Il Ruolo della Funzione di Internal Audit nella proposizione di valore: il case study ''Banca Popolare di Fondi''

Ferma restando la responsabilità di ciascuna funzione di controllo ed organo aziendale, il corretto funzionamento del sistema dei controlli interni non può prescindere dalla continua interazione di queste figure, proprio per evitare che si verifichi una vera e propria “sommatoria” di attività preposte a tal fine, le quali possano mettere in atto lacune e/o sovrapposizioni di ruoli.
Per far sì che venga resa possibile l’integrazione tra le funzioni di controllo e/o tra gli organi aziendali e che esse sviluppino un maggior grado di armonizzazione dei processi, la Circolare 285 è intervenuta anche in tal senso stabilendo che:

“Sono considerati parametri di integrazione […] la previsione di flussi informativi su base continuativa tra le diverse funzioni in relazione ai risultati delle attività di controllo di propria pertinenza, la condivisione nella individuazione delle azioni di rimedio”¹⁸.

In tal modo, la Banca d’Italia promuove l’efficiente ed efficace funzionamento del sistema dei controlli interni aprendo la strada ad un sistema che sia progettato per consentire a ciascun membro del Sistema dei Controlli Interni di accedere a dati/informazioni per sostenere le proprie attività, promuovere una collaborazione efficace tra le funzioni di controllo e gli altri membri e consentire la corretta diffusione di una cultura del controllo rilevante all'interno dei valori aziendali.
All’atto pratico, un’integrazione del processo di gestione dei rischi può configurarsi come l’adozione di metodologie e strumenti comuni, che consentano di attuare il coordinamento tra le attività svolte da una funzione di controllo di qualsivoglia livello fino agli organi apicali, nell’ottica di condividere le azioni di rimedio e monitoraggio degli interventi correttivi per la risoluzione delle criticità.
L’AIIA ritiene fondamentali vari aspetti per tale obiettivo, quali l’individuazione di scale di priorità omogenee nelle FAC, un repository unico dei rilievi per tracciare dei dettagli delle criticità e, infine, delle regole di escalation univoche.¹⁹

L’obiettivo principale del sistema dei flussi informativi risiede nella tempestiva segnalazione delle eventuali criticità emerse durante i controlli relativi a specifici ambiti operativi, attivando i meccanismi di escalation appropriati verso l'alta direzione o gli organi aziendali competenti, a seconda della gravità delle osservazioni; attività che coincidono del tutto con il core della funzione di internal audit, rendendo il sistema dei flussi informativi uno strumento di fondamentale importanza all’esercizio di tale attività, il quale permette di potenziarne gli orientamenti strategici e operativi.

I flussi informativi presentano una loro classificazione che varia a seconda dei soggetti che si scambiano reciprocamente le informazioni e, pertanto, possono distinguersi in:

⁃ Flussi verticali: interessano i rapporti tra le funzioni di controllo con i comitati e con gli organi con funzione di supervisione strategica, di gestione e di controllo. Essi garantiscono ai vertici aziendali un efficace esercizio delle prerogative agli stessi assegnate, informandoli sul continuo sia dell’evoluzione dei rischi aziendali, sia di eventuali violazioni o carenze riscontrate nelle attività di controllo (ad es. violazioni della risk tolerance, mancata compliance con le normative primarie e secondarie, perdite finanziarie rilevanti, rilevazione di frodi). Nel caso in cui una delle funzioni operative (controlli di primo livello) venga a conoscenza di una delle anomalie appena citate essa ha il dovere di produrre un flusso informativo verticale tempestivo nei confronti della Direzione Generale e dell’Internal Audit (trattasi in tal caso di flusso orizzontale). L’Internal Audit, a seguito degli accertamenti in merito, si occuperà di predisporre l’informativa rivolta all’organo con funzione di supervisione strategica e di controllo.

⁃ Flussi orizzontali: intercorrono tra le diverse funzioni di controllo o tra le funzioni di controllo e gli owner dei processi. Essi possono riguardare disfunzioni operative e segnalazioni di rischio emerse nell’ambito dei controlli di primo livello. I flussi in oggetto riguardano piani annuali e relazioni consuntive delle stesse funzioni di controllo.

⁃ Flussi infraorgani: si riferiscono alle informazioni scambiate tra organi e comitati.

