 125
3.4 Il progetto “GeRiCo”: convergenza fra Fiat e Chrysler in merito a SOX/ICFR/IA/ERM
............................................................................................................................................ 127
3.4.1 Il nuovo GRC dal punto di vista dei processi di business ..................................... 130
3.4.2 L’impatto sulle attività dell’Internal Audit ........................................................... 133
3.4.3 Struttura e organizzazione del nuovo Internal Audit, impatti funzionali
sull’infrastruttura informatica ........................................................................................ 136
Conclusioni ............................................................................................................................ 144
Bibliografia ........................................................................................................................... 148
1
Premessa
L’ intento di questa tesi è quello di fornire una descrizione del sistema di controllo
interno, e più specificatamente della funzione di “Internal Audit & Compliance” di Fiat
Chrysler Automobilies (FCA), delineando la storia di questa funzione all’interno del Gruppo
automobilistico, e in particolare illustrando il processo di convergenza delle attività di
controllo interno di Fiat e di Chrysler in seguito alla fusione tra i due marchi automobilistici
che ha originato la FCA.
Affrontiamo inoltre il tema Governance, Risk Management e Compliance (GRC) nei suoi
aspetti generali e nella declinazione specifica che gli è stata conferita in FCA; in particolare la
caratteristica di accentrare la definizione del modello GRC attorno al concetto di gestione del
rischio.
Per svolgere questa analisi ci si è avvalsi non soltanto della letteratura esistente in materia
di processi di controllo interno e in particolare di internal audit, ma anche, e soprattutto, del
materiale documentale al quale abbiamo avuto accesso durante uno stage effettuato presso il
dipartimento di “Internal Audit & Compliance” di FCA a Torino.
La documentazione fornita è costituita da presentazioni e documenti interni sia del
management che quelli destinati alla formazione degli auditor, oltre ai piani di progetto delle
attività da svolgere, specifici compiti attribuiti alle singoli funzioni e strumenti operativi,
prevalentemente sotto forma di fogli elettronici (Excel e PowerPoint).
Questo materiale è stato vagliato, organizzato e filtrato prima di essere impiegato nella
redazione di questa tesi.
L’obiettivo centrale del lavoro svolto è stato principalmente quello di descrivere il
processo di convergenza e il progetto predisposto da FCA per realizzarlo, ma anche l’utilizzo
di questo materiale e la recentissima storia di gestione manageriale, per illustrare i mutamenti
delle responsabilità e le attese che una funzione di Internal Audit di una grande azienda
multinazionale è chiamata a soddisfare.
In effetti il controllo della reportistica finanziaria, pur rimanendo un tema centrale, anche
a fronte degli obblighi normativi sia italiani che statunitensi, non esaurisce l’ambito di
applicabilità delle attività poste in essere dall’Internal Audit.
2
Infatti l’IA deve pianificare le azioni di engagement e monitoraggio su tutte le aree di
business aziendali, in quanto ciascun processo aziendale è esposto a rischi, e il risk
assessment è una delle tematiche cruciali della corporate governance moderna, di cui il
controllo interno e l’Internal Audit sono chiamati ad occuparsi.
La tesi è divisa in tre capitoli, dei quali il primo inquadra l’ambito della materia e
richiama le nozioni necessarie per focalizzare correttamente quanto esposto nei due capitoli
seguenti.
In particolare, oltre a una parte introduttiva, dove sono ricordate alcune definizioni relative
alle funzioni di internal audit nelle aziende, ai loro obiettivi e alle loro strutture organizzative,
si richiamano i riferimenti normativi che devono essere posti a fondamento di qualsiasi azione
legata all’audit in tema di reportistica finanziaria.
Poiché lo scopo dell’elaborato non è una trattazione puramente teorica, bensì
l’applicazione allo studio del caso FCA, i richiami svolti nel primo capitolo sono concisi e
orientati al tipo di realtà che intendiamo approfondire.
Per questo motivo, essendo FCA una multinazionale nata dalla fusione di un gruppo
italiano, Fiat, e un gruppo statunitense, Chrysler, sono stati esaminati degli aspetti riguardanti
le normative italiane e statunitensi (in particolare la legge 262/05 e la Sarbanes-Oxley Act,
SOX) relative ai reati aziendali di frode finanziaria.
Per ciascuna delle normative ricostruiamo brevemente la loro storia, in modo da capirne la
ratio e la ragion d’essere, e spiegando sinteticamente i meccanismi legislativi stabiliti da
queste leggi per limitare i comportamenti fraudolenti, in particolare ad opera di membri
interni delle organizzazioni aziendali.
Oltre agli interventi del Legislatore, si evidenziano anche altre normative e linee guida,
emanate da istituzioni come per esempio la Borsa Italiana e il suo Codice di Autodisciplina,
che tracciano e orientano la strutturazione delle funzioni di controllo le quali, oltre a
promuovere l’efficacia e l’efficienza dei processi aziendali, hanno anche lo scopo di
monitorare la conformità di questi ultimi alle normative interne ed esterne all’azienda, e di
tracciare standard e linee guida da seguire nelle attività di business.
Successivamente è trattato, in quanto centrale nel modello FCA di controllo interno, il
rapporto fra quest’ultimo e la corporate governance del sistema aziendale: emerge la centralità
del concetto di risk assessment con tutti i passaggi che ne conseguono, ed orientati alla
mitigazione, accettazione, trasferimento e a qualsiasi altra forma di gestione del rischio.
3
Il primo capitolo si conclude con un esame preliminare della situazione Fiat, e in
particolare con una breve ricostruzione storica di come le tematiche del controllo interno sono
state interpretate dall’azienda torinese: correlando i dati storici con gli interventi normativi,
mostriamo come l’azienda abbia sempre fatto proprie le istanze delle normative volte a
garantire la conformità agli standard e alle regole, e a sanzionare i comportamenti fraudolenti.
Questa disamina è anche l’occasione per prendere contatto con la realtà organizzativa
delle funzioni di audit e controllo in Fiat prima della fusione con Chrysler: dati da tenere ben
presenti quando, nell’ultimo capitolo di questo lavoro, illustriamo il processo di convergenza
fra le funzioni omologhe nelle due aziende che hanno dato luogo a FCA.
Sull’Internal Audit di FCA e sulla sua organizzazione di massima verte la conclusione del
primo capitolo: una prima analisi di questa entità aziendale introduce gli elementi che
caratterizzano il secondo capitolo, dedicato alla descrizione del sistema di controllo interno di
FCA.
In questo secondo capitolo richiamiamo le definizioni fondamentali da tenere presenti in
tema di controllo interno, con particolare riferimento alle grandi società multinazionali,
ponendo in relazione il controllo interno con il sistema di risk management e, in modo ancor
più omnicomprensivo, con la corporate governance aziendale.
In particolare, ci soffermiamo sulla organizzazione di un tipico sistema di controllo
interno, avendo sempre in mente l’esempio al quale si vogliono applicare queste definizioni e
questi concetti.
Si evidenziano così le caratteristiche che un moderno sistema di controllo interno deve
possedere per poter essere ritenuto tale, caratteristiche che nel corso del tempo sono mutate e
che al giorno d’oggi rispecchiano la maggiore complessità e interconnessione della realtà
aziendale sia a livello delle sue componenti interne che quelle esterne.
Descriviamo inoltre la tipica struttura di un sistema di controllo interno, svolgendo delle
considerazioni generali e collegando la discussione in particolar modo al rapporto col sistema
di risk management.
Una volta chiariti struttura, obiettivo e ambito del sistema di controllo interno abbiamo
posto questi elementi in relazione con l’Internal Audit, mostrando quali siano nelle grandi
organizzazioni le molteplici relazioni fra l’ Internal Auditor e i principali attori del sistema di
controllo interno.
4
Abbiamo posto l’accento quindi sul ruolo centrale del Consiglio di Amministrazione e
delle cariche esecutive, sia a livello di decisione e indirizzamento strategico, che a livello di
supervisione, sulla base di una reportistica efficace e tempestiva, delle attività di controllo e
monitoraggio.
Tema centrale del secondo capitolo sono gli standard per i sistemi di controllo interno: in
particolare poniamo attenzione ai modelli COSO (dal nome del Committee of Sponsoring
Organizations of the Treadway Commission) e ERM (Enterprise Risk Management).
Emanazione della stessa istituzione statunitense (PCAOB), questi modelli si sono
affermati come dei veri e propri standard, e particolarmente rilevanti ai fini della nostra
discussione in quanto adottati in modo totale e completo da Fiat prima e FCA poi.
Nel fornire la descrizione dei modelli COSO ed ERM, e anche del cosiddetto COSO III,
implementato in FCA ai fini del controllo della reportistica finanziaria, si è posta molta
attenzione nell’evidenziare gli aspetti utili alla successiva discussione svolta nel terzo
capitolo, a proposito dei rapporti fra governance, risk management e controllo interno nel
gruppo FCA.
I capisaldi del modello COSO sono stati analizzati inizialmente da un punto di vista
generale per poi essere compresi a livello di realizzazione sia in Fiat che in FCA: alla
implementazione del modello nella realtà di nostro interesse sono dedicate diversi paragrafi,
scritti utilizzando il materiale fornito dalla azienda.
Introduciamo poi il modello ERM, non prima d’aver evidenziato alcuni limiti del modello
COSO I e mostrato come un punto di vista più ampio e orientato alla gestione del rischio
consenta di superarli.
Anche per questo modello, dopo una discussione generale, e dopo averlo posto in
relazione con gli altri esposti in precedenza, analizziamo la realizzazione del modello ERM da
parte di Fiat e in seguito di FCA, discutendo come è stato applicato e strutturato per
soddisfare le esigenze di analisi dei rischi di un Gruppo con una struttura interna organizzata
per regione o per settore.
Questa discussione è inoltre l’occasione per soffermarsi sul sistema di risk assessment e
risk management di FCA.
Anche per il più restrittivo modello COSO III forniamo dapprima una discussione
generale, ponendolo in relazione ai precedenti ma scendendo a un maggior dettaglio vista la
sua applicabilità alle tematiche della reportistica finanziaria, centrali nella discussione del
5
terzo e ultimo capitolo, per poi procedere ad illustrare come FCA ha adottato questo modello
e come lo utilizza al suo interno.
Il secondo capitolo, il più lungo della tesi, si conclude predisponendo le basi per quello
successivo, vale a dire illustrando la situazione relativa al processo di controllo interno dei
report finanziari in Fiat prima della fusione con Chrysler.
Il terzo e ultimo capitolo tratta, rispetto al mondo FCA, di tre tematiche strettamente
connesse: la governance aziendale, il risk management e la compliance (conformità alle
regole), sintetizzate nella sigla GRC.
Nel processo di convergenza dei sistemi di controllo interno di Fiat e Chrysler verso un
sistema unificato FCA, si è deciso di tendere verso un modello GRC.
Il capitolo è una ricostruzione razionale degli eventi che hanno portato a questa
convergenza, e in particolare dei presupposti, dei piani e delle azioni che sono stati messi in
atto per poterla realizzare.
L’approccio di FCA al sistema di controllo interno è di alto profilo in quanto propone una
soluzione che coinvolge il Consiglio di Amministrazione, il top management, e varie funzioni
ad essi collegate, ciascuna delle quali con una mission specifica ma guidate dalla stessa
strategia di monitoraggio e controllo.
Poiché, nel progetto di convergenza, un ruolo fondamentale è stato assegnato alle
tecnologie di supporto, che si riferisce soprattutto all’ingegnerizzazione offerta dalle
infrastrutture informatiche, la prima parte del capitolo è dedicata all’esame del ruolo degli
strumenti IT e della definizione dei loro requisiti per la realizzazione di una infrastruttura
pervasiva in tutta l’attività di controllo e monitoraggio.
In particolare enucleiamo i criteri che hanno orientato la scelta di una soluzione tecnica
piuttosto che un altra, e quindi anche la scelta di avere privilegiato uno specifico fornitore e
uno specifico prodotto rispetto ad altri, pure concorrenziali.
Si ricostruisce in questo capitolo anche lo sviluppo del modello progettuale che ha
condotto a pianificare le azioni necessarie per realizzare in modo efficiente ma completo la
convergenza fra i sistemi di controllo interno di Fiat e Chrysler.
Scelta una soluzione informatica nuova, ampiamente configurabile ed estendibile per le
finalità precipue della nuova organizzazione orientata al GRC, si è proceduto alla
pianificazione e alla realizzazione di attività di definizione, valutazione, modifica e/o unione
6
di processi, alla creazione di altri e quindi, in buona sostanza, a una modifica strutturale del
modello di controllo delle aziende ante fusione.
In effetti in questo campo Fiat e Chrysler avevano privilegiato in passato soluzioni
abbastanza lontane fra loro, non incompatibili ma governate da presupposti diversi: di qui la
scelta di farle convergere verso un modello nuovo, anziché trasformare l’una nell’altra, o
iceversa.
Per descrivere in modo efficace e dettagliato questi cambiamenti, facciamo riferimento
alla documentazione fornita da FCA, e in particolare la utilizziamo per enucleare i modelli di
base della nuova struttura organizzativa, in modo da fondare la discussione di dettaglio su
basi documentali certe anche se tutte da interpretare ed incrociare fra loro.
La documentazione fornita, fa riferimento a momenti diversi di uno stesso processo, e
quindi è stato scelto di utilizzare i documenti più datati per la ricostruzione del processo nel
suo divenire, mentre quelli più recenti nel descrivere lo stato attuale.
Ne emerge un quadro complesso, nel quale un progetto di convergenza molto lungo e
oneroso in termini di risorse risulta l’unica chiave di successo dell’operazione.
Di nuovo, nel tratteggiare questo quadro, si è approfondito l’aspetto riguardante la
struttura logica e anche funzionale dell’infrastruttura informatica scelta a supporto della
soluzione “to be” di GRC per il controllo interno e l’Internal Audit.
L’investimento tecnologico ha permesso di imporre uno standard di lavorazione comune
in FCA, nelle diverse fasi e nei diversi processi legati alle attività di controllo e monitoraggio.
Scendendo poi nel dettaglio dei requisiti dei moduli informatici che compongono questa
infrastruttura, mostriamo come l’innovazione tecnologica è un driver fondamentale anche
nelle scelte strategiche e di processo.
In tutta la discussione del terzo capitolo, massima enfasi è data alle tematiche relative alla
SOX e in particolare all’ICFR (Internal Control over Financial Reporting), in particolare nel
descrivere l’impatto del nuovo modello di controllo su determinati processi di business che
concorrono in modo essenziale alla produzione dei dati per poi confluire nella reportistica
finanziaria, sia interna che esterna.
Nell’ultima parte della tesi descriviamo l’effetto dell’applicazione di questo nuovo
modello e dei nuovi strumenti informatici sull’Internal Audit & Compliance di FCA da un
punto di vista di struttura, organizzazione e raccolta dati.
7
Il principale impatto nell’applicazione del nuovo modello è stato quello di avere individuato
un elevato utilizzo degli strumenti informatici a supporto del personale dedicato alla attività di
audit.
A conclusione della tesi descriviamo quanto il nuovo modello GRC può considerarsi
efficacie, e quali prospettive ci sono per poterlo ulteriormente migliorare in relazione con i
processi aziendali in continua evoluzione.
8
Capitolo 1 Generalità sull’Internal Audit in FCA
In questo primo capitolo introduciamo alcuni aspetti generali e fondamentali della
funzione di internal audit in FCA, inquadrando prima il contesto e richiamando le necessarie
nozioni in materia che prescindono dal caso specifico. Forniamo dunque una breve disamina
dei principali aspetti teorici dell’internal auditing, per poi soffermarci sugli aspetti normativi
e, in particolare, per quel che concerne le normative non necessariamente italiane ma di
impatto ai fini della nostra analisi.
L’analisi si sofferma in particolare su due leggi, una statunitense e una italiana, che si
pongono (sebbene con diversi distinguo) il medesimo obiettivo di tutela del risparmio ed
efficienza dei mercati. Trattiamo brevemente le ratio e i principi di queste normative
attraverso un confronto tra le due.
Ci soffermiamo anche sul Codice di Autodisciplina della Borsa Italiana S.p.A., un
ulteriore insieme di regole e prescrizioni che, su base facoltativa, offrono anche delle linee
guida per la gestione del sistema di controllo interno di una azienda.
Dopo questa rassegna sulle normative di riferimento, si discute il rapporto fra Internal
Audit e Corporate Governance in generale, trattando anche i modelli standard suggeriti dalle
normative italiane, come la 231/01 e delle funzioni di controllo interno, preparando il terreno
per la discussione specifica su FCA.
Si traccia una breve sintesi della storia della funzione di Internal Audit in FCA, partendo
dall’Ispettorato di Fiat e seguendo gli sviluppi di questo e le modifiche e aggiunte in seno a
Fiat S.p.a. di strutture di controllo sempre più sofisticate fino a giungere all’attuale sistema di
governance di FCA.
Infine si discute la declinazione specifica dell’Internal Audit in FCA, mettendolo a
confronto col sistema di controllo interno, inquadrandolo nell’ambito della governance del
Gruppo e offrendo una panoramica sulle attività e modalità di svolgimento di queste, e sulle
responsabilità in seno all’Internal Audit.
9
1.1 Definizioni ed aspetti normativi
Il livello di complessità interna e di interazioni esterne cui le moderne aziende sono
soggette, indipendentemente dalla loro dimensione ma in virtù della loro partecipazione ai
mercati concorrenziali, implica una necessità di gestione dei processi aziendali che va al di là
della capacità dei singoli manager o executive.
Nell’esercitare le loro prerogative di governance e nell’assolvere al delicato compito del
processo decisionale, che solitamente richiede tempi di reattività molto brevi, il vertice e il
management delle imprese devono essere supportati da funzioni aziendali specializzate nel
monitoraggio e nell’eventuale gestione dei rischi nei quali l’azienda inevitabilmente incorre
nel suo ciclo produttivo.
Un tempo, quando le transazioni finanziarie erano limitate sia come volumi che come
rapidità di scambio, la verifica dei sistemi contabili e i sistemi di prevenzione e controllo delle
frodi costituivano un valido ausilio al management aziendale nella mitigazione dei rischi
derivanti dalle attività operative e finanziarie dell’impresa.
Ma oggi una “gestione passiva” di questo tipo non è più sufficiente dal momento che le
aziende competitor si dotano spesso di strumenti sofisticati a questo scopo.
Al contempo l’evoluzione normativa, sia nazionale che internazionale, richiede
competenze e skill specifiche per poter svolgere efficacemente questa funzione di supporto.
Per questi motivi, l’esistenza di una funzione di internal audit è imprescindibile nelle
organizzazioni più complesse, soggette a rischi eterogenei.
Con la locuzione Internal Auditing si intende, come ben noto1, una attività indipendente
ed imparziale di assurance e consulenza finalizzata al miglioramento dell’efficacia e
dell’efficienza dell’organizzazione aziendale, che si esplica in un approccio professionale
sistematico il cui valore aggiunto consiste nel valutare e migliorare i processi di gestione dei
rischi, di controllo e di governance.
L’internal auditor è dunque una figura che esercita le proprie funzioni in piena autonomia,
nel rispetto delle regole aziendali e delle normative vigenti: tipicamente questa autonomia si
ottiene incasellando la funzione di internal audit nell’organigramma aziendale in una
posizione di staff, e quindi al di fuori del controllo delle singole funzioni aziendali soggette
agli audit.
1 Cfr. Dittmayer (2011), p. 4.
10
L’internal auditor deve inoltre, a garanzia della sua autonomia, non essere coinvolto,
nemmeno in modo indiretto, nelle decisioni operative aziendali, per non generare “conflitto di
interessi” fra i suoi diversi ruoli in seno all’organizzazione.
Queste prescrizioni si applicano anche nel caso in cui l’internal auditor sia un consulente
esterno piuttosto che un membro dell’organizzazione aziendale.
La caratteristica di imparzialità, o meglio di obiettività, dell’internal auditor fa riferimento
alla professionalità e all’etica personale dell’individuo che assolve questa funzione: in
particolare la capacità di formulare i propri giudizi senza tenere conto delle possibili opinioni
altrui; caratteristica fondamentale per questo ruolo, che fra l’altro si coniuga con l’autonomia
della quale si è parlato precedentemente.
Quanto appena specificato consente di esercitare la funzione di assurance, compresa
anch’essa nella definizione di internal auditing che abbiamo richiamato.
Con il termine assurance, si intende una specifica tipologia di servizio offerta dall’internal
auditor all’organizzazione nei termini della rilevazione e osservazione di fatti aziendali da un
punto di vista obiettivo, tale da consentire un giudizio indipendente ed affidabile in merito
agli stessi e alle loro conseguenze.
Nella accezione più ampia conferitale dallo standard IIA 1130, l’assurance deve
istanziarsi in servizi che comprendano tutte le attività necessarie a fornire nuove informazioni,
rendere più tempestive quelle già disponibili e/o garantire l’affidabilità di queste ultime,
nell’ottica di migliorare la qualità delle decisioni aziendali2.
Dal punto di vista operativo, vuol dire che l’internal auditor si pone in una condizione di
terzietà fra i soggetti auditati, l’ oggetto dell’analisi e della rilevazione, e il soggetto che
utilizzerà il risultato dell’ assurance, tipicamente (ma non esclusivamente) un organismo
aziendale interno, spesso apicale, che necessiti di una consulenza in merito alla funzione di
vigilanza interna.
L’auditor si pone quindi nella condizione di consulente rispetto al cliente finale, sebbene i
servizi di consulenza vadano tenuti distinti dai servizi di assurance3.
2 Cfr. Standard IIA 1130, Condizionamento dell’Indipendenza o dell’Obiettività.
3 Cfr. Dittmayer (2011), p. 6.
11
Infatti il servizio di consulenza vede una relazione consulente-cliente, dove il ruolo del
consulente è svolto dall’auditor e il cliente è la funzione aziendale che richiede tale servizio
per avvalersi poi dell’output prodotto.
La differenza è tuttavia nel merito, vale a dire nel caso di un servizio di consulenza il
piano di auditing e in generale le attività dell’auditor sono concordate col cliente stesso,
necessarie ad esigenze specifiche, mentre nell’assurance l’auditor sceglie e decide in piena
autonomia il suo spazio di manovra e gli ambiti di copertura dell’attività che è chiamato a
svolgere.
I vincoli di indipendenza e obiettività dunque, per quanto sempre da tenere presenti, sono
meno stringenti nel caso dell’attività di consulenza: per esempio si potrebbe scegliere come
auditor il personale che ha svolto attività nell’ambito della funzione che si vuole controllare,
sulla base di considerazioni di esperienza e competenza più che di imparzialità4.
Naturalmente assurance e consulenza non sono due attività separate ma possono essere
svolte in contemporanea nell’ambito di una azione di internal auditing e proficuamente dallo
stesso team di auditing.
Gli aspetti che abbiamo fin qui richiamato fanno riferimento al “chi” e al “come”, vale a
dire sono relativi alle caratteristiche e alle modalità operative delle figure professionali
dedicate all’attività di internal auditing.
Ma è anche fondamentale, ai fini della discussione svolta in questo lavoro, tenere presente
e richiamare alcuni aspetti essenziali del “cosa”, vale a dire dell’oggetto precipuo dell’attività
di internal auditing.
Se la definizione che abbiamo riportato, mediata dalla letteratura, offre una sintesi
adeguata degli scopi dell’attività di internal auditing, è possibile e necessario corredarla di
dettagli e precisazioni ulteriori.
In particolare, la finalità ultima dell’attività di internal auditing è promuovere l’efficacia e
l’efficienza di una organizzazione: come ben noto5, l’efficacia consiste nel raggiungimento
dei propri obiettivi di business e l’efficienza nel perseguire l’efficacia in modo ottimizzato se
non ottimale.
4 Cfr. Standard IIA 1130.C1, Condizionamento dell’Indipendenza o dell’Obiettività.
5 Cfr. Dittmayer (2011), p. 8.
12
L’efficacia aziendale è quindi il fondamento della qualità interna del lavoro e
dell’organizzazione, e può essere monitorata, e quindi migliorata con interventi mirati,
incrementando i controlli.
L’efficienza è invece la capacità di ridurre le risorse da utilizzare per poter conseguire
l’efficacia, e in particolare si esplica nell’ottimizzazione dei controlli: in quanto tale è una
tipica attività di consulenza.
Per supportare l’organizzazione a rendere più efficaci i suoi processi, e nello specifico i
processi produttivi, l’internal auditor deve disporre della conoscenza di dominio necessaria
all’ottimizzazione dei controlli, alla scelta dei monitoraggi e anche alla valutazione dei sistemi
di risk management disponibili in azienda, per segnalare eventuali anomalie, mettendo in
campo dunque un approccio professionale sistematico6.
Il raggiungimento delle finalità dell’internal auditing non solo è legato alle skill degli
auditor ma anche alle loro capacità relazionali e comunicative, necessarie per poter
rappresentare scenari di criticità e ambiti di miglioramento, fornendo quindi quel valore
aggiunto citato nella definizione di internal auditing.
La creazione di questo valore avviene grazie ad una attività di analisi dei rischi, utile alle
funzioni di governance dell’organizzazione per poter prendere decisioni che migliorino
l’efficacia e l’efficienza dei processi, come si è detto, vale a dire il raggiungimento degli
obiettivi col minor sforzo possibile: questo potrebbe implicare una modifica dei processi
organizzativi, e l’internal auditing deve avere l’autorevolezza di poter suggerire questa
modifica alle funzioni executive e manageriali dell’organizzazione.
Dunque l’auditing non deve intendersi come una mera attività di rilevamento, di “sola
lettura” dei dati e degli eventi che costituiscono l’insieme dei processi aziendali da sottoporre
a miglioramento, ma deve anche avere un valore proattivo volto a suggerire strategie di
miglioramento, e svolta in maniera corretta ed imparziale tale da consentire ai livelli
decisionali dell’azienda di poter scegliere la strada migliore per il perseguimento degli
obiettivi aziendali.
L’auditor deve quindi essere in grado di intercettare le esigenze specifiche del
management, in modo da poter concentrare la sua attenzione sugli aspetti più significativi
dell’organizzazione, da un lato nell’ottica di assolvere alla funzione di ottimizzazione dei
6 Cfr. Standard IIA 2100, Natura dell’Attività.
13
controlli, dall’altro di individuare le aree critiche, con particolare riferimento alle attività di
risk management, da evidenziare al top management.
L’attività dell’auditor deve essere, come si è detto, proattiva nel senso di mantenere un
rapporto e una relazione con la governance e il management aziendali non solo di
trasmissione di informazioni ma di comunicazione nella sua accezione più ampia, vale a dire
condivisione di obiettivi e strategie oltre che di dati e informazioni.
In questo, sostanzialmente, si esplica il valore aggiunto degli internal auditor
nell’esercizio delle loro funzioni come è comunemente inteso al giorno d’oggi.
Per chiudere questa raccolta di nozioni fondamentali e generali, analizziamo un ultimo
aspetto che emerge dalla definizione di internal auditing, vale a dire la correlazione fra i tre
diversi aspetti che l’attività di internal auditing deve tendere a migliorare: la corporate
governance, la gestione dei rischi e la gestione dei controlli.
L’internal auditing è una componente del sistema di corporate governance dell’azienda,
che ha visibilità tanto degli aspetti dell’organizzazione aziendale e di processo quanto degli
aspetti specificatamente societari, costituendo quindi l’unico punto di aggregazione globale, a
livello di controllo, di questi sfaccettature della realtà aziendale.
La gestione dei rischi e la gestione dei controlli, ovviamente legate, trovano nell’attività
dell’ internal auditor l’unico e fondamentale supporto al proprio miglioramento congiunto, e
l’unico punto di confluenza fra i dati e i processi a loro disposizione, sottoposti al
miglioramento continuo al fine di poter implementare l’efficacia e l’efficienza.
A questo fondamentalmente mirano le attività di assurance e consulenza che la funzione
di internal audit è chiamata a svolgere nella propria realtà aziendale.
Tutte le considerazioni introduttive fin qui svolte, rendono conto del fatto che l’internal
auditing non può svolgersi senza l’ausilio di un adeguato impianto normativo e metodologico:
da un lato l’assenza di questi requisiti renderebbe non valutabile l’attività, dall’altro
lascerebbe un margine di arbitrarietà all’azione dell’ internal auditor che ne vanificherebbe
l’operato.
Dal punto di vista metodologico esistono delle istituzioni nazionali e internazionali cui
fare riferimento per le linee guida, per le metodologie e anche per la formazione: l’Institute of
Internal Auditors (IIA) e l’Associazione Italiana Internal Auditors (AIIA) 7.
7 Cfr. Dittmayer (2011), §2.
14
Per quanto concerne la normativa di riferimento dipende dalle legislazioni dei singoli
Paesi: la casistica cui siamo interessati in questa sede riguarda gli Stati Uniti e l’Italia, i due
Paesi di riferimento delle due aziende la cui fusione ha dato vita al gruppo FCA (il cui CEO
ed executive management è basato a Londra).
Nei paragrafi seguenti approfondiamo i due principali interventi normativi del legislatore
italiano e di quello statunitense in merito alla regolamentazione di impresa e all’internal
auditing.
1.1.1 La Sarbanes Oxley Act statunitense
Agli inizi degli anni 2000 la finanza e l’imprenditoria statunitensi furono al centro di
clamorosi scandali, originati da truffe operate da elementi dei vertici di grandi aziende senza
apparente controllo interno, o con la connivenza del controllo interno, a scapito degli
investitori, dei clienti e anche dei dipendenti stessi.
Un esempio su tutti è il celebre caso della società Enron, condotta alla bancarotta dalle
conseguenze dello scandalo, travolgendo con se una delle principali società di revisione e di
certificazione di bilancio e consulenza, la Arthur Andersen.
La reputazione del colosso storico dell’auditing e della consulenza subì un colpo
irreversibile dalla vicenda: lo scandalo non fu soltanto causato dalla frode commessa in seno
alla industria energetica, dal CFO della Enron, ma anche dalla connivenza proprio della
società di consulenza che avrebbe dovuto, tramite l’auditing, vigilare sulla regolarità e
conformità dei comportamenti aziendali della Enron: in questo senso, lo scandalo Enron
costituì il maggiore caso di fallimento documentato di internal auditing8.
Questo e altri clamorosi e rovinosi casi di scandali finanziari legati alla corporate
governance di grandi industrie, in svariati settori, evidenziarono la necessità di “controllare i
controllori”, spingendo il legislatore statunitense ad emanare un complesso di normative,
volte a sanzionare comportamenti sia degli executive delle aziende che degli internal auditor,
fraudolenti e legati al conflitto di interessi.
Nel 2002 venne emanata dal Congresso americano una legge federale, nota come
Sarbanes-Oxley Act, la cui dicitura completa è “Public Company Accounting Reform and
8 Cfr. Bratton (2002).
15
Investor Protection Act” nella discussione al Senato, e “Corporate and Auditing
Accountability and Responsibility Act” nella discussione alla Camera dei rappresentanti.
Più comunemente nota come SOX, questa legge si articola in diversi punti al fine di
migliorare la corporate governance e garantire la trasparenza delle scritture contabili,
toccando e cercando di sanare le vulnerabilità del processo di internal auditing che possono
emergere in assenza di un riferimento normativo e degenerare nei comportamenti fraudolenti
più sopra richiamati.
La legge, al fine di implementare un controllo effettivo sulle attività di auditing all’interno
delle grandi aziende, ha istituito il PCAOB (Public Company Accounting Oversight Board).
Tale istituzione, preposta al controllo indipendente delle società di auditing, emette le policy
per il controllo di qualità9 e stabilisce le linee di conformità che le procedure di auditing
devono soddisfare.
Un ruolo chiave è assegnato anche alla Security and Exchange Commission (SEC),
l’organismo istituito dal governo federale nel 1934, durante la crisi economica nota come
“Grande Depressione”, con lo scopo di tutelare gli investitori e vigilare sulla correttezza ed
efficienza dei mercati.
Inoltre, la SOX conferisce alla SEC un’ attività di pubblicazione dei propri studi e report
in merito alle questioni della sicurezza delle operazioni sui mercati, delle violazioni delle
norme di sicurezza e sul ruolo delle banche di investimento nell’ambito di queste operazioni.
La legge delinea anche degli standard e delle linee guida in materia di indipendenza degli
auditor per circoscrivere in modo chiaro il perimetro al di fuori del quale vi è conflitto di
interessi: per esempio indica alcune misure relative alla reportistica di auditing, o anche alla
restrizione imposta alle società di auditing di non offrire agli stessi clienti anche servizi che
esulino dall’auditing stesso10.
La SOX inoltre istituisce delle disposizioni legislative per sanzionare i comportamenti
fraudolenti e di connivenza fra auditor e società soggette ad auditing: in particolare, la legge
enumera delle fattispecie delittuose relative alla manipolazione, distruzione o modifica di dati
9 Cfr. Kuschnik (2008).
10 Cfr. Kuschnik (2008).
16
finanziari o altre informazioni utilizzate per le decisioni economico-finanziarie, offrendo
anche misure di salvaguardia per i “whistle-blower” 11.
Dal punto di vista della definizione e standardizzazione del comportamento degli auditor
ma anche dei dirigenti che si avvalgono della loro funzione, la SOX introduce una serie di
concetti, in sede legislativa, con l’esplicito scopo di normare e regolare gli standard di
comportamento e di svolgimento dell’attività di auditing: per esempio viene definito in modo
preciso come deve avvenire l’interazione fra auditor esterni e i comitati di auditor interni,
proprio per prevenire eventi di connivenza come quelli manifestatisi nel caso Enron12.
Un accento particolare è posto sulla responsabilità individuale degli executive delle
aziende in merito alla veridicità e congruità dei dati riportati nei report finanziari delle aziende
da loro gestite: in particolare il CEO (Chief Executive Officer) e il CFO (Chief Financial
Officer), ma in generale i “principal officers”, devono certificare e approvare la completezza e
veridicità dei report finanziari della compagnia su base almeno trimestrale13.
Particolare enfasi è posta in tutta la legge sul trattamento e sulla trasparenza dei dati
finanziari dell’azienda, proprio perché la motivazione per questa iniziativa legislativa è stata
legata a scandali finanziari che hanno sottratto ingenti somme di denaro al mercato e
all’economia.
Nel suo complesso la SOX rappresenta un intervento legislativo di ampia portata, il cui
contenuto è in qualche modo vincolante e costrittivo rispetto all’operato dei vertici
imprenditoriali delle grandi aziende, ma comunque assolutamente a tutela del mercato e della
libera iniziativa, che negli Stati Uniti costituisce il fondamento della cultura economica e
politica, basato sulla strategia del lasseiz faire, cioè della massima libertà di azione agli attori
della realtà economica.
Non a caso, alcuni critici della SOX le imputano proprio di interferire con le attività
imprenditoriali, limitando in qualche modo l’azione imprenditoriale e imponendo vincoli che
potrebbero rendere svantaggiate le aziende statunitensi rispetto ai competitor stranieri.
11 Il ruolo della segnalazione di illeciti nella cultura anglosassone è assai più spiccato che nella cultura europea
continentale, specie nel nostro paese: la segnalazione di illecito da parte di dipendenti o altri attori di un processo
di business non viene vista come una delazione e il segnalatore viene tutelato. Recentemente anche in Italia si è
presa in considerazione l’idea di utilizzare le segnalazioni di illeciti per dare avvio a ispezioni e indagini interne,
specie nella pubblica amministrazione, sempre nella tutela e nella salvaguardia dell’anonimato dei segnalatori.
12 Cfr. Kuschnik (2008).
13 Cfr. Kuschnik (2008).
17
Lo scopo principale della SOX era, oltre a introdurre misure per mitigare il rischio del
verificarsi di nuovi scandali, almeno con quelle modalità e di quelle proporzioni, di infondere
nuovamente fiducia agli investitori e ai mercati.
Tuttavia, a quasi quindici anni dalla sua emanazione, la Sarbanes-Oxley Act non ha
acquisito uno status ben definito dal punto di vista della sua valutazione di impatto: i
commentatori esibiscono pareri difformi, dovuti anche alla difficoltà di discernere fra le
numerose altre variabili che incidono sui mercati e sulle aziende14.
Il beneficio in termini di controllo interno è stato innegabile, ovviamente al costo di
investimenti sui quali è stato tuttavia possibile fare economie di scala: in particolare, i costi di
compliance alla normativa sono importanti in fase di messa a punto, o implementazione da
zero, degli strumenti necessari alla compliance, per poi scemare gradualmente a regime15.
Il motivo principale di questi costi sta nel doversi rivolgere, da parte dell’azienda, a un
fornitore esterno per il servizio di auditing, in modo da garantire trasparenza e imparzialità,
ma anche mettere in piedi un meccanismo efficiente di controllo secondo quanto prescritto
dalla legge.
Il costo da sostenere per essere compliant alla SOX può essere visto come una “tassa
sull’inefficienza” di una organizzazione, in quanto il costo viene abbattuto se l’azienda si dota
di meccanismi centralizzati e possibilmente automatizzati a supporto del sistema di
reportistica finanziaria interno.
A fronte di questi costi, il beneficio è stato notevole, soprattutto in termini di affidabilità
percepita della reportistica interna, ma anche di quella di cui l’azienda fornisce disclosure
all’esterno: in altri termini, l’implementazione dei controlli e dei monitoraggi secondo le
prescrizioni della SOX sembra aver migliorato la capacità di stima finanziaria, rendendola più
realistica e meno manipolabile, con una conseguenza positiva sulla catena decisionale.
Il management aziendale deve infatti assolvere a dei compiti ben delineati dal testo della
SOX: a titolo di esempio, effettuare un risk assessment (scalabile sulla base dell’effettiva
dimensione aziendale), mettere in campo misure di controllo per prevenire o comunque
rilevare le eventuali frodi, etc.
In ogni caso il successo della legge può rilevarsi dal fatto che in numerosi altri paesi
industrializzati sono state prese simili misure: d’altra parte, in un’ economia globalizzata,
14 Cfr. Shakespeare (2008).
15 Cfr. AAVV (2011).
18
anche la legislazione economico-finanziaria tende a diffondersi nei paesi che hanno relazioni
commerciali e sistemi economici basati sui medesimi principi.
1.1.2 Aspetti della normativa italiana: il D. lgs. 231/01 e la Legge n. 262/05
Anche in Italia, negli anni 2000 sono state introdotte normative di questo tipo, e anche in
questo caso dopo che sono scoppiati gravi scandali finanziari, ricordiamo ad esempio i casi
Cirio e Parmalat.
Già nel 2001 il legislatore era intervenuto con un Decreto Legislativo, il 231 del 2001
“Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle
associazioni anche prive di personalità giuridica”, che introduceva un concetto di
responsabilità all’interno della disciplina normativa di alcuni reati, consentendo quindi di
colpire sia l’azienda coinvolta nella condotta delittuosa sia i suoi soci in vario modo, dalle
pene pecuniarie all’interdizione e commissariamento.
Va precisato che l’azienda può non ritenersi responsabile se dimostra di avere adottato ed
efficacemente attuato protocolli, procedure di condotta e un modello organizzativo al fine di
prevenire la commissione dei reati oggetto del decreto.
Il decreto legge menziona espressamente l’adozione di modelli di organizzazione e
controllo di gestione che possono consentire la prevenzione di queste condotte o
semplicemente dimostrare che l’azienda, in quanto Ente, non è responsabile delle condotte
malevole di suoi soci che abbiano commesso il reato violando in modo fraudolento il modello
organizzativo o semplicemente ignorandolo.
Il concetto di responsabilità così come inteso dal decreto viene chiamato “amministrativo”
sebbene consenta di rivalersi sul patrimonio degli enti che incorrono nel reato, e quindi
direttamente sull’interesse economico dei soci cui sono derivati benefici dalla commissione
del reato.
Le fattispecie elencate nel decreto comprendono la malversazione, la truffa e la frode
informatica ai danni dello Stato o delle Pubbliche Amministrazioni (PA) coinvolte in
operazioni svolte da aziende per tutelare e garantire la propria operatività, come ad esempio le
dichiarazioni di bilancio, gli sgravi fiscali, i benefici delle prestazioni emergenziali per
19
particolari situazioni critiche (cassa integrazione, etc.): la lista completa16 copre una gran
quantità di reati che si possono commettere utilizzando le risorse di una impresa.
L’interesse di questa normativa sta nel fatto che viene indicata l’adozione di standard di
controllo come deterrente per le condotte delittuose ma soprattutto come prova della “buona
fede” dell’azienda in quanto tale, dimostrando in questo modo di aver messo in campo
contromisure preventive per arginare la possibilità di illeciti di vario tipo.
Questo impianto normativo, per quanto abbia colmato un vuoto legislativo e aggiornato la
disciplina giuridica della responsabilità civile e penale per i reati amministrativi, non è bastato
ad evitare i ben noti scandali finanziari, i cosiddetti “crac”, che hanno colpito il mondo della
finanza e dell’imprenditoria italiana a ridosso della recente crisi economica.
In particolare mancava una disciplina più chiara e circoscritta a tutela del risparmio
investito nell’impresa, tipicamente nella grande impresa, una caratteristica che abbiamo visto
essere alla base della SOX.
Non a caso il seguente importante intervento normativo, la Legge 262/2005, è stata
chiamata “Legge sul Risparmio” in quanto il suo obiettivo principale è stato proprio di porre
attenzione al punto appena richiamato della normativa statunitense.
La principale novità di questa legge del 2005 è stata l’introduzione della figura del
dirigente “preposto” alla redazione dei documenti contabili, e quindi con funzione di
accountant per la veridicità e obiettività di questi documenti: tuttavia questa normativa ha
anche interessato l’organizzazione della Banca d’Italia nella sua funzione di controllo e
disciplina sulle organizzazioni bancarie operanti in Italia.
La legge ha introdotto una nuova disciplina per il reato di falso in bilancio, con una pena
da sei mesi a tre anni di reclusione, l’istituzione di una Commissione per la tutela del
risparmio, che riporta direttamente al Presidente del Consiglio dei Ministri, e la nomina del
governatore di Banca d’Italia effettuata con un decreto del Presidente della Repubblica su
proposta del Presidente del Consiglio: la carica di governatore dura per sei anni e consente un
solo rinnovo del mandato.
In sostanza, l’ampiezza dell’intervento normativo va dal rafforzamento dei controlli
interni delle società, al rafforzamento dei controlli pubblicistici a tutela del risparmio, al
16 Cfr. http://www.complianceaziendale.com/2006/06/elenco-aggiornato-dei-reati-previsti.html.
20
miglioramento della trasparenza dei mercati, alla promozione di una maggiore collaborazione
fra le autorità che disciplinano il comportamento dei mercati stessi.
Come è stato autorevolmente rilevato17, sebbene la legge costituisca un importante passo
in avanti sulla strada della trasparenza, dell’applicazione dei codici di autodisciplina e
dell’azione flessibile delle autorità di vigilanza; per quanto concerne i conflitti di interessi
negli intermediari finanziari ma soprattutto per quanto riguarda la corporate governance,
l’intervento normativo “sembra muoversi con qualche incertezza fra interventi volti a favorire
la dialettica interna alla società, ovvero a valorizzare il ruolo dell’autodisciplina, e strumenti
più dirigistici, basati su una regolamentazione imperativa assai minuziosa”18.
Dal punto di vista della corporate governance, le novità introdotte dalle legge e che
riguardano le società quotate in borsa si possono riassumere in un elenco di requisiti che
queste società sono chiamate a rispettare.
Abbiamo già menzionato la necessità di indicare un dirigente preposto, cui devono
chiaramente essere conferiti poteri e strumenti per la propria attività: fra questi strumenti è
possibile citare le procedure amministrative e contabili da progettare e implementare a livello
di organizzazione aziendale, e la cui predisposizione è proprio uno dei compiti del preposto.
Inoltre vi è l’onere di definire o individuare un modello di riferimento per la valutazione
dell’adeguatezza delle procedure amministrative poste in essere, valutazione che deve poter
essere condotta sulla base di una documentazione di riferimento.
Il preposto, affinché svolga gli oneri precedentemente indicati, può far riferimento ad una
struttura che lo supporti in primo luogo nell’assicurare l’adeguatezza dei processi relativi ai
flussi di informazioni amministrative e finanziarie dell’azienda, oltre che nella
predisposizione della reportistica richiesta dalla legge e necessaria alla operatività aziendale.
A livello di relazioni fra le funzioni aziendali e il sistema di controllo, dal quale il
preposto acquisisce le informazioni per la sua attività, l’internal audit supporta e coadiuva il
dirigente preposto nella propria attività: si noti che la funzione di auditing, riferendo al
Comitato per il controllo interno, scambia informazioni con il preposto ma ne valida
l’operato, e dunque, se le due funzioni aziendali sono separate, agisce in modo parallelo ma
indipendente.
17 Cfr. Draghi (2006).
18 Cfr. Draghi (2006), p. 1.
21
E’ tuttavia possibile che, stante l’organizzazione e la dimensione di una impresa, il
responsabile dell’internal auditing potrebbe coincidere col preposto per motivi di efficienza e
di opportunità.
Volendo istituire un paragone fra la legge 262/2005 e la Sarbanes Oxley Act, nella prima
il preposto è chiamato ad assumere quelle responsabilità che nella SOX sono a carico del
CEO e del CFO: per esempio la certificazione della veridicità dei report annuali e trimestrali,
nonché dell’informativa di bilancio e di altri documenti contabili.
Altro parallelismo può essere individuato nella necessità di emettere e certificare degli
internal control report sull’attività e l’efficacia della funzione interna di controllo.
Ci sono ovviamente anche molte differenze: per esempio la norma statunitense richiede la
verifica e l’attestazione da parte di un revisore esterno dei processi e delle procedure definite
dal management, laddove la normativa italiana non impone il ricorso a una società esterna ma
punta piuttosto sulla figura, su cui possono gravare pendenze civili e penali in caso di
condotta fraudolenta, del dirigente preposto.
Non esistono inoltre, secondo la normativa italiana, requisiti minimali per il sistema dei
processi e delle procedure oggetto di attestazione da parte del management, laddove la SOX
prevede l’istituzione del PCAOB e un ruolo importante della SEC, come si è avuto modo di
ricordare.
1.1.3 Il Codice di Autodisciplina della Borsa Italiana
All’iniziativa legislativa in molti paesi si è affiancata una iniziativa degli enti preposti al
controllo e alla governance del mercato interno nei singoli paesi, in Italia si tratta della Borsa
Italiana, laddove iniziative di autoregolamentazione sono state messe in campo anche negli
Stati Uniti da parte del NYSE e del NASDAQ per esempio, sempre in seguito agli scandali
dei primi anni del XXI secolo, sebbene la prima regolamentazione statunitense di questo tipo,
lo Statement on Corporate Governance risalga al 1997.
La prima iniziativa di questo tipo risale al 1992, in Gran Bretagna, dove vennero emanate
delle linee guida per le società quotate, volte a offrire indicazioni di carattere operativo in
merito alla composizione del Consiglio di Amministrazione, del suo funzionamento, dei
meccanismi di controllo, etc.
22
Il Codice di Autodisciplina emanato da Borsa Italiana19 per la prima volta nel 1999, ha
subito una serie di modifiche e revisioni a partire dal 2002, sebbene la revisione del 2006 sia
stata più importante, come pure quella seguente del 2011 e infine del 2014.
Il Codice si basa su una adesione volontaria, quindi si pone come una linea guida, non
come una disciplina imposta dall’esterno: le aziende possono decidere se uniformarsi ad esso
e, nel farlo, il Codice stesso offre loro le linee guida per poterlo recepire in modo appropriato
rispetto al proprio contesto aziendale (i cosiddetti “criteri applicativi” che accompagnano gli
articoli del codice).
Per sua natura il Codice di Autodisciplina consente deroghe parziali ai propri articoli, cioè
di discostarsi dalle specifiche raccomandazioni contenute nei principi e nei criteri applicativi
da esso sanciti, a condizione che si specifichi il motivo della deroga, la modalità con cui la
raccomandazione è stata disattesa, come è stata presa questa decisione e se è provvisoria o
meno.
In generale, l’impostazione del Codice di Autodisciplina è improntata alla flessibilità,
consentendo dunque la disapplicazione parziale o totale di alcune sue raccomandazioni
sempre in una logica di comply or explain.
Uno specifico comitato della Borsa, il Comitato per la Corporate Governance, ha il
compito di monitorare lo stato di applicazione del codice da parte delle società che decidono
di aderirvi e di emanare le eventuali revisioni del codice stesso.
Dei dieci articoli del Codice, il settimo riguarda il sistema di controllo interno e di
gestione dei rischi, a tal punto una sua breve analisi è utile alla discussione che andiamo a
sviluppare in questo lavoro.
Il Codice di Autodisciplina non si pone l’obiettivo di entrare nelle questioni organizzative
relative all’architettura dei controlli interni dell’azienda, piuttosto enuncia una serie di
raccomandazioni relative al governo del sistema di questi controlli e sul ruolo degli attori che
contribuiscono a realizzarlo e gestirlo.
I due principi generali sui quali poggiano le raccomandazioni del codice a proposito di
questa materia si possono enunciare come segue: da un lato viene riconosciuta la centralità
della gestione del rischio, intesa come identificazione, valutazione e monitoraggio dei rischi,
rispetto alla funzione di controllo interno.
19 Cfr. l’ultima versione disponibile on line al sito Internet http://www.borsaitaliana.it/comitato-corporate-
governance/codice/2015clean.pdf.
23
Dall’altro, viene affermata l’idea per cui un sistema di controlli per risultare efficace
debba essere integrato a sua volta nell’assetto organizzativo, amministrativo e contabile della
società, tale che le sue componenti siano indipendenti ma coordinate tra loro.
Enunciate queste considerazioni di carattere generale e metodologico, il Codice di
Autodisciplina si sofferma sui ruoli dei diversi attori aziendali rispetto alla funzione di
controllo interno e gestione del rischio.
Un ruolo centrale è affidato al Consiglio di Amministrazione, che indirizza il sistema dei
controlli sulla base delle strategie e del profilo di rischio scelto per poter competere sul
proprio mercato di riferimento: anche l’adeguatezza di questo sistema di controlli viene
demandata al Consiglio di Amministrazione, che svolge periodicamente la sua valutazione,
fatto salvo il verificarsi di eventi straordinari che richiedano un assessment d’urgenza.
A supporto dell’attività istruttoria legata all’esame delle relazioni finanziarie periodiche, il
Consiglio di Amministrazione ha un “Comitato di controlli e rischi”, una funzione distinta dal
“Comitato di controlli interno (internal audit) e revisione contabile” del quale l’azienda si
deve necessariamente dotare.
In particolari condizioni e se adeguatamente motivate, il Consiglio di Amministrazione
può decidere di assolvere alle attività istruttorie senza istituire il Comitato di controlli e rischi.
Il CDA individua anche l’amministratore responsabile del sistema di controllo interno e
gestione dei rischi, ovviamente possono essere più di uno, magari ciascuno con una delega
riguardante una diversa funzione aziendale, per aree di rischio quindi.
Per quanto riguarda le funzioni aziendali coinvolte nel sistema dei controlli, l’Internal
Audit assume il ruolo centrale secondo le raccomandazioni del codice di
autoregolamentazione: l’internal audit si connota nel codice per la sua indipendenza e terzietà,
ottenuta per la concessione di poteri autonomi nella predisposizione del piano di audit e
nell’attivazione dei singoli interventi, ma anche in relazione alle modalità di nomina, revoca e
remunerazione del suo responsabile.
Il responsabile dell’Internal Audit riporta periodicamente al Consiglio di
Amministrazione, sebbene le decisioni che lo riguardano debbano avere il parere favorevole
del comitato dei controlli e rischi una volta informato il Collegio Sindacale.
La reportistica prodotta dall’Internal Audit deve quindi essere resa nota al Presidente del
Consiglio di Amministrazione, del Collegio Sindacale, del Comitato di Controllo e Rischi e
all’amministratore incaricato del sistema di controllo interno e gestione dei rischi.
24
Per quanto riguarda la gestione del rischio, il codice non prevede in generale nulla che non
sia imposto dalla legge, in particolare la figura del dirigente preposto, della quale abbiamo già
parlato in precedenza.
Al di là di questo, il tema del risk management viene influenzato dal contesto e dal settore
di appartenenza dell’azienda, sebbene alcune questioni siano pressoché presenti in ogni
impresa (rischio finanziario, rischio di sicurezza, etc.).
Proprio per questo motivo, diverse normative settoriali si occupano di prescrivere
l’istituzione di strutture aziendali preposte alla gestione di rischi.
In particolare, si ritiene che in questa materia l’azienda debba avere la flessibilità di
stabilire l’assetto organizzativo più idoneo all’efficace gestione del rischio, per esempio
demandando l’attività di risk management non a una funzione specifica ma a funzioni che
svolgono anche altri compiti, contando sul fatto che l’internal audit svolge comunque una
funzione di revisione anche in questo senso.
Per chiudere questa sintesi dell’art. 7 del Codice di Autodisciplina della Borsa Italiana,
notiamo che in esso si fa menzione della segnalazione di illeciti da parte dei dipendenti, il
whistle-blowing, argomento di attualità nel panorama normativo contemporaneo in materia di
lotta alla corruzione e trattato precedentemente a proposito della SOX.
1.2 La funzione di Internal Audit nel sistema di Corporate Governance
Abbiamo già fatto riferimento al Decreto legislativo 231/01 del 2001, che ha introdotto
una serie di novità in tema di corporate governance in seno alla normativa di impresa: in
particolare abbiamo posto l’accento sulla figura del dirigente preposto.
Analizziamo ora gli aspetti che hanno impattato sulla corporate governance e
precisamente il modello che le aziende sono tenute a definire, durante il ciclo di vita
produttivo, per poter efficacemente assolvere ai compiti dettati dal decreto.
La legge suggerisce l’adozione del “modello 231”20: questo modello, per poter assolvere
alla sua funzione di prevenzione dei reati amministrativi, deve basarsi su una valutazione
circostanziata dei rischi nei quali l’azienda può incorrere durante la propria attività operativa e
finanziaria.
20 Cfr. D. lgs. 231/01, art. 6 comma 2.
25
Il tema della gestione dei rischi è strettamente correlato alle funzioni di controllo e
internal auditing come abbiamo più volte sottolineato.
In generale, l’input necessario al modello 231 deve prevedere una mappatura dei processi
aziendali a rischio, con l’enumerazione dei rischi potenziali per ciascun processo, una analisi
del sistema di controllo e una conseguente valutazione dei rischi residui: ai rischi devono
corrispondere degli strumenti, predisposti e integrati in un sistema di controllo, in grado di
prevenire i rischi individuati.
Ai fini della corporate governance, la soglia minima di accettabilità di un rischio è legata
al seguente criterio: un sistema di prevenzione dei rischi è da ritenersi accettabile se può
essere “aggirato” soltanto in maniera fraudolenta.
Questo requisito è sufficiente per poter far scattare la clausola di non responsabilità
aziendale proprio a fronte di condotte delittuose secondo le fattispecie elencate nel D. lgs.
231/01: la tassonomia di queste condotte è estremamente articolata e fa riferimento a un
ampio spettro, si va da reati in danno alla PA, agli abusi di mercato, ai reati societari, ai reati
transnazionali (associazione per delinquere), ai reati ambientali, etc.
Il cuore del modello 231 sono i protocolli di condotta, che si concretizzano nelle
procedure aziendali indirizzate alla regolamentazione delle attività, con l’esplicita finalità di
prevenire condotte delittuose rilevanti ai fini della responsabilità ex D. lgs. 231/01.
Questi protocolli di condotta si ispirano ai principi della trasparenza e dell’efficienza,
documentando le attività delle singole procedure aziendali in modo da oggettivare i controlli
necessari a testarne la correttezza, e tracciando la catena di responsabilità delle attività, in
particolar modo se queste comportano il trattamento di dati particolarmente sensibili.
A questo scopo si dovranno tenere presenti le normative correlate, come per esempio la
normativa sulla privacy D. lgs. 196/03, o anche i codici di autodisciplina, come il codice etico
nel quale ciascuna azienda formalizza le condotte richieste ai propri dipendenti e dirigenti,
specificando diritti, doveri e responsabilità.
Oltre ai principi di trasparenza ed efficienza, un altro aspetto rilevante è quello della
separazione funzionale, ovvero la responsabilità di una attività non viene affidata alla stessa
persona che controlla quella operazione.
Da ultimo, è fondamentale circoscrivere le responsabilità delle persone in grado di
autorizzare passaggi procedurali particolarmente delicati, in modo che queste responsabilità
siano documentate, definite e chiaramente note all’interno dell’organizzazione.
26
Nel redigere il D. lgs. 231/01, il legislatore ha indicato anche la figura cui spetta il
compito di valutare l’adeguatezza e l’efficacia del modello, la sua messa in opera da parte
dell’azienda e la manutenzione del suo aggiornamento: questa figura è l’Organismo di
Vigilanza.
Pur lasciando autonomia alle singole imprese di declinare in vari modi la composizione di
questo organismo in base alle opportunità contingenti, di struttura aziendale e di business,
l’Organismo di vigilanza deve poter contare su membri autonomi, indipendenti e professionali
nelle loro scelte e nel loro operato, in particolare membri di funzioni non operative all’interno
dell’azienda, e con le adeguate skill giuridiche al fine di garantire l’efficacia dell’azione di
vigilanza, e capaci di dare continuità all’azione dell’Organismo di vigilanza, che diviene
quindi una struttura interna.
Le mansioni dell’Organismo di Vigilanza sono:
la verifica dell’adeguatezza e dell’efficacia del modello organizzativo,
la rilevazione di eventuali scostamenti da questo modello,
l’analisi e l’istruttoria relativa a questi scostamenti il cui output è una segnalazione
alla direzione per gli opportuni provvedimenti disciplinari,
l’aggiornamento del modello stesso,
la predisposizione di una relazione informativa, con cadenza almeno semestrale,
relativa alle attività di verifica e controllo compiute nell’ultimo intervallo di tempo
dalla precedente relazione.
Per svolgere queste mansioni, l’Organismo di vigilanza gode di piena autonomia e le sue
attività ispettive non possono essere sindacate da altre funzioni aziendali, funzioni alle quali,
l’Organismo è in grado di accedere, avendo la facoltà di richiedere informazioni e dati per lo
svolgimento delle proprie attività.
Questo non vuol dire che l’Organismo di vigilanza non possa avvalersi di altre strutture
aziendali, o anche di consulenti esterni: a questo scopo l’Organismo dispone di un suo budget,
eventualmente integrabile, non essendo previsti dalla norma limiti di spesa che condizionino
l’operato dell’Organismo.
A seguito dell’attività ispettiva in merito alla corretta implementazione e all’aderenza al
modello 231, possono essere attivate azioni sanzionatorie o disciplinari, a prescindere
dall’eventuale apertura di una fase giudiziale penale nel caso in cui la condotta non conforme
integri una fattispecie di reato.
27
Nel definire l’impianto sanzionatorio l’azienda terrà inoltre conto dello Statuto dei
lavoratori, in particolare del suo art. 7.
Al fine di evitare sanzioni è necessario che il modello sia divulgato in azienda e che sia
svolta una adeguata formazione dei dipendenti e dei dirigenti: la divulgazione del modello, e
in particolare del codice etico, è fondamentale anche presso i fornitori esterni che, a vario
titolo, partecipano ai processi aziendali e operano per conto dell’azienda.
Questa descrizione del D. lgs. 231/01 mostra quanto sia oneroso per una azienda mettere
in piedi un modello organizzativo siffatto e garantirne il suo corretto funzionamento.
A fronte di questi oneri esistono tuttavia dei benefici per l’azienda, come ad esempio la
possibilità di sollevare dalla responsabilità di condotte fraudolente la società stessa: a questo
scopo il modello organizzativo deve essere stato progettato e implementato, secondo le linee
guida ricordate.
La norma individua inoltre il contenuto minimo del modello organizzativo, al fine di
indirizzare le modalità di gestione delle risorse economiche volte a prevenire la commissione
di reati, individuare un organismo di vigilanza e predisporre obblighi di informazione verso
quest’ultimo, ed infine introdurre un sistema disciplinare interno per mettere in atto le
sanzioni a seguito della violazione parziale o totale delle indicazioni del modello.
Se formulato in questo modo il modello, la cui adozione ricordiamo essere puramente
facoltativa per una azienda, può consentire di contenere e prevenire il rischio derivante da
condotte fraudolente.
A fronte di quanto esposto in questo paragrafo non sfugge l’analogia e talvolta la
sovrapposizione fra la funzione di internal auditing e l’Organismo di vigilanza prescritto dal
D. lgs. 231/01: in effetti non è escluso che queste due entità si fondino in una sola, se il
dimensionamento aziendale e le opportunità lo richiedono, ma è bene in generale tenere
distinte queste due funzioni.
Infatti l’Organismo di vigilanza non è propriamente una funzione aziendale: può avvalersi
dell’Internal Audit nell’assolvere alla propria funzione di vigilanza, appunto, sulla corretta
applicazione del modello, ma non può delegare ad una funzione aziendale la responsabilità
della gestione del modello organizzativo e la valutazione sulla sua corretta attuazione21.
21 Cfr. Dittmayer (2011), pp. 112sgg.
28
L’attività dell’internal auditing ha una sua funzione specifica ed autonoma, può essere di
supporto alle finalità dell’Organismo di vigilanza, e quindi un canale di comunicazione e
condivisione di informazioni privilegiato fra queste due entità dell’organigramma aziendale è
sicuramente necessario.
In sostanza, gli interventi normativi oggetto della nostra discussione sembrano suggerire
una divisione dei compiti che vede l’Organismo di vigilanza, ma anche il dirigente preposto,
come accountant per le attività di ispezione e istruttoria, laddove gli internal auditor possono
svolgere, con l’autonomia che contraddistingue la loro funzione, le loro attività di audit e poi
riportare, secondo canali di comunicazione predefiniti e standardizzati, sia alla vigilanza che
al preposto le informazioni necessarie a decidere se mettere in atto misure di natura
sanzionatoria, modifiche al modello organizzativo o semplicemente emettere in modo più
informato e circostanziato la loro reportistica.
Nell’ottica della corporate governance deve quindi regnare una condivisione di
informazioni e una chiara distinzione di ruoli che svolgono una mansione di supporto alla
governance aziendale.
1.2.1 L’evoluzione dall’Ispettorato Fiat alla funzione di revisione interna in
FCA
La FCA (Fiat Chrysler Automobiles) è nata dalla fusione fra la principale azienda
automobilistica italiana, la Fiat, e l’americana Chrysler, sancita nel 2009, rappresenta una
realtà multinazionale le cui radici, e di cui parte della produzione, si trovano in Italia, e che
incarna tuttora uno degli emblemi della grande industria italiana e internazionale.
La complessità attuale del Gruppo, che ingloba diversi marchi storici dell’industria
automobilistica (Alfa Romeo, Jeep, Lancia, Magneti Marelli, etc.), lo rende oggi una realtà
assai complicata da gestire, ramificata e radicata in diversi contesti economici e industriali.
Non stupisce quindi che l’Internal Audit in seno al gruppo sia ramificato nelle varie
Region, ciascuna con la sua specificità.
Il concetto e la funzione di internal auditing furono introdotte in Fiat dagli anni ’70: in
quel periodo, specie per volontà dell’allora presidente Gianni Agnelli, la Fiat stava
promuovendo la sua politica espansiva sui mercati esteri, gettando in questo modo i prodromi
29
di un decentramento aziendale il cui culmine sarebbe avvenuto con l’internazionalizzazione
dei decenni seguenti.
All’epoca, la Fiat si era dotata, a livello di holding, di una funzione di internal auditing
chiamata “Ispettorato”, che aveva una funzione prevalentemente di controllo economico e di
verifica dei flussi di cassa, operando presso tutte le filiali delle società, prevalentemente di
Fiat Auto.
In quegli anni la Fiat si stava sottoponendo a un graduale processo di evoluzione e
modernizzazione proprio nell’ottica di poter aggredire in modo efficiente i mercati
internazionali: in particolare, negli anni ’70 e ’80 (superata la fase critica dovuta alla crisi
petrolifera del 1973), la Fiat fondò stabilimenti in Brasile, si dotò di un centro di Ricerca &
Sviluppo e utilizzò il marchio Ferrari come strumento di marketing per competere ed
affermarsi sui mercati internazionali.
Questa politica di espansione e modernizzazione continuò negli anni ’80 ampliando il
proprio mercato in Polonia, Turchia, URSS e Sudafrica: in quel periodo la funzione di internal
auditing assolta dall’“Ispettorato” si ampliò per comprendere il monitoraggio di altre attività
oltre a quelle contabili, come per esempio la gestione dello stoccaggio e dei magazzini, degli
stabilimenti, della rete commerciale, etc.
Per poter efficientemente assolvere a questi compiti l’Ispettorato di Fiat adottò
inizialmente strumenti e standard metodologici dalla società di certificazione di bilancio
Arthur Andersen (oggi Accenture), cercando quindi di acquisire sia le esperienze che il know-
how in un settore che si percepiva sempre più strategico.
Nel 1996 l’Ispettorato della Fiat divenne una società del Gruppo, col nome di Fiat Revi
S.c.r.l. (Fiat Revisione Interna): in questo modo, godendo di una autonomia societaria, la
funzione dell’Ispettorato poteva venire assolta in modo più efficiente, per esempio aprendo
sedi della società Fiat Revi nelle varie location, e quindi che necessitavano della funzione di
monitoraggio e auditing, come in Brasile, Polonia, Cina, Inghilterra, Spagna e Francia.
A seguito dell’introduzione del D. lgs. 231/01, Fiat elaborò una metodologia per
codificare il suo modello organizzativo 231, improntata a una forte centralizzazione delle
direttive impartite da Fiat S.p.A. alle varie società del Gruppo: all’inizio degli anni 2000,
facevano parte del Gruppo industrie del settore automobilistico (Fiat Auto, Maserati, Ferrari,
CNH, Iveco, Fiat Powertrain technologies), di altri settori della componentistica
30
automobilistica (Magneti Marelli, Teksid, Comau), società di supporto e di servizi (Centro
ricerche Fiat, Itedi, Business Solutions).
Nel febbraio del 2003, il Consiglio di Amministrazione di Fiat approvò il modello di
organizzazione e gestione ex D. lgs. 231/01, ma dovette procedere entro un anno a una
revisione dello stesso, a seguito di alcune evoluzioni normative del diritto societario e anche
alcune sentenze che potevano porre il problema relativo alla responsabilità civile o penale
della società controllata nei confronti della controllante, fino alla capogruppo22.
La soluzione a questo problema, posto dalla complessità strutturale del Gruppo Fiat, fu
quella di modificare il modello 231 in modo da consentire a ciascuna società del gruppo di
valutare, in modo pienamente autonomo, la presenza di processi sensibili e l’opportunità di
adottare il metodo che, ricordiamo, la legge prescrive come facoltativo.
Nel febbraio 2005 la Fiat ha quindi approvato una nuova versione del modello
organizzativo ex D. lgs. 231/01, unitamente a delle linee guida per l’adozione e l’utilizzo di
questo modello, rendendo quindi standard e uniforme la sua attuazione in tutte le società del
Gruppo.
In sostanza, il metodo proponeva alle società di effettuare in piena autonomia una “gap
analysis” dei propri processi aziendali con il fine di rilevarne le criticità, e fra questi i più
sensibili rispetto alle tematiche di tutela della società da parte di comportamenti fraudolenti e
delittuosi dei suoi dipendenti.
Alle singole società spettava inoltre l’onere di predisporre le procedure che avrebbero
dovuto prevenire la commissione di questi reati: questa decentralizzazione della normativa
interna ha consentito di tarare le misure preventive sulle singole realtà societarie, assai
difformi fra loro sia per struttura che per business.
La società caposettore che per prima adottò il modello fu Fiat Auto e alcune sue società,
infatti le singole società del gruppo presentavano spesso una struttura interna complessa.
Rispetto a questa organizzazione e a questo modello, Fiat prima della fusione con
Chrysler identificava le funzioni fra l’Organismo di Vigilanza sancito dal D. lgs. 231/01 e la
funzione di Internal Audit: quest’ultima aveva le caratteristiche di autonomia, indipendenza e
controllo necessarie all’esercizio delle proprie funzioni, unitamente alla possibilità di avere
una visione d’insieme e completa di tutti i processi aziendali.
22 Cfr. Di Gennaro (2005).
31
In effetti, in Fiat dalla metà degli anni 2000 la funzione di Internal Audit, Organismo di
Vigilanza e di Preposto al sistema di controllo interno erano confluiti in un’unica funzione
nell’ambito della capogruppo Fiat S.p.a.
Questa entità era tuttavia distinta sia da Fiat Revi che dal Comitato di controllo e rischi,
nell’organigramma di Fiat S.p.a.: nella catena gerarchica, Fiat Revi riferiva all’Internal Audit
il quale riportava all’Amministratore Delegato (in maniera continuativa), oltre che al
Consiglio di Amministrazione (due volte l’anno), al Collegio Sindacale, al Comitato di
controllo e rischi: questi ultimi avevano la facoltà di convocare in qualsiasi momento
l’Internal Audit, nelle vesti di Organismo di Vigilanza.
Gli Organismi di Vigilanza delle società del Gruppo rispondevano agli omologhi della
caposettore che, a sua volta, riportava all’Organismo di Vigilanza di Fiat S.p.a..
Di questa organizzazione, nonché del modello, fu data ampia pubblicità internamente
all’azienda, sia sul sito della Intranet che nelle bacheche aziendali (in Fiat S.p.a.), mentre le
linee guida sono state inviate dall’Organismo di Vigilanza di Fiat S.p.a. alle omologhe
strutture delle aziende del Gruppo.
La seguente figura illustra schematicamente le relazioni fra queste diverse funzioni sia in
seno alla capogruppo che rispetto alle altre società del gruppo23.
23 Cfr. Passante (2010).
32
A fronte di una funzione di Internal Audit sempre più di maggior rilievo all’interno del
Gruppo, coincidente sia con la funzione di Preposto che di Organismo di Vigilanza, ha
consentito nel primo decennio degli anni 2000 il consolidamento della posizione di Fiat Revi
nel ruolo di controllo interno.
Fiat Revi ha gestito anche i rapporti con i revisori esterni riconducibili a una condivisione
dei risultati degli audit che si concretizzavano nella formulazione di valutazioni indipendenti
circa l’efficacia dei sistemi di controllo e dei processi aziendali operativi posti in essere a
tutela del patrimonio aziendale.
Pertanto l’Internal Audit e il Preposto al sistema di controllo interno (coincidenti) si
avvalevano delle funzioni di Fiat Revi per lo svolgimento delle attività di valutazione dei
rischi e di controllo.
L’organizzazione aziendale di Fiat Revi prevedeva delle strutture così dedicate: una
all’Audit e un’altra all’area tecnica (IT) divise per zone geografiche (Italia, Nord Europa, Sud
Europa, Resto del Mondo), infine vi era un’altra struttura dedicata alla compliance che si
occupava delle attività di audit riferite a: financial, privacy e antifrode, forensic e strategic
audit.
Le attività erano operativamente così suddivise:
Financial audit: valutazione dell’affidabilità, accuratezza, e integrità del reporting
finanziario e gestionale;
Operational audit: per valutare l’efficacia e l’efficienza dei processi aziendali;
Compliance audit: allo scopo di valutare la conformità a politiche e procedure interne,
nonché a leggi e regolamenti (D. lgs. 231).
Fiat Revi per supportare le esigenze strategiche del Gruppo e del vertice aziendale,
sviluppò attività di consulenza nei seguenti ambiti:
Business Ethics Compliance: per monitorare la corretta applicazione del Codice di
Condotta;
Antifrode: includendo anche attività di prevenzione e whistleblowing;
ICT: con particolare riferimento alla documentazione e collaudo dei processi
informatici;
Purchasing: a supporto dei settori per garantire l’efficacia dei processi di acquisto;
Due diligence: in caso di operazioni straordinarie;
33
ICFR Compliance: per valutare l’adeguatezza e l’efficacia del Sistema di Controllo
Interno sul Financial Reporting gestito dal Management aziendale;
Post Investment audit & reviews: per valutare il processo di integrazione delle nuove
acquisizioni e la redditività delle iniziative di investimento.
La struttura dell’Internal Audit è stata separata in seguito alla suddivisione tra CNH
International e Fiat S.p.A.
Tale struttura è stata mantenuta anche dopo la fusione con Chrysler che ha dato luogo ad
FCA: questo processo, originato nel 2009, prevedeva un ingresso progressivo di Fiat nelle
quote di capitale sociale di Chrysler: inizialmente del 20%, poi del 35% e infine del 51%,
sulla base del raggiungimento di determinati obiettivi finanziari ed ambientali, fino alla
effettiva fusione del 2014.
In particolare, nell’ambito del nuovo gruppo FCA, all’Internal Audit è affidata anche la
responsabilità del monitoraggio degli action plan (azioni correttive concordate con la società
oggetto di audit) e della gestione-individuazione delle problematiche riportate nelle whistle-
blowing24 (segnalazioni anonime pervenute in FCA).
1.2.2 L’Internal Audit in FCA
La funzione dell’Internal Audit in FCA assolve a diversi compiti, alcuni dei quali
provenienti dalle organizzazioni precedenti.
In particolare, l’Internal Audit è posto a presidio degli asset del Gruppo e delle sue
società, per garantirne l’efficacia e l’efficienza in seno ai processi operativi: nel
perseguimento di questo scopo, l’Internal Audit ha storicamente tenuto un atteggiamento
propositivo e proattivo nei confronti del management delle società soggette ad audit25.
Oltre a questo l’Internal Audit FCA svolge anche il ruolo di competence builder per
l’intero Gruppo FCA.
La mission dell’Internal Audit di FCA pone l’accento sulla obiettività ed indipendenza
delle attività di assurance e consulenza a supporto delle operations del Gruppo, con lo scopo
di utilizzare un approccio sistematico e disciplinato per valutare e migliorare l’efficienza del
risk management, del controllo e della governance dei processi.
24 Cfr. FCA (2015a).
25 Cfr. FCA (2015a).
34
L’ambito nel quale la funzione di Internal Audit può spaziare nel compiere la propria
attività è esteso a tutti i processi produttivi aziendali, in quanto uno degli obiettivi di questa
funzione è quella di controllare se le azioni di risk management, controllo e governance dei
processi sono adeguate ed effettive.
L’Internal Audit non esaurisce i controlli effettuati per il monitoraggio e l’ottimizzazione
dei processi ma svolgono anche una funzione di supporto ai comitati che si occupano di
compiti specifici legati comunque al tema della corporate governance, secondo lo schema
seguente:
Nella nuova organizzazione seguita alla fusione, processo che si sta consolidando e che ha
subito revisioni e graduali miglioramenti a partire dal 2011; la funzione di Internal Audit è
stata adeguata al sistema di controllo interno (ICS: Internal Control System).
Quest’ultimo è stato istituito nel 2013, basandosi sul modello offerto dal framework
COSO (Committee of Sponsoring Organizations of the Treadway Commission Report – ERM
model), approfondito nei suoi aspetti generali e nella sua applicazione in FCA nel prossimo
capitolo.
FCA ha la sede fiscale nel Regno Unito, a Londra, mentre la sede legale è ad Amsterdam,
nei Paesi Bassi, soggetta quindi al diritto olandese, in particolare al Codice Civile nazionale,
35
come risulta dallo statuto societario26: per questo motivo la società deve sottostare agli
indirizzi del Codice della Corporate Governance Olandese, articolato in un insieme di
procedure, regolamenti e strutture organizzative il cui obiettivo è di individuare e gestire i
principali rischi cui una grande società è soggetta.