⁃ Flussi verso l’esterno: destinati prettamente alle Autorità di Vigilanza (ad esempio nell’ambito dei cosiddetti controlli cartolari²⁰ o report periodici), o verso le Società di revisione contabile.

Da tale concetto emerge la ratio del regolatore, il quale con tale strumento intende indirizzare l’intermediario verso una gestione maggiormente consapevole dei rischi tramite “la piena conoscenza e governabilità dei fattori di rischio e la verifica del rispetto del RAF”²¹.
Nelle stesse Disposizioni di Vigilanza viene ribadita l’importanza dello scambio di informazioni aggiungendo che:
“tenuto conto delle forti interrelazioni tra le diverse funzioni aziendali di controllo […] è necessario che i compiti e le responsabilità siano comunicati all’interno dell’organizzazione aziendale. […] Specifica attenzione è posta nell’articolazione dei flussi informativi.”.
In tal modo si fa riferimento alle caratteristiche che devono rispettare tali flussi, inoltre già previste dagli standard internazionali²²:

• Efficacia: i flussi devono assicurare la coerenza con le esigenze informative del destinatario, mettendolo in condizione di raggiungere gli obiettivi prefissati
• Efficienza: essi devono garantire il bilanciamento tra le esigenze informative e le tempistiche o i costi per produrle
• Chiarezza: rendere le informazioni comprensibili anche a soggetti che non trattano un determinato argomento evitando eccessivi tecnicismi nella terminologia adottata e ridondanze, presentando adeguata sintesi
• Accessibilità: permetterne una consultazione agevole
• Tempestività: fornendo le informazioni in tempi congrui relativamente all’utilizzo ti queste ultime
• Fruibilità: le informazioni devono presentare un adeguato livello di sintesi
• Riservatezza: bisogna evitare in tale contesto la diffusione di informazioni sensibili per essere compliant con la normativa sulla privacy.

Con riferimento alle responsabilità dell’internal audit, le Disposizioni di Vigilanza prevedono che sia lo chief auditor executive ad informare i responsabili delle altre funzioni aziendali di controllo per le eventuali inefficienze, punti di debolezza o irregolarità emerse durante le verifiche di sua competenza²³; d’altro canto si può parlare di un flusso bidirezionale in quanto i responsabili delle funzioni di secondo livello tramite i sopra citati flussi orizzontali informano tempestivamente il responsabile della funzione di internal audit in merito alle eventuali criticità rilevate nello svolgimento delle proprie attività di controllo. Per ottemperare agli obblighi imposti dalla regolamentazione, nella realtà bancaria si sono sviluppate di conseguenza delle prassi per gestire i flussi informativi; un esempio in merito riguarda l’oggetto del case study che verrà trattato con maggior dettaglio nel prossimo capitolo, ossia la Banca Popolare di Fondi, la quale articola il processo in quattro fasi cicliche²⁴:
1. Esigenza di un nuovo flusso informativo
2. Definizione delle caratteristiche del nuovo flusso informativo e del relativo schema di reporting
3. Validazione, approvazione e attivazione del flusso informativo
4. Monitoraggio, revisione, integrazione dei flussi informativi

Queste sono finalizzate al miglioramento costante del contenuto delle informazioni scambiate e del coinvolgimento attivo dei principali attori del Sistema dei Controlli Interni di Gruppo.



_{18 Circ. Banca d’Italia 285/2013, Parte I, Titolo IV, Cap.3, Sez. I
19 Associazione Italiana Internal Auditors, Un sistema di controlli integrato – Fattori di integrazione di un sistema di controlli in ambito bancario, 2016
20 Si tratta di controlli messi in atto dalle Autorità di Vigilanza (Vigilanza informativa) per verificare il rispetto delle normative prudenziali in termini patrimoniali, di liquidità ed organizzativi, basata su informazioni e documenti acquisiti a seguito di segnalazioni all’ente vigilato che produrrà le informazioni richieste.
21 Circolare Banca d’Italia 285/2013, Titolo IV, Cap. 3, Sez I
22 Global internal Audit Standards, Domain IV, Principle 11, Standard 2: Effective Communication. The Institute of Internal Auditors (2024).
23 Circolare Banca d’Italia 236/2006, Titolo IV, Cap, 3, Sez. III
24 Policy sul Sistema dei Controlli Interni di Gruppo, Banca Popolare di Fondi, 2024}