Il sistema di controllo interno si sviluppa su tre livelli, secondo ben consolidati standard:
Primo livello: aree operative, si rilevano e identificano i rischi e si indicano le
specifiche azioni volte alla mitigazione degli stessi.
Secondo livello: aree per il controllo del rischio, definiscono le metodologie e gli
strumenti per monitorare e gestire i rischi.
Terzo livello: internal audit, offre una valutazione autonoma ed indipendente del
sistema di controllo interno nella sua globalità.
Nel Comitato di Controllo e Rischi sono presenti i rappresentanti dei settori e delle aree
geografiche dove FCA è presente, così come i responsabili dell’area finanza, ICT, HR, legale,
delle principali aree di business e dell’Internal Audit.
In particolare, i primi due livelli utilizzano tecniche a campione e seguono, nel farlo, le
best practice internazionalmente riconosciute a questo scopo27; nel terzo livello l’Internal
Audit conduce assessment sul progetto e la messa in esercizio dei controlli chiave in carico
alle aree di controllo del rischio e a quelle operative.
Questo assessment può suggerire la definizione di ulteriori controlli così come dei
remediation plan o degli improvement plan.
Inoltre, i risultati di questo monitoraggio sono soggetti a revisioni periodiche da parte del
dirigente responsabile del reporting finanziario della società, e da questi comunicate al senior
management e al comitato di audit, che a sua volta risponde al board of directors28 composto
dal presidente John Elkann, dal CEO Sergio Marchionne e da un comitato di dirigenti: si noti
che in questo comitato ci sono due rappresentanti del comitato di audit, attualmente Glenn
Earle e Ronald L. Thompson, così come va detto che FCA si avvale anche di report prodotti
da auditor esterni, in particolare della attuale società di certificazione di bilancio
Ernest&Young29.
26 Cfr. FCA (2014a).
27 Cfr. FCA (2014c).
28 Cfr. FCA (2014c).
29 Cfr. FCA (2014d).
36
Infine, è da notare come l’Internal Audit FCA conduca anche una revisione qualitativa dei
controlli eseguiti dalle società di consulenza esterne.
Scendendo più nello specifico delle attività dell’Internal Audit possiamo elencare le
seguenti:
Financial Audit: determina l’affidabilità, l’accuratezza e l’integrità delle informazioni
finanziarie e operative.
Operational Audit: definisce quali operazioni sono adeguatamente controllate e quali
processi operativi sono effettivi ed ottimizzati.
Compliance Audit: indica il grado di compliance delle azioni sia dei dipendenti che
delle società del Gruppo rispetto alle policy interne ma anche alle normative e leggi
delle realtà nelle quali operano.
Questi tre filoni di attività costituiscono la estrinsecazione della mission dell’Internal
Audit e sono molto simili a quelle che si trovano presso altri grandi corporate groups.
Per assecondare le esigenze strategiche di FCA e le richieste specifiche del top
management l’Internal Audit ha sviluppato delle attività di supporto e advisory come per
esempio:
Business ethics compliance: verifica la corretta applicazione del codice etico aziendale
da parte di tutti i dipendenti e fornitori;
Fraud audit: prevenzione delle frodi, rilevamento di eventuali comportamenti
fraudolenti e gestione del processo di whistle-blowing;
Post investment audit: revisiona e fornisce assessment dei processi di integrazione di
nuove società acquisite dal Gruppo e verifica la profittabilità effettiva degli
investimenti compiuti in queste acquisizioni rispetto alle stime iniziali;
ICT audit: monitoraggi e assessment sul sistema informativo aziendale, per garantire
che i processi IT siano correttamente documentati e controllati, e che rispondano
effettivamente ai bisogni del Gruppo;
ICFR compliance: monitoraggio e assessment dell’adeguatezza e dell’effettività del
sistema di Controllo interno sui report finanziari (ICFR) gestito dal management di
FCA;
Purchasing scouting: supporta le funzioni di FCA nei loro processi di acquisto o
cessione al fine di ottimizzarli;
37
Due diligence: supporta le funzioni di FCA coinvolte nelle attività straordinarie del
Gruppo, come fusioni e acquisizioni, cessioni e spin-off.
Nello svolgere queste numerose attività, l’Internal Audit di FCA si avvale di diverse
metodologie di audit: per esempio informa per mail, almeno una settimana prima della
attività, sulle date di inizio e durata dell’audit; svolge un incontro preliminare per illustrare
l’ambito dell’audit e l’approccio seguito; pianifica l’attività di auditing per ottimizzare l’effort
degli auditor e focalizzarli sulle attività più fondamentali.
In queste fasi il coinvolgimento degli owner dei processi sottoposti ad audit è
fondamentale e continuo, soprattutto nella fase di fieldwork che consiste nell’espletamento
effettivo presso la società dell’attività di auditing.
Conclusa l’azione di audit, viene tenuta una riunione di exit dove le principali evidenze
emerse vengono sintetizzate ed esposte, e dove si sollecita l’action plan per il miglioramento
delle carenze riscontrate; una riunione di chiusura consente di riportare l’esito dell’audit e
l’action plan al management.
L’esito di un audit viene concretizzato in un audit report che si articola come segue:
1. Draft preliminare: condiviso in sede di exit meeting e il “cliente” dell’attività di
auditing ha due settimane di tempo per formulare un action plan corrispondente;
2. Draft finale: condiviso nella riunione di chiusura;
3. Audit Report: pubblicato entro due settimane dalla riunione di chiusura;
4. Follow-up: il monitoraggio e l’implementazione dell’action plan, in modalità on-
going, è in carico alle singole società del Gruppo mediante l’utilizzo di uno specifico
software. Per ogni audit che presentava delle criticità ad alto rischio viene eseguito un
follow-up; è prevista la verifica circa l’effettiva realizzazione degli action plan
concordati precedentemente.
In definitiva, la funzione di Internal Audit in FCA svolge una serie di attività da un lato di
verifica dell’effettività dei sistemi di controllo interni, nell’ottica del miglioramento continuo,
dall’altro di identificazione di criticità e rischi, in modo da contribuire al miglioramento dei
sistemi di risk management.
Inoltre, l’Internal Audit si occupa di implementare attività di supervisione specifiche
individuando eventuali carenze nel sistema di controllo interno e possibili ambiti di
miglioramento, e verifica che le regole e le procedure siano applicate correttamente.
38
In particolare, il CAE (Chief Audit Executive), il dirigente a capo dell’Internal Audit,
svolge una funzione indipendente al fine di costituire un terzo livello di controllo all’interno
dell’organizzazione, autonomo quindi dal controllo di primo e consecutivamente di secondo
livello.
Il CAE ha le seguenti specifiche responsabilità:
verifica l’adeguatezza dei sistemi di controllo e di risk management, sia su base
continuativa che in relazione a particolari necessità, e in conformità con gli standard
professionali internazionali;
assicura che il risk assessment venga effettuato almeno una volta l’anno;
garantisce che le risorse siano adeguate, sufficienti ed efficacemente implementate per
la realizzazione del piano di audit approvato dal Comitato per il Controllo e Rischi o
dal board.
Per lo svolgimento di tali attività il CAE ha accesso diretto a tutte le informazioni
necessarie, ed inoltre, ha l’onere di redigere su base periodica dei report sull’attività
dell’Internal Audit, con particolare riferimento al risk management e al risk mitigation: questo
report contiene anche una valutazione sul sistema di controllo interno.
Su base trimestrale riporta al Comitato per il controllo eventuali criticità che potrebbero
causare notevoli danni economici e reputazionali alla società se non monitorati e gestiti per
tempo.
In caso di necessità specifiche, il CAE è chiamato a riferire tempestivamente al Consiglio
di Amministrazione su eventi di particolare rilevanza, oltre che produrre report specifici per il
Presidente del CDA e il Comitato di Controllo e Rischi.
Infine, è onere del CAE la verifica dell’affidabilità del sistema informativo, compresi i
sistemi di autenticazione e profilatura, come parte del piano di audit.
39
Capitolo 2 Il sistema di controllo interno in FCA
In questo capitolo affrontiamo la struttura e l’evoluzione del sistema di controllo interno
di FCA: iniziamo con una disamina generale di cosa sia un sistema di controllo interno in una
grande azienda, raccogliendo alcune definizioni, fissando la terminologia e fornendo le
spiegazioni di base che si trovano in letteratura, selezionando in particolare quanto di maggior
interesse per il prosieguo del capitolo e del lavoro, vale a dire quanto abbia specifica e
maggiore rilevanza per il caso FCA.
Passiamo poi a una descrizione di quali siano gli obiettivi macroscopici, e generali, di un
sistema di controllo interno, avendo in mente da un lato il caso specifico che ci interessa, e
quindi soffermandoci sugli aspetti più rilevanti per esso, e dall’altro i framework e standard di
riferimento che si sono diffusi negli ultimi anni e in particolare quelli che hanno influenzato le
attività di Fiat prima e FCA poi, in quanto da queste adottati.
Nel descrivere la struttura di un sistema di controllo interno a livello generale, si pone
particolare attenzione sugli attori coinvolti nelle attività del sistema e sulla tematica generale
dell’analisi dei rischi, che è contigua e parzialmente incorporata nei sistemi di controllo
interno: particolare enfasi è posta nella generalizzazione del concetto di rischio, dal semplice
rischio finanziario, che un tempo era l’unica preoccupazione di questi sistemi, al rischio
inteso nel senso più ampio del termine, in quanto impattante sugli obiettivi di business di una
azienda.
In un paragrafo a sé esponiamo alcune considerazioni fra i rapporti fra l’Internal Audit e il
sistema di controllo interno, facendo riferimento alle diverse normative e codici di
regolamentazione illustrati nel primo capitolo per chiarire con esempi come questi rapporti
possano correttamente inquadrarsi.
Dopo questi necessari preliminari passiamo a descrivere il framework COSO I,
illustrandone i concetti, le idee e la struttura, e descrivendone l’evoluzione motivata dalle
limitazioni del modello iniziale, che è stato proposto agli inizi degli anni ’90, e quindi
logicamente sottoposto a revisione.
Descriviamo anche come Fiat Group ha adottato questo modello e come lo ha
implementato negli anni ‘2000, delineando i meccanismi utilizzati per realizzarlo e le
40
particolarità organizzative poste in atto per il suo adattamento alla realtà specifica di Fiat
Group di quegli anni.
Illustriamo poi l’evoluzione del COSO I, generalmente nota come modello ERM,
mostrando quali siano i punti di novità rispetto al precedente e quindi i benefici di un
passaggio a questo framework più moderno e completo: in particolare ci soffermiamo sul
concetto di rischio quale viene concepito in questo nuovo modello.
Analogamente a quanto fatto per il COSO I, anche in questo caso trattiamo dell’adozione
da parte di Fiat e in seguito da parte di FCA di questo modello negli anni ‘2000, discutendo
l’impostazione del processo di gestione dei rischi in FCA, orientato ai principi dell’ERM e
fortemente calato nella realtà del gruppo, che ha una ampia dislocazione geografica e
segmentazione di mercato, e quindi un ventaglio di “risk driver” assai corposo. Descriviamo
anche, macroscopicamente, le procedure operative di gestione del rischio.
Passiamo poi a discutere una ulteriore versione del modello COSO, il COSO III orientato
specificatamente ai possibili rischi della reportistica finanziaria, descrivendone i principi e lo
schema generale: anche in questo caso approfondiamo l’adozione di questo modello da parte
di Fiat e le questioni poste dopo la fusione con Chrysler in merito all’evoluzione e
all’adattamento di questo modello a tutto il gruppo FCA: in questa ultima parte del capitolo
descriviamo la situazione ante fusione, in modo da poter poi svolgere in modo completo e su
basi certe la descrizione della situazione post, e in particolare esponendo il progetto di
Governance, Risk and Compliance messo in piedi per far convergere i sistemi di controllo
interno verso un sistema unificato e integrato.
2.1 Il sistema di controllo interno: aspetti definitori
Nell’ambito della corporate governance di una azienda, è ormai una consolidata e diffusa
prassi quella di considerare il risk management come inestricabilmente collegato alla
governance: il sistema di gestione dei rischi è ormai considerato al centro del sistema di
governo aziendale, e, a sua volta, la gestione dei rischi contiene il sistema di controllo interno
dell’organizzazione, secondo il seguente schema30.
30 Cfr. Dittmeier (2011), p.142.
41
Questa enfatizzazione “a tutto campo” dell’analisi e del controllo dei rischi è stata
possibile per l’estensione del dominio del risk management dall’iniziale ambito finanziario a
tutti gli aspetti dell’organizzazione aziendale: allo stesso tempo, il sistema di controllo interno
dell’azienda non è più, semplicemente, un sistema volto a supportare la revisione contabile e
finanziaria, ma un sistema di controllo integrato che guarda a tutte le componenti e i processi
aziendali che concorrono alla produttività e all’organizzazione delle attività.
Dunque il sistema di risk management di una azienda deve necessariamente rispecchiare
questa ampiezza di prospettive, configurandosi come un insieme di processi, strumenti e
risorse che sono utilizzati per offrire la ragionevole garanzia del raggiungimento degli
obiettivi aziendali, intervenendo in tutti i settori che possono promuovere, o pregiudicare, il
raggiungimento di questi obiettivi.
Il sistema di controllo interno viene definito31 come l’insieme delle direttive, delle
procedure e delle tecniche adottate dall’azienda, e connotato come un processo attuato dal
Consiglio di Amministrazione, dai dirigenti e da altri soggetti della struttura aziendale,
finalizzato a fornire una ragionevole certezza sul conseguimento degli obiettivi rientranti nelle
seguenti categorie: efficacia ed efficienza delle attività operative; attendibilità delle
informazioni contabili ed extra contabili, sia per i terzi, sia a fini interni; conformità alle leggi
e ai regolamenti in vigore, alle norme e alle politiche interne.
31 Cfr. Coopers, Librand (1997).
Corporate Governance
Risk Management
Sistema di Controllo Interno
42
In quanto tale, il sistema di controllo interno ha il compito di mettere in campo una serie
di attività che riguardano l’azienda nella sua totalità e che sono finalizzate a minimizzare i
rischi del mancato raggiungimento degli obiettivi aziendali: gli attori che pongono in essere
questo sistema sono il Consiglio di Amministrazione, il management aziendale ed eventuali
altri soggetti in staff a questi se la complessità aziendale lo richiede.
Naturalmente, data la diversità sia di ambito che di complessità delle diverse realtà
aziendali, è difficile dare una definizione generale e precisare come debba essere strutturato il
sistema di controllo interno di una azienda.
Tuttavia, a grandi linee, possiamo indicare alcune tematiche assolutamente comuni a tutte
le realtà aziendali, e in particolare applicabili, con molte precisazioni e ramificazioni, al caso
di nostro interesse32.
Per prima cosa, notiamo come sin dalla definizione particolare enfasi sia posta sul ruolo
del Consiglio di Amministrazione dell’azienda: non è iperbolico affermare che la principale
funzione di questo organo consiste proprio nel mantenimento di un efficace sistema di
controllo interno volto a salvaguardare gli interessi degli azionisti e gli asset aziendali33.
Infatti la direzione aziendale, il top management nelle aziende di complessità appena
superiore alla media, deve attendersi “output minimali” dal proprio sistema di controllo
interno, ovvero deve assicurarsi che quest’ultimo sia in grado di coprire un ampio spettro di
attività, svolte direttamente dalla direzione aziendale o da questa delegata ad altre funzioni, in
modo da poter esercitare un controllo esteso dell’operatività dei processi aziendali.
Il Consiglio di Amministrazione ha dunque l’onere di condurre anche una revisione
dell’efficacia del sistema di controllo interno e di riportare su questo agli azionisti nel report
annuale: questa attività dovrebbe riguardare sia gli aspetti finanziari che quelli operativi e di
risk management.
Pertanto possiamo dire in generale che il sistema di controllo interno realizza un processo
che coinvolge l’intera realtà aziendale nell’ottica della minimizzazione dei rischi di mancato
raggiungimento degli obiettivi, e che va considerato strumentale, in quanto posto in essere dal
Consiglio di Amministrazione, alla realizzazione degli obiettivi aziendali.
Inoltre, il sistema di controllo interno deve avere una capacità comunicativa e informativa
improntata da tempestività e precisione, in modo da segnalare per tempo anomalie, e
32 Cfr. Troina (2005) p. 40.
33 Cfr. Zanigli (2004).
43
dettagliare eventuali cause e motivazioni per comportamenti anomali, ovvero enucleare rischi,
anche esogeni, che potrebbero causare anomalie operative.
In questo modo, il sistema di controllo interno, che è lo strumento dal quale
necessariamente passare per prendere una decisione, è di supporto alla catena decisionale e
non di ostacolo.
Si segnala infine, l’importanza di una “organizzazione modulare”, nella quale le diverse
aree sono sottoposte a controllo secondo modalità specifiche e lo sono in maniera
indipendente le une dalle altre, in modo che carenze o vulnerabilità relative ai controlli di una
non incidano sui controlli esercitati sulle altre: questo non vuol dire, ovviamente, duplicare il
sistema di controllo per ciascuna funzione aziendale, ma articolarlo in strutture che, in
parallelo e in autonomia, possano esercitare il controllo sulle singole realtà aziendali, sempre
tuttavia integrate in un sistema, appunto, unitario e in grado di sintetizzare un output unico
delle proprie evidenze e delle proprie attività.
2.2 Gli obiettivi del sistema di controllo interno
Se il sistema di controllo interno, come abbiamo specificato, si pone al centro del sistema
di controllo dei rischi, i suoi obiettivi sono più circoscritti, e sebbene riconducibili
essenzialmente alla redditività e al conseguimento della mission aziendale, si possono
enumerare in modo più circostanziato come segue.
Per prima cosa un sistema di controllo interno deve contribuire alla salvaguardia del
patrimonio sociale dell’azienda: infatti la funzione di monitoraggio del rischio che viene
assegnata al sistema di controllo è innanzitutto orientata a prevenire i rischi che possono
incidere sul valore del patrimonio aziendale, che è alla base del sostentamento delle attività
produttive e a garanzia della continuità di queste anche nei momenti in cui i flussi di cassa
non possono, per vari motivi, garantirla.
Oltre a questo, il sistema di controllo interno deve monitorare la qualità dei dati che
confluiscono dalle varie componenti aziendali al management e che concorrono alle decisioni
di quest’ultimo: è ovvio che, per garantire la possibilità di decidere le strategie aziendali
migliori, i dati devono essere precisi e veritieri, e il sistema di controllo ha anche il compito di
garantire questa qualità, con particolare riferimento ai dati economico-finanziari (e nello
specifico alle informazioni che concorrono al bilancio di esercizio).
44
Il sistema di controllo interno ha anche come obiettivo la tutela dell’efficacia e la
promozione dell’efficienza delle operazioni aziendali, non solo delle funzioni amministrative
ma anche di quelle relative al business aziendale nelle sue varie componenti, e dell’efficienza
operativa dell’azienda.
Infine, fra gli obiettivi macroscopici del sistema di controllo interno, figura a pieno titolo
il controllo del rispetto delle normative e delle policy interne (a partire dal codice etico), oltre
che il rispetto delle leggi e dei regolamenti cui sono sottoposti l’azienda e i suoi dipendenti,
con particolare riferimento alle normative che intendono limitare comportamenti fraudolenti e
che, come abbiamo visto nel capitolo precedente, prendono le mosse da casi concreti e
clamorosi di comportamenti delittuosi che le normative intendono limitare e prevenire.
Questi obiettivi di massima, che vengono declinati in molti modi diversi, anche a seconda
del business tipico dell’azienda e della sua collocazione nel mercato, sono tutti orientati al
raggiungimento degli obiettivi di business dell’impresa, in quanto definiti dal Consiglio di
Amministrazione tramite una diffusione della consapevolezza delle regole e delle
conseguenze di comportamenti non corretti.
Per poter centrare questi obiettivi, il sistema di controllo interno all’azienda deve
ovviamente poter essere in grado di svolgere in modo autonomo e sostenibile le proprie
attività: in particolare, deve poter contare su una separazione dei ruoli fra controllo ed
operatività, in quanto questo presupposto è alla base dell’autonomia nella propria azione34.
D’altra parte la struttura dell’organigramma aziendale e i piani di comunicazione interni
(o strumenti analoghi quali le matrici delle responsabilità, etc.) devono consentire di
individuare per qualsiasi attività un “accountant”, cioè un soggetto cui è riconducibile la
responsabilità per l’attività in questione: se manca questa chiara indicazione risulta
impossibile perseguire una azione efficiente di controllo, e quindi il sistema di controllo
interno si vede limitato nella possibilità di contribuire agli obiettivi aziendali.
Due altri aspetti sono connessi a questo: in primo luogo, oltre alla possibilità di poter
sempre risalire ai responsabili per le singole attività aziendali è anche fondamentale che le
scelte che hanno portato alla definizione e implementazione di quelle attività, all’interno del
ciclo produttivo aziendale, siano condivise in modo oggettivo, vale a dire che le decisioni
siano state prese in maniera razionale e motivabile, in modo da poterne capire la ratio e
quindi comprenderne l’ambito e le finalità.
34 Cfr. Troina (2005), pp. 33sgg.
45
Inoltre, deve essere presente un sistema di tracciamento delle informazioni e degli eventi
aziendali legati agli aspetti critici dei processi di business, o agli aspetti che comunque
possono essere oggetto di analisi da parte del sistema di controllo interno: quest’ultimo,
infatti, ha la necessità di ricostruire a posteriori eventi e flussi di informazioni per poter
determinare se si sia originata una violazione a regole aziendali o normative, o semplicemente
per poter monitorare in modo efficiente e puntuale i processi aziendali che deve tenere sotto
controllo.
Il sistema di controllo interno di una azienda svolge la sua funzione di controllo tramite
una attività ispettiva di vigilanza e una attività di guida e governo del sistema: nel primo caso
ricadono, per esempio, le attività di verifica a cura degli Internal Auditor, nel secondo caso
per esempio la verifica del corretto impiego delle risorse finalizzata al raggiungimento degli
obiettivi aziendali35.
Di fondamentale importanza per capire la centralità del sistema di controllo interno di una
azienda è la constatazione che l’attività di controllo interno da questo posta in essere è un
processo rappresentato da una serie di azioni che coinvolgono tutta la realtà aziendale, e che
esso è svolto ed è in carico a persone; non si tratta cioè semplicemente di documenti e
regolamenti da rispettare, ma di attività svolte da persone inquadrate nei diversi livelli
dell’organigramma aziendale, come abbiamo in precedenza riportato.
Questo in quanto il sistema di controllo interno deve consentire non solo di appurare
eventuali problemi e il verificarsi effettivo di rischi, ma anche di fronteggiare in modo
tempestivo ogni mutamento dell’ambiente economico nel quale l’azienda opera, e quindi
poter anticipare gli adattamenti necessari per far fronte al cambiamento, in modo da garantire
l’efficienza, tutelare le attività patrimoniali e mantenere l’attendibilità dei dati di bilancio e la
conformità delle attività aziendali a regole e normative.
Naturalmente tutto ciò avviene per tramite del lavoro di persone e funzioni aziendali che
partecipano al processo di controllo interno, sotto la responsabilità del comitato per il
controllo interno.
La valutazione delle attività di chi partecipa al processo di controllo interno è chiaramente
da effettuarsi su base continuativa e non sporadica, e rappresenta una fase del processo stesso
di controllo, fermo restando che l’efficacia del sistema di controllo interno è sempre da
misurarsi rispetto al livello di raggiungimento degli obiettivi fissati come target dall’azienda.
35 Cfr. Bava (2003), p.10.
46
Infatti, il management aziendale ha proprio il compito di fissare questi obiettivi, su diversi
orizzonti temporali, e promuovere le attività aziendali per conseguirli: questo vuol dire
stabilire target da centrare in linea e coerenti con la mission aziendale.
A prima vista, il target che il management può e deve fissare è sostanzialmente l’obiettivo
dell’economicità, cioè il conseguimento e consolidamento di una efficace ed efficiente
gestione aziendale che si ponga a baluardo della durabilità dell’azienda: in questo senso, il
sistema di controllo interno deve monitorare sul fatto che i tempi di esecuzione siano
minimizzati e che la qualità delle attività e dei servizi svolti dall’azienda sia massimizzata.
Ma questo non è l’unico obiettivo aziendale: per esempio possiamo anche citare
l’affidabilità delle informazioni, sia interne che esterne, che sono prodotte dall’azienda a vario
titolo e rese disponibili; questo in quanto il processo decisionale necessità di affidabilità del
dato e di tempestività della sua produzione.
Da un lato queste caratteristiche consentono una rapida ed efficiente catena decisionale,
dall’altro consentono all’azienda di fornire in modo preciso e tempestivo le informazioni che
esternamente possono esserle richieste (si pensi alle attività di revisione del bilancio): il che
vuol dire da un lato fornire informazioni che riflettano eventi e fatti realmente accaduti, in
modo completo e accurato, dall’altro che queste informazioni permettano ad eventuali
osservatori istituzionali esterni di farsi un quadro preciso della realtà aziendale e del suo
status rispetto alla tutela del patrimonio, e quindi anche degli azionisti.
2.3 Struttura di sistema di controllo interno
Un sistema di controllo interno deve constare di diverse funzioni al proprio interno per
poter efficacemente svolgere la propria mission.
Una prima funzione fondamentale che il sistema di controllo deve poter esercitare, in vista
della corporate governance, è quella di predisporre e utilizzare un “ambiente di controllo”,
cioè una struttura organizzativa ed operativa che sia in grado di supportare tutte le altre
funzioni di controllo del sistema.
L’ambiente di controllo è ottenuto combinando policy, procedure e attività volte a
sostenere i processi di business aziendali, e a supportare il top management e i dirigenti delle
unità organizzative in merito all’importanza del sistema di controllo interno: quest’ultimo
deve essere visto come una sentinella non intrusiva il cui operato porta valore anche e
soprattutto alle funzioni che vengono poste sotto il suo controllo.
47
Per poter predisporre e rendere operativo l’ambiente di controllo, è necessario operare
sulle diverse aree e dimensioni aziendali, a partire dal Consiglio di Amministrazione e dal
management che devono essere coinvolti, consapevoli e anche motivati a supportare
l’iniziativa: in particolare l’impegno specifico del settore dirigenziale deve essere orientato
alla competenza, alla condivisione dei valori aziendali e dell’integrità aziendale (per esempio
nella condivisione del codice etico) per lo sviluppo della cultura aziendale necessaria a
supportare questi valori.
Il Consiglio di Amministrazione, in particolare, deve contemplare anche la presenza di
amministratori non esecutivi in modo da poter esaminare le attività del management senza un
“conflitto di interessi” rispetto al proprio ruolo dirigenziale: in questo modo il Consiglio di
Amministrazione partecipa, parzialmente, alla funzione di controllo, consentendo di
consolidare l’ambiente di controllo stesso.
Il sostegno del management è inoltre necessario per poter indirizzare correttamente lo stile
di controllo aziendale che l’ambiente di controllo deve contribuire a far esercitare: per
esempio attraverso una corretta e più possibile trasparente comunicazione sugli standard di
comportamento, che devono essere divulgati e condivisi a tutti i livelli, in modo che la catena
della consapevolezza filtri dal management fino ai singoli dipendenti.
Tutto questo presuppone, in particolare, una struttura organizzativa in grado di veicolare
la pianificazione e la strategia aziendale in modo da poter, nella maniera più oggettiva
possibile, misurare e controllare il raggiungimento degli obiettivi che fanno parte della
mission aziendale.
La struttura organizzativa deve in particolar modo essere calibrata in maniera da rendere
chiare e univocamente determinabili le responsabilità relative alle attività operative, che
devono essere assegnate ovviamente in base a criteri di competenza ma anche fondandosi
sulle capacità di assumersi rischi a diversi livelli: la relazione di reporting fra gli operativi e i
livelli gerarchici superiori è uno degli elementi critici di questa catena decisionale.
Il coinvolgimento delle Risorse Umane nell’ambiente di controllo è un’altra caratteristica
essenziale per la buona riuscita della funzione del sistema di controllo interno: oltre alla
funzione di allocazione e gestione delle risorse in merito alle tematiche del controllo dei rischi
aziendali, le Risorse Umane possono promuovere la formazione interna e la diffusione di
consapevolezza relative alle tematiche del rischio e della sua gestione, che devono
capillarmente diffondersi nelle differenti funzioni aziendali.
48
La valutazione del rischio è in effetti un altro elemento fondante della funzione del
sistema di controllo interno, in quanto i rischi si connotano come eventi potenziali il cui
verificarsi impatta sulla probabilità di raggiungere gli obiettivi di business (per esempio in
quanto impattano sulla possibilità di operare normalmente), o sulla probabilità di veder
soddisfatte determinate aspettative (per esempio nel caso in cui fattori macroeconomici
vadano a ledere il valore di investimenti finanziari).
In effetti, i rischi cui una azienda è esposta nel corso della sua attività non possono essere
azzerati, per loro natura le imprese si muovono in un contesto in cui la competizione, i fattori
macroeconomici, i fattori sociali, etc. rendono incerto il percorso delineato dalla strategia
aziendale e sfidante la sua realizzazione: il sistema di controllo interno non può ovviamente
garantire la realizzazione degli obiettivi aziendali a fronte di questa situazione di costante
incertezza, ma porre le basi e i presupposti affinché l’azienda sia potenzialmente in grado di
fare fronte alle situazioni impreviste e, malgrado il verificarsi di queste, giungere al proprio
target di business.
Ovviamente la valutazione del rischio è legata alle capacità strategiche della direzione
aziendale, che in particolare deve essere in grado di identificare correttamente i rischi prima
che si verifichino, possibilmente classificandoli per tipologia e stima di impatto, e disegnando
dei controlli specifici per ciascun rischio, comuni spesso alle categorie di rischio, per poter
efficientemente decidere come comportarsi nel caso in cui il rischio si verifichi in modo da
mitigarlo.
Tradizionalmente il risk management è stato inteso come gestione dei rischi economico-
finanziari cui l’azienda può incorrere: l’identificazione di questi rischi è onere della direzione
generale dell’azienda che deve disegnare e mettere in campo i controlli volti a minimizzare le
possibilità di rischio, ma anche del revisore dei conti che deve stabilire le quantità e qualità di
evidenza necessaria per poter dire con ragionevole certezza che la situazione di rischio
potenziale sta attuandosi in un rischio reale.
Tuttavia è un dato di fatto ormai accettato universalmente che le tipologie di rischio per le
aziende sono più estese del semplice, per quanto fondamentale, ambito economico-
finanziario.
A fronte di quanto specificato in questo e nel precedente paragrafo, possiamo almeno
affiancare agli obiettivi di economicità di una azienda anche quelli di affidabilità delle
informazioni e di conformità alle regole interne ed esterne: ciascuno di questi ambiti
determina una serie di obiettivi che l’azienda si propone di centrare, e per ciascuno di questi
49
ambiti dunque emergono diverse tipologie di rischio che possono interferire col
raggiungimento dei singoli obiettivi.
In particolare, il sistema di controllo interno può contribuire ad abbattere o mitigare
soltanto alcune tipologie di rischio, altre devono necessariamente essere trasferite in quanto
facenti capo a rischi residuali cui la gestione aziendale non può sottrarsi36: per esempio il
rischio economico finanziario non può essere mitigato se non potenzialmente dal sistema di
controllo interno, che deve garantire la possibilità di gestirne il verificarsi del rischio senza
poter garantire sull’esito dell’azione di contrasto, laddove il rischio legato all’attendibilità
delle informazioni o alla conformità nel rispetto delle policy e delle normative sono
nell’ambito di operatività del sistema di controllo interno, una cui corretta implementazione e
un cui efficiente funzionamento consentono di abbatterli e mitigarli.
Un classico e semplice modello di gestione del singolo rischio si basa sull’analisi
impatto/probabilità: si analizza cioè il rischio secondo queste due dimensioni, ottenendo
quattro categorie di rischio determinate dal fatto che l’impatto e/o la probabilità siano
rispettivamente bassi e/o alti.
Impatto alto/
Probabilità bassa
Impatto alto/
Probabilità alta
Impatto basso/
Probabilità bassa
Impatto basso/
Probabilità alta
Ovviamente un rischio ad alto impatto e alta probabilità di verificarsi va tenuto sotto
controllo e bisogna aver preventivamente preparato una strategia per gestirlo, laddove un
rischio con probabilità alta ma basso impatto potrebbe essere comunque accettato, nel senso
che si preferisce subirne la possibile verifica piuttosto che sostenere il costo della sua
mitigazione.
Infatti, nella gestione dei rischi, se da un lato si devono predisporre delle misure di
controllo e protezione, dall’altro queste comportano ovviamente un costo e un onere: non è
possibile metterle in campo sempre e comunque perché vorrebbe dire che il sistema di
gestione dei rischi non è ottimale, così come non sarebbe ottimale se si trascurasse la gestione
36 Cfr. Bava (2004).
50
del rischio in ogni caso: la soluzione è chiaramente un compromesso fra il costo dei sistemi di
controllo e l’impatto del rischio, in modo da individuare un livello ragionevole di controlli
oltre il quale il costo dell’impatto non eccede il costo della messa in campo delle risorse per
mitigarlo.
Da tutto questo segue che il sistema di controllo interno opera in stretta sinergia con il
personale addetto alla gestione dei rischi, e anzi che una salutare osmosi fra i due gruppi
consente una maggiore facilità di intenti e di condivisione delle informazioni.
Il monitoraggio dei rischi deve invece essere una attenzione costante e il flusso di
informazioni e report ad esso relativo deve essere sempre tenuto nella massima efficienza in
modo da poter comunicare tempestivamente le informazioni necessarie alla presa rapida di
decisioni in caso di verifica dei rischi stimati.
In effetti un monitoraggio va inteso come una verifica continua o periodica con cadenze
ben definite dell’efficacia dei controlli e dell’effettiva operatività di essi in modo da poter
assicurare che i controlli operino secondo gli obiettivi preventivati e che siano adeguati a
eventuali evoluzioni della realtà operativa sulla quale vanno calati: operatività ed adeguatezza
dunque devono essere assicurate affinché il sistema di controllo possa svolgere in modo
effettivo la propria mansione.
Lo scambio di informazioni che fa in qualche modo da sfondo a questa operatività relativa
al monitoraggio prevede una eterogeneità di fonti alle quali attingere per poter comporre un
quadro coerente sulla base del quale andare a monitorare in modo efficace il sistema
aziendale: per esempio si possono utilizzare i rapporti dell’Internal Audit, i rapporti di altri
enti di sorveglianza, il feedback del personale interno, il feedback di attori esterni coinvolti a
vario titolo nel processo produttivo (in primis i clienti ovviamente), etc.
La continuità del processo di monitoraggio consente al top management di utilizzare in
modo consapevole e informato i propri strumenti di raccolta delle informazioni a beneficio
del decision making.
Queste osservazioni pongono in rilievo la stretta connessione che esiste fra la funzione di
internal audit e la funzione di controllo interno, che in talune organizzazioni, la cui
complessità è bassa, possono essere collassate su una funzione di qualità dei processi
produttivi in staff al Consiglio di Amministrazione.
51
2.4 I rapporti tra l’internal auditor e i principali attori del sistema di
controllo interno
Stante la descrizione che si è fin qui svolta del sistema di controllo interno nella sua
generalità e, tenuto conto del fatto che le singole declinazioni dei sistemi di controllo interno
possono variare moltissimo in base alla complessità e al dominio di business dell’azienda, è
evidente come questa funzione aziendale si collochi al centro della rete di comunicazioni fra il
Consiglio di Amministrazione e gli organismi preposti al raggiungimento degli obiettivi di
business.
In particolare, nei modelli di governance aziendale moderni, la responsabilità del sistema
di controllo interno viene imputata al Consiglio di Amministrazione che, non solo ne detta le
linee di indirizzo, ma ne valuta anche l’efficacia.
Questo legame37, come abbiamo avuto modo di ricordare nel primo capitolo, viene
esplicitamente sancito sia dal Codice di Autodisciplina della Borsa Italiana, nonché dalle best
practices internazionali in materia di internal auditing, come ad esempio gli standard dell’IIA.
In particolare38, è l’organo di governo aziendale che deve approvare il mandato
dell’internal auditing, nonché la valutazione dei rischi da questo espressa e il piano di audit
necessario per metterla in pratica; inoltre, è allo stesso Consiglio di Amministrazione che
l’internal auditing eroga la reportistica sulla propria attività e in generale sui rilevamenti a
proposito delle attività di altri, spesso in maniera riservata, per esempio “scavalcando” il
management.
Infine, spetta sempre al Consiglio di Amministrazione nominare il preposto all’internal
auditing e definirne la retribuzione.
Tuttavia, rispetto al sistema di controllo interno che stiamo descrivendo in questo capitolo,
queste raccomandazioni possono risultare restrittive: sicuramente, ove costituito, è il Comitato
Controllo e Rischi che svolge in modo più appropriato la funzione di tramite fra il Consiglio
di Amministrazione e l’internal auditing.
In particolare, il Comitato Controllo e Rischi si fa carico di filtrare la reportistica erogata
dall’internal auditing nei confronti del Consiglio di Amministrazione, venendo quindi a
37 Cfr. Dittmeier (2011), pp. 105sgg.
38 Ibidem.
52
svolgere, a livello funzionale, il ruolo che il preposto dell’internal auditing svolge nel più
semplice modello proposto dall’IIA cui abbiamo testé accennato.
Come è stato autorevolmente rilevato39, l’introduzione di questo “filtro” al canale
informativo fra l’internal auditing e il Consiglio di Amministrazione, filtro costituito dal
Comitato Controllo e Rischi, consente una maggiore trasparenza informativa e chiarezza sulle
problematiche riscontrate.
Naturalmente questo apparente paradosso fra le raccomandazioni dell’autorevole istituto
internazionale e il codice della Borsa Italiana nell’interpretazione che stiamo proponendo si
risolve pensando che, di norma, il preposto al controllo interno è anche il responsabile
dell’internal auditing.
Questa figura non ha quindi difficoltà a riconoscere nel Comitato Controllo e Rischi
l’organismo che naturalmente è in grado di valutare le evidenze dell’internal auditing
garantendone l’adeguata rappresentazione al Consiglio di Amministrazione.
D’altra parte, il Codice di Autodisciplina di Borsa Italiana richiede esplicitamente che il
Comitato Controllo e Rischi sia composto da amministratori che non rivestono alcun ruolo
esecutivo, in maggioranza indipendenti: in questo modo si garantisce il principio
dell’indipendenza e autonomia delle attività del comitato stesso.
La funzione di “filtro”, nel senso ingegneristico di canale di comunicazione, fra internal
auditing e Consiglio di Amministrazione svolta dal Comitato Controllo e Rischi è, per così
dire, bidirezionale, nel senso che non solo, come abbiamo detto, il Comitato Controllo e
Rischi veicola informazioni verso il Consiglio di Amministrazione, ma quest’ultimo, a sua
volta, utilizza il comitato per prescrivere all’internal auditing le necessità e gli obiettivi da
raggiungere.
Questa relazione sinergica fra internal auditing e Comitato Controllo e Rischi non deve
ovviamente portare a conflitti di competenze o interferenze reciproche nelle proprie attività; il
responsabile dell’internal auditing e il Comitato Controllo e Rischi devono comunicare in
modo frequente in merito alle informazioni che si scambiano e che devono scambiarsi con il
Consiglio di Amministrazione, e anche in merito alle finalità e alle esigenze dell’attività di
auditing.
39 Ibidem.
53
Chiarezza e trasparenza nelle comunicazioni, e in generale nei rapporti fra queste due
funzioni sono quindi l’unico strumento reale per consentire un corretto flusso di informazioni
e, in ultima analisi, la soddisfazione dei mandati e delle esigenze del Consiglio di
Amministrazione.
Naturalmente in tutto questo il Comitato Controllo e Rischi, come abbiamo ricordato, è
formato da amministratori privi di mandato esecutivo, dunque è un organo interno al
Consiglio di Amministrazione e vive pertanto la realtà strategica aziendale dalla posizione
privilegiata del luogo dove le decisioni che impattano sulle sorti dell’azienda sono prese.
In effetti, nelle organizzazioni a bassa complessità, Consiglio di Amministrazione e
responsabili del Comitato Controllo e Rischi (che può non essere nemmeno costituito in
questi casi) e internal auditing si collassano su poche persone, che invariabilmente sono i
preposti al controllo contabile.
Infatti giova ricordare che, in accordo con quanto sancito dal codice di
autoregolamentazione di Borsa Italiana, il Comitato Controllo e Rischi ha l’onere della
valutazione di una corretta applicazione dei principi contabili e in generale spartisce, con i
revisori, l’onere della vigilanza sull’efficacia del processo di revisione contabile.
2.5 Il modello proposto nel COSO I
Negli Stati Uniti l’esigenza di linee guida per la corporate governance e in particolare per
quanto attiene alla gestione dei rischi è stata una esigenza avvertita in tempi non sospetti: a
metà degli anni ’80, infatti, venne costituito il “Committee of Sponsoring Organizations of the
Treadway Commission”, un comitato costituito da cinque organizzazioni del settore privato
(una delle quali è l’IIA che abbiamo citato nel capitolo precedente), il cui scopo originario
doveva essere di fornire supporto, standard e linee guida per la lotta alle frodi finanziarie
aziendali, in particolare alla falsificazione dei rapporti economici delle aziende, un male che
aveva afflitto l’economia imprenditoriale statunitense nei decenni precedenti, con picchi negli
anni ’70.
Nel corso degli anni, il Comitato ha esteso il proprio ambito di intervento e definito degli
standard de facto non soltanto nel campo della prevenzione alle frodi finanziarie, ma nel risk
management e nella corporate governance nei suoi aspetti più generali.
54
Nel 1987 il comitato mutò nome in “Committee of Sponsoring Organizations”, a cui si
diede l’acronimo COSO40: il suo primo report, ora noto come COSO I, fu pubblicato nel
1992, e riedito nel 1994 con lievi modifiche, divenendo nell’arco degli anni seguenti il
framework di riferimento in materia di sistemi di controllo interni, specie per quanto riguarda
l’assessment e il miglioramento di questi sistemi.
L’ultima versione del framework è stata pubblicata nel 2013, e sebbene nei principi
ispiratori e nelle fondamenta sia sostanzialmente fedele alla teoria elaborata venti anni prima,
offre una versione moderna e flessibile del framework, adatta al tipo di problematiche emerse
negli anni ’2000 a proposito dei sistemi di controllo interno.
Il framework viene oggi denominato “Internal Control Integrated Framework”, ma è più
semplicemente noto come “Report COSO I”, e fu progettato con l’intento di migliorare i
sistemi di controllo interno a partire da una standardizzazione interna di questo concetto.
Ciò che venne riconosciuto in questo report e nel modello che esso propose41, è che la
fonte principale di errori e incongruenze nei sistemi di controllo interno degli anni ’80 era
stata la mancanza di una definizione e di un linguaggio comune, relativo al controllo interno,
fra le differenti funzioni e organismi aziendali.
Il management, il Consiglio di Amministrazione, i dipendenti e gli stessi auditor avevano
obiettivi e quindi misure di controllo distinte a seconda del loro ambito operativo o delle
responsabilità cui erano singolarmente chiamati.
La proposta realmente innovativa, e lo sforzo ingegneristico che la supporta, del COSO I
consistono sostanzialmente nel proporre alle aziende un modello integrato di sistema di
controllo interno, condivisibile fra tutti gli attori coinvolti, centrale e quindi condiviso.
La solidità di questa proposta l’ha resa di fatto lo standard nel settore, dapprima negli Stati
Uniti e poi nel resto del mondo, offrendo un sistema di valutazione dell’efficacia dei sistemi
di controllo interno che consentiva non solo una coerenza interna nella valutazione di questi
sistemi, ma anche il confronto con altre realtà che adottavano lo stesso modello.
Va anche aggiunto che il successo del modello COSO I è stato anche legato alla
promanazione della SOX, che nella sua sezione 404 richiede al management delle aziende
pubbliche di selezionare un framework di controllo interno in modo da utilizzarlo per
40 Per maggiori informazioni cfr. il loro sito: http://www.coso.org/aboutus.htm.
41 Cfr. Dittmeier (2011), pp. 165sgg.
55
l’assessment e la reportistica periodica: la maggior parte delle aziende statunitensi optarono
per il COSO I42.
Il COSO I definisce il controllo interno come un processo, vale a dire come uno strumento
per realizzare un certo fine e non come un valore in se stesso, che viene posto in essere dal
Consiglio di Amministrazione, dal management e da tutto il personale al fine di offrire una
ragionevole garanzia sul raggiungimento di alcuni obiettivi aziendali.
E’ importante porre l’accento sull’aggettivo “ragionevole”, che ovviamente non implica la
certezza del raggiungimento degli obiettivi ma bensì l’aver messo in campo tutte le iniziative
per consentire e promuovere questo raggiungimento, a meno di fattori esogeni e straordinari.
Anche il plurale “obiettivi” va sottolineato: il sistema di controllo interno non viene visto
come orientato a un singolo, o a un generico obiettivo, ma come in grado di supportare il
raggiungimento di diversi obiettivi, ovviamente integrati e non necessariamente mutuamente
esclusivi.
In particolare, questi obiettivi, al cui raggiungimento il controllo interno intende
contribuire, consistono nell’efficacia e nell’efficienza delle procedure operative,
nell’attendibilità dei dati del bilancio aziendale, nella conformità alle regole interne ed esterne
cui l’azienda è sottoposta e nella salvaguardia degli asset aziendali, in primis il patrimonio
aziendale.
Come si vede, abbiamo utilizzato questa definizione nella nostra discussione del sistema
di controllo interno erigendo in qualche modo a sistema il framework proposto, almeno nelle
sue basi, in quanto questi principi sono ormai considerati indiscutibili.
E, in effetti, è stato proprio l’affermarsi del modello COSO I che ha reso consapevole la
comunità imprenditoriale del fatto che il sistema di controllo interno è un ausilio
fondamentale per il raggiungimento degli obiettivi di business di una azienda.
In questo senso, il COSO pone esplicitamente l’accento sulle persone che contribuiscono
con la loro attività all’operatività e alla gestione aziendale: il sistema di controllo interno non
può essere semplicemente ridotto a una serie di regolamenti, standard documentali e
questionari, ma va visto come il prodotto dell’attività delle persone, ai diversi livelli di
organizzazione e ciascuno secondo le sue competenze.
42 Cfr. McNally (2013).
56
2.6 Gli elementi del sistema di controllo interno nel framework COSO
Alle tre dimensioni dell’operations, del reporting e della compliance che costituiscono gli
obiettivi principali dell’azione di controllo del sistema dei controlli interni proposto da
COSO, si sovrappongono le cinque componenti che un tale sistema, secondo il framework,
deve possedere come entità distinte ma integrate, ciascuna delle quali interviene a titolo
diverso nel supportare le tre tipologie di obiettivi ricordate.
Precisamente abbiamo:
1. L’ambiente di controllo, che riguarda l’integrità e i valori etici, la corporate
governance, i ruoli e la responsabilità, le competenze del personale, la filosofia
generale del management e lo stile organizzativo dell’azienda.
2. La valutazione dei rischi, che riguarda la definizione, la comunicazione e il controllo
degli obiettivi di business, nonché l’identificazione, la valutazione, la gestione e il
monitoraggio dei rischi.
3. Le attività di controllo, che riguardano il controllo di gestione, i controlli operativi e
del sistema normativo aziendale, la segregazione dei compiti e dei livelli autorizzativi,
il controllo per mezzo della dotazione IT dell’azienda.
4. L’informazione e la comunicazione, che riguarda la raccolta e la distribuzione delle
informazioni, i sistemi informatici e l’attendibilità dell’informativa finanziare, la
comunicazione delle responsabilità relative al sistema di controllo interno.
5. Le attività di monitoraggio, che riguardano il monitoraggio di linea e indipendente
sull’informativa finanziaria e le attività dell’internal audit.
Solitamente si rappresenta l’incrocio fra queste cinque componenti del sistema e fra gli
obiettivi del sistema stesso in una rappresentazione tridimensionale, il “cubo COSO”.
57
Abbiamo già trattato di questa struttura, sebbene non sia stata esplicitata come facente
parte di questo framework, quando abbiamo descritto come deve essere organizzato un
sistema di controllo interno, nel §2.3: qui ci limitiamo dunque a riassumere alcuni principi,
sanciti esplicitamente dal modello, pertinenti alle cinque componenti elencate che rendono un
sistema compliant con il framework COSO I.
L’ambiente di controllo deve mostrare commitment ai valori etici e di integrità
dell’azienda, deve essere orientato ai principi di responsabilità, istituendo strutture e autorità
che abbiano l’onere di questa responsabilità, mostrare commitment alla competenza e
rafforzare l’accountability: in particolare il Consiglio di Amministrazione deve essere
indipendente dal management ed esercitare l’attività di monitoraggio sullo sviluppo e la
performance del sistema di controllo interno; nel rispetto degli obiettivi il management
istituisce le strutture e il sistema di deleghe e poteri, mentre l’organizzazione persegue la
valorizzazione delle competenze interne e vigila sulle responsabilità degli attori del controllo
interno rispetto al perseguimento degli obiettivi.
La valutazione dei rischi deve specificare in modo chiaro gli obiettivi della sua analisi in
modo da identificare i rischi connessi, per poi analizzarli come punto di partenza nel
determinare la miglior gestione del rischio; particolare attenzione viene posta sul rischio di
frode, come pure nell’identificare e valutare i cambiamenti che potrebbero impattare in modo
significativo sul sistema di controllo interno e richiedere pertanto una nuova valutazione.
58
Le attività di controllo devono essere selezionate e sviluppate in modo da contribuire alla
mitigazione dei rischi di mancato raggiungimento degli obiettivi a un livello il più possibile
accettabile; inoltre l’organizzazione deve selezionare e sviluppare le attività di controllo anche
sulla tecnologia a supporto del raggiungimento degli obiettivi, deve descrivere queste attività
all’interno delle policy che stabiliscono i risultati attesi, e nelle procedure che sviluppano tali
policy.
L’informazione e la comunicazione devono riguardare le informazioni rilevanti e di
qualità a supporto della corretta operatività delle altre componenti del sistema di controllo
interno: da un lato l’organizzazione deve disporre di un processo di comunicazione interna,
che include gli obiettivi e le responsabilità dei controlli interni, fondamentale per supportare il
funzionamento delle altre componenti del sistema di controllo interno, dall’altro lato
l’organizzazione deve essere pronta a comunicare in modo corretto verso l’esterno i fatti
rilevanti che hanno impatto sulle altre componenti del sistema di controllo interno.
Il monitoraggio deve essere condotto in modalità continuativa, ovvero per valutazioni
specifiche volte a verificare la presenza e il funzionamento delle componenti del sistema di
controllo interno; inoltre, l’organizzazione valuta e comunica i deficit del sistema di controllo
interno in modo tempestivo alle figure che sono accountant per la messa in campo di azioni
correttive, incluso, se necessario, il top management e il Consiglio di Amministrazione.
Nella versione più recente del modello, quella del 2013, la categoria del reporting viene
esplicitamente intesa nella sua accezione più generale, che travalica i confini del report di
bilancio e della situazione economico-finanziaria dell’azienda.
Inoltre, in questa versione, si menziona esplicitamente il coinvolgimento del Consiglio di
Amministrazione, la definizione degli obiettivi, l’identificazione e la valutazione dei
cambiamenti, l’integrazione con il risk management e in generale con la governance
aziendale.
Al Consiglio di Amministrazione spetta una “oversight responsibility”, al CEO e al top
management è in carico la diretta responsabilità nello sviluppo e nell’implementazione del
sistema di controllo interno.
A questo proposito vale la pena di ricordare come le “tre linee di controllo” esplicitamente
proposte dal COSO I sono organizzate:
59
Il management e il personale rappresentano la “prima linea” di controllo nelle attività
day-to-day, in quanto devono implementare in maniera continuativa la gestione dei
rischi cui l’azienda è esposta nella propria operatività.
La “seconda linea” è data dalle funzioni a supporto del business, che svolgono il
compito guida sui requisiti di controllo interno e valutano il rispetto degli standard
definiti: a titolo di esempio possiamo citare il risk management, le risorse umane,
l’area finanza, l’area legale, etc.
La terza linea è quella dell’audit, sia interno che esterno, in quanto raccomanda, in
piena autonomia e indipendenza dalle funzioni operative, al management le azioni
correttive e i miglioramenti.
La definizione degli obiettivi è una condizione preliminare alla realizzazione del sistema
di controllo interno, e rappresenta una parte fondamentale del processo di pianificazione
strategica: il management ha l’onere di definire gli obiettivi in modo da consentire
l’identificazione e la valutazione dei principali rischi che possono influenzarne il
raggiungimento.
In particolare vanno definite, strategicamente, la risk tolerance, cioè il livello di tolleranza
nel mancato raggiungimento degli obiettivi, che è il presupposto per la determinazione delle
risposte al rischio e delle relative attività di controllo, e il risk appetite, cioè l’ammontare
complessivo di rischio che la società intende assumere per realizzare la propria mission.
Oltre a questo è necessario identificare e valutare i cambiamenti, che possono essere
classificati in vario modo: per esempio i cambiamenti nel contesto nel quale l’azienda opera, e
che possono originare da mutamenti nella regolamentazione o nel contesto competitivo del
mercato di riferimento dell’azienda, i cambiamenti legati a cause esogene come eventi
naturali che impattano sulle materie prime, i fornitori, etc., i cambiamenti del modello di
business, legati all’apertura di nuove linee di mercato, all’insourcing/outsourcing di processi, i
cambiamenti legati all’internazionalizzazione dell’azienda e all’apertura a nuovi mercati
esteri, i cambiamenti tecnologici che impattano sugli asset e sulle modalità operative
aziendali, i cambiamenti nell’assetto manageriale e organizzativo dell’azienda.
Il sistema di controllo interno deve periodicamente essere rivisto per comprendere se è
ancora adeguato a fronteggiare in modo tempestivo a questi cambiamenti, o se necessita
modifiche per poter più efficientemente fare fronte a tutto questo.
60
Il modello COSO I stabilisce inoltre le “linee di confine” fra il sistema di controllo interno
e i suoi gestori e le altre funzioni aziendali che intervengono nelle tematiche di controllo e
auditing: per esempio pone esplicitamente l’accento sul fatto che le attività di controllo
supportano in modo particolarmente significativo il risk assessment, mentre svolgono un
ruolo meno importante laddove la strategia aziendale preveda di evitare o accettare un rischio
specifico, a differenza del caso in cui si scelga di ridurre il rischio o anche di condividerlo.
Analogamente, si pone l’accento sul fatto che non tutte le decisioni del management
devono necessariamente passare per il controllo interno: a titolo di esempio possiamo citare le
decisioni strategiche che hanno un impatto sugli obiettivi di business, e quindi sul target che il
sistema di controllo interno ha il compito di verificare sia raggiunto dalle funzioni aziendali
operative; infatti queste decisioni producono un output che il sistema di controllo interno
utilizza senza nessuna possibilità o necessità di indagare su di esso ma assumendolo come un
mero dato della sua attività, soggetto a modifiche.
Anche la definizione della tolleranza al rischio e del risk appetite fa parte del processo di
pianificazione strategica che non vede in alcun modo coinvolta la funzione di controllo se non
nel prendere atto dell’output di questo processo decisionale, e lo stesso discorso vale per la
strategia di gestione dei rischi.
Da quanto appena esposto si comprende come il sistema di controllo interno secondo il
framework proposto da COSO I veda l’intervento di diversi attori, con diversi ruoli, secondo
uno schema che possiamo riassumere per punti come segue, tenendo conto anche delle
prescrizioni del Codice di Autodisciplina di Borsa Italiana:
Il Consiglio di Amministrazione ha, come si è detto, un ruolo centrale in quanto
indirizza le attività del sistema di controllo interno e fruisce della sua reportistica.
Un amministratore incaricato dal Consiglio di Amministrazione indirizza e valuta
l’adeguatezza e l’efficacia del sistema di controllo interno e del risk management.
Il comitato di controllo e rischi supporta il Consiglio di Amministrazione con
istruttorie e valutazioni sul sistema di controllo interno.
Altre funzioni aziendali, con diversi compiti specifici che impattano sul controllo dei
rischi, pure partecipano operativamente assolvendo a specifici compiti in tema di
controllo dei rischi, ovviamente in un modo che dipende dalla complessità, dalle
dimensioni e dal profilo di rischio dell’azienda.
Il collegio sindacale vigila, in modo indipendente dalle emanazioni del Consiglio di
Amministrazione, sull’efficacia del sistema di controllo interno.
61
L’internal audit verifica, in modo autonomo dalle funzioni operative, il
funzionamento e l’adeguatezza del sistema di controllo interno.
Le ultime due funzioni sono di vigilanza, laddove le prime sono di gestione: la complessità e
ricchezza di questo modello possono essere rappresentate nella figura seguente:
2.7 I limiti del framework COSO I
Il modello presentato nel report COSO I, che abbiamo descritto fin qui e la cui adozione
da parte di FCA fino al 2013 è stata discussa nel paragrafo precedente, ha subito, come
accennato, diverse modifiche nel corso della sua storia ma anche delle evoluzioni per riflettere
nuove esigenze legate non soltanto alle innovazioni legislative ma anche a quelle tecnologiche
e manageriali.
Questo non significa che il report COSO I sia da considerarsi superato, in quanto
costituisce un framework che si focalizza sul sistema di controllo interno, laddove le sue
generalizzazioni ed estensioni, come l’ERM e COSO III, che discuteremo nel prosieguo di
62
questo capitolo, abbracciano una più ampia prospettiva o si focalizzano su aspetti più
specifici43.
Tuttavia, prima di procedere nell’analisi dei modelli più recenti e della loro adozione da
parte di FCA, non pare inopportuno segnalare alcune delle limitazioni del framework COSO I
che hanno condotto all’elaborazione di altri modelli.
Per prima cosa va rilevato come l’accento sia posto, nel report COSO I, sulla reportistica
economico-finanziaria, precisamente sul controllo dell’affidabilità di quest’ultima come target
principale del framework, e in particolare sull’affidabilità delle informazioni riportate verso
l’esterno: questo limite è quindi duplice, da un lato per quel che concerne il contenuto,
dall’altro per quel che concerne i destinatari della reportistica la cui affidabilità viene
sottoposta a controlli.
Non esiste poi una categorizzazione degli obiettivi di business al di là del dato economico
finanziario legato ai margini e alla redditività, che costituisce indubbiamente una misura
oggettiva ma che rappresenta un dato di sintesi che potrebbe far trascurare altre dimensioni
della strategia aziendale che pure necessitano un controllo, in particolare per quel che riguarda
la gestione aziendale.
Una caratteristica del COSO I, sulla quale ci siamo soffermati, è la predisposizione di un
“ambiente di controllo” come fondamento strumentale dell’azione del sistema di controllo
interno: questa vera e propria piattaforma del sistema secondo il framework COSO I rende
quest’ultimo organizzato in maniera “piramidale”, dove alla base troviamo proprio l’ambiente
di controllo e, via via a salire, la valutazione del rischio, le attività di controllo e, al vertice
della piramide, il monitoraggio44.
Questa caratteristica può essere vista come un limite se si considera che, in organizzazioni
grandi e complesse, questo ambiente di controllo può non avere la pervasività e l’importanza
necessaria per il compito cui è chiamato, in quanto l’ambiente interno dell’azienda può
prevedere strutture ulteriori che potrebbero essere coinvolte nell’attività di controllo interno.
Anche in tema di valutazione dei rischi il modello utilizza una nozione ormai messa in
discussione, specie negli ambienti di project management, di rischio, vale a dire il concetto di
evento con risvolti negativi per l’attività operativa che potrebbe verificarsi o meno: si tralascia
quindi di considerare le opportunità, cioè i rischi che possono avere conseguenze positive per
43 Cfr. Dittmeier (2011), p. 167.
44 Ibidem.
63
l’organizzazione, e quindi come controllare se siano state messe in opera le misure atte a
sfruttare queste opportunità nel caso in cui si presentino.
Per quel che riguarda le informazioni, va poi notato che COSO I non fa menzione dei dati
previsionali, che invece negli ultimi anni si sono affermati come fondamentali per la strategia
aziendale, anche a fronte di nuovi strumenti automatici di previsione che sono ormai sempre
più precisi.
Infine, è stato anche messo in rilievo45 che la complessità del modello, dovuta alle molte
combinazioni fra le sue componenti che possono essere prodotte per ciascun tipo di
organizzazione, e che quindi implicano uno studio e delle scelte precise in fase di analisi
preliminare prima dell’adozione del modello, rendono di difficile implementazione il COSO I
se non in aree limitate e circoscritte della realtà aziendale.
2.8 Adozione dei framework COSO da parte di Fiat Group
La società Fiat nel maggio del 1999 si è dotata di un sistema di controllo interno, basato
sul modello COSO I che abbiamo discusso.
Il Consiglio di Amministrazione si è fatto promotore del consolidamento del comitato di
controllo interno prevalentemente tramite la diffusione di documentazione sulle policy di
controllo interne e sulle relative procedure.
Nel 2012, a seguito delle modifiche al Corporate Governance Code (introdotte nel
dicembre del 2011), il Consiglio di Amministrazione ha cambiato il nome del comitato da
“Internal Control Committee” a “Internal Control and Risk Committee”, ed ampliato e
ridefinito il suo ruolo e le sue responsabilità.
Questo comitato per il controllo interno e rischi è formato completamente da
amministratori indipendenti e il suo ruolo è di supportare la valutazione e il processo di
decision-making del Consiglio di Amministrazione, offrendo consigli e formulando proposte
a proposito del sistema di controllo interno e di risk management, oltre che in merito alla
reportistica finanziaria che periodicamente deve essere erogata.
Sul Comitato gravano in particolare le seguenti responsabilità:
45 Cfr. Shaw (2006).
64
Supportare il Consiglio di Amministrazione nella definizione e nell’aggiornamento
delle linee guida per il sistema di controllo interno;
Valutare la corretta applicazione dei principi di responsabilità adottati e la congruità
con i principi applicati per la formulazione della reportistica finanziaria: ovviamente in
questo il Comitato trova la collaborazione dei manager responsabili dei report
finanziari del gruppo, degli auditor indipendenti e del collegio sindacale;
Formulare raccomandazioni su aspetti specifici relativi all’identificazione, alla
misurazione, alla gestione e al monitoraggio dei principali corporate risk, oltre alla
definizione della natura dei rischi che impattano sugli obiettivi strategici dell’azienda,
e alla definizione delle soglie di tolleranza nei confronti di questi rischi;
Revisionare i report periodici che offrono una valutazione del sistema di controllo
interno e di risk management, oltre che ulteriori report di particolare rilevanza ai fini
dell’internal audit;
Monitorare l’indipendenza, l’adeguatezza, l’efficacia e l’efficienza dell’Internal Audit,
con particolare riguardo al D. Lgsl. 231/2001 relativo alla responsabilità
amministrativa;
Revisionare, in sinergia con il Collegio Sindacale, le risultanze prodotte dagli auditor
indipendenti nei loro report o nelle loro raccomandazioni;
Riportare al Consiglio di Amministrazione, almeno con cadenza semestrale (in
occasione dell’approvazione del rapporto finanziario annuale e semestrale), le attività
svolte, e lo stato di adeguatezza del sistema di controllo interno e di risk management;
Revisionare, con il supporto dell’internal audit, le risultanze di whistleblowing
ricevute con lo scopo di monitorare l’adeguatezza del sistema di controllo interno e di
risk management;
Revisionare il piano delle attività preparato dal capo dell’Internal Audit.
Il comitato ha facoltà di chiedere all’internal audit di concentrarsi su specifiche aree
operative, e al tempo stesso di informare il chairman del collegio sindacale che queste
richieste sono state fatte.
Inoltre, il comitato ha la possibilità, ove necessario, di accedere alle informazioni della
società e delle sue singole funzioni in modo da poter procedere con le proprie attività, così
come di utilizzare consulenti esterni, in accordo con quanto stabilito a questo proposito dal
Consiglio di Amministrazione: ovviamente l’azienda mette a disposizione del comitato le
65
adeguate risorse finanziarie per poter svolgere il proprio ruolo, sempre nei confini tracciati dal
Consiglio di Amministrazione.
Il capo dell’Internal Audit rende disponibile al comitato, su richiesta, personale
specializzato e anche consulenti indipendenti selezionati dal comitato per poterlo supportare
nelle proprie attività.
Al comitato è anche assegnata la responsabilità delle transazioni con le parti coinvolte,
eccetto quanto queste si riferiscano a compensazioni.
Le riunioni del comitato sono richieste dal chairman del comitato stesso ogni qualvolta
egli lo ritenga appropriato, e in ogni caso almeno ogni sei mesi: il chairman del Collegio
Sindacale, o anche altri membri di quest’ultimo (di prassi l’intero Collegio Sindacale),
possono partecipare alle riunioni in relazione a tematiche specifiche all’ordine del giorno,
come pure altri esperti se richiesto, compresi dirigenti che non sono membri del comitato,
oppure altri dipendenti della compagnia.
Nel 2012, parallelamente all’istituzione del comitato di controllo interno e risk
management, il Consiglio di Amministrazione ha anche approvato proprie linee guida per il
controllo interno e il risk management, che costituiscono una revisione delle procedure già in
essere dal 1999 e modificate nel 2003, inclusa l’adozione delle modifiche introdotte dal
Corporate Governance Code nel 2011.
Il modello di riferimento è rimasto il framework COSO e i principi fondanti quelli del
Corporate Governance Code: il sistema è integrato nel framework di corporate governance e
organizzazione dell’azienda.
Il sistema che è stato sviluppato, sulla base delle best practice internazionali, consta di tre
livelli di controllo, in completa coerenza con quanto abbiamo esposto in generale nel §2.6:
Livello 1: le aree operative, che identificano e valutano i rischi, stabilendo anche
azioni specifiche per la gestione di questi rischi;
Livello 2: i dipartimenti responsabili del controllo dei rischi, che definiscono le
metodologie e gli strumenti per gestire e monitorare i rischi;
Livello 3: l’internal audit, che conduce valutazioni indipendenti sul sistema nella sua
interezza, e il cui capo riveste anche il ruolo di compliance officer secondo quanto
richiesto dall’art. 150 del D.Lgs. 58/1998.
Le linee guida del sistema di controllo interno e risk management offrono una descrizione
dettagliata degli oneri e delle responsabilità dei principali individui ed enti coinvolti, e
66
stabiliscono le procedure per il loro coordinamento, in modo da assicurare l’efficacia e
l’efficienza del sistema, e in modo da ridurre potenziali duplicazioni delle attività.
In linea con le guidelines di Fiat S.p.a. e per rafforzare ulteriormente il sistema di
controllo interno in modo coerente con la struttura di governance esistente in Chrysler, nel
2013 ogni unità territoriale o settoriale ha dovuto dotarsi del suo comitato di controllo interno
(ICC: Internal Control Committee), responsabile dell’esame e dell’approvazione delle policy
e delle procedure di controllo interno, così come di monitorare e verificare ogni aspetto del
sistema di controllo interno.
Per quanto riguarda il delicato e fondamentale tema del controllo interno sulla reportistica
finanziaria, il comitato è responsabile della supervisione di queste attività e dell’assicurazione
della corretta esecuzione dei processi di erogazione di questa reportistica, approvando
decisioni chiave e prontamente informando il CEO (Chief Executive Officer) del gruppo; per
quanto riguarda le altre tipologie di reportistica, il comitato è responsabile di revisionare gli
output dell’internal audit di Fiat, monitorando e assicurando la pianificazione e
l’implementazione delle eventuali misure correttive, così come delle linee guida, delle
procedure e dei regolamenti del sistema di controllo interno.
Per identificare e gestire i principali rischi, il Gruppo Fiat ha adottato, a partire dal 2005,
una estensione del modello COSO, l’Enterprise Risk Management, che è soggetto a revisioni
continue sulla base delle esperienze acquisite e miglioramenti ove necessario sulla base di
benchmark e best practice anche in rapporto alle analoghe attività svolte presso altri gruppi
industriali.
Prima di descrivere la declinazione specifica che in FCA ha assunto questo framework,
dobbiamo ovviamente descriverlo in generale, e confrontarlo con il COSO I per comprendere
quali siano i punti di contatto e quali le differenze.
2.9 Enterprise Risk Management
Agli inizi degli anni ’2000, il Committee of Sponsoring Organizations ha avviato una
riflessione relativa all’applicabilità e all’attualità del modello COSO I del 1992 sulla base di
considerazioni analoghe a quelle svolte nel paragrafo precedente, e avendo riconosciuto che il
tema dei rischi aziendali e della corporate governance si era nel frattempo ampliato e
complicato: il primo frutto di questi ripensamenti teorici è stato un nuovo modello, il COSO II
più comunemente noto come ERM (Enterprise Risk Management).
67
L’idea di base dell’ERM è di fornire non soltanto un framework per la gestione dei rischi
aziendali, ma uno standard, anche terminologico, e un insieme coerente di linee guida che le
aziende possono adottare e cui possono fare riferimento nel disegnare il loro sistema di
gestione (non semplice analisi) dei rischi.
Il modello proposto dall’ERM estende di molto il framework del report COSO I in quanto
non offre soltanto una base per il sistema di controlli interno, ma in generale per la corporate
governance aziendale, con un forte accento sulla misurazione delle performance.
Dal punto di vista dell’analisi e della gestione del rischio, l’ERM offre un modello più
preciso e rigoroso del precedente, consentendo in sede di analisi e pianificazione di
considerare come variabili la propensione al rischio e il grado di accettabilità del rischio da
parte del management con la conseguente messa in opera di meccanismi di gestione dei rischi
cui l’azienda può essere esposta nel perseguimento dei suoi obiettivi di business.
In particolare il concetto di rischio viene inteso come rischio/opportunità, e si considerano
quattro possibili strategie per selezionare la risposta al rischio ritenuta più opportuna: evitare
il rischio, ridurre il rischio, condividere il rischio o accettarlo.
Più in generale, giova ricordare che la definizione di Enterprise Risk Management viene
fornita dal framework stesso46: la gestione del rischio aziendale viene intesa come un
processo
posto in essere dal Consiglio di Amministrazione, dai manager e da altri dipendenti
dell’azienda;
utilizzato per la formulazione delle strategie in tutta l’organizzazione aziendale;
progettato per individuare eventi potenziali che possono influire sull’attività aziendale,
per gestire il rischio entro i limiti di “risk tolerance” fissati e per fornire una
ragionevole sicurezza sul raggiungimento degli obiettivi aziendali.
In questo senso ampio del termine, l’ERM è un processo continuo che coinvolge l’intera
organizzazione aziendale, integrato nel sistema di management e che centralizza l’analisi e la
gestione del rischio, in modo da evitare duplicazioni o applicazioni parziali dei principi di
project management.
Inoltre è chiaro dalla definizione l’accento posto sulle persone che implementano il
processo: non si tratta di una procedura statica e scritta in documenti o policy, ma di un
46 Cfr. Dittmeier (2011), p. 145.
68
insieme di attività svolte dal personale dell’azienda, nelle loro diverse mansioni e sulla base
delle loro competenze e responsabilità.
Quest’ultimo, quello dell’accountability, è uno dei temi chiave di tutto il framework
ERM, quello che usualmente si chiama “principio di responsabilità”: ovviamente ci sono
diversi modi di declinare questo concetto nella realtà aziendale, ma la filosofia del framework
sostanzialmente implica che non basta aver definito un organigramma e un piano di
comunicazione per garantire l’accountability necessaria a una corretta gestione del rischio.
Ciò non stupisce in quanto uno dei concetti chiave dell’ERM è il “risk appetite”, la
propensione al rischio, quanto cioè consapevolmente l’organizzazione (o meglio gli
accountant per questa attività) accetta del rischio insito in una certa scelta, decisione o attività:
a seconda della misura di questo parametro, una stessa decisione strategica potrebbe essere
interpretata come ragionevole o come azzardata, in quanto non va più misurata in assoluto ma
commisurata piuttosto al contesto di consapevolezza dei rischi che è stato analizzato e fissato
in seno al sistema di gestione dei rischi.
L’obiettivo dichiarato del framework ERM è di fornire la ragionevole certezza nel
raggiungimento degli obiettivi prefissati, laddove questi obiettivi sono suddivisi in quattro
categorie ben definite:
obiettivi strategici, che riguardano l’orientamento più fondamentale nelle attività a
medio e lungo termine dell’azienda, e che sono di natura generale e fissati dal top
management;
obiettivi operativi, che concernono l’utilizzo efficiente delle risorse aziendali per
conseguire l’efficacia nelle attività loro assegnate;
obiettivi di reporting, che riguardano l’affidabilità delle informazioni erogate sia
all’interno che all’esterno in report di sintesi sulle varie attività aziendali e sullo stato
economico-finanziario dell’impresa;
obiettivi di conformità, relativi sia alle normative interne e di autoregolamentazione
dell’azienda che alle norme esterne, di vario tipo, che implicano la necessità di una
compliancy.
Questi obiettivi sono distinti ma possono essere parzialmente sovrapposti, specie nelle
organizzazioni meno complesse.
Per conseguire questi obiettivi, il modello ERM prevede otto componenti interconnesse
integrate con i processi operativi aziendali: di nuovo, dunque, il modello che graficamente
69
può rappresentare il framework è un cubo nel quale le dimensioni degli obiettivi e le
dimensioni dei processi si combinano nei vari modi possibili:
Come si vede, le componenti dei processi sono simili a quelle del modello COSO I, nel
senso che comprendono quelle di quest’ultimo come casi particolari: si noterà infatti che
vengono qui aggiunte la definizione degli obiettivi, l’identificazione di eventi e la risposta al
rischio, che qualificano e precisano le novità del modello ERM rispetto al report COSO I.
Si noti anche che all’ambiente di controllo interno si sostituisce in generale l’ambiente
interno aziendale: possiamo descrivere l’interazione fra queste componenti identificando
raggruppandole in tre categorie.
Per prima cosa notiamo che la definizione degli obiettivi è in qualche modo una attività
preliminare a tutte le altre e che viene retroattivamente alimentata dalle evidenze della
gestione del rischio.
Gli obiettivi si possono considerare essenzialmente di due tipi, per quanto riguarda le
finalità del modello ERM: obiettivi di business, in primis la massimizzazione dei ricavi e
della qualità dei servizi o prodotti offerti, il contenimento dei costi, etc. e obiettivi di
governance, come per esempio l’affidabilità delle informazioni finanziarie e operative, la
salvaguardia del patrimonio aziendale, il rispetto delle normative, etc.
70
Questa differenziazione degli obiettivi consente di precisarli, circoscriverli e quindi
renderli più chiari e facilmente comunicabili, nonché semplificare il processo di verifica del
loro effettivo raggiungimento: una comunicazione trasparente e formale di questi obiettivi è
fra l’altro molto utile per saggiarne la coerenza e congruità ed eventualmente procedere a un
rework dell’attività strategica legata alla loro definizione.
La gestione del rischio è la categoria che raggruppa l’identificazione degli eventi, il risk
assessment e la risposta al rischio, elementi collegati fra loro e che, collettivamente, sono in
sinergia con il sistema di controllo del processo di risk management, nel quale possiamo
collocare l’ambiente di controllo, le attività di controllo, l’informazione e la comunicazione e
il monitoraggio.
A proposito dell’identificazione degli eventi, un elemento di novità dell’ERM rispetto al
framework del COSO I, si allude ovviamente agli eventi, sia interni che esterni, che possono
influire sul raggiungimento degli obiettivi aziendali e che possono essere classificati in
opportunità, se l’impatto è positivo, o rischi, se l’impatto è negativo: ovviamente, i secondi
devono essere analizzati e va messo in campo un piano per la loro gestione.
L’accento posto dal framework ERM è di utilizzare delle procedure standardizzate, che
possono essere anche strumenti aziendali, per trattare la gestione del rischio, in modo da poter
tracciare le attività e ricostruire le scelte effettuate.
Il risk assessment e la risposta al rischio sono poste dal modello in questa prospettiva, e
vengono sempre contestualizzata alla realtà strategica aziendale, commisurandole in
particolare alla tolleranza e alla propensione al rischio, che possono mutare a seconda delle
diverse fasi nel ciclo di vita di una azienda: per esempio una azienda in fase di
consolidamento potrebbe avere una propensione al rischio molto minore di quanto non ha
nella fase di espansione, etc.
In particolare la valutazione del rischio viene sempre scomposta secondo le due
dimensioni del rischio inerente, cioè quello che si verifica se non si mette in atto nessun
intervento, e del rischio residuale, cioè quello che si verifica dopo aver messo in campo
l’intervento di gestione del rischio.
La gestione del rischio viene intesa, secondo il framework ERM, come la selezione di una
fra quattro possibili azioni di risposta al verificarsi di un evento di rischio:
71
Accettare il rischio: il rischio inerente viene considerato entro i limiti di tolleranza del
risk appetite definito dall’azienda, e quindi che in qualche senso si era messo in conto
di subirlo;
Ridurre il rischio: il sistema di controllo interno viene utilizzato per cercare di portare
i rischi entro la soglia di tolleranza del risk appetite;
Evitare il rischio: in questo caso di pone in essere una azione preventiva per annullare
il rischio subendo un costo, per esempio stipulando una assicurazione contro un
rischio fisico o comprando uno strumento finanziario per trasferire un rischio
finanziario, operazioni che comportano ovviamente un investimento;
Condividere il rischio: più drastica della precedente, questa soluzione comporta
l’intervento di terzi nella partecipazione alla mitigazione del rischio, per esempio
alienano in outsourcing alcune risorse o attività.
Il sistema di controllo interno riceve il suo “input” dal processo di gestione dei rischi, in
modalità ciclica e sulla base delle eventuali modifiche agli obiettivi aziendali, e consta
sostanzialmente degli stessi elementi del sistema di controllo del processo di risk management
che vengono applicati per evitare o ridurre i rischi la cui analisi è stata svolta nel processo di
gestione dei rischi.
La componente sistemica del controllo interno viene intesa, secondo il framework ERM,
come un ambiente interno, che comprende l’ambiente di controllo, ma che è un ambiente
organizzativo di più ampio respiro il cui scopo è diffondere e far implementare la cultura
aziendale di gestione del rischio a tutti i livelli.
I capisaldi dell’ambiente interno sono lo sviluppo e il consolidamento della capacità, della
responsabilità e dell’impegno delle risorse coinvolte in queste attività: queste caratteristiche si
ottengono con la formazione e la comunicazione, per essere certi che le risorse siano in grado
di svolgere i compiti cui sono chiamate, con una corretta allocazione dei compiti per chiarire
in modo inequivoco le responsabilità delle risorse, e con strumenti di motivazione e incentivo
per garantire un costante impegno agli obiettivi.
Gli altri aspetti del sistema di controllo interno sono analoghi, benché più precisamente
formulati, a quelli del modello COSO I, e riguardano le attività di controllo, il flusso di
informazioni e il monitoraggio, sui quali abbiamo avuto già modo di diffonderci.
72
Tutte queste attività e sinergie non sono svolte in qualche ordine particolare ma si
configurano come linee di attività interattive e multitasking, nelle quali ciascuna può influire
sull’altra.
2.10 Adozione dell’ERM in FCA
L’adozione da parte di FCA (nella sua componente Fiat) del modello ERM risale al 2004,
cioè all’anno della pubblicazione del modello da parte del Committee of Sponsoring
Organizations47.
L’obiettivo dell’allora gruppo Fiat Group era di “fornire una maggiore trasparenza e
disclosure dei rischi di business e di adeguarsi alle direttive regolamentari sull’adozione di
appropriati modelli di governance” 48.
Il modello ERM, ovviamente adattato con un opportuno e non banale tailoring alle
esigenze del gruppo, è stato poi aggiornato nel 2010, per fare tesoro delle learned lesson
acquisite con i primi anni del suo utilizzo, e per includere ulteriori best practices emerse dal
raffronto con altri gruppi industriali, di pari e paragonabile complessità e mercati, che pure si
erano ovviamente dotati di strumenti simili.
Una particolare attenzione è stata posta ai “risk driver”, in particolare alle categorie di
rischio identificate che furono sottoposte a una riformulazione per rispondere in modo
migliore alle nuove sfide e per sottolineare parametri esogeni sempre più importanti in
relazione all’attività del gruppo: per esempio parametri macroeconomici, ambientali, etc.
Questa metodologia di analisi dei rischi, che utilizza i risk drivers, può essere
sinteticamente riassunta come segue: i singoli rischi vengono caratterizzati dalla probabilità
del loro accadimento, da un fattore di impatto e dai costi che derivano dal loro impatto, se
questo accade.
Per implementare questo metodo si raccoglie una lista completa dei possibili rischi
caratterizzati dai parametri appena esposti, si suddividono questi rischi in categorie (clusters)
relative a una stessa “linea di prodotto” e si svolgono simulazioni per verificare il costo del
rischio complessivo e, eliminandoli dalla simulazione, i costi dei singoli rischi, in modo da
offrire un ranking per la criticità dei singoli rischi basata su una stima quantitativa.
47 Cfr. FCA (2014e).
48 Cfr. FCA (2014e), p. 75.
73
Nel caso di FCA, durante l’assessment del 2010 furono individuati circa 50 risk drivers,
che offrivano una categorizzazione di circa 85 eventi di rischio potenziale.
Sulla base di un progetto pilota condotto nel 2013, il modello ERM adottato da FCA fu
rivisto in modo da rendere l’analisi dei rischi potenziali:
dinamica, tramite una valutazione periodica dei rischi principali seguita da un follow-
up e monitoraggio delle azioni di mitigazione messe in campo o semplicemente
definite per la riduzione del rischio;
predittiva, tramite un risk assessment svolto in prospettiva utilizzando le informazioni
correntemente disponibili;
multi-area, tramite un risk assessment e un coinvolgimento diretto delle unità di
business.
Per poter implementare questo nuovo schema, il coordinatore dell’ERM delle diverse
funzioni Finanza furono dislocati nelle diverse aree regionali e nei diversi settori produttivi,
con l’esplicita responsabilità di preparare, coordinare e gestire incontri trasversali alle diverse
aree di business, ovviamente coinvolgendo i dirigenti di questi segmenti operativi, con
l’obiettivo di identificare, valutare e condividere potenziali rischi e la formulazione dei piani
di gestione di questi rischi.
Questo processo viene quindi orientato in modo da far emergere “dal basso” la
conoscenza condivisa sulla gestione del rischio, piuttosto che imporla dall’alto, proprio
perché a seconda dei diversi settori produttivi le esigenze di gestione e i parametri ad esse
legate (per esempio la propensione al rischio) sono variabili.
A supporto di questa attività è stata prevista una infrastruttura informatica che espone una
business intelligence per la reportistica e l’analisi degli indicatori implementati, disponibile
per ciascuna compagnia del gruppo e per ciascuna area regionale di presenza di aziende del
gruppo.
I CEO e CFO delle aziende del gruppo, e i COO delle aree regionali hanno l’onere, in
linea con lo spirito e la lettera del framework ERM, di approvare questi report.
Il CFO del gruppo è responsabile per il coordinamento e il consolidamento di questi report
nel Group Risk Report, che è annualmente sottoposto al comitato di Audit il cui compito è di
supportare il Consiglio di Amministrazione nella verifica della efficacia e conformità del
sistema di controllo interno.
74
In particolare, un assessment svolto dopo il 2010 ha rivelato diversi rischi riconducibili al
fattore esogeno del cambiamento climatico, sia dal punto di vista legislativo, per la
compliance a leggi e regolamenti nei diversi paesi che sono estremamente eterogenei dal
punto di vista della sostenibilità ambientale e delle tematiche ecologiche; sia dal punto di vista
della “reputation” aziendale, in quanto una scarsa attenzione alla sostenibilità ambientale ed
ecologica può offrire una pubblicità negativa alle aziende che non dimostrino (nei paesi
particolarmente sensibili a queste tematiche) l’attenzione che da esse il Gruppo si aspetta; sia
dal punto di vista dell’incremento nei consumi, dato che in quanto molti consumatori nei
paesi occidentali sono attenti alle tematiche ecologiche e alla sostenibilità dei prodotti che
acquistano.
L’atteggiamento di FCA rispetto a queste categorie di rischio è sempre stato quello di
gestirle con gli strumenti più appropriati, in particolare orientando la propria ricerca e i propri
investimenti verso prodotti con un sempre minor impatto ambientale, per esempio
promuovendo linee di autoveicoli a basse emissioni, ma anche incrementando la sensibilità
dei propri commerciali a veicolare il messaggio di sostenibilità ambientale dei prodotti FCS.
Alcuni rischi sono invece monitorati da enti che dispongono di competenze tecniche
specifiche. Un esempio potrebbe essere quello legato al potenziale impatto delle attività
industriali di FCA sul clima e sull’ambiente, rischio che viene monitorato e gestito da una
funzione di EHS (Environment, Health and Safety) presente in ciascuna azienda del gruppo.
I singoli manager degli impianti sono responsabili per gli aspetti operativi, e la loro
attività viene coordinata dall’EHS del Gruppo, e le differenti funzioni di risk management
presenti nelle aziende del gruppo hanno anche l’onere di provvedere a una azione di
condivisione dei rischi, se opportuna, per esempio tramite la stipula di assicurazioni.
Il ruolo dei risk manager nelle diverse realtà aziendali e territoriali di FCA è fondamentale
in quanto questi giocano un ruolo centrale nel gestire gli eventi che potrebbero
potenzialmente impattare sulla continuità operativa o sull’integrità degli asset fisici degli
impianti del gruppo.
La gestione dei rischi in FCA si basa fondamentalmente su quattro principi:
1. Prevenire gli eventi potenzialmente dannosi per il Gruppo o mitigarne gli effetti;
2. Adottare gli standard più aggiornati e completi per la gestione del rischio;
3. Minimizzare il costo dei rischi ottimizzando la prevenzione di perdite, gli
investimenti, le assicurazioni e i programmi di trasferimento del rischio;
75
4. Centralizzare e consolidare le relazioni con i mercati assicurativi globali.
Le diverse realtà di risk management all’interno di FCA gestiscono tutti gli aspetti del
rischio, dall’identificazione all’analisi e al trattamento, inclusa la loss prevention: attività
specifiche per rischi di tipo particolare possono anche prevedere il monitoraggio e la stipula di
contratti assicurativi, e giocano un ruolo centrale nel gestire gli eventi che potrebbero avere un
impatto sulla continuità operativa o l’integrità fisica degli asset aziendali del gruppo, che
consta di oltre 1000 siti in tutto il mondo, con l’esposizione dunque a rischi fisici di vario
genere.
Il processo di risk management è condotto in modo trasparente e utilizzando competenze
di alto profilo, col supporto di aziende specializzate nella gestione dei rischi industriali che
svolgono audit on site per garantire una approfondita, autonoma e continuativa valutazione
dei rischi all’interno del gruppo.
Nel suo rapporto di sostenibilità 201449, FCA illustra alcune cifre significative in merito
alla struttura e al volume del proprio risk management: 223 siti messi sotto monitoraggio (il
92% del valore assicurato), il 98% dei siti monitorati almeno ogni tre anni e il 50%
annualmente, un investimento di 39,4 milioni di euro in loss prevention e mitigazione dei
rischi durante il 2014, dei quali 24 milioni di euro investiti nel portare alcuni siti in linea con
gli standard di loss prevention dettati da FCA.
Si stima che questo investimento di 24 milioni di euro abbia consentito un saving di 2,36
miliardi di euro nella riduzione delle attese di perdita, con un indice GEI di 1, in linea con i
migliori standard internazionali: ricordiamo che il GEI (Global Efficienty Index for loss
mitigation) è definito come la riduzione dei danni attesi diviso il costo della protezione, ed è
una misura standard internazionale di risk management.
Un diagramma di flusso del processo macroscopico di gestione dei rischi è il seguente:
49 Cfr. FCA (2014e).
76
Eventi rischiosi
E’ l’evento possibile
nel contesto in esame?
Analizzare l’impatto dall’occorrenza
dell’evento e dalla sua frequenza
Calcolare l’impatto I e la vulnerabilità V
dell’evento
Il valore I×V supera la
soglia di accettazione?
Determinazione della esposizione “target” e
identificazione delle azioni di mitigazione da
implementare
Analisi del monitoraggio e misurazione della
risposta al rischio
Sì
No
No
Sì
Analisi completata Monitoraggio
adeguato? Rischio
residuo accettabile?
Analisi completata
Analisi completata
No
Sì
77
2.11 Il framework COSO III per il report finanziario
Una ulteriore evoluzione dello standard COSO, o piuttosto una sua semplificazione
funzionale all’applicazione nella realtà delle piccole e medie imprese, è la guida emanata dal
Committee of Sponsoring Organizations nel 2006, intitolata Internal Control over Financial
Reporting, Guidance for Smaller Public Companies.
Con queste raccomandazioni, il Committee ha inteso fornire un ausilio alle aziende che
per dimensione e complessità trovano troppo oneroso applicare il framework COSO I o
l’ERM, indicando in qualche modo gli elementi essenziali di questi standard dai quali non è
possibile prescindere e quindi consentendo una applicazione dei principi del framework anche
a realtà in cui gli investimenti nel sistema di controllo e di gestione dei rischi non possono
essere ingenti per motivi di dimensione.
Questa guida è generalmente conosciuta con l’abbreviazione di COSO III, e offre al
management delle piccole e medie imprese una soluzione a basso costo per il sistema di
controllo interno, focalizzato ovviamente soprattutto al reporting finanziario.
Le linee guida non definiscono in modo preciso il loro target, nel senso che dare una
definizione di quanto piccola deve essere una PMI è ovviamente privo di senso in assoluto:
dipende dal segmento di mercato nel quale si opera, dall’area geografica, etc.
Piuttosto sono enumerate alcune caratteristiche di una azienda affinché questa possa
beneficiare delle linee guida del COSO III:
Avere poche linee di business e pochi prodotti in ciascuna linea;
Avere un mercato localizzato, sia geograficamente che per dominio;
Essere guidate da un management con significativi interessi o diritti sulla proprietà
aziendale;
Avere pochi livelli di management fra la proprietà e i quadri, e con molto orizzonte
decisionale;
Avere pochi dipendenti, sui quali gravano compiti anche di ambito e natura diversi;
Avere poca disponibilità per mantenere funzioni di supporto come l’area legale, le
risorse umane, l’accounting e l’internal auditing.
Ovviamente nessuna di queste caratteristiche, per sé presa, definisce il target del
framework, piuttosto è l’insieme di alcune di esse che solitamente può essere associato a una
dimensione piccola per l’azienda in questione, e in ogni caso queste sono le caratteristiche che
il modello tiene presenti nel sintetizzare e semplificare il framework del COSO I.
78
Il punto di attenzione è chiaramente l’onere finanziario nel mettere in piedi una struttura
di controllo interno efficace, snella e soprattutto i cui benefici ripaghino i costi della sua
gestione: questo è particolarmente rilevante laddove i manager guardano al controllo come a
un ulteriore costo amministrativo da aggiungere all’esistente, piuttosto che a una necessità
dettata dal business e dal mercato.
Gli obiettivi nel cui raggiungimento il modello COSO III vuole supportare i manager
possono essere enumerati come segue:
Mettere in campo le risorse per una separazione dei compiti;
Mantenere il controllo delle attività;
Ingaggiare esperti sulle tematiche del reporting finanziario per supportare il Consiglio
di Amministrazione e la funzione di audit;
Ingaggiare esperti con esperienza e capacità nel campo dell’accounting e del reporting
finanziario;
Mantenere il focus del management sull’uso delle informazioni finanziarie prodotte
dai report per le valutazioni strategiche;
Mantenere il controllo sul sistema informativo aziendale anche in assenza di risorse
tecniche importanti.
Naturalmente non sfugge agli estensori del COSO III che in molte realtà aziendali che si
possono classificare come PMI il giro d’affari è dominato e gestito dal proprietario, spesso
fondatore dell’azienda, o da altri dirigenti che esercitano in modo discrezionale la direzione
dell’azienda.
La “cultura del controllo interno” può in questo senso migliorare la consapevolezza del
leader dell’azienda rispetto alle diverse sfaccettature del business e dell’operatività che è nel
suo controllo, spesso consentendogli una razionalizzazione delle scelte e una
ingegnerizzazione dei processi decisionali.
Oltre a questo, il framework COSO III riconosce esplicitamente altri elementi critici legati
alle dimensioni dell’azienda, per esempio la difficoltà nel realizzare una segregazione dei
compiti, con pochi dipendenti che spesso svolgono più funzioni, nel promuovere un sistema
informativo aziendale effettivo e sicuro, infrastrutture di questo tipo sicuramente comportano
un costo iniziale non irrilevante, etc.
A proposito dei costi dell’IT, sicuramente l’outsourcing e l’acquisto di pacchetti di servizi
da fornitori specializzati, per esempio avvalendosi del cloud computing che negli ultimi anni
79
ha in qualche modo rivoluzionato la tematica dell’outsourcing, è uno dei suggerimenti
proposti dal modello.
Il monitoraggio delle attività è un’altra parte rilevante fra le linee guida espresse dal
COSO III: nelle strutture di piccole dimensioni, il management continuamente svolge attività
di monitoraggio, che deve confluire in modo strutturato nel processo di controllo interno.
L’analisi dei rischi è un’altra attività che di solito viene svolta in modo destrutturato ma
che invece, anche nelle piccole aziende, deve trovare una sua collocazione e un suo
investimento il cui ritorno è misurabile con una maggiore probabilità di centrare gli obiettivi
aziendali.
In generale, il controllo interno va visto sempre come un processo integrato, anche nelle
realtà più piccole, ed anzi questa integrazione è più facilmente raggiungibile proprio in virtù
della dimensione limitata e quindi della limitata presenza di processi distinti nei quali il
sistema dei controlli interno deve essere integrato.
Uno schema di come le componenti del framework COSO III possono interagire fra loro
da una prospettiva dell’analisi di processo è il seguente50:
50 Cfr. COSO (2006).
80
Come si vede in questo schema, le cinque componenti del framework COSO I
intervengono con pari importanza e dignità per concorrere nell’obiettivo di rendere affidabile
la reportistica finanziaria.
Tuttavia, sebbene ciascuna componente del modello debba essere presente e operativa,
questo non significa che ciascuna componente debba funzionare allo stesso modo o allo stesso
livello in ogni azienda: in particolare, se l’organizzazione aziendale lo impone, alcune
componenti possono essere implementate in modo meno effettivo e completo di altre, purché
l’integrazione fra esse sia in grado di compensare queste eventuali mancanze.
In generale, per ottenere un efficace controllo interno dei report finanziari il framework
COSO III prescrive venti principi di base, categorizzati in base alle cinque componenti del
framework, a loro volta “esplosi” in dei punti “focali” che ne colgono l’essenza e forniscono
una guida all’implementazione di questi principi (ma che non esauriscono la modalità di detta
implementazione che, ovviamente, dipende in modo forte dal contesto nel quale viene
realizzata), secondo lo schema che sinteticamente riassumiamo qui di seguito51:
Ambiente di controllo:
1. Integrità dei valori etici: deve essere sviluppato un insieme coerente di valori
etici condivisi dal management per la condotta nel reporting finanziario. Come
focal point COSO III suggerisce di:
Creare un “clima etico” in azienda, da parte del management e top
management, che deve mostrare i valori etici con la propria condotta
oltre che con le prescrizioni (tone at the top);
Stabilire degli standard precisi di comportamento;
Valutare l’aderenza a questi standard di comportamento;
Contrastare le violazioni al codice etico in modo tempestivo.
2. Consiglio di Amministrazione: deve, in modo autonomo dal management,
comprendere e sovrintendere ai report finanziari e al controllo interno su di
essi. Come focal point COSO III suggerisce di:
Stabilire ruoli e responsabilità di supervisione;
Applicare le competenze appropriate, dopo averle ovviamente
individuate;
51 Utilizziamo la versione più recente dei principi associati a ciascuna componente del modello, in quanto questa
versione è quella utilizzata in Fiat quando il modello vi è stato adottato.
81
Operare indipendentemente, fra Consiglio di Amministrazione e
management;
Fornire una supervisione al sistema di controllo interno.
3. Il management: deve mettere in piedi, sotto la supervisione del Consiglio di
Amministrazione, delle strutture, delle linee di reportistica e dei ruoli e delle
responsabilità appropriate per lo sviluppo e la realizzazione del controllo
interno. Come focal point COSO III suggerisce di:
Considerare, in questa azione, tutte le strutture ed entità che fanno parte
dell’organizzazione;
Stabilire in modo chiaro delle linee di reportistica, in modo che sia
facile comunicare lo stato dei controlli;
Definire, assegnare e se necessario limitare le responsabilità e le
cautorizzazioni.
4. Struttura organizzativa: deve promuovere l’efficacia del controllo interno della
reportistica finanziaria, in particolare esibendo la volontà di attrarre, sviluppare
e mantenere competenze e professionalità in linea con gli obiettivi. Come focal
point COSO III suggerisce di:
Stabilire delle policy e delle best practice relative al controllo interno
della reportistica finanziaria;
Valutare ed eventualmente colmare lacune nelle competenze;
Attrarre, sviluppare e mantenere persone competenti;
Pianificare e preparare per il ricambio delle persone in modo da non
perdere valore e professionalità con il turnover.
5. Struttura organizzativa: mantiene i dipendenti responsabili per i controlli
interni nella direzione degli obiettivi di efficacia del controllo interno della
reportistica finanziaria. Come focal point COSO III suggerisce di:
Rafforzare l’accountability attraverso strutture, autorizzazioni e
responsabilità;
Stabilire livelli di performance, misure di performance, incentivi e
premi;
Valutare le misure di performance, gli incentivi e i premi in modo da
mantenerli sempre appropriati rispetto all’obiettivo di commitment del
personale;
82
Considerare se non sussista una eccessiva, o scarsa, pressione sul
personale;
Valutare le performance dei singoli individui e premiarli o disciplinare
la loro azione.
Valutazione dei rischi:
6. La struttura organizzativa: specifica gli obiettivi con sufficiente chiarezza in
modo da abilitare l’identificazione e la valutazione dei rischi relativi agli
obiettivi. Come focal point COSO III suggerisce di:
Riflettere le scelte del management;
Considerare la propensione al rischio;
Includere gli obiettivi delle performance finanziare e di operatività;
Formare una base per aumentare il commitment delle risorse;
Conformarsi agli appropriati standard contabili;
Tenere conto del “materiatility principle”, secondo il quale uno
standard può essere ignorato nel caso in cui apporti un impatto così
ridotto sul report finanziario da non condurre a misstatement;
Riflettere le attività dell’azienda nella reportistica esterna;
Conformarsi a standard e framework riconosciuti esternamente nella
reportistica esterna non finanziaria;
Considerare il livello adeguato di precisione nella reportistica esterna
non finanziaria;
Riflettere le attività dell’azienda nella reportistica esterna non
finanziaria;
Riflettere le scelte del management nella reportistica interna;
Riflettere le attività dell’azienda nella reportistica interna;
Considerare il livello di precisione richiesto nella reportistica interna;
Riflettere leggi e regolamenti esterni nella compliance;
Considerare la propensione al rischio nella compliance.
7. La struttura organizzativa identifica i rischi che si frappongono al
raggiungimento degli obiettivi aziendali e analizza i rischi come base per
determinare come questi rischi vadano gestiti. Come focal point COSO III
suggerisce di:
Includere le aziende, le sussidiarie, le divisioni, le unità operative e i
livelli funzionali;
83
Analizzare fattori interni ed esterni;
Coinvolgere gli appropriati livelli di management;
Stimare la significatività dei rischi identificati;
Determinare come rispondere a un rischio specifico.
8. La struttura organizzativa considera le frodi potenziali nel valutare i rischi che
si interpongono al raggiungimento degli obiettivi aziendali. Come focal point
COSO III suggerisce di:
Considerare i vari tipi di frode;
Valutare incentivi e pressioni per scongiurare le frodi;
Valutare le opportunità;
Valutare le attitudini e le ottimizzazioni.
9. La struttura organizzativa identifica e valuta le modifiche che potrebbero
significativamente impattare sul sistema di controllo interno. Come focal point
COSO III suggerisce di:
Valutare le modifiche occorse nell’ambiente esterno;
Valutare le modifiche nel modello di business;
Valutare le modifiche alla leadership aziendale.
Attività di controllo:
10. La struttura organizzativa seleziona e sviluppa attività di controllo che
contribuiscano alla mitigazione dei rischi nel raggiungimento degli obiettivi a
livelli accettabili. Come focal point COSO III raccomanda di:
Integrare le attività di controllo con la valutazione dei rischi;
Considerare fattori specifici dell’azienda;
Determinare i processi di business rilevanti;
Valutare un mix di tipologie di attività di controllo;
Considerare a che livello le attività sono applicate;
Perseguire la segregazione dei compiti.
11. La struttura organizzativa seleziona e sviluppa attività di controllo generali
sulle tecnologie a supporto del raggiungimento degli obiettivi. Come focal
point COSO III indica di:
Determinare la dipendenza fra l’uso della tecnologia nei processi di
business e i controlli generali sulla tecnologia;
Stabilire attività di controllo per le infrastrutture tecnologiche più
rilevanti;
84
Stabilire attività di controllo dei processi più rilevanti di gestione della
sicurezza;
Stabilire l’acquisizione, lo sviluppo e la manutenzione di tecnologie
rilevanti per le attività di controllo dei processi.
12. La struttura organizzativa rilascia attività di controllo delle policy che
stabiliscono delle aspettative e definiscono delle procedure che possano
contribuire a mettere in atto le policy. Come focal point COSO III suggerisce
di:
Stabilire policy e procedure per supportare la realizzazione delle
direttive manageriali;
Stabilire responsabilità e ruoli per l’esecuzione delle policy e delle
procedure;
Operare in maniera tempestiva;
Intraprendere azioni correttive;
Operare utilizzando personale competente;
Rivalutare policy e procedure quando ciò sia necessario.
Informazione e comunicazione:
13. La struttura organizzativa ottiene, o genera, e utilizza informazioni di qualità
rilevanti per supportare l’attività del controllo interno. Come focal point COSO
III propone di:
Identificare i requisiti delle informazioni;
Intercettare sorgenti di dati, sia interne che esterne;
Processare i dati rilevanti per produrre informazioni;
Mantenere la qualità attraverso tutto il processo;
Considerare costi e benefici.
14. La struttura organizzativa comunica internamente informazioni, inclusi
obiettivi e responsabilità per i controlli interni, necessarie per supportare
l’operatività dei controlli interni. Come focal point COSO III indica di:
Comunicare informazioni sui controlli interni;
Comunicare con il Consiglio di Amministrazione;
Fornire linee di comunicazione separate;
Selezionare metodi di comunicazione appropriati.
85
15. La struttura organizzativa comunica esternamente riguardo agli argomenti che
impattano sul funzionamento del controllo interno. Come focal point COSO III
propone di:
Comunicare con le controparti esterne;
Abilitare una comunicazione dall’esterno verso l’interno;
Comunicare con i consigli di amministrazione;
Fornire linee di comunicazione separate;
Selezionare metodi di comunicazione appropriati.
Monitoraggio:
16. La struttura organizzativa seleziona, sviluppa e mette in atto valutazioni
continuative o specifiche per accertare se le componenti del sistema di
controllo interno siano tutte presenti e correttamente funzionanti. Come focal
point COSO III suggerisce di:
Considerare un mix di valutazioni continuative o specifiche;
Considerare il tasso con cui avvengono i cambiamenti in azienda;
Stabilire dei parametri comuni;
Utilizzare personale informato e competente;
Integrarsi con i processi di business;
Aggiustare l’ambito e la frequenza del monitoraggio;
Valutare con obiettività.
17. La struttura organizzativa valuta e comunica i difetti del controllo interno in
maniera tempestiva alle controparti che hanno la responsabilità di
intraprendere azioni correttive, incluso il senior management e lo stesso
Consiglio di Amministrazione, se necessario. Come focal point COSO III
raccomanda di:
Valutare i risultati;
Comunicare i difetti;
Monitorare le azioni correttive.
2.12 Adozione del framework COSO III in FCA
L’adozione del modello di Enterprise Risk Management offre una serie di vantaggi, come
abbiamo visto, rispetto al modello del report COSO I: FCA ha effettuato questa scelta
strategica nell’adozione del modello, con i benefici e la complessità organizzativa cui
abbiamo accennato in precedenza.
86
Dal punto di vista del rischio legato all’erogazione dei report finanziari, che per un gruppo
così grande, complesso e ramificato in tutto il pianeta prelude un possibile rischio
reputazionale le cui conseguenze sul business sarebbero gravissime, FCA ha seguito le linee
guida del framework COSO III per la affidabilità, precisione, completezza e tempestività della
reportistica finanziaria.
La valutazione periodica del sistema di controllo interno dei report finanziari è stata
progettata per garantire l’efficienza delle componenti del modello COSO (che, ricordiamo,
sono l’ambiente di controllo, la valutazione dei rischi, le attività di controllo, l’informazione e
comunicazione, il monitoraggio) nel raggiungere questi obiettivi.
Naturalmente, venendo da una lunga storia che poneva Fiat al centro del sistema
economico italiano e Chrysler come uno degli attori principali dell’industria automobilistica
della maggiore potenza economica mondiale, le procedure amministrative e contabili del
Gruppo sono consolidate e molto affidabili, e in particolare il sistema di controllo dei report
finanziario si basa su solidi principi.
Questo sistema è organizzato su due livelli: il primo livello è dato dalle policy, procedure
e linee guida che consentono alla capogruppo da un lato di assicurare un flusso informativo
efficiente da e verso le sussidiarie, dall’altro di esercitare le attività di coordinamento
necessarie.
In particolare sono definite regole ben precise di applicazione degli standard contabili
(codificate nel Group Accounting Manual) e sono pure definite delle procedure per la
preparazione dei bilanci di esercizio e dei report finanziari annessi: è ovviamente onere della
capogruppo comunicare ed accertarsi della ricezione di queste regole e procedure nei
confronti delle società del gruppo.
Il secondo livello consiste delle policy operative e delle procedure elaborate dalle società
del gruppo sulla base delle linee guida emesse dalla capogruppo.
L’approccio sposato da Fiat per la valutazione, il monitoraggio e l’aggiornamento
continuo dei sistemi di controllo interno e di risk management per quanto riguarda i report
finanziari segue un approccio “top-down” centrato sull’analisi dei rischi, coerente con il
framework COSO.
Questo approccio consente di focalizzarsi su aree di più alto rischio di errore, compresi
errori fraudolenti, nella compilazione della reportistica finanziaria: le componenti
fondamentali di questo approccio possono essere descritte come segue:
87
identificazione e valutazione della fonte di informazioni, e probabilità di errori
materiali nella compilazione dei report finanziari;
valutazione dell’adeguatezza dei controlli cruciali per identificare potenziali errori in
parti della reportistica finanziaria, sia controlli ex ante che ex post;
verifica della operatività effettiva dei controlli basati sulla valutazione dei rischi di
errore nei report finanziari, con test centrati sulle aree di rischio più alto.
L’identificazione e la valutazione di aree che potrebbero essere impattate da eventuali
errori nella reportistica finanziaria è condotta attraverso un processo di analisi dei rischi che
usa un approccio che parte dall’alto verso il basso: precisamente, si pianificano le entità
organizzative, i processi e i riferimenti contabili, in aggiunta a specifiche attività che
potrebbero generare errori significativi.
In base a questo approccio, i rischi e i controlli relativi sono associati ai processi
amministrativi e di business sui quali le informazioni finanziarie si basano: per rischi
significativi, identificati nel processo di valutazione dei rischi, i controlli chiave sono messi in
campo per contrastare questi rischi e mitigare i danni derivanti da potenziali errori nella
reportistica finanziaria.
Ci sono a questo proposito due possibili tipi di controlli, entrambi implementati: da un
lato ci sono i controlli che operano a livello di società del Gruppo, come la delega di
responsabilità, la separazione degli incarichi e l’assegnazione di diritti specifici di accesso ai
sistemi informatici (per esempio per mezzo di un sistema di identity management).
D’altra parte esistono anche controlli che operano a livello di processo, come per esempio
il controllo sui processi operativi, il controllo sui processi in dismissione, i controlli
trasversali a diverse aree, etc.
Questi controlli possono essere preventivi, cioè volti a prevenire errori o frodi, o di
rilevazione, cioè volti a scoprire errori o frodi già avvenute, e possono anche essere svolti sia
in modalità manuale che automatica, come controlli basati su applicazioni informatiche che
riguardano le caratteristiche della configurazione dell’infrastruttura dei sistemi IT a supporto
delle attività di business.
Una valutazione del progetto e dell’operatività dei controlli chiave è svolta tramite test
eseguiti dalla funzione di internal audit, sia a livello di gruppo che a livello di società
sussidiarie, utilizzando tecniche a campione e best practices di riconosciuta rilevanza:
88
l’internal audit svolge anche una attività di controllo di qualità sui test condotti presso le
società sussidiarie.
Se necessario, il risultato di una valutazione può dare luogo a controlli ulteriori e più
dettagliati, ad azioni correttive o a piani di miglioramento.
I risultati delle attività di monitoraggio sono periodicamente soggetti alla revisione del
manager responsabile per il reporting finanziario del gruppo e da questi comunicate al senior
management, al comitato per l’internal control e il rischio, che come sappiamo riferisce
direttamente al Consiglio di Amministrazione, e al Collegio Sindacale della capogruppo.
2.12.1 Dettagli dell’implementazione del framework COSO III presso FCA
Come esemplificazione di quanto appena esposto, ci pare significativo segnalare alcuni
dettagli dei quali abbiamo avuto contezza grazie alla possibilità di svolgere parte di questo
lavoro in stage presso la sede di Fiat Chrysler Automobiles di Torino.
In particolare, l’accesso a strumenti aziendali utilizzati nelle varie fasi delle attività di
monitoraggio e intervento sulla reportistica finanziaria ha permesso di evidenziare quali siano
considerati nell’ambito delle attività del gruppo i fattori maggiormente critici relativi alla
possibilità di errori o imprecisioni nei report finanziari.
Il modello COSO III si scompone, come ben sappiamo, nelle cinque componenti che
costituiscono il sistema di controllo.
Fiat ha basato il suo sistema di controllo su dei “focus point”, che recepiscono in maniera
1-1 i principi del COSO III e costituiscono l’“as is” prima del progetto di fusione dei sistemi
di controllo interno fra Fiat e Chrysler.
A rischio di essere ridondanti, ma per comodità di consultazione, riportiamo di seguito52
l’elenco dei principi, facendo afferire a ciascuno di essi gli obiettivi individuati da Fiat come
essenziali per poter affermare di aver soddisfatto convenientemente il principio stesso.
Ambiente di controllo:
1. Integrità dei valori etici: deve essere sviluppato un insieme coerente di valori
etici condivisi dal management per la condotta nel reporting finanziario.
Secondo la visione Fiat gli obiettivi ispirati da questo principio sono:
52 Quanto segue è una sintesi narrativa di strumenti aziendali, in particolare template della checklist dei processi
relativi al framework COSO III forniti da FCA e datati dicembre 2014.
89
Il codice etico della Fiat (così come altre policy riguardanti le best
practice, i conflitti di interesse o gli standard etici attesi) deve essere
adeguatamente comunicata all’interno dell’organizzazione, per esempio
tramite la Intranet aziendale, tramite formazione, etc;
C’è un “tone at the top” ben definito, che include una guida etica su
cosa sia giusto e cosa sia sbagliato, e che viene comunicato, messo in
pratica e gestito a tutti i livelli dell’organizzazione;
Ogni scambio fra impiegati, fornitori, clienti, investitori, creditori,
assicuratori, competitor, auditor, etc. è eticamente ispirato;
Le deviazioni dallo standard stabilito sono approfondite e documentate;
In risposta a deviazioni dalle policy e dalle procedure approvate, o dal
codice etico, sono intraprese appropriate azioni correttive;
I compensi individuali, come bonus e stock-options, sono in linea con i
valori etici dell’azienda.
2. Consiglio di Amministrazione: deve, in modo autonomo dal management,
comprendere e sovrintendere ai report finanziari e al controllo interno su di
essi. Secondo la visione Fiat gli obiettivi ispirati da questo principio sono:
Il management risponde in modo tempestivo e appropriato ai
rilevamenti e alle raccomandazioni degli auditor indipendenti a
proposito del controllo interno e delle policy e procedure dell’azienda.
3. Il management: deve mettere in piedi, sotto la supervisione del Consiglio di
Amministrazione, delle strutture, delle linee di reportistica e dei ruoli e delle
responsabilità appropriate per lo sviluppo e la realizzazione del controllo
interno. Secondo la visione Fiat gli obiettivi ispirati da questo principio sono:
Gli obiettivi finanziari e le attese del management sono realistiche;
Il management riconosce l’importanza del data processing e delle
funzioni di accountability, e ha commitment in merito all’affidabilità
dei report finanziari;
Ci sono forti motivazioni etiche e azioni nei confronti del reporting
finanziario, incluse appropriate risoluzioni di conflitti sull’applicazione
dei principi contabili, per esempio la selezione di politiche di
accounting conservative vs liberali, se i principi contabili siano male
applicati, se importanti informazioni finanziarie non siano divulgate,
manipolate o falsificate, etc;
90
Il top management mantiene contatto con le funzioni subordinate o
divisionali, e ne enfatizza in modo coerente i comportamenti
appropriati;
Il management presta grande attenzione al controllo interno, per
esempio nel considerare se i sistemi informativi siano configurati al
livello appropriato di controllo, e se controlli interni siano considerati
quanto si metto in opera processi manuali, etc;
C’è una forte enfasi sui controlli interni in modo che siano progettati e
implementati in modo efficiente.
4. Struttura organizzativa: deve promuovere l’efficacia del controllo interno della
reportistica finanziaria, in particolare esibendo la volontà di attrarre, sviluppare
e mantenere competenze e professionalità in linea con gli obiettivi. Secondo la
visione Fiat gli obiettivi ispirati da questo principio sono:
Mettere in campo strumenti per definire le attività che competono a
specifici lavori, come la formalizzazione delle job description, e
verificare che questi strumenti siano usati efficientemente;
I requisiti di esperienza e competenza sono formalmente definiti per le
posizioni chiave nel management, e sono state identificate le skill
necessarie per eseguire le attività che sono state identificate;
I livelli di staffing sono mantenuti in linea con i livelli di efficacia
operativa richiesti dalle varie attività;
L’azienda monitora il turnover nel management o nel personale con
funzione di supervisione e valuta le ragioni di un turnover
particolarmente significativo;
Sono state definite ed attuate policy e procedure per l’assunzione, il
training, la promozione e la remunerazione dei dipendenti;
Le policy e procedure emanate dall’azienda sono chiare e sono
pubblicate, aggiornate e riviste su base periodica; inoltre sono state
comunicate in modo efficace al personale, anche nelle sedi periferiche.
5. Struttura organizzativa: mantiene i dipendenti responsabili per i controlli
interni nella direzione degli obiettivi di efficacia del controllo interno della
reportistica finanziaria. Secondo la visione Fiat gli obiettivi ispirati da questo
principio sono:
91
La struttura manageriale locale è appropriata (cioè non dominata da
pochi individui) e c’è una supervisione effettiva a livello di settore o
gruppo;
Le linee autorizzative e di responsabilità (comprese le linee di
reporting) nell’azienda sono appropriate, definite in modo chiaro e
chiaramente comunicate;
Le modifiche alla struttura organizzativa sono apportate in modo
tempestivo per rispondere alle mutate condizioni;
C’è una appropriata assegnazione di responsabilità e delega di autorità
in merito agli obiettivi dell’organizzazione, all’interazione con le
funzioni operative e ai requisiti dei regolamenti.
Valutazione dei rischi:
6. La struttura organizzativa: specifica gli obiettivi con sufficiente chiarezza in
modo da abilitare l’identificazione e la valutazione dei rischi relativi agli
obiettivi. Secondo la visione Fiat gli obiettivi ispirati da questo principio sono:
Gli obiettivi di business a livello di entità sono comunicati e monitorati,
per esempio il management documenta e comunica in modo chiaro gli
obiettivi e gli standard per il processo;
I piani di business e di budget sono coerenti con gli obiettivi di cui
sopra, con i piani strategici e con l’attuale contesto nel quale l’azienda
opera sui mercati.
7. La struttura organizzativa identifica i rischi che si frappongono al
raggiungimento degli obiettivi aziendali e analizza i rischi come base per
determinare come questi rischi vadano gestiti. Secondo la visione Fiat gli
obiettivi ispirati da questo principio sono:
Sono posti in essere meccanismi per identificare le sorgenti interne o
esterne di rischio e per comunicare tali rischi in modo rapido al
management;
aL’analisi dei rischi di processo è approfondita e rilevante, e include
una stima della significatività dei rischi, valutando la verosimiglianza
della loro occorrenza e determinando le azioni necessarie da prendere
in caso di occorrenza.
8. La struttura organizzativa considera le frodi potenziali nel valutare i rischi che
si frappongono al raggiungimento degli obiettivi aziendali. Secondo la visione
92
Fiat gli obiettivi ispirati da questo principio sono i medesimi del precedente
(7).
9. La struttura organizzativa identifica e valuta le modifiche che potrebbero
significativamente impattare sul sistema di controllo interno. Secondo la
visione Fiat gli obiettivi ispirati da questo principio sono:
Sono posti in essere dei meccanismi per anticipare e reagire, su base
periodica, a modifiche legislative e nei regolamenti, o semplicemente
all’introduzione di nuove regole, policy, etc.
Attività di controllo:
10. La struttura organizzativa seleziona e sviluppa attività di controllo che
contribuiscano alla mitigazione dei rischi nel raggiungimento degli obiettivi a
livelli accettabili. Secondo la visione Fiat gli obiettivi ispirati da questo
principio sono:
Le attività di controllo poste in essere sono applicate in modo proprio e
proattivo;
Le dichiarazioni finanziarie sono riviste da individui indipendenti da
chi le ha formulate: queste revisioni sono documentate;
Il management ha controllo sul processo di archiviazione degli eventi
materiali seguenti all’occorrenza del rischio, in modo che siano
accumulati, memorizzati, processati, sintetizzati e riportati
appropriatamente.
11. La struttura organizzativa seleziona e sviluppa attività di controllo generali
sulle tecnologie a supporto del raggiungimento degli obiettivi. Secondo la
visione Fiat gli obiettivi ispirati da questo principio sono:
Il management sostiene lo sviluppo dei sistemi informativi necessari e
in particolare gli investimenti nelle risorse destinate a questi sistemi, sia
risorse umane che economiche: i ruoli e le responsabilità
dell’organizzazione dell’IT sono definiti, documentati e ben compresi.
12. La struttura organizzativa rilascia attività di controllo delle policy che
stabiliscono delle aspettative e definiscono delle procedure che possano
contribuire a mettere in atto le policy. Secondo la visione Fiat gli obiettivi
ispirati da questo principio sono:
93
Sono formalmente documentate e nelle disponibilità
dell’organizzazione appropriate policy e procedure relative a ciascuna
attività dipartimentale, per esempio finanza, store operations, etc;
Sono poste in essere policy e procedure per assicurare che adeguato
monitoraggio e la supervisione siano svolte anche nelle sedi
periferiche;
Sono poste in essere delle procedure per monitorare quanto i controlli
sono sovradimensionati, per determinare se il sovradimensionamento è
giustificato;
Informazione e comunicazione:
13. La struttura organizzativa ottiene, o genera, e utilizza informazioni di qualità
rilevanti per supportare l’attività del controllo interno. Secondo la visione Fiat
gli obiettivi ispirati da questo principio sono:
Il management riceve, in maniera periodica, informazioni sia interne
che esterne sufficienti riguardo la performance rispetto agli obiettivi
stabiliti e condivisi;
Il management ha predisposto e comunicato piani strategici per l’IT che
allineino le strategie IT agli obiettivi di business: la pianificazione
include dei meccanismi per sollecitare gli input dagli stakeholder, sia
interni che esterni, che hanno informazioni rilevanti per la stesura dei
piani IT;
14. La struttura organizzativa comunica internamente informazioni, inclusi
obiettivi e responsabilità per i controlli interni, necessarie per supportare
l’operatività dei controlli interni. Secondo la visione Fiat gli obiettivi ispirati
da questo principio sono:
E’ posto in essere un canale di comunicazione per poter riportare
sospette irregolarità, e il management incoraggia i dipendenti a
utilizzare questo canale ove necessario, per esempio tramite un sistema
di whistle blowing;
Il personale della finanza comunica attraverso il processo di chiusura
contabile, per esempio tramite incontri pianificati di chiusura lungo
tutto l’arco del processo di chiusura, che coinvolgono gli individui la
cui attività impatta sul processo di chiusura;
94
In presenza di applicazioni o transazioni significative che sono eseguire
o processata dal service provider, il management ha documentato i
controlli rilevanti per il provider per mitigare il rischio di errori;
Una ampia checklist relativa al processo di chiusura è condivisa con
tutti gli individui che hanno un ruolo nel processo di chiusura;
L’informazione è riportata a monte del flusso di processo se necessario,
e viene perseguita una appropriata azione di follow-up;
15. La struttura organizzativa comunica esternamente riguardo agli argomenti che
impattano sul funzionamento del controllo interno. Secondo la visione Fiat gli
obiettivi ispirati da questo principio sono un sottoinsieme di quelli del
principio 14, precisamente il primo e il terzo su elencati.
Monitoraggio:
16. La struttura organizzativa seleziona, sviluppa e mette in atto valutazioni
continuative o specifiche per accertare se le componenti del sistema di
controllo interno siano tutte presenti e correttamente funzionanti. Secondo la
visione Fiat gli obiettivi ispirati da questo principio sono:
L’Azienda risponde in modo proattivo alle rilevazioni e
raccomandazioni degli auditor interni ed esterni e, ove applicabile,
implementa dei piani operativi per rafforzare i controlli interni sulla
base di queste evidenze;
Sono posti in essere dei meccanismi di valutazione o auto-valutazione
per promuovere e valutare la consapevolezza e la responsabilità in
materia di controllo interno.
17. La struttura organizzativa valuta e comunica i difetti del controllo interno in
maniera tempestiva alle controparti che hanno la responsabilità di
intraprendere azioni correttive, incluso il senior management e lo stesso
Consiglio di Amministrazione, se necessario. Secondo la visione Fiat gli
obiettivi ispirati da questo principio sono:
Il management corregge, su base periodica, le mancanze individuate
dal controllo interno;
Le mancanze, se notate, sono seguite da un appropriati follow-up.
95
2.12.2 Il processo di controllo interno dei report finanziari di Fiat: la
situazione prima della fusione
Particolare attenzione, in merito ai dettagli del sistema di controllo della reportistica
finanziaria, è posta alle normative, che abbiamo richiamato nel primo capitolo, che sia in
Italia che negli Stati Uniti cercano di supportare le aziende nel contrastare comportamenti
fraudolenti, specie per quel che riguarda le dichiarazioni di bilancio, di salute finanziaria di
una azienda o società, etc.
La Sarbanes Oxley Act (SOX) è ovviamente “in cima ai pensieri” degli internal auditor
che svolgono questa attività nelle grandi aziende, e FCA non fa eccezione.
Un punto di particolare rilievo e attenzione, nel caso FCA, è il passaggio legato alla
fusione di Fiat e Chrysler, laddove le due società distinte avevano ciascuna sistemi di
controllo interno e policy riguardanti la reportistica finanziaria tarate sui rispettivi target
amministrativi e di business, mentre con la fusione si è dovuta trovare una sintesi che
preservasse l’efficienza dei due sistemi precedenti promuovendo al contempo una nuova,
unitaria e coerente organizzazione del sistema di controllo interno in materia di report
finanziari adatta alla nuova realtà multinazionale sorta dopo la fusione.
In particolare, nel 2014 il processo ICFR (Internal Control over Financial Report) di FIAT
è stato sottoposto a revisione e confrontato con quello di Chrysler, a cura di una società
esterna (Ernst&Young), che ha formulato come raccomandazione53 di definire la
documentazione dei processi end-to-end in maniera chiara e compliant con quanto il PCAOB
(Public Company Account Overside Board) ha richiesto in materia di chiarezza e dettaglio per
questo tipo di documentazione.
Precisamente quel che si deve fornire è documentazione completa sia in ampiezza, cioè
nel coprire le diverse aree di interesse, sia in profondità, cioè che entri nel merito dei dettagli
in maniera chiara.
Un formalismo standard che viene proposto come strumento di comunicazione, in
aggiunta ovviamente alle spiegazioni testuali, è il diagramma di flusso (flow-chart) che fin
dagli anni ’20 del XX secolo costituisce uno strumento di rappresentazione dei flussi dei
processi in diversi ambiti.
53 Process Mapping. Methodology recap and news, Internal Audit & Compliance FCA, April 2014.
96
In generale, la documentazione deve contribuire ad identificare54:
1. i rischi di material misstatements, cioè di enunciati finanziari ambigui o erronei su
informazioni che possono influenzare i valori economici associati all’azienda (prezzi
delle azioni, etc.);
2. i controlli per evidenziare tali rischi;
3. i report, le interfacce, le configurazioni e i calcoli cruciali che impattano il processo e i
controlli.
In vista dell’ottemperanza all’ICFR/SOX, si sono individuati alcuni punti critici sui quali
intervenire, a livello di organizzazione dei processi e delle attività a supporto di questi: in
primo luogo un miglioramento della qualità dei documenti che descrivono i processi end-to-
end, per supportare la comprensione dei flussi transazionali più significativi da parte
dell’auditor esterno (ciò è espressamente raccomandato dal PCAOB).
Mentre nelle aree di rischio meno critiche si raccomanda comunque di dare fiducia al
management nell’azione di controllo, per i processi più critici l’internal audit deve farsi da
tramite con la società esterna di consulenza (E&Y) incaricata del process mapping.
Si devono quindi identificare le “major class of transactions” (MCOT) sulla base delle
responsabilità degli attori e dei processi che li coinvolgono, e catalogare i rischi finanziari per
poter fare uso di questa tassonomia nella terza linea di controllo (che ricordiamo è quella
dell’internal audit laddove le prime due sono quelle operative e di controllo del business: cfr.
§2.6).
Come si è detto questi interventi di miglioramento della documentazione non si possono
soltanto basare su una comunicazione “narrativa”, ma devono prevedere l’uso del formalismo
non ambiguo dei diagrammi di flusso, oltre che del formalismo quantitativo delle matrici
rischio/controllo (RCM).
Per quanto riguarda le componenti del sistema di controllo (report, interfacce,
configurazione, calcolo), queste devono essere integrate alle componenti IT e gestite non in
automatico, per garantire l’accountability.
A fronte di questi suggerimenti di miglioramento, è bene ricordare che Fiat aveva già un
solido background in tema di ICFR: per esempio c’era stata la sperimentazione di due progetti
pilota nel 2013, “integrated approach for operational” e “ICFR and ICT risk evaluation”.
54 Ibidem.
97
Per il processo ICFR della Fiat era inoltre già iniziato un allineamento con la SOX a
partire dalla fine del 2013, in una visione di integrazione a seguito della fusione con Chrysler.
La metodologia di quest’ultima è stata a sua volta migliorata in alcuni aspetti, per esempio
con la consapevolezza di dover integrare lo sguardo sui processi di business con l’uso di
strumenti informatici standard e di cataloghi di rischi già compilati in modo tale da far tesoro
delle esperienze già accumulate invece che partire da una “tabula rasa”.
Infatti l’approccio Chrysler al tema ICFR era, come ovvio, completamente dominato dalla
necessità di compliance con la SOX55: in particolare, già utilizzava i formalismi citati per la
comunicazione in aggiunta a quella testuale nella propria documentazione, e tuttavia poneva
poca attenzione all’integrazione fra le informazioni sui rischi operativi e i rischi informatici,
mentre aveva gradualmente esteso l’approccio anche ad altre aree di business (cioè al
controllo della reportistica non necessariamente finanziaria), focalizzandosi sempre sulle aree
operative.
La mappatura dei processi svolta dalla funzione di internal audit di Fiat si basava su una
metodologia che pure era indirizzata dalle raccomandazioni e prescrizioni della SOX, e che
fornisce56:
1. template standard per i singoli documenti da controllare: diagrammi di flusso, testi,
matrici rischio/controllo, test, etc;
2. istruzioni operative per l’uso dei template;
3. linee guida per la documentazione dei controlli manuali che dipendono dall’uso di
strumenti informatici e delle componenti del sistema (report, interfacce, calcoli,
configurazioni);
4. “walk-through test” (WTT), cioè procedure che gli auditor devono svolgere per
accertare l’affidabilità delle procedure di controllo, orientati alla validazione della
progettazione dei controlli (sia nuovi sia scaturiti da modifiche a controlli esistenti);
5. una “collaboration room”, cioè un’area condivisa nell’infrastruttura informatica per i
documenti, mantenuta dal PMO e che include gli esempi di documentazione ricevuti
da Chrysler, i cataloghi del rischio finanziario e altre best practice.
In effetti, per ciascuna Major Class Of Transaction (MCOT) si seguiva un processo
standard, i cui dettagli descriveremo fra breve, ma che, macroscopicamente, vede l’intervento
del management della azienda owner della classe di transazioni oggetto di descrizione, prima
55 Ibidem.
56 Ibidem.
98
di tutto in una riunione iniziale in cui, sotto la supervisione del management, il provider dei
servizi analizza la documentazione disponibile sulla class of transaction in esame e delinea
come procedere nella fase di mapping del processo, ma anche nello svolgere questo mapping,
per mezzo di una analisi che comporta interviste, walk-through test (WTT), etc. e al termine
della quale la descrizione documentale del processo (corredata da diagrammi di flusso) viene
prodotta, e infine nel condividere la documentazione prodotta con il management e con il
gruppo ICFR dell’azienda che, assieme al consulente esterno (in questo caso E&Y), validano
la documentazione.
Queste macro fasi sono dettagliate ulteriormente in una serie di passi intermedi che
coinvolgono anche altri attori e che possiamo riassumere come segue57:
1. Nella prima fase si raccoglie la documentazione disponibile: questa è una attività che
ovviamente pesa poco in termini temporali;
2. Si produce quindi la documentazione di processo, con un lavoro sul campo
(fieldwork), che impegna un tempo dipendente dalla complessità della struttura e delle
transazioni che si intendono mappare;
3. Si condivide la documentazione con il management, attività ovviamente rapida;
4. A questo punto l’internal audit svolge un primo controllo di qualità, al termine del
quale l’ICFR e l’IT aziendale validano la documentazione, nelle sue componenti
narrative, di diagrammi di flusso, di RCM e di WTT;
5. L’internal audit esegue i walk through test sui controlli chiave nella documentazione
validata e svolge un’altra quality review;
6. Una volta validata dall’internal audit, la documentazione riceve anche l’approvazione
del ICFR, dell’IT e della società esterna.
L’organizzazione che sovrintende a questo processo prevede uno steering committee che,
unitamente a un operating committee, si occupa di fornire metodologie, approcci e risorse alle
strutture che operano sul campo nell’implementare i passi che abbiamo appena descritto, e
che constano di gruppi di tre elementi dell’internal audit, con funzioni di lead auditor,
assistant e IT auditor per ciascun processo legato a una MCOT.
L’analisi di questo processo da parte di E&Y ha rilevato alcuni punti di attenzione, che
poi sono stati implementati o messi a piano dopo la fusione e quando nuovi progetti di
integrazione e miglioramento del sistema di controllo interno sono stati pianificati.
57 Ibidem.
99
In particolare, a proposito del delicato tema dei controlli chiave, è stato rilevato che un
elemento fondamentale per la comprensione di questi controlli e una loro efficace messa in
opera è per prima cosa il tipo di controllo che viene definito (per esempio se manuale,
automatico, manuale dipendente da risultati dell’IT), e verificare che questo tipo di
definizione per quel particolare controllo lo rende effettivamente in grado di mitigare il
rischio associato, intercettando e correggendo i misstatements.
C’è poi la questione della verifica dell’appropriatezza dei controlli, nel senso della loro
capacità di effettivamente individuare la presenza di un misstatement, e del susseguente
follow-up, in particolare di come sono trattati gli errori e come vengono messe in campo le
strategie risolutive.
Infine si è evidenziata la necessità di verificare che i controlli siano svolti da dipendenti
che posseggono i necessari requisiti di accountability e competenza per attuarli in maniera
effettiva, e che la segregazione dei compiti sia realizzata efficacemente anche in fase di
progetto dei controlli.
Queste raccomandazioni, integrate da altre analisi, process mapping e per tramite
dell’utilizzo di nuovi strumenti hanno condotto, tramite una serie di progetti strategici, Fiat e
Chrysler a produrre una sintesi dei loro sistemi di controllo interni che dà origine al sistema di
controllo interno di FCA.
Nel prossimo capitolo ci focalizziamo su questo progetto di ampio respiro e sulle
modifiche che la struttura fin qui descritta ha dovuto e dovrà sostenere per portarlo a
compimento.
100
Capitolo 3 . Governance, Risk Management and
Compliance in FCA
In questo capitolo consideriamo l’evoluzione e il consolidamento del sistema integrato di
Governance, Risk Management e Compliance presso FCA, a seguito della fusione fra Fiat e
Chrysler, ponendo in particolare l’accento sugli aspetti dell’infrastruttura di supporto e sulle
conseguenze relative all’organizzazione e al modello di business dell’Internal Audit &
Compliance di FCA, rispetto alle funzioni omologhe in Fiat e Chrysler.
Per prima cosa affrontiamo il tema del GRC nei suoi aspetti generali e nella declinazione
specifica che gli è stata conferita in FCA.
L’altro aspetto considerato centrale nella definizione del modello GRC di FCA concerne
l’ infrastruttura tecnologica e l’ingegnerizzazione del processo implementato, in particolare
per quanto riguarda la selezione e la configurazione del prodotto informatico di supporto, sul
quale ci soffermiamo nella parte centrale del capitolo.
Questi due aspetti sono focali per il progetto di convergenza dei sistemi di controllo
interno di Fiat e di Chrysler nel sistema di controllo interno di FCA basato sul concetto di
GRC già discusso.
Le linee guida sono state la conformità allo standard ERM del COSO, la compliance alla
normativa italiana e statunitense in materia di frodi fiscali e una attenzione continua e
centralizzata nei confronti del risk assessment quale attività irrinunciabile per l’Internal Audit
a copertura di tutti i processi aziendali che generano rischi.
Discutiamo inoltre in dettaglio quelli che erano i modelli “as is” di Fiat e Chrysler per le
rispettive funzioni di controllo interno e il modello “to be” proposto e poi realizzato fra il
2012 e il 2014.
In particolare si tiene anche conto dell’analisi decisionale relativa alla scelta e alla
definizione dei requisiti del sistema informatico di supporto, basato su una soluzione
proprietaria per la quale è stata chiesta la customizzazione al fornitore sulla base delle quattro
aree organizzative su cui convergere: processi, rischi, controlli e modello organizzativo.
Si dà ampio spazio a una disamina delle caratteristiche funzionali di questo prodotto e alla
genesi delle scelte dei requisiti che hanno condotto alla definizione e alla richiesta di queste
101
caratteristiche, mantenendo, come richiesto dai nostri referenti in FCA, il riserbo sui dettagli
del fornitore del prodotto stesso.
Particolare enfasi è data, nella discussione, agli strumenti di supporto al controllo e al
monitoraggio, per i quali è stata condotta una analisi preliminare molto dettagliata.
Chiudiamo il capitolo affrontando gli aspetti di processo della nuova organizzazione, con
particolare riferimento alla funzione di Internal Audit, in riferimento alla quale ne
descriviamo gli impatti organizzativi, e descrivendo gli strumenti informatici di supporto
richiesti per ciascuna fase del processo di Internal Audit.
Una breve panoramica dello stato attuale del sistema di controllo interno e delle
prospettive future chiude il capitolo.
3.1 GRC: Governance, Risk Management and Compliance
Uno dei criteri cardine della governance di una azienda, e questo è tanto più vero nel caso
di aziende di grandi dimensioni, gruppi industriali e multinazionali, è che il Consiglio di
Amministrazione sia consapevole della natura dei rischi che possono frapporsi al
raggiungimento degli obiettivi aziendali e abbia predisposto la messa in campo delle azioni
necessarie atte a mitigarli.
Compito del Consiglio di Amministrazione è di indirizzare la governance dell’azienda,
secondo una visione strategica: esistono molti modi di qualificare il termine “governance”,
uno dei quali, interessante ai fini della discussione che segue, è di intendere questa parola
come sinonimo di “ripartizione e allocazione del potere decisionale fra Consiglio di
Amministrazione, Management e shareholders”58, sebbene principalmente si intenda con
“governance” le azioni intraprese dal management nel dirigere una società.
In quanto tale la governance non può prescindere dall’analisi e gestione dei rischi, né dalla
conoscenza e ottemperanza delle regole interne ed esterne: l’integrazione di queste tre
dimensioni nella conduzione del business aziendale corrisponde al GRC.
Un elemento cruciale del GRC è la cultura aziendale, compreso il “tone of the top” che
abbiamo menzionato nel §2.12.1 a proposito dell’implementazione del COSO III presso FCA.
Ma la cultura aziendale è definita e implementata anche dalla convinta condivisione dei
valori aziendali, come il codice etico, che rendono l’azienda non semplicemente un insieme di
58 Cfr. Steinberg (2011), p. 2.
102
persone con interessi diversi, ma una comunità che viaggia nella stessa direzione al fine di
raggiungere gli obiettivi di business.
Infatti oltre alla definizione e alla comprensione delle soglie di rischio dell’azienda, con la
conseguente necessità di gestirle, una sempre maggiore assunzione di responsabilità e
trasparenza è richiesta ai dirigenti e al Consiglio di Amministrazione sia dai clienti che dagli
attori istituzionali che stabiliscono regolamenti e policy.
I costi per il mantenimento di una buona reputazione e della compliance con tutte le
regole cui l’azienda è soggetta sono ovviamente importanti, e questi costi crescono quando le
risorse messe a disposizione per la “struttura” aziendale, al di là delle unità produttive,
tendono a diminuire.
Il costo stimato negli Stati Uniti speso dalle aziende in GRC è di circa trenta miliardi di
dollari (dati del 201059), investimenti più che costi, legati alle nuove priorità di budget,
focalizzate sia sull’operational risk management che sull’enterprise risk management; le
aziende sono sempre più consapevoli che focalizzare tempo, denaro e risorse sul GRC è ormai
una necessità.
Va precisato che il GRC non è una disciplina specifica o una pratica ben definita, piuttosto
costituisce il tentativo di sviluppare un approccio integrato e unificato a diverse attività ed
eventi gestionali all’interno dell’azienda, come ad esempio60:
risk management
policy management
compliance management
business continuity management
asset management
audit management
threat management
incident/event management
vendor management.
Naturalmente istanziare un processo integrato di questo tipo, specie in realtà molto
complesse, è impresa sfidante e richiede tempi lunghi, il cui successo non è assicurato.
Tuttavia è fondamentale per una strategia lungimirante che aspiri a rendere l’azienda un
59 Cfr. Hagerty, Kraus (2009).
60 Cfr. Beck, Teller-Kanzler (2009).
103
organismo che opera in realtà complesse, muovendosi in modo armonioso e non
semplicemente un insieme di moduli ciascuno con le sue funzioni specifiche.
Va tuttavia rilevato come gli oneri e i costi, specialmente quelli iniziali, del GRC siano
tali che solo poche grandi aziende hanno creato questa struttura, fra queste aziende figura
FCA61.
Una volta consolidata la cultura aziendale necessaria, e quindi fatta la scelta
dell’investimento nel GRC, l’aspetto fondamentale sul quale focalizzarsi è il rischio
operazionale, cioè il rischio di perdite, dirette o indirette, risultanti da processi interni,
personale e tecnologie non efficaci o inadeguati, ovvero da eventi esterni: come sappiamo,
accanto al rischio di credito e al rischio di mercato, il rischio operazionale costituisce il
fondamento dell’enterprise risk management.
Anche se la declinazione di un GRC è specifica della realtà aziendale in quanto deve
tenere conto di molte variabili e di numerosi aspetti dell’impresa nella quale viene applicato, è
possibile stabilire alcuni capisaldi nella progettazione e realizzazione di un modello GRC
efficace, fra i quali:
Identificazione, classificazione e accountability per i rischi;
Applicare i concetti dell’ERM (non necessariamente del framework ERM del COSO
ma comunque ispirati alle metodologie e alle prescrizioni di questo);
Consolidare e mantenere l’insieme delle policy, interne ed esterne, che l’azienda deve
rispettare e farle proprie, a livello di bagaglio culturale e di comportamenti quotidiani;
Approccio integrato alla governance, al rischio e alla compliance;
Operational risk management.
Un modello efficace di GRC coinvolge necessariamente l’organizzazione aziendale, il
personale, la tecnologia e i processi, connettendo questi quattro asset fra loro secondo lo
schema che sintetizziamo nella figura seguente, ispirata al business model per la sicurezza
delle informazioni dell’ISACA62.
61 Ispirata a Beck, Teller-Kanzler (2009).
62 Cfr. ISACA (2009).
104
L’interazione fra le realtà aziendali evidenziate nella figura come i nodi del grafo tramite
le frecce, che rappresentano i fattori di connessione, viene promossa, sistematizzata e resa
operante in modo continuativo dal GRC.
La realizzazione effettiva di un GRC che consenta tutto questo passa chiaramente per un
processo di definizione, messa a punto e monitoraggio continuo: in particolare i controlli,
utilizzati nell’identificazione dei rischi, sono una parte importante di questo processo, anche
se non costituiscono eventi indipendenti e statici: piuttosto i controlli sono spesso fra loro
correlati, sia nell’impatto che nelle relazioni di dipendenza reciproca.
Il modello COSO, nelle sue varie fasi evolutive, rappresenta un framework standard per
poter realizzare l’implementazione dei controlli in modo integrato rispetto allo schema che
stiamo discutendo, e non a caso nella realtà FCA sulla quale ci concentriamo nel prosieguo di
questo capitolo dopo queste premesse introduttive, è proprio attraverso il mantenimento di
questo framework, nelle sue diverse versioni pre-esistenti che è stato realizzato il GRC.
Un altro aspetto fondamentale nel GRC, sul quale FCA ha posto l’accento, è il ruolo
dell’ingegnerizzazione e delle tecnologie da utilizzare.
L’ingegnerizzazione e l’utilizzo di tecnologie nelle attività di GRC da parte di una realtà
aziendale consentono di contenere i costi dovuti all’effort manuale, principalmente costi di
risorse umane ma anche di tempo e schedulazione, rafforzando l’affidabilità dei risultati
“EMERGENCE” SUPPORTO
ORGANIZZAZIONE
PERSONALE
PROCESSI
TECNOLOGIE
CULTURA
FATTORI UMANI
INFRASTRUTTURE
105
grazie alla loro maggiore riproducibilità (e quindi facilità nel riscontrare anomalie ed errori) e
in parte riducendo il rischio dovuto all’errore umano, anche non doloso.
L’ingegnerizzazione non si deve limitare ai singoli strumenti, ma al processo stesso il cui
flusso, se correttamente digitalizzato, può essere parzialmente gestito dagli strumenti
tecnologici.
Possiamo citare, per esempio, piattaforme web (nel senso che comunicano tramite la
Intranet aziendale) che offrono dei front-end di analisi per i back-end di memorizzazione dei
dati, come per esempio le Business Intelligence (BI) costruite sopra i datawarehouse, o anche
notifiche e alert automatizzati, invio di e-mail in automatico a fronte del verificarsi di
determinati eventi, notifiche push etc. Tutto questo è in grado di migliorare la qualità dei
risultati e rendere il processo più snello e meno prono a errori.
Vedremo nella specifica realtà di FCA come il ruolo dei sistemi IT centralizzati sia stato
focale rispetto alla realizzazione del progetto di GRC.
3.2 L’implementazione della fusione dei processi di controllo interno di
Fiat e Chrysler in FCA
La fusione di due grandi aziende, ciascuna ramificata in più settori e con presenze in
luoghi geografici anche molto distanti, è chiaramente una impresa di portata notevole: le
fusioni sono sempre dettate da obiettivi strategici finalizzati al business, per esempio
l’aggressione di nuovi segmenti di mercato o l’ampliamento su nuove aree di business.
Spesso, a fronte di questi obiettivi primari, le fusioni comportano una serie di
conseguenze magari prevedibili, ma che non costituivano il motivo primario della fusione: per
esempio Fiat e Chrysler si sono fuse per mettere a fattor comune le linee di produzione e i
diversi target di clientela delle rispettive aziende, non per unificare i sistemi di controllo
interno, sebbene questa sia stata una necessità derivata dalla scelta della fusione.
Obiettivo di questo terzo capitolo è descrivere il progetto di fusione fra i sistemi e le
metodologie di controllo interno, nonché gli strumenti IT a supporto, utilizzando il materiale
interno messo a disposizione da FCA durante lo stage.
106
3.2.1 La pianificazione del processo di convergenza dei sistemi di controllo
interni di Fiat e Chrysler
La pianificazione e la progettazione dell’unificazione delle strutture di controllo interno e
di auditing di Fiat e Chrysler, nel nuovo assetto aziendale di FCA, sono state avviate nel
2012, sebbene, a livello di top management fosse chiaro ancor prima che con la fusione
un’integrazione dei due sistemi di controllo sarebbe stata inevitabile.
Macroscopicamente, come affermato nella documentazione di alto livello riguardante il
progetto di integrazione63, i prerequisiti imprescindibili nel disegno della soluzione sono stati:
Aderenza completa al modello ERM;
Focus sulla compliance alle normative italiana (Legge 262/05) e statunitense (SOX
404) per quanto riguarda l’ICFR;
Internal audit risk assessment finalizzato alla definizione dei piani annuali di audit.
Questi tre pilastri sono stati considerati fin dall’inizio il fondamento attorno al quale
costruire la soluzione “to be” dell’Integrated Risk Assessment: quest’ultimo doveva
chiaramente rispecchiare l’organizzazione del Gruppo, sia a livello “fisico”
(regionale/settoriale, etc.) che logico (aree di business, etc.), secondo il seguente schema
gerarchico64
63 Fiat Chrysler Convergence Project ICFR/SOX/ERM. Integrated risk assessment:main functionalities of the
process. April 2012.
64 Cfr. Ibidem.
Region/Sector/etc
(1° level of GEC) Legal Entity
Business Area (2° level of GEC)
Legal Entity Business Area
Legal Entity Sub-Business
Area
Group
107
A fronte di questo modello di organizzazione dei dati, si lasciava completa libertà
all’utilizzo degli stessi fattori di rischio sia da parte dell’ERM, che dell’ICFR e del risk
assessment dell’internal audit, secondo una modalità di supporto sia top-down (per esempio
attuata a livello regionale) che bottom-up (per esempio attuata a livello di entità legale/sotto
area di business).
Pertanto la preoccupazione principale era garantire la possibilità di gestire la complessità
dei singoli livelli gerarchici in maniera sostanzialmente indipendente, ottenendo quindi un
risk assessment ai diversi livelli della struttura organizzativa, e di dare continuità a questa
azione con valutazioni periodiche del rischio basate sulle risultanze dei test e degli audit.
Questa pervasività dell’attività di analisi dei rischi comportava la necessità di valutazioni
multiple dello stesso fattore di rischio, svolte da persone e dipartimenti diversi, con la
necessità anche di fornire diversi “risk scoring” per ciascuna unità di risk assessment (internal
audit e ICFR) tramite la combinazione delle valutazioni dei singoli fattori di rischio, con la
conseguente gestione della sintesi di questi risultati.
Un’analisi di questo tipo si presta a metodologie flessibili e proattive, come la “what-if”
analysis, al fine di modellare i diversi scenari scaturiti dalla diversa attribuzione di peso ai
singoli rischi, ma pone anche problemi di sicurezza e correttezza dell’informazione, legati alla
segregazione degli accessi e delle autorizzazioni sulla base delle diverse unità organizzative di
appartenenza (regione, paese, processo di business, etc.).
Naturalmente l’enfasi principale era posta sul tema della reportistica finanziaria, per la
quale si era stabilita di continuare a osservare le prescrizioni del modello COSO, in modo da
poter attuare una valutazione dei rischi contabili ai fini della compliance alle normative
vigenti.
Infine i requisiti espliciti della funzionalità di risk assessment erano considerati la
realizzazione di un workflow “user-friendly” per la comunicazione fra i diversi attori (per
esempio tramite lo scambio di e-mail invece che di canali più formali) e la valutazione dei
rischi tanto quantitativi quanto qualitativi.
Stanti questi requisiti, era prevista l’erogazione di una reportistica che fosse in grado di
fornire diversi punti di vista a partire da una stessa analisi (quello dell’internal audit, quello
dell’ICFR, quello dei risk owner, etc.), fornendo report specifici per i diversi livelli e
responsabilità organizzative.
108
Dal punto di vista metodologico, oltre all’ovvia necessità di fornire dati confrontabili dal
punto di vista temporale per poter operare raffronti e individuare trend, questa reportistica
doveva essere facilmente fruibile sugli usuali strumenti di ingegnerizzazione d’ufficio e
tramite dashboard web-based, corredati da grafici ed elementi visuali in grado di attrarre
rapidamente l’attenzione su dati critici e su indicatori di monitoraggio particolarmente
significativi.
Nelle strutture esistenti un consistente overlap di attività e impegno manageriale poteva
essere ridotto nel nuovo sistema integrato: in particolare sia ERM, sia ICFR che Internal
Audit dovevano migliorare il proprio modello di valutazione, quantitativo e qualitativo, dei
fattori di rischio in modo da facilitarne la sintesi nel nuovo sistema integrato.
Ciò che in sostanza si chiedeva al nuovo sistema era quindi di filtrare le diverse istanze
delle valutazioni dei rischi di queste tre entità e sintetizzarle in due categorie, fattori
qualitativi e fattori quantitativi, secondo lo schema illustrato nella figura seguente65:
65 Cfr. Ibidem.
109
Si noti come i fattori di rischio siano stati mappati in modo integrato sulle due categorie di
fattori di rischio contemplate dal sistema integrato.
A questa integrazione organizzativa continua a corrispondere una struttura che consente ai
fattori di rischio sia quantitativi sia qualitativi di essere analizzati e raccolti nelle unità
organizzative più appropriate (gruppo, regione/settore/etc., legal entity, business area, etc.).
Come parte del processo di valutazione dei rischi, viene svolta anche una “analisi di
ambito” per quanto concerne ICFR/SOX: tale analisi utilizza i fattori di rischio individuati per
poter valutare in modo corretto il contenuto dei report economico-finanziari.
85 ERM business/strategic
risk factors
Accounts
Previous test results
Judgments and
estimates
Previous year ICFR deficiencies
Headcount
Materiality
Organizational changes
ICT application risks
24 factors included in the 1° legal entity
ICFR questionnaire
factors included in the 2° legal entity
ICFR
other factors
IA valuations - audit opinion and last
Fraud risk - Fraudolent Financial Statement
110
Analogamente, l’Internal Audit nello svolgere le proprie attività dispone di strumenti in
grado di organizzare le evidenze, ottenute dalle entità legali e dalle aree di business, secondo
un modello che tenga conto della valutazione dei rischi.
3.2.2 I modelli alla base della nuova struttura organizzativa
Per realizzare il progetto di integrazione di un modello unificato di GRC fra Fiat e
Chrysler è stato necessario costituire questo modello su una struttura organizzativa, di
processo e di rischio (con particolare riferimento all’elenco dei rischi) orientate
all’unificazione dei modelli di dati66 esistenti.
Particolare enfasi è stata posta sugli strumenti di ingegnerizzazione ed informatici e sulle
tecnologie innovative in tema di infrastruttura IT a supporto: in particolare, stimata la non
adeguatezza del precedente strumento informatico a disposizione di Chrysler, una software
selection è stata condotta, nel 2012, in merito alla scelta del software di GRC più adeguato per
la nuova organizzazione che si andava delineando.
Allo scopo, una “Request for Quotation” (RFQ) fu richiesta a quattro fornitori individuati
fra i leader nel settore dei prodotti e framework informatici dedicati al GRC67: tre di questi
risposero alla richiesta con un’offerta, due della quale risultarono maggiormente in linea con i
requisiti funzionali richiesti nella RFQ.
La scelta fu quindi condotta fra due soluzioni tecnologicamente avanzate ed entrambe in
grado di soddisfare i requisiti richiesti: la scelta definitiva fu dettata in parte da criteri
economici, in parte da criteri tecnologici.
Il fornitore che risultò assegnatario della commessa di sviluppo del framework GRC
propose una soluzione facile da usare e più economica, sebbene l’altra fosse più
funzionalmente aderente ai requisiti proposti: tuttavia la soluzione poi scelta propose una sua
seconda release che avrebbe fornito una versione maggiormente integrata e completa, in linea
con i requisiti funzionali espressi da FCA.
Questo processo di analisi è stato cruciale in merito alla progettazione e realizzazione del
nuovo modello di GRC, il cui obiettivo era di sviluppare un framework comune e una
soluzione integrata di ICFR/SOX, Audit ed ERM, proprio per offrire uno strumento di
66 Fiat Chrysler Convergence Project ICFR/SOX/ERM. GRC Steering Committee, December 2012.
67 Su richiesta del management FCA non diamo disclosure delle aziende coinvolte nella RFQ, né menzioniamo
esplicitamente l’azienda scelta: questa informazione non è peraltro rilevante ai fini della nostra analisi.
111
gestione delle correlazioni fra rischi strategici, di business e contabili rispetto ai report
finanziari interni ed esterni.
Quale che fosse il modello proposto, e la soluzione informatica di supporto, questi
avrebbero dovuto fondare la loro azione su quattro pilastri68:
La progettazione e l’adozione di un modello di processi comune: questa fase è stata la
prima a essere completata, con un allineamento dei processi di Fiat e Chrysler in
pratica completato già nel 2012, una convergenza con i processi IT, basati sul modello
Cobit, e una analisi dei processi non strettamente collegati all’ICFR, come per
esempio il marketing, il manufacturing, etc. A seguire sarebbe stato necessario:
o Collegare i processi ai vari livelli della struttura organizzativa;
o Collegare i processi principali alla reportistica finanziaria;
o Calibrare la struttura dei processi sulla base delle evidenze contabili esistenti;
o Pianificare dei progetti pilota di mapping dei processi da parte dell’Internal
Audit di Fiat.
Un modello di rischio che offrisse una classificazione integrata dei rischi, per poterli
gestire rispetto alle varie aree di impatto dei rischi stessi (strategica, operativa, di
conformità e di report finanziario) nei vari livelli dell’organizzazione.
Per realizzare questo modello, è stato necessario:
o Tenere conto delle metodologie di rischio usate in Chrysler;
o Razionalizzare e allineare il portafoglio dei rischi (in merito a ICFR/SOX) fra
Fiat e Chrysler;
o Condurre una analisi di ICFR risk assessment da parte di Fiat;
o Definire i rischi operativi riferiti ai processi identificati nel modello, come
necessario per le attività dell’Audit, attività per la quale Fiat si è avvalsa di una
società di consulenza.
A fronte di tutto questo, il modello dei rischi è stato poi implementato sulla base
della classificazione ERM, in sinergia anche con i rischi operazionali e di
reporting finanziario. Inoltre i rischi operazionali sono stati validati per ciascun
processo di una certa importanza.
68 Fiat Chrysler Convergence Project ICFR/SOX/ERM. GRC Steering Committee, December 2012.
112
Un modello di controllo comune associato alle specifiche entità di controllo: questo è
stato sostanzialmente ottenuto attraverso la definizione di una mappatura e
aggiornamento dei controlli rispetto ai rischi identificati.
Un modello organizzativo per gestire sia dal punto di vista legale che manageriale le
diverse attività facenti capo a ERM, ICFR/SOX e Internal Audit: sotto questo punto di
vista, l’esigenza principale che si è manifestata da subito è stata quella di aggiornare la
struttura organizzativa di Chrysler per poterla allineare con quella di Fiat, già declinata
a livello di regione/settore produttivo.
La coesistenza e integrazione di questi quattro modelli consiste essenzialmente nel
modello dati alla base dei requisiti per il software di GRC e per il processo stesso di GRC.
Le principali correlazioni fra questi modelli e il loro intervento a livello di strutture
organizzative coinvolte nel GRC sono illustrate nella figura seguente69:
Questo stream di progetto concernente il modello dati è stato portato avanti in parallelo ad
altri stream relativi a:
69 Fiat Chrysler Convergence Project ICFR/SOX/ERM. GRC Steering Committee, December 2012.
Account
Process
Gruppo
Region/Sector/etc
(1° level of GEC)
Legal Entity
GEC
Business
function Legal Entity
business
function
Legal Entity
Division
Legal Entity
sub-business
function
ICFR
Fiat Internal Audit
ERM
Risk
Control
necessario
opzionale
Attività:
113
Valutazione integrata dei rischi: dopo la convergenza della metodologia di risk
assessment in merito a ICFR/SOX, seguita al confronto delle diverse metodologie, in
particolare al progetto pilota di Chrysler sull’ERM, nel 2013 è stata implementata
questa valutazione integrata con una progettazione di dettaglio del processo di
valutazione dei rischi (regole di calcolo, risk scoring automation, etc.) in modo da
preparare dei requisiti di configurazione per lo strumento software scelto (fine tuning
del framework).
Segregazione dei ruoli: il primo passo è stato l’allineamento fra le politiche di Fiat e
Chrysler in merito a questa tematica, con team integrati delle due aziende che hanno
valutato gli scostamenti in modo da identificare eventuali gap o inefficienze. Questa
analisi ha reso possibile una analisi comparativa dei conflitti in merito alla
segregazione dei ruoli e anche evidenziato una dettagliata gap analysis finalizzata alla
stesura di un documento unificato (matrice SOD relativa all’ICFR/SOX).
Scelta dell’infrastruttura software: abbiamo già evidenziato come le attività del 2012
si siano concentrate su una analisi decisionale orientata alla scelta del fornitore e del
prodotto da utilizzare per il modello unico di GRC. Va anche sottolineato come,
indipendentemente dal framework scelto, esistessero comunque scenari applicativi
diversi per l’installazione e l’uso di questi programmi:
o Architettura software basata sull’hosting interno, vale a dire il framework
viene installato all’interno dell’infrastruttura ICT di FCA.
o Architettura software basata sul cloud, SaaS (Software as a Service), in cui sia
il software che l’hardware necessario sono erogati dal fornitore.
Il primo scenario è stato ritenuto più conveniente, soprattutto in relazione alle sinergie
fra licenze e spese di implementazione e configurazione.
In particolare queste attività prevedevano l’identificazione di un risk assessment
framework comune sia a Fiat che a Chrysler, in merito al rischio ICFR/SOX per i report
finanziari, in modo da ottimizzare le sinergie con l’Internal Audit e la valutazione dei processi
secondo l’ERM.
3.2.3 Struttura progettuale del processo di convergenza
Data la complessità del processo di convergenza delle strutture di controllo interne di Fiat
e Chrysler dopo la fusione di queste due aziende, questo processo è stato gestito come un vero
e proprio progetto, con una sua pianificazione e delle risorse messe a sua disposizione.
114
L’organismo cui è stata affidata la supervisione dell’intero progetto è stato lo Steering
Committee, composto da 12 persone, scelte fra Fiat e Chrysler, in rappresentanza di funzioni
distinte: di questi, cinque coppie (composte da una persona proveniente da Fiat e una da
Chrysler) provenienti rispettivamente dalle funzioni di: ICFR/SOX/ERM, Internal Audit, ICT,
Tesoreria, Area Legale, con l’aggiunta di un membro di Fiat Services e di un membro
dell’HR di Fiat/Chrysler.
Oltre a questo Steering Committee, e direttamente subordinato a questo, è stato designato
un “program leader” con la funzione di guida del progetto stesso, proveniente dall’Internal
Audit di Chrysler.
A queste strutture di supervisione è subordinata una struttura operativa, l’Operating
Committee, così composto70:
Tre persone provenienti dal mondo ICFR/ERM (uno di Fiat, due di Chrysler);
Quattro persone provenienti dal mondo ICT (tre da Fiat, uno da Chrysler);
Due persone della Tesoreria (uno da Fiat, uno da Chrysler);
Due persone dell’area legale (uno da Fiat, uno da Chrysler);
Cinque persone provenienti dall’ Internal Audit di Fiat (due) e di Chrysler (tre);
Una persona dalla contabilità Fiat;
Una persona da Fiat Services.
Questo comitato operativo assolve sostanzialmente le funzioni di team leadership nei
confronti dei team operativi messi a disposizione.
I team operativi sono composti per aree funzionali: uno per ICFR, uno per ERM, uno per
l’Internal Audit, formati da persone provenienti da Fiat, e supportati da un team ICT; un team
per SOX, uno per ERM, uno per l’Internal Audit e un team per la tesoreria, formati da
persone provenienti da Chrysler, e supportati da un team ICT.
Oltre a questi sono stati costituiti un team di persone HR e un team di persone di area
legale, bilanciati nella provenienza fra Fiat e Chrysler, e i team regionali e settoriali, ai quali
parteciparono anche risorse provenienti da società del gruppo, come Magneti Marelli, Ferrari,
Teksid, etc.
70 Fiat Chrysler Convergence Project ICFR/SOX/ERM. GRC Steering Committee, December 2012.
115
Questo “organigramma di progetto” riflette la complessità e la molteplicità strutturale del
gruppo, e corrisponde sostanzialmente a una divisione fra parte manageriale e parte operativa:
quest’ultima ha avuto il compito vero e proprio di predisporre la progettazione funzionale e
tecnica del processo di convergenza, cioè di disegnare il nuovo sistema di controllo interno a
partire dai due esistenti, tenendo conto delle esigenze della nuova entità FCA, mantenendo
quanto poteva contribuire a portare valore nella nuova struttura.
Questa progettazione tecnica e funzionale ha utilizzato un modello di dati come linea
guida, modello che è stato definito parallelamente alla progettazione: una volta terminata
questa progettazione, e completamente definito il modello, questi sono stati implementati
nelle realtà operative regionali e settoriali.
Le attività di progettazione tecnica e funzionale possono essere ricondotte alle seguenti
fasi progettuali71 che, come si vede, corrispondono in parte alle fasi tipiche del ciclo di vita di
un progetto:
Definizione dei requisiti funzionali
Definizione dei requisiti tecnici
Riesame delle funzionalità del sistema
Sviluppo della conoscenza degli strumenti sugli oggetti principali e le regole di
integrazione del sistema
Progettazione dei report principali
Riesame e validazione dei processi di business
Identificazione degli utenti chiave per degli “user acceptance test” anticipati (ossia una
fase di verifica dello sviluppo software in cui l'utente finale valida la corrispondenza
con i requisiti inizialmente espressi)
Identificazione e gestione di eventuali gap e problematiche sollevate dai test.
A queste attività di progettazione funzionale corrispondono, in parallelo, le attività di
definizione del modello dati, che pure possiamo enumerare come segue:
Identificazione degli oggetti fondamentali del modello
Predisposizione delle regole di calcolo del sistema
Predisposizione dell’interazione e l’integrazione degli oggetti
Definizione della struttura organizzativa
71 Fiat Chrysler Convergence Project ICFR/SOX/ERM. GRC Steering Committee, December 2012.
.
116
Definizione del catalogo dei rischi
Definizione del modello di processo
Definizione delle strutture di controllo
Definizione della logica di processo
Definizione della reportistica integrata
Definizione delle regole di migrazione dei dati
Definizione dei test.
Queste attività di data modeling sono svolte dai team composti da personale proveniente
dall’ Internal Audit, dall’ICFR/ER e dall’ICT.
I team di lavoro localizzati nelle aree regionali e settoriali del gruppo cooperano nello
svolgimento delle attività operative che possiamo sintetizzare come:
Acquisire nuovi framework di rischio
Implementare i modelli di processo
Implementare le connessioni fra rischi, controlli e processi come ridefiniti nel modello
stesso
Acquisire nuovi strumenti di conoscenza e trasmetterli nelle varie realtà locali
Assicurare una appropriata connessione e comunicazione fra i team locali e il comitato
operativo
Supportare gli “user acceptance test” a livello locale.
A valle di queste attività, il comitato operativo di cui sopra descritto svolge il ruolo di
supervisione e validazione attraverso le seguenti attività:
Definizione di nuovi framework di rischio
Definizione delle principali connessioni fra gli elementi del modello dati
Validazione della modellazione dei dati
Validazione della progettazione funzionale e tecnica
Guida delle aree regionali e settoriali nella implementazione del nuovo framework.
Come si vede da questa descrizione, il processo di convergenza e il suo governo sono
centrati attorno all’uso dello strumento informatico, non a caso componenti del mondo IT
sono coinvolti in modo trasversale nelle varie attività che abbiamo elencato.
Nel prossimo paragrafo descriviamo più dettagliatamente la struttura della componente IT
del processo di convergenza basata sul prodotto scelto.
117
3.3 Il progetto di convergenza verso una infrastruttura IT unificata a
supporto del controllo interno di FCA
Nel 2012 il gruppo Fiat/Chrysler ha individuato il fornitore e la piattaforma informatica da
questo proposta per la realizzazione dell’infrastruttura a supporto del GRC.
La struttura di base di questa piattaforma è uno dei punti di forza che, assieme alla
maggiore economicità rispetto ad altre proposte, ha portato alla sua scelta ed è inoltre
altamente modulare: questo vuol dire che l’architettura informatica del prodotto è concepita in
modo da poterlo estendere ed integrare facilmente.
Questa caratteristica è fondamentale dato il livello di complessità del processo di
convergenza e della soluzione GRC “to be” che ne costituisce il target.
Il prodotto è in grado di supportare gli standard più affermati in materia di controllo
interno, come il framework COSO-ERM, l’AS/NZ 4360 (relativo al risk management), le ISO
31000 e ISO 27000 (che si riferiscono rispettivamente al risk management e al mondo IT).
Nello specifico l’approccio del prodotto integra le seguenti aree di controllo:
Report finanziario (controllo interno)
Conformità (legislazione e policy)
Risk management operativo
Risk management strategico
Board & Entity management
Risk management IT
Process management e modeling.
Il sistema costruisce la Business Intelligence (BI) orientata al GRC come culmine di una
piramide che ha alla sua base il process management, per poi salire con la compliance e il risk
management, secondo lo schema illustrato nella figura seguente:
118
Partendo dalla gestione dei processi si implementa un monitoraggio continuo della
conformità alle policy e alle regole del sistema, e sulla base di questi presupposti si può
svolgere l’analisi dei rischi, la valutazione dei rischi e alimentare un database di lesson
learned relative ai danni causati da rischi non gestiti.
La caratteristica della soluzione è di potersi espandere, successivamente alla usa
implementazione iniziale, al fine di includere ulteriori funzionalità, rendendo però disponibile
fin dalla sua installazione inziale una gestione centralizzata sia dei dati che
dell’amministrazione del sistema.
3.3.1 Il prodotto IT: caratteristiche generali
A livello di risk management, oltre a supportare i vari standard sopracitati, l’infrastruttura
IT prescelta supporta la gestione del risk management a diversi livelli e in diversi modi.
Per prima cosa fornisce un supporto alla definizione del catalogo dei rischi, che può essere
standardizzato o anche decentralizzato, aiutando nella definizione delle categorie di rischio e
alla collocazione dei singoli rischi all’interno di aree di business dell’azienda.
A proposito dell’identificazione dei rischi, il sistema aiuta a classificarli non solo in
relazione agli obiettivi di business sui quali impattano, ma anche in relazione a processi, asset
119
IT, ecc.. che può subire modifiche nel suo naturale ciclo di vita aziendale a seguito del
verificarsi di un particolare rischio.
L’analisi dei rischi viene condotta tramite lo strumento informatico, sulla base delle
potenziali perdite di dati, sulla base di contromisure già poste in essere e implementate, e sulla
base di scenari e indicatori di performance.
Ovviamente c’è la possibilità di classificare la probabilità e la severity di un rischio,
valutandola sulla base di una o più variabili distinte (dimensioni di rischio).
Gli amministratori del sistema possono configurare l’infrastruttura in modo da
amministrarne la misurazione e il monitoraggio continuo: report standard e dashboard che
illustrano i trend delle misure possono essere facilmente prodotti, così come i report per il
management.
Al censimento dei rischi si affianca quello della struttura organizzativa che ne
sovraintende la gestione: il sistema informatico consente di modellare al suo interno la
struttura organizzativa aziendale coinvolta nella reportistica sui rischi, in modo da erogare
report che siano adattati a questa struttura.
Il prodotto consente di configurare anche in corso d’opera la struttura organizzativa,
secondo uno schema gerarchico e funzionale capace di rappresentare l’organizzazione e i suoi
diversi livelli di intervento e accountability in merito all’analisi dei rischi: in particolare è
possibile specificare la gestione del rischio, all’interno del sistema, a livelli diversi.
Si può assegnare l’ownership del rischio sia a personale locale che corporate, ma anche
sulla base del contesto di business, specificando più dimensioni lungo le quali è possibile
intendere la natura del rischio o comunque un suo impatto: policy interne o esterne,
applicazioni informatiche o infrastrutture informatiche, processi o misure di controllo, etc.
Per esempio un rischio può essere categorizzato in una struttura gerarchica di classi di
rischio, o rispetto ai processi di business sui quali impatta: nella figura seguente si vedono
due finestre dell’applicativo che offrono questi due tipi di rappresentazione.
120
I responsabili della gestione del singolo rischio possono accedere ai loro contenuti, a
seconda della loro profilazione nel sistema.
L’applicativo richiede la collaborazione di molti dipendenti per il censimento e il data
entry relativo al catalogo dei rischi: questi ultimi devono essere censiti e categorizzati, anche
in relazione all’impatto che possono generare sui processi, una attività che si basa sul risk
assessment normalmente svolto nei vari livelli aziendali, ma che richiede anche l’uso
dell’applicativo a livelli e contesti differenti sia in ambito di direzione che si sedi regionali.
Questa attività di data entry va governata, e l‘applicativo supporta questa governance
tramite un sistema di autorizzazioni, da concedere o meno ai dipendenti deputati al data entry
e tramite flussi di approvazione che garantiscano una facilità di accesso al database per
alimentarlo, mantenendo al contempo quelle misure e vincoli di sicurezza che servono, per
esempio, a prevenire l’inserimento di dati non autorizzati da manager responsabili del
processo o del rischio, etc.
121
3.3.2 Il prodotto IT: gestione e tracciatura dei dati
Il sistema offre la possibilità di tracciare attività di ogni tipo, incluse quelle
amministrative, di gestione di credenziali e autorizzazioni etc., in modo da consentire una
ricostruzione puntuale del processo di definizione e gestione del rischio.
La raccolta di informazioni sui rischi che possono impattare i diversi processi di business,
avviene anche attraverso dei questionari online, compilati dalle persone coinvolte nei processi
(i responsabili in primis) per poter fornire un quadro preciso delle tipologie di rischio che
possono manifestarsi in una determinata area di business.
Vi è anche la possibilità di raccogliere informazioni da report emessi dagli owner dei rischi
locali.
Grazie a questo modo di raccogliere le informazioni, si può rappresentare all’interno
dell’applicativo un quadro preciso delle diverse tipologie di rischio.
Un’altra caratteristica del prodotto informatico, per quanto riguarda la raccolta dei dati, è
la possibilità di importare dati sui rischi già raccolti ed elaborati con altri strumenti, nonché la
centralizzazione di documenti preesistenti: l’applicativo ha al suo interno un sistema di
gestione documentale.
Oltre al supporto nella fase di raccolta dati, che confluiscono all’interno del suo database,
l’applicazione offre anche supporto all’analisi dei rischi sulla base delle informazioni raccolte.
In particolare, l’integrazione e la centralizzazione dei repository dei rischi in un unico
framework di controllo consente di far emergere ed approfondire le correlazioni fra i singoli
obiettivi di business e le classi di rischio specifiche.
Inoltre la storicizzazione nel database degli “incident” e delle perdite derivanti dalla
ricorrenza di un evento rischioso, permette l’individuazione dei punti deboli nei processi e nei
meccanismi di controllo, e consente al risk management di analizzare in modo quantitativo gli
eventi che in passato hanno portato a perdite, identificando così le cause e le possibili
conseguenze finanziarie dei rischi nei vari settori di business.
Le caratteristiche di integrazione e centralizzazione dei dati che il prodotto informatico
offre, hanno come conseguenza a livello di software la presenza di una unica tecnologia
integrata di business intelligence per la reportistica, consentendo non solo di rappresentare le
performance dei processi e gli indicatori di rischio in tempo reale, ma anche di includere dati
caricati da fonti esterne.
122
In questo modo il dashboard ERM offre la possibilità di individuare preventivamente i
punti deboli, monitorandoli sulla base delle evidenze raccolte.
In particolare la “ETL” (Extract, Transform and Load), un metodo standard di scambio
informazioni nei prodotti basati su datawarehouse e business intelligence, consente di caricare
dati dalle applicazioni tipicamente diffuse a livello gestionale nelle organizzazioni industriali
per il controllo amministrativo ed operativo, come per esempio i sistemi SAP e Oracle.
La reportistica per il risk management offre la possibilità di svolgere vere e proprie analisi
interattive degli scenari, a supporto dell’analisi dei trend delle perdite occorse in passato e
quindi in vista della valutazione dei rischi, nonché la formulazione e simulazione degli scenari
di rischio futuri.
Un portfolio di report standard consente di fare questo, offrendo uno strumento per il
monitoraggio di singole classi di rischio rispetto ai dati storici raccolti nel corso del tempo,
inoltre vi è la possibilità di definire report ad hoc per soddisfare richieste specifiche.
La risk management solution del prodotto informatico assicura che i report e le
informazioni di maggior rilievo siano fornite in tempo utile a tutte le unità di business
secondo le loro necessità.
Per quanto riguarda l’analisi dei rischi, l’applicativo consente di definire questionari da
somministrare via Web per la raccolta di informazioni importanti, ad esempio rispetto a rischi
reputazionali, finanziari o legali.
Sulla base di queste informazioni il sistema supporta la presa di decisioni riguardanti il
controllo dei rischi, la misurazione degli indicatori, la pianificazione e categorizzazione dei
rischi: l’analisi e la valutazione del rischio viene effettuata dagli addetti ad utilizzare il
sistema, ma semplificata dalla disponibilità di informazioni che il sistema stesso consente di
raccogliere e visualizzare a seconda delle necessità.
In particolare, i risk manager responsabili della valutazione dei rischi potranno redigere
dei draft delle loro analisi da sottoporre alla valutazione di altri manager in modo da poter
ottenere feedback utili al consolidamento della loro analisi, il tutto in modalità web-based
ossia utilizzando un qualsiasi browser per la navigazione nella intranet aziendale.
I risultati degli assessment vengono poi centralizzati nel database del prodotto e
storicizzati in modo da poter essere utilizzati per comparazioni e lesson learned, l’obiettivo
del sistema è quindi di accentrare le informazioni consentendo di memorizzarle in modo
sicuro sia rispetto alla loro conservazione (backup, etc.) che alla loro riservatezza, in quanto le
123
operazioni di modifica dei dati nel database sono soggette ad autorizzazione di accesso al
database medesimo e completamente tracciate.
3.3.3 Il prodotto IT: supporto all’operatività nei controlli
Dal punto di vista delle azioni da intraprendere per mitigare un rischio il prodotto
informatico suggerisce un “action plan”: ossia un insieme di attività da svolgere al fine di
gestire, vale a dire accettare, evitare, trasferire o ridurne l’impatto (sulla base di quanto
abbiamo avuto modo di trattare nei capitoli precedenti a proposito della metodologia ERM).
In ciascun caso la piattaforma informatica consente di attivare un processo di “issue and
remediation management” come segue:
1. Creazione di una “issue” da parte di un operatore all’interno del sistema
2. Validazione della issue da parte di un responsabile
3. Predisposizione di un “action plan” per gestire la issue: questo avviene con il
contributo congiunto del creatore e del validatore
4. Implementazione dell’action plan: onere dell’operatore
5. Approvazione dell’action plan da parte del validatore
6. Controllo della esecuzione del action plan da parte del validatore (le attività
dell’operatore sono tracciate nel sistema e in questo modo il validatore può seguirle)
7. Chiusura della issue da parte del validatore.
Questo processo può essere collocato in qualsiasi livello del framework e costituisce
quindi un meccanismo generale applicabile in vari ambiti, e che è in grado di utilizzare dati da
vari contesti.
Usando questo meccanismo, gli owner dei rischi, che hanno l’onere di intervenire per
gestire il rischio, possono avere accesso ai punti deboli del loro processo di gestione in
maniera tempestiva, senza la necessità di ricercare nell’intero framework: ovviamente, se i
dati associati a una issue sono difficili da reperire la piattaforma informatica si avvale di un
action plan.
La possibilità per un “validatore”, tipicamente un risk owner, di delegare ad altri la
gestione di una issue rende flessibile la gestione, consentendo di concentrarsi sui rischi di
maggior rilievo e propagando la gestione verso il basso se ritenuto appropriato ed opportuno.
124
Dal punto di vista più ampio del processo di controllo interno, il prodotto informatico
offre parimenti un supporto esplicito “end-to-end”, cioè dal principio alla fine del processo,
accompagnando nel loro lavoro gli attori che vi partecipano e concorrono.
In questo caso le fasi principali del ciclo di vita di un controllo interno sono schematizzate
dal prodotto informatico in un processo che assume la forma illustrata nella figura seguente:
Questo processo si compone delle seguenti fasi:
1. Analisi dell’ambito basata sui rischi: questo primo passo è necessario per analizzare il
lavoro, svolto in modo tale da eliminare eventuali attività di documentazione e test
superflue dal momento che esulano dall’ambito del rischio.
2. Una volta chiarito l’ambito, si procede alla raccolta e produzione della
documentazione rilevante, in modo da evidenziare i processi di business e i rischi
legati allo specifico controllo interno: in particolare, i rischi sono documentati assieme
alle misure e ai controlli operativi volti a mitigarli.
3. Le fasi di test che seguono questa attività di raccolta e produzione di varia
documentazione vengono supportate dal sistema, e riguardano da un lato la verifica e
validazione della struttura del controllo, e dall’altro la sua efficacia operativa: questi
controlli sono svolti nel livello di dettaglio desiderato e con la regolarità voluta ed
inoltre i test di efficacia dei controlli chiave possono essere automatizzati, ovvero
svolti manualmente.
125
4. Terminati i test, una fase di remediation, che si avvale dell’issue management
disponibile nel sistema (per esempio attraverso il meccanismo di action planning),
consente una eventuale revisione e modifica della documentazione e dei test per
eliminare le issue.
Una caratteristica particolarmente interessante e utile di questo processo informatico è la
possibilità di raccogliere le evidenze in maniera automatica: questo significa che tutte le
informazioni di maggior rilievo e i possibili controlli sono elencati in un report che viene
aggiunto in automatico ai test di controllo dell’applicativo.
Chi svolge il test ha quindi l’onere di confermare i risultati del test e può direttamente
passare all’action plan in caso di fallimento dei controlli: una volta chiuso l’action plan il
sistema svolgerà di nuovo in automatico un test per verificare l’efficacia delle modifiche
apportate.
3.3.4 Il prodotto IT: supporto nei monitoraggi
L’infrastruttura informatica offre numerosi report già predisposti al fine di essere utilizzati
per l’analisi e la misurazione degli indicatori di rischio: ad esempio alterazioni quantitative o
qualitative dei rischi o delle osservazioni dei rischi, action plan in corso e problemi delle unità
organizzative, test di controllo falliti, etc.
Questi report non solo consentono una rappresentazione grafica, oltre che analitica, di
queste misure e di questi fatti, ma consentono anche di potere in una certa misura consultare i
dati, come tipico degli strumenti di reportistica e di business intelligence: l’avere a
disposizione i dati nel database centralizzato e integrato con i vari moduli software
dell’applicativo consente di fare questo con estrema facilità.
Oltre alla reportistica è possibile eseguire dei test periodici sui controlli, per monitorare in
modalità continua gli insiemi di misure definite al fine di prevenire o ridurre l’evento
rischioso.
Al tempo stesso, i responsabili sono continuamente informati dalla loro “pagina
personale” di accesso al sistema sulle attività a loro carico.
Da queste pagine personalizzate, i responsabili tengono sotto controllo le attività di loro
competenza, e questo garantisce che la stima dei rischi a livello di gruppo è ben presidiata.
126
A tal proposito è bene sottolineare che l’”identity e access management” degli utenti nei
confronti del sistema segue un flusso autorizzativo ben determinato, volto ad assicurare che
alterazioni significative del sistema non possano passare inosservate dal framework.
Oltre a questo, le attività di “scrittura” all’interno del sistema, come le modifiche alla
documentazione nel repository del framework, sono tracciate ed associate a chi ha svolto la
modifica, assicurando un sistema di “logging” disponibile per susseguenti indagini
conoscitive.
Nello svolgimento delle loro attività le pagine personali degli utenti del sistema li
supportano nell’esecuzione dei compiti loro assegnati all’interno del framework di controllo,
e nel rispetto delle linee guida e delle policy aziendali.
In questo senso, l’applicativo offre anche un vero e proprio portale dedicato agli operatori,
all’interno del quale possono reperire informazioni e svolgere le loro attività: queste sono
infatti elencate in modo ordinato e chiaro, consentendo anche una ricerca rapida di altre
informazioni. Inoltre, il sistema è integrato con la posta elettronica aziendale.
Infine, l’infrastruttura informatica mette a disposizione uno strumento a supporto
dell’Internal Audit, che recepisce il modello ERM.
Questa componente consente di pianificare gli audit per diverse entità di business, e
quindi di formulare un programma di audit gestito da un lead auditor: quest’ultimo pianifica
gli audit, alloca le proprie risorse su questi audit (gli auditor) assegnando a ciascuna di esse
uno o più audit.
Gli auditor possono rendicontare le ore spese su ciascuna attività di audit direttamente
dall’applicazione in modo che il lead auditor possa rivedere e approvare il loro lavoro svolto
sul campo: questa centralizzazione dei dati di audit consente di notare inefficienze e di
lanciare azioni di remediation durante gli audit stessi.
Come abbiamo più volte sottolineato, l’attività principale dell’Internal Audit è il risk
assessment dei processi di business annuale: questo assessment è basato su un piano di audit
annuale creato e gestito dal comitato di audit.
L’esecuzione di ciascun audit consiste in diversi passaggi che includono ricerche svolte
sul framework informatico, lavoro sul campo e reporting finale delle proprie risultanze ed
evidenze: queste ultime sono condivise con il business, e di conseguenza vengono proposte
delle raccomandazioni al business per il necessario follow-up.
127
Nella seguente figura, tratta come le altre da una presentazione del prodotto espressamente
redatta per FCA, ma della quale ci è stato chiesto di non dare disclosure (in particolare per
quel che riguarda il fornitore, e conseguentemente, anche il prodotto) è illustrato nella sua
operatività e gestione il ciclo di vita dell’Audit, e come viene modellizzato dal prodotto
informatico in questione:
3.4 Il progetto “GeRiCo”: convergenza fra Fiat e Chrysler in merito a
SOX/ICFR/IA/ERM
Il prodotto informatico, descritto nei paragrafi precedenti, è stata progettato e utilizzato
nel 2014 nell’ambito di un progetto chiamato GeRiCo (Governance Enterprise Risk
Integrated Compliance Overview).
E’ interessante descrivere la struttura del progetto di convergenza, gestito secondo
standard qualitativi di project management, in quanto fornisce una idea della complessità e
della difficoltà nella convergenza dei sistemi di controllo interno e di gestione dei rischi di
due grandi realtà industriali che hanno avuto la necessità di unificare il loro approccio alla
gestione del controllo interno.
Data la complessità della realizzazione dell’infrastruttura, pur basandosi su un prodotto
già esistente ma che doveva essere modellato in base alle esigenze di FCA, il progetto ha
richiesto diversi mesi e si è articolato in tre fasi:
128
1. Business design: in questa fase è stata progettata la struttura dei processi di business
all’interno del sistema, è stato pianificato l’intero progetto, il suo ciclo di vita.
2. System design: in questa fase è stata progettata l’architettura funzionale e
infrastrutturale dell’installazione del prodotto, e se ne è pianificata la gestione della
configurazione sulla base delle specifiche e dell’analisi svolta nella fase di business
design.
3. System implementation: in questa fase sono stati creati i report e dashboard di
reportistica, si sono prodotti i dati per i test, svolti successivamente in accordo con il
piano dei test rientrante nel project plan, e si sono finalizzati i test del sistema.
4. System delivery: nella fase finale, dopo aver controllato e predisposto l’ambiente di
produzione, in accordo con il piano di gestione della configurazione, si è provveduto a
trasferire i dati pregressi sull’ambiente di produzione del nuovo sistema, procedendo
in due fasi: un primo trasferimento ha coinvolto i dati relativi all’ICFR, alla tesoreria e
all’area legale; un secondo trasferimento coinvolgerà i dati relativi all’Internal Audit e
all’ERM.
La gestione di questo progetto ha coinvolto diversi stakeholder, raggruppati in funzioni di
un organigramma di progetto composto da membri di Fiat, di Chrysler, del fornitore, oltre che
da consulenti delle società di revisione coinvolte nella quality assurance e audit esterni.
Gli sponsor del progetto hanno esercitato la funzione di direzione e finanziamento delle
varie attività del progetto, nell’ambito del budget per questo stanziato.
Subordinato all’azione degli sponsor, uno steering committee ha avuto l’onere della
supervisione del progetto, al fine di assicurare che i requisiti di business fossero soddisfatti in
modo efficiente sia in termini di costi che di tempi di realizzazione.
Oltre a questo, lo steering committe ha supportato le decisioni chiave, come per esempio
valutazioni go/no go, raccomandazioni, etc., e ha guidato il processo di adozione di un
modello organizzativo, di responsabilità e di flusso informativo nei confronti dei responsabili
di area.
Lo steering committee ha anche supportato il progetto con proprie risorse e monitorato il
progetto per verificarne l’aderenza, o l’eventuale scostamento, dallo scenario di business che
ne costituiva il target.
Nella sua attività lo steering committee ha avuto il supporto di un gruppo di auditor
esterni con l’esplicito compito di monitorare ed assicurare che la convergenza del processo e
129
il progetto del sistema fossero in linea con i requisiti richiesti dal Public Company Accounting
Oversight Board statunitense (cfr. capitolo 1).
Un comitato operativo ha avuto invece il compito di: approvare i processi di business e la
struttura organizzativa del progetto; fornire feedback e risposte tempestive sulle decisioni e
sui problemi incontrati nel corso del progetto; indirizzare e comunicare le modifiche apportate
in corso d’opera al progetto, propagandole attraverso l’organizzazione, e assicurare che le
milestone di progetto fissate e condivise fossero effettivamente raggiunte nei tempi stabiliti.
Al comitato operativo e allo steering committee riporta il project manager del progetto,
figura centrale nella sua gestione, con il compito fondamentale di coordinare il progetto stesso
in accordo con gli ambiti, i tempi e il budget stipulati per esso.
Fra i compiti gestionali del project manager vi è anche la gestione della relazione con il
fornitore, la gestione della comunicazione fra i vari stakeholder e la gestione del budget di
progetto.
In queste attività, il project manager viene supportato dal team allocato dal fornitore, che
allo stesso modo prevede un project manager e dei business consultant.
In particolare, è onere del fornitore sviluppare il piano di progetto in sinergia con il project
manager con delle milestone fissate e delle soglie di qualità ben precise, soddisfare le
scadenze imposte dalle milestone e consegnare deliverable nelle date prestabilite.
Anche il supporto all’analisi e alla progettazione vede un ruolo di primo piano del
fornitore, che deve inoltre formare gli utenti finali e gli amministratori del sistema.
Il project manager si avvale anche della funzione di quality assurance di progetto assolta
da una società di revisione esterna, il cui compito specifico è di fornire pareri
sull’implementazione del piano di progetto, sul piano dei test, sul piano di trasferimento dati,
sul piano di formazione, etc.
Al gruppo di quality assurance spetta anche il delicato compito di tracciare i requisiti
lungo tutta la fase di implementazione, e in particolare di gestire la matrice di tracciabilità dei
requisiti, lo strumento standard adatto a controllare che il progetto, nella sua evoluzione, non
si discosti dagli obiettivi per i quali è stato formulato.
Infine, il gruppo di quality assurance supporta lo sviluppo dei casi di test (per il collaudo
del sistema), del piano di trasferimento dati, e offre anche supporto al project manager a
130
livello decisionale e di tracciatura dei rischi, oltre che nella comunicazione con gli altri
stakeholder.
Il project manager dispone di team di progetto che può utilizzare per le varie attività
operative richieste.
Questi team di progetto sono guidati da dei team leader, ciascuno specializzato in un
ambito distinto: Internal Audit, ICFR/SOX/ERM, IT, Tesoreria e Area Legale.
I compiti specifici dei team leader sono di fornire una consulenza tecnica o di processo
lungo tutto il corso dell’implementazione, ma anche di approvare la progettazione di soluzioni
e processi.
Non meno importante è il ruolo svolto da queste figure nel preparare il piano di test,
sovrintendere alla validazione dei test da parte dell’utente, e sviluppare i requisiti di
trasferimento dei dati.
Durante il corso del progetto è inverosimile che non si verifichino delle problematiche, di
varia natura, che richiedono decisioni e cambiamenti: i team leader gestiscono la risoluzione
di questi problemi e prendono decisioni per i flussi di lavoro individuali, identificando e
assicurando al tempo stesso che elementi di dati comuni siano identificati ed implementati
(Common Data Model Element).
Infine il fornitore offre una consulenza di processo o tecnica lungo tutto il corso
dell’implementazione, offrono supporto ai team leader per assicurare che tutti gli input
richiesti siano forniti secondo il piano di schedulazione previsto, e che le milestone convenute
siano raggiunte.
Inoltre, articolano e validano le attività volte a far sì che la soluzione soddisfi i necessari
requisiti di business, legali, statutari e fiscali, sviluppano i test e li eseguono in accordo con il
piano di test, e curano la validazione da parte degli utenti di questi test.
3.4.1 Il nuovo GRC dal punto di vista dei processi di business
Il progetto di implementare una Governance, Risk management and Compliance per FCA
si è basato sul presupposto di poter progettare una struttura comune sulla quale poter fondare
gli elementi esistenti, nelle singole aziende prima della fusione, in differenti strutture
aziendali.
131
In particolare72, all’inizio del progetto, sono stati formulati alcuni presupposti, legati a
scelte considerate più utili e opportune in vista del processo di integrazione:
l’adozione del modello di dati di processo di Chrysler, articolato in quattro livelli:
Mega Process, Major Process, Process e Sub-Process.
L’adozione della terminologia Chrysler per il mega process e per molte altre entità al
livello più basso della gerarchia.
Queste scelte hanno portato alla necessità da parte di Fiat di organizzare una “mappa” fra
la terminologia e i concetti dei propri processi di business e quelli di Chrysler, in vista
dell’unificazione.
Il modello di processo “to be”, basato su quello Chrysler ma espanso nella nuova realtà
FCA in modo compatibile con la messa a punto del GRC, si articolava in una serie di processi
primari rilevanti (mega process):
Order to cash (ciclo attivo)
Inventory (produzione di stabilimento e gestione dello stock)
Hire to retire (ciclo personale)
Acquire to retire (investimenti)
Purchase to pay (ciclo passivo)
Long term contracts (gestione di commesse di lungo termine)
Financing activities (finanziamenti concessi)
Financial closing and reporting (processo di chiusura contabile e di reporting)
Treasury (gestione della Tesoreria)
Process IT (processi IT)
Altri processi rilevanti per l’ERM e l’Internal Audit sono:
Production Creation & Updating
Marketing & Network Development
Manufacturing
Third Part Management.
72 Fiat Chrysler Convergence Project ICFR/SOX/ERM. Process Model Overview, December 2012.
.
132
A titolo di esempio illustriamo questa struttura gerarchica nel caso del processo Order to
Cash73:
La difficoltà è nel correlare questa struttura di processi con una struttura più “piatta di
Fiat.
In effetti, per esempio nel caso dei processi relativi all’Internal Audit (per il rischio
operazionale e di frode) la mappatura dei processi viene eseguita sui mega processi del
modello Chrysler: per esempio i processi dell’audit Fiat
Processo di vendita (auto nuove ed usate)
Processo di vendita (pezzi di ricambio)
Garanzie
Audit degli impianti
Trasporti e logistica
vengono mappati sui mega processi di Order to Cash e di inventario nel modo seguente:
73 Fiat Chrysler Convergence Project ICFR/SOX/ERM. Process Model Overview, December 2012.
Mega Major Process Sub-process
Agreement
Solvency analysis and credit authorization
Customer Master File
Pricing and Conditions
Program Setup
Incentive Contract Negotiation and Authorization
Incentive Claims
Incentives Valuation
Reporting
Order Entry/Edit Order Processing
Shipping Delivery
Invoicing
Credit Notes & Adjustments
Archiving and Mailroom
Account Receivables
Cash receipts
Collection
Credit Transfer
Credit Monitoring
Dispute Management
Valuation
Reporting
Warranty Management and Valuation
Claims & Recall Campaign
Case Assignment and Management Settlement
Liability Valuation
Order to Cash
Customer Agreement &
Pricing
Incentives & discounts
Account Receivables
Credit Management
Product Warranty
Product Liability
Billing
133
Processo di vendita (auto nuove ed usate): order to cash e inventario
Processo di vendita (pezzi di ricambio) : order to cash e inventario
Garanzie: inventario
Audit degli impianti: inventario
Trasporti e logistica: order to cash e inventario.
Come si vede, la mappatura di processi che in Fiat appartengono a classificazioni
differenti non necessariamente avviene sugli stessi mega processi nel nuovo modello.
Questa complessità va anche confrontata con il fatto che la documentazione dei processi,
dei rischi e dei controlli di Fiat era svolta non secondo un format standardizzato, infatti alcuni
documenti erano dei narrative, altri usavano i flow-chart, altri ancora diagrammi IT, etc., né
secondo lo stesso livello di dettaglio e completezza delle informazioni.
3.4.2 L’impatto sulle attività dell’Internal Audit
Una volta effettuato questa mappatura dei processi di business, di pertinenza delle
funzioni di controllo interno, su quelli del nuovo GRC, l’Internal Audit della nuova struttura
non può che beneficiare dalla condivisione di un processo comune e di un modello di rischio
integrati nella soluzione GRC.
A tal proposito il modello comune dei rischi è stato sviluppato sulla base del catalogo dei
rischi esistente tanto in Fiat quanto in Chrysler, incluso l’ERM e l’ICFR.
Inoltre l’Internal Audit può con maggiore facilità analizzare il processo di valutazione e
gestione dei rischi, fondato quasi integralmente sull’ERM, in linea con la corporate
governance italiana e coerente con i requisiti di reportistica emanati dal controllo interno e dal
comitato di rischio.
L’Internal Audit valuta la gestione dell’identificazione dei rischi e il loro monitoraggio
attraverso audit mirati alla verifica della gestione del rischio, inoltre nel piano di audit sono
incluse alcune analisi sull’efficienza dei processi ERM. Tali attività dell’Internal Audit vanno
anche a beneficio del Risk Management e del Controllo Interno.
Questo nuovo status ed organizzazione aziendale ha richiesto all’audit Fiat una serie di
revisioni74 orientate all’integrazione con la soluzione GRC di FCA.
74 Fiat Chrysler ERM/ICFR/SOX/IA. GRC Project. Impact on IA, February 2013.
134
In primo luogo si è messo a punto un modello di rischio che comprendesse sia la realtà
Fiat che quella di Chrysler, e che fosse sufficientemente generale da poter essere adattato al
nuovo schema di GRC che si andava costituendo: per esempio, razionalizzando e potenziando
i cataloghi dei rischi disponibili (come quelli prodotti per ERM, ICFR, risk model Chrysler,
quello di Fiat, etc.) e utilizzando regole e best practice per avere la sicurezza di coprire tutti i
rischi rilevanti.
Rispetto alla struttura precedente all’interno di Fiat, le modifiche più rilevanti hanno
impattato i rischi operazionali e le relative connessioni con gli eventi di ERM.
Oltre a questo si è cercato di integrare i rischi all’interno di un modello comune e
collegarli agli elementi del modello di processo e alle varie unità organizzative per un
mapping preliminare sul modello dei dati GRC.
In secondo luogo, il modello di Audit di Fiat è stato rivisto nell’ottica di progettare una
nuova metodologia di pianificazione ed esecuzione degli audit centrata sui rischi: questo ha
comportato la revisione della metodologia correntemente utilizzata per la definizione del
piano annuale di audit, orientandola a un approccio basato sulla valutazione dei rischi
integrati (in vista principalmente dell’ERM).
Inoltre, si è dovuto implementare un nuovo approccio all’audit su determinate aree, basato
su considerazioni di risk management, valutazioni e feedback.
Infine, si è dovuta includere una fase di documentazione di processo (attraverso i
“narrative” e i “flow-chart”) da far confluire nel GRC, in modo da utilizzarla durante i
controlli dell’Internal Audit, e la gestione della validazione/presa in carico, per allinearsi al
modello Chrysler.
Esattamente come nel caso del trasferimento della struttura IT sulla nuova infrastruttura
informatica basata sul prodotto del quale abbiamo parlato nei paragrafi precedenti, anche nel
caso dell’Internal Audit si è definito un vero e proprio progetto di migrazione metodologico,
ma che ancora deve essere attuato75.
Uno steering committee di Internal Audit, supportato da una società di consulenza, ha
diretto, supervisionato e validato le attività e i risultati del progetto, assicurando anche il
change management e approvando i rischi e controlli identificati attraverso il process mapping
sul GRC.
75 Ibidem.
135
Un gruppo di project management ha avuto il compito di definire le linee guida e le
priorità del progetto, di coordinare gli aspetti metodologici e organizzativi, di proporre
soluzioni e supervisionare i progressi dell’intero progetto.
Oltre a questo, il project management ha avuto l’onere di assicurare che i progetti di
convergenza verso il GRC di Fiat e Chrysler fossero allineati fra loro.
In questa sua attività, il gruppo di project management è stato coadiuvato da un team di
esperti, che hanno contribuito alle necessità degli stream di progetto, contribuendo con le loro
conoscenze specifiche, ad esempio assicurando la qualità delle informazioni fornite in linea
con le best practice.
Il project management riferiva allo steering committee, avendo il controllo dei team
operativi sia dal punto di vista tecnico (aggiornamento e progettazione della documentazione),
che metodologico, con responsabilità di esecuzione dei piani delle attività e di
raggiungimento degli obiettivi fissati dal project management.
Le fasi per i due stream di progetto (portati avanti in parallelo) sono76:
Modello dei rischi:
o Definizione dei rischi operativi per order to cash e inventario, e validazione
con il team di GRC
o Pilota per Order to Cash e inventario
o Definizione dei rischi operativi per altri processi e validazione con il team di
GRC
o Condivisione dei rischi operativi con l’Audit di Chrysler.
Processo di Internal Audit:
o Progetto del nuovo processo di Internal Audit basato sui rischi e sul controllo
o Pilota del nuovo processo di Internal Audit e rework a seguito di feedback dal
pilota
o Definizione del risk assessment integrato e del piano annuale di Audit.
Come si vede l’accento è stato posto sui processi di order to cash e inventario, discussi nel
paragrafo precedente, e visti come “pilota” prima della applicazione del nuovo modello a tutti
gli altri processi.
76 Ibidem.
136
I deliverable di questo progetto consistono in:
Una matrice, redatta dall’Internal Audit per ciascun processo nell’ambito del progetto,
dei nuovi rischi e dei rischi operativi rivisti, sotto forma di foglio Excel, integrata nel
modello gerarchico dei rischi.
L’elaborazione della documentazione utilizzando standard Fiat-Chrysler (flowchart,
matrici di rischio, etc.) per ciascun processo nell’ambito del progetto.
Repository di rischio aggiornati sulla base delle lesson learned collezionate durante le
fasi pilota.
Come parte del processo di convergenza verso l’implementazione di un modello comune
dei rischi, l’Internal Audit di Fiat, col supporto di una società di consulenza, ha sviluppato un
piano per la razionalizzazione e integrazione del rischio operativo utilizzato precedentemente
dall’Internal Audit, in modo da essere consistente con il modello comune dei rischi proposto.
3.4.3 Struttura e organizzazione del nuovo Internal Audit, impatti
funzionali sull’infrastruttura informatica
Per capire la portata del processo di convergenza e il suo impatto sull’organizzazione
delle funzioni di audit in Fiat e Chrysler prima della fusione, è necessario confrontare i ruoli e
le mission delle figure principali coinvolte nell’audit di Fiat e di Chrysler77.
Per prima cosa è opportuno sottolineare che alcune figure nei due organigrammi
dell’Audit di Fiat e Chrysler o non erano contemplate oppure avevano accezioni differenti:
Chief Audit Executive: si tratta della figura che supporta la dirigenza nello sviluppare,
gestire e monitorare il sistema di controllo interno, assicurandone la validità tramite
una revisione della sua efficienza ed efficacia.
Inoltre questa figura:
o Identifica e valuta le maggiori esposizioni al rischio del Gruppo e contribuisce
al miglioramento dei sistemi di identificazione, riduzione e gestione del rischio
(operativo, finanziario, legale, contrattuale, IT o di altra natura).
o Procede a ispezioni specifiche volte a identificare la necessità di miglioramenti
da implementare nei processi di controllo interno.
77 Queste informazioni sono prese da un documento (foglio Excel) riservato di Fiat-Chrysler.
137
o Prepara un piano annuale di lavoro e di emanazione periodica di riguardo le
attività svolte, le azioni intraprese per migliorare il sistema di controllo interno
e le problematiche incontrate o sollevate dall’Internal Audit.
o Verifica la conformità con le regole e le procedure relative ai processi di
controllo interno
o Verifica l’operatività del personale che opera nei processi di controllo interno,
rispetto alla conformità degli obiettivi prefissati.
o Verifica l’effettiva applicazione delle sanzioni previste dal regolamento interno
in caso di non osservanza.
o Svolge delle review sulla salvaguardia degli asset aziendali.
Senior manager:
o Partecipa come membro chiave alla gestione del team di Internal Audit.
o Aiuta il management a mantenere efficiente il sistema di controllo interno.
o Svolge una attività di marketing per assicurare che le persone al di fuori
dell’Internal Audit abbiano una percezione e comprensione chiara dei piani e
delle attività dell’audit.
o Esercita una leadership funzionale ai processi di audit e assicura che gli audit a
lui assegnati siano conclusi in conformità alle policy e procedure di Internal
Audit, applicando gli standard internazionali di Internal Audit.
o Assicura che gli audit previsti dal piano di audit siano svolti in modo conforme
alla corporate governance del Gruppo, assegna obiettivi ai team, coordina e
verifica la loro attività.
o Gestisce le risorse allocate, ottimizza i tempi e i profili professionali in vista
del rispetto del piano di audit, ed assicura la formazione delle risorse richiesta,
grazie anche all’aggiornamento continuo del materiale didattico.
o Completa le review delle performance e fornisce il necessario feedback
tempestivamente.
Head of Foreign Location: questa figura era chiave nell’organizzazione delocalizzata
del gruppo Fiat e fra le sue mansioni vi sono:
o Assicura l’esecuzione dei piani di audit nell’area geografica assegnatagli;
o Agisce da tramite col foreign business management, interagendo con il
management a tutti i livelli di comunicazione, assicurando la qualità delle
informazioni trasmesse, mantenendo sempre una indipendenza ed obiettività di
giudizio;
138
o Coordina le attività di consulenza, supervisiona e guida gli audit team fornendo
istruzioni, valuta le attività e ne assicura il completamento; in particolare,
segue le attività audit durante il loro intero ciclo di vita;
o Rivede e presenta i risultati degli audit e le raccomandazioni per i
miglioramenti al management, ed assicura una efficace reportistica e
performance dei risk assessment;
o Acquisisce la conoscenza di nuovi rischi per i vari processi di business,
aggiorna e sviluppa i programmi di audit, fornisce un training on the job
efficace e un monitoraggio continuo.
Engagement manager: assolve sostanzialmente le funzioni operative corrispondenti
alle funzioni di accountability dell’Head of foreign location.
Lead auditor:
o Svolge le attività di audit relative al survey preliminare, organizza incontri,
intraprende risk assessment, e prepara la reportistica di audit in conformità alle
procedure interne;
o Guida i team di audit nel selezionare ambiti ed aree da monitorare e apporta le
necessarie modifiche per focalizzare le risorse sulle aree principali;
o Assicura che il lavoro degli auditor sia adeguatamente documentato;
o Possiede una piena conoscenza delle procedure di Internal Audit;
o Formula suggerimenti per l’implementazione di azioni correttive;
o Prepara gli audit report ed in caso di necessità provvede a revisionarli in modo
tempestivo.
Auditor:
o Svolge le attività di assessment, di analisi e controllo;
o Svolge le revisioni procedurali dei report finanziari, di conformità ed operativi;
o Evidenzia e fornisce interpretazioni delle carenze nei sistemi di controllo
interno per aree che non sono conformi agli standard e alle procedure, e redige
infine i working paper.
Questi ultimi tre ruoli avevano invece mansioni diverse in Chrysler: in particolare
mancava la figura dell’head of foreign location, mentre le mansioni del senior manager
venivano svolte dall’engagement manager, che aveva l’onere della responsabilità dei vari
processi di audit.
139
Alcune delle responsabilità dell’engagement manager di Fiat erano riversate in Chrysler
sul Lead auditor, mentre gli auditor si occupavano maggiormente di accountability rispetto al
modello Fiat.
Questa descrizione dettagliata dei ruoli e delle diversità di approcci tiene conto del
notevole impatto che il processo di convergenza ha avuto sull’Internal Audit, anche e
soprattutto in termini di specificità dei ruoli, gestione del personale, organizzazione dei team
di lavoro, dei flussi di informazioni e dello svolgimento delle attività di questi ultimi.
Al termine del processo di convergenza, la struttura “to be” dell’Internal Audit non è
cambiata soltanto nell’organizzazione e strutturazione dei ruoli, ma anche nelle nuove attività
chiamata a svolgere, incentrate intorno al concetto di rischio.
In particolare possiamo soffermarci su tre aspetti dell’attività del nuovo Internal Audit del
Gruppo78:
Pianificazione degli audit:
o Questo processo viene sviluppato sulla base della definizione condivisa
dell’“universo dell’audit”, cioè dei contesti ai quali l’azione dell’audit è
applicabile;
o Sulla base di questo è possibile definire la valutazione annuale integrata dei
rischi;
o Segue poi la definizione e l’approvazione del piano annuale di Audit, che
costituisce l’output di questa fase;
o Sulla base del piano di audit si possono allocare le risorse dell’audit per la sua
attività, dimensionate sulla base del piano, e stabilire la tempificazione di
queste attività in un piano di allocazione e schedulazione;
o A questo punto può essere svolta l’attività di reportistica e monitoraggio basata
sull’audit plan.
Esecuzione degli audit:
o Per ciascun audit si procede per prima cosa con l’engagement, provvedendo ad
informare chi sarà sottoposto ad audit dell’attività che si sta per intraprendere;
o Usando gli strumenti e le linee guida stabiliti o utilizzati nella fase di
pianificazione degli audit, si definisce un programma di audit work, che
78 Fiat Chrysler Convergence Project IA Approach and Model, November 2012.
140
utilizza la documentazione del processo da sottoporre ad audit e produce un
programma delle attività per quel particolare audit;
o Dopo questa prima fase, si procede al lavoro sul campo (fieldwork), seguito da
una fase di valutazione delle evidenze raccolte: queste attività producono dei
risultati e delle issue opportunamente documentati;
o A chiusura dell’attività si accumula nel patrimonio di conoscenze e lesson
learned aziendale il risultato di questa attività.
Reportistica e monitoraggio degli audit:
o A seguito di un audit viene formalizzato un audit report, dipendente dalla
tipologia di audit svolta;
o Viene anche richiesta una valutazione in merito alla conduzione dell’audit a
chi è stato sottoposto al controllo;
o Il monitoraggio e il follow-up vengono formalizzati in un “action plan”, del
quale si segue lo stato di avanzamento;
o Queste informazioni confluiscono nella reportistica, periodicamente inoltrata ai
livelli executive.
Il sistema informatico di supporto a queste attività deve essere necessariamente modellato
in modo da offrire un sostegno effettivo e strumenti per ottimizzare queste fasi: rispetto
all’analisi svolta precedentemente, è interessante a questo proposito notare alcuni requisiti,
richiesti a questo sistema, per quanto riguarda le funzionalità messe a disposizione
dell’Internal Audit.
Questi requisiti relativi all’audit planning, execution e monitoring sono classificati in
obbligatori, importanti e opzionali; di seguito ne riportiamo i più significativi79:
Requisiti di audit planning:
o Obbligatorio: la possibilità di definire e aggiornare da parte di un owner
specifico la pianificazione di un audit a partire dai dati fondamentali e di base
(come le unità organizzative, processi, etc.).
o Obbligatorio: la possibilità di creare automaticamente il piano annuale di audit
a partire dai risultati delle valutazioni dei rischi e da altri criteri come per
esempio le richieste del top management.
79 Queste informazioni sono prese da un documento di raccolta dei requisiti (foglio Excel) riservato di Fiat-
Chrysler.
141
o Obbligatorio: la possibilità di tracciare e riportare le modifiche al piano di
audit con un dashboard automatico che mostri le
integrazioni/modifiche/cancellazioni con evidenza delle relative
giustificazioni.
o Obbligatorio: la disponibilità di una funzione di pianificazione e schedulazione
al fine di riservare, assegnare e aggiornare risorse a specifiche attività e
viceversa, garantendo l’allineamento con lo staffing dei team nell’audit
engagement.
o Obbligatorio: la possibilità di allocare le risorse su diversi e concorrenti lavori
e di gestire il relativo carico (per esempio controllando la soglia del 100%,
etc.).
o Importante: la possibilità di creare e gestire un “master file” per le singole
unità di audit, con campi configurabili e inseriti da fonti diverse, per esempio
già presenti nel sistema o tramite un input automatico o manuale, etc.
o Importante: la possibilità di creare automaticamente un audit engagement a
partire dal piano annuale di audit sulla base di regole fissate, come per esempio
il cambiamento di status da pianificato a confermato; l’audit engagement
dovrebbe essere definito in termini di tipologia di audit (per esempio basato su
checklist, rischi, follow-up, etc., o una combinazione di tipologie).
o Opzionale: la possibilità di creare, mantenere e cancellare i master data dello
staff di audit con le relative skill e le informazioni acquisite automaticamente
dagli audit precedenti inclusa la valutazione delle performance.
Requisiti di audit execution:
o Obbligatorio: la possibilità di impostare le diverse fasi e milestone di audit,
come la riunione iniziale (kick-off meeting), la valutazione dei rischi di
engagement, la bozza del report di audit, etc. sulla base di regole e criteri,
evidenziate nell’audit summary opportunamente configurato.
o Obbligatorio: la possibilità di gestire le attività di audit in modo indipendente
dai processi, dai rischi e dai controlli, per esempio sulla base di checklist, e, se
necessario, creare connessioni con gli elementi del data model in ciascuna fase
dell’audit.
o Obbligatorio: la possibilità di creare un audit a partire dagli elementi
evidenziati in un audit precedente, per esempio i test, le risultanze, i working
142
paper, etc. esplicitando una funzionalità collegata alla tipologia di follow-up
dell’audit.
o Obbligatorio: la possibilità di assegnare un ruolo (per esempio: auditor, senior,
etc.) a ciascun membro dello staff di audit e, se necessario, cambiare il ruolo in
un singolo engagement su una base ad hoc.
o Obbligatorio: la possibilità di gestire audit basati sui rischi, considerando i
rischi e i controlli GRC già disponibili, valutati ed associati all’ unità
sottoposta ad audit; i rischi e i controlli dovrebbero essere validati per gli scopi
dell’audit e, se necessario, dovrebbero essere integrati dopo il mapping nella
fase preliminare di audit: rischi e controlli proposti, associati all’unità
sottoposta ad audit, dovrebbero essere conseguentemente rivisti e approvati per
l’inclusione nel catalogo comune GRC per il testing.
o Obbligatorio: la possibilità di generare automaticamente maschere e template
in base al tipo di audit, ad esempio Audit, consulenza, conformità, FCPA,
legge 213, etc.
o Obbligatorio: la possibilità di creare note di revisione, ovvero di tenere traccia
delle change sia per i test che per i problemi emersi sul campo: le revisioni
dovrebbero essere evidenziate come change, tracciando i dati fondamentali
della revisione svolta.
o Obbligatorio: la possibilità di gestire la chiusura di un audit (per esempio
tramite il protocollo e l’archiviazione dei documenti) e di conservare i dati
relativi, in modo che, a posteriori sia possibile ricostruire correttamente le
risultanze dell’audit.
o Importante: la possibilità di assegnare, o riassegnare, ciascun test a un test
owner, per gestire il carico di lavoro degli auditor.
o Importante: la possibilità di “ereditare” lo stato degli action plan aggiornati e
collegati all’action plan originario.
o Importante: la possibilità di generare in automatico degli alert, basati su date
target pianificabili, a beneficio dei membri del team di audit, per esempio
tramite notifiche via e-mail o nel rispettivo dashboard del GRC.
o Importante: la possibilità di bloccare oggetti specifici del modello dati (per
esempio processi, rischi, controlli, etc.) mentre un audit è in fase di esecuzione,
e quindi impedire che vengano su di essi svolte operazioni che potrebbero
143
modificarne lo stato: gli utenti che non sono stati selezionati come membri del
team di auditing dovrebbero essere informati che quegli oggetti sono sotto
audit e non possono essere modificati in quel momento se non previa specifica
approvazione.
o Opzionale: la possibilità di creare una lettera di notifica dell’engagement in
automatico, in accordo con i dettagli del piano di audit (come il titolo
dell’attività, la tipologia, i responsabili, etc.).
Requisiti di audit monitoring:
o Importante: la possibilità di gestire valutazioni anche dopo la fine dell’audit
engagement, per esempio attraverso questionari: la maschera di feedback
dell’utente deve essere compilata da chi è stato auditato per lo staff di audit in
vista della valutazione delle performance.
Come si vede, i requisiti dettati dalle necessità dell’audit, a supporto dei processi descritti
in precedenza, costituiscono un elenco dettagliato e importante che l’infrastruttura informatica
dovrà recepire.
144
Conclusioni
In questa ultima parte descriviamo, sulla base di report molto recenti80, i primi risultati e
gli indirizzi che il processo di convergenza verso il GRC in FCA ha generato a livello di
Internal Audit & Compliance, con particolare riferimento alla reportistica finanziaria e quindi,
secondo la legge statunitense, alla compliance ICFR/SOX.
L’approccio generale, nel biennio 2014-2015, è stato quello di assegnare come perimetro
(nella realtà statunitense) alla funzione di Internal Audit & Compliance di FCA il controllo di
tutti i processi chiave di business.
Le evidenze raccolte hanno fornito un primo quadro delle carenze e dei punti deboli sulle
quali concentrare una azione manageriale di miglioramento.
Contabilità fiscale;
Tracciabilità dei controlli di revisione e approvazione;
Evidenze sul monitoraggio degli strumenti finanziari derivati;
Formalizzazione dei controlli collegati al trasferimento dell’analisi dei rischi e al
rischio di un accordo prematuro con terze parti;
Tracciabilità del monitoraggio delle interfacce e della risoluzione di anomalie;
Controlli su alcune componenti dell’infrastruttura IT, in particolar modo sul processo
di change management e sugli accessi logistici alle applicazioni.
Le attività e le procedure di controllo sono quindi da rafforzare in alcuni ambiti, ai fini
della compliance 2015 alla SOX e in conformità ai requisiti del PCAOB, specialmente per
quanto concerne:
I controlli basati su calcoli svolti con strumenti di “end user computing”, cioè che
abilitano operatori non informatici a definire procedure di calcolo tramite spreadsheet:
questo è tipico di alcune aree di processo, come nel caso degli incentivi, ratei, etc.
Copertura del “cycle count”, una procedura di audit di inventario che consente di
campionare un piccolo sottoinsieme dell’inventario in una location specifica.
Asset relativi a tasse soggette a proroga, in particolare il rafforzamento delle evidenze
a supporto delle attività svolte a livello centrale.
80 2015 ICFR/SOX Compliance. IA&C FCA, June 2015.
145
In ogni caso, l’approccio strategico di Internal Audit & Compliance ai test per i processi
di business si è consolidato rispetto al modello di transizione descritto nei paragrafi
precedenti, secondo i seguenti passi:
Documentazione del processo: tramite un process mapping (attraverso narrative e
flow-chart) delle aree nuove o per le valutazioni delle modifiche di processo più
rilevanti; questa fase include il rilascio delle RCM (Risk and Control Matrix) e i Test
of Design dei controlli chiave.
Business Process Interim: test of design (TOD) e test dell’efficacia (TOE) dei controlli
chiave di competenza dell’Internal Audit, dove i TOE possono svolgersi su parte di un
campione rappresentativo.
Business Process Post Interim: TOD e TOE per tutti i nuovi controlli di maggior
rilievo, completamento del TOE per la porzione rimanente del campione, e
conseguente remediation, cioè il nuovo svolgimento dei test TOD/TOE di controlli
che in precedenza erano falliti dopo aver concluso l’action plan.
Business Process di fine anno: TOD e TOE sui controlli annuali, completamento del
TOE per la porzione rimanente del campione e su qualsiasi nuovo controllo non
ancora testato; “roll forward”, cioè l’esecuzione di procedure addizionali definite
dall’Internal Audit dopo i risultati dell’ispezione del management sui controlli: può
includere dei TOD/TOE completi; remediation, dunque il ripetere i test sui controlli
che avevano fallito dopo la chiusura dell’action plan.
Oltre ai processi di business, l’Internal Audit si occupa anche di altre aree, come:
Quality assurance review: ispezione di qualità indipendente sui TOD/TOE effettuati
dal management per validare le conclusioni dei test e consolidarne l’affidabilità.
Controlli generali sull’IT: in questo caso i TOD/TOE si focalizzano su specifici e
significativi processi IT e su sistemi applicativi selezionati per la loro rilevanza
globale e le loro sinergie.
Entità fuori dall’ambito: alcune procedure ICFR specifiche per il mega processo
possono essere richieste per entità al di fuori dell’ambito SOX, ma coperte da audit
operativi: queste procedure possono basarsi su checklist di controllo interno, se
applicabile.
Il piano di test promosso dall’Internal Audit nel 2015 contemplava la messa in opera di
test di controllo dettagliati a livello di legal entity/MCOT (major class of transactions) per
146
ciascuna regione o settore, e si proponeva di coprire, con i suoi controlli, un campione di circa
i due terzi dell’intero processo di business ICFR.
L’independent test sui controlli dei processi di business è stato pianificato gradualmente in
modo da estendere la valutazione dell’efficacia dei controlli all’intero anno.
Per quanto riguarda il process mapping plan invece, nel 2015 è stata data continuità alle
azioni dell’anno precedente, sebbene nuove priorità, a livello di FCA globale, siano state
definita congiuntamente dal management e dalla società di consulenza E&Y; in questo modo,
i processi rimanenti rispetto al perimetro SOX del 2014 hanno subito un nuovo assessment,
considerando le nuove e rilevanti aree in fase di implementazione o revisione significativa
durante il 2015.
I criteri con i quali l’Internal Audit ha potuto raggiungere queste evidenze e mettere in
luce aree di miglioramento sono legati principalmente all’aver posto al centro dell’attività di
audit i fattori di rischio.
In particolare, la valutazione del management del rischio di misstatement (riferendoci alla
reportistica finanziaria) dovrebbe includere considerazioni sulla vulnerabilità dell’entità
rispetto ad attività fraudolente: per esempio report finanziari volutamente falsati, corruzione,
etc.
Le considerazioni del management sulla possibilità che un controllo possa mancare di
operare in modo efficace includono:
il tipo di controlli (ad esempio se manuale o automatico) e la frequenza con la quale
questo viene effettuato;
il livello di complessità del controllo;
il rischio di sottovalutazione della gestione;
il giudizio richiesto per effettuare il controllo;
la competenza del personale che svolge il controllo o monitora la sua performance;
se ci siano stati cambiamenti nel personale chiave che svolge o monitora la sua
performance;
la natura e sostanza dei misstatement che il controllo intende prevenire o rilevare;
l’evidenza dell’operatività del controllo negli anni precedenti.
In definitiva, nel nuovo quadro unitario di Internal Audit & Compliance, la
centralizzazione e ottimizzazione delle risorse, nonché l’accorpamento nell’unica funzione
147
IA&C di tutti i test e controlli rispetto agli ambiti di processo, rende integrato e più efficiente
l’intera sistema di controllo interno.
In tal modo, la convergenza di due entità apparentemente diverse e poco conciliabili, quali
i sistemi di controllo interno di Fiat e Chrysler, sembrano aver trovato un solido punto di
contatto, fornendo quindi una garanzia di maggiore efficienza nei controlli e nella compliance
alle normative interne ed esterne che un grande gruppo industriale, come FCA, deve
soddisfare.
Da questo punto di vista, la transizione verso il GRC non può che essere valutata in modo
positivo, anche in una prospettiva futura.
148
Bibliografia
AAVV (2011), Study and Recommendations on Section 404(b) of the Sarbanes-Oxley Act of
2002 For Issuers With Public Float Between $75 and $250 Million, US Security and
Exchange Commission, april 2011.
BAVA F. (2003) Auditing del sistema di controllo interno, Giuffrè, Milano.
BAVA F. (2004) Il sistema di controllo interno: le componenti di struttura, Amministrazione
& Finanza, n.10.
BECK B., TELLER-KANZLER J. (2009) GRC Management: Best Practices Framework for
More Effective Governance, Risk, and Compliance Management,
BRATTON W.W. (2002) Enron and the Dark Side of Shareholder Value, The George
Washington University Law School, Public Law and Legal Theory Working Paper no. 035,
Washington DC.
COOPERS & LIBRAND (1997) Il sistema di controllo interno. Progetto di corporate
governance per l’Italia, Il Sole 24 ore, Milano.
COSO (2006) Internal Control over Financial Reporting. Guidance for Smaller Public
Companies, vol. I (Executive Summary), Committee of Sponsoring Organizations of the
Treadway Commission.
DI GENNARO M. (2005) Le implicazioni del d. Lgs. 231/01 nel Gruppo Fiat. Sinergie fra
Organismo di Vigilanza e Internal audit, Tavola rotonda sul Ruolo dell’Internal Auditor nel
processo di vigilanza sui modelli organizzativi e di vigilanza ex d. lgs 231/01 - settore
manifatturiero, AIIA, Milano, 23 dicembre 2005, on line:
http://www.aiiaweb.it/utenti/download/anonimi/digennaro.pdf.
DITTMEIER C.A. (2011) Internal Auditing. Chiave per la corporate governance, Egea,
Milano.
DRAGHI M. (2006) Indagine conoscitiva delle questioni attinenti all’attuazione della legge
28 dicembre 2005, n.262, recante “Disposizioni per la tutela del risparmio e la disciplina dei
mercati finanziari”, Audizione al Senato della Repubblica, Roma, 26 settembre 2006.
149
FCA (2014a) Statuto della società, on line: http://www.fcagroup.com/it-
IT/governance/governance_documents/FiatDocuments/2014/FCA_Statuto_ottobre_2014_ITA
.pdf.
FCA (2014b) Relazione di Corporate Governance, on line: http://www.fcagroup.com/it-
IT/governance/governance_documents/FiatDocuments/2014/Governance_ITA_Febbraio_201
4.pdf.
FCA (2014c) Relazione di Operations, on line:
http://2014annualreport.fcagroup.com/sites/fca14fin/files/allegati/report_on_operations.pdf.
FCA (2014d) Annual Report, on line:
http://2014annualreport.fcagroup.com/sites/fca14fin/files/allegati/annual_report_2014_link.pd
f.
FCA (2014e) 2014 Sustainability Report. Economic, Environmental and Social
Responsibility, on line: http://www.fcagroup.com/en-
us/investor_relations/financial_information_reports/sustainability_reports/sustainability_repor
ts/2014_sustainability_report.pdf.
FCA (2015a) Whistleblowing Policy. Fiat Group Case Study, on line al sito
http://www.whistleblowing.it/
HAGERTY J., KRAUS B. (2009) GRC in 2010: $29.8B in Spending Sparked by Risk,
Visibility, and Efficiency, AMR Research, on line: http://www.cmo-hseq-
software.com/about_cmoglobal/AMR-GRC-in-2010.pdf.
ISACA (2009) An Introduction to the Business Model for Information Security, on line:
http://www.isaca.org/Knowledge-Center/Research/Documents/Introduction-to-the-Business-
Model-for-Information-Security_res_Eng_0109.pdf.
KUSCHNIK B. (2008) The Sarbanes Oxley Act: “Big Brother is Watching You” or Adequate
Measures of Corporate Governance Regulation?, Rutgers Business Journal 5(1), pp. 64-95.
MCNALLY J.S. (2013) The 2013 COSO Framework and SOX Compliance. One approach to
an effective transition, Strategic Finance, June 2013, pp. 1-8.
PASSANTE M. (2010) Internal Audit Management, on line :
http://www.unikore.it/index.php/documenti-download/category/550-prof-fabio-la-rosa-
economia-e-direzione-aziendale?download=1438:internal-audit-fiat-group-lettura-di-
approfondimento.
150
SHAW H. (2006) The Trouble with COSO, CFO Magazine, March 15 2006, on line:
http://ww2.cfo.com/accounting-tax/2006/03/the-trouble-with-coso/.
SHAKESPEARE C. (2008) Sarbanes–Oxley Act of 2002 Five Years On: What Have We
Learned?, Journal of Business & Technology Law, 3(2), pp. 333-355.
STEINBERG R.M. (2011) Governance, Risk Management, and Compliance. It Can’t Happen
to Us— Avoiding Corporate Disaster While Driving Success, Wiley, Hoboken.
TROINA G. (2005) Le Revisioni aziendali, Roma, Franco Angeli.
ZANIGLI M. (2004) Assetti di governance e implicazioni sul sistema di controllo interno.
Alcune considerazioni della dottrina, Cedam, Padova.