CAP 1: IL SISTEMA DI CONTROLLO INTERNO
1.1 Definizione e peculiarità
La definizione che emerge dallo studio commissionato alla Coopers & Lybrand dalla Treadway Commission statunitense, meglio conosciuto come CoSO Report, delinea il Sistema di Controllo Interno come << un processo, svolto dal consiglio d’amministrazione, dai dirigenti e da altri operatori della struttura aziendale, che si prefigge di fornire una ragionevole sicurezza sulla realizzazione degli obiettivi rientranti nelle seguenti categorie: efficacia ed efficienza delle attività operative; attendibilità delle informazioni di bilancio; conformità alle leggi ed ai regolamenti in vigore>>.
Dalla citata definizione, possiamo cogliere i punti salienti:
- il Sistema di Controllo Interno è un processo, che si sviluppa secondo una serie concatenata di fasi. Non si tratta di un evento isolato quindi, ma di un processo trasversale che può riguardare vari livelli organizzativi ed attività;
- coinvolge l’intera amministrazione d’azienda: non svolge solo una funzione strumentale a servizio del Consiglio di Amministrazione e del Management in generale, ma contribuisce alla qualità delle strategie, delle politiche e degli obiettivi di fondo, affiancandosi al Management stesso; - è un sistema finalistico, preposto al conseguimento di determinati obiettivi
fra loro interrelati, che si pongono talvolta alcuni come vincolo al raggiungimento di altri (ad esempio, l’attendibilità delle informazioni e la conformità a leggi e regolamenti sono essenziali per il raggiungimento dell’efficacia ed efficienza delle attività operative e per il contenimento dei rischi).
A queste caratteristiche, comuni a tutte le realtà d’impresa, vogliamo aggiungere quelle strettamente correlate all’attività bancaria, che accentuano ulteriormente
l'attenzione da porre sull'importanza del Sistema di controllo interno. A titolo esemplificativo citiamo:
- I volumi: ci riferiamo alla vastità delle operazioni poste in essere e delle informazioni gestite sia in numero che in valore. A causa dell’elevato numero di operazioni, è importante che i sistemi di elaborazione dei dati siano autocontrollanti, flessibili e con risposte immediate
- L’intangibilità del prodotto: l’assenza di un prodotto tangibile è comune a molte organizzazioni di servizi, ma in una banca può causare difficoltà nel comprendere e verificare le operazioni effettuate e la loro corretta registrazione in contabilità
- La dispersione geografica: le banche operano attraverso filiali e sportelli sparsi in un’area territoriale vasta; ciò comporta decentralizzazione di linee di autorità ed eterogeneità nei sistemi di controllo, oltre, ovviamente alle diverse problematiche di ogni sportello
- La complessità organizzativa: l’attuale struttura organizzativa degli intermediari finanziari, in particolare dei grandi gruppi creditizi, si sta sempre più evolvendo verso strutture operative diverse che richiedono un collegamento per rendere coerenti metodologie e linee di controllo.
- La numerosità dei rischi aziendali: a titolo esemplificativo ricordiamo: - rischio di credito
- rischio di liquidità
- rischio di controparte e regolamento delle operazioni - rischio di interesse
- rischio di cambio - rischio di mercato
- rischio operativo e contabile - rischio di reputazione.
- L’evoluzione delle variabili di contesto: ci riferiamo ad esempio al mutare del quadro normativo di riferimento che regola l’attività bancaria (ivi comprese le indicazioni dell’Organo di Vigilanza), al sorgere di nuovi modelli di Governance, alla crescente innovazione tecnologica, al prolificarsi di sempre più sofisticati
prodotti finanziari.
1.2 Obiettivi del Sistema di controllo interno
Esistono diverse definizioni di sistema di controllo interno offerte dalla dottrina economico aziendale oltre a quella citata, che mettono in luce alcuni aspetti piuttosto che altri. Tuttavia, una caratteristica comune alle varie definizioni riguarda proprio gli obiettivi del Sistema di controllo interno, sui quali c’è piena concordanza: se infatti non si possono negare le particolarità proprie di ogni realtà, d’altro canto il Sistema di controllo interno esiste presso qualunque azienda e persegue ovunque obiettivi che si ricollegano al finalismo ultimo d’impresa, che ripetiamo essere:
- Efficacia ed efficienza delle attività operative - Attendibilità delle informazioni di bilancio - Conformità alle leggi e ai regolamenti in vigore.
Per quanto riguarda il primo obiettivo, lo svolgimento efficace ed efficiente delle operazioni di impresa è necessario per il soddisfacimento dei molteplici stakeholder. Come noto, l'efficacia è espressione del raggiungimento dei risultati conseguiti in rapporto agli obiettivi assegnati; l'efficienza attiene invece al rapporto obiettivi raggiunti-risorse consumate: un'azione è efficace ed efficiente, se raggiunge l'obiettivo utilizzando un quantitativo di risorse consono all'operazione stessa. Sotto questo aspetto, il Sistema di controllo interno si avvale delle persone che operano in azienda, del sistema di reporting, e di tutti gli strumenti tipici, come budget, piani, programmi, rendiconti, con lo scopo di rilevare gli scostamenti, individuarne le cause, e scegliere le azioni da intraprendere.
Con “attendibilità delle informazioni di bilancio”, ci concentriamo su un punto saliente: i dati che emergono dal bilancio, monetari o non monetari, devono infatti possedere determinate caratteristiche: esistenza, completezza, accuratezza,
tempestività, attendibilità sono solo alcune delle qualità che tali informazioni devono avere, sia per l'interno che per l'esterno.
Il Sistema di controllo interno deve inoltre verificare che le operazioni svolte e le decisioni prese ad ogni livello siano conformi alle direttive emanate dalla direzione, che a loro volta devono rispettare leggi e regolamenti. E' fondamentale quindi istituire canali di accesso alle informazioni per le persone che lavorano ad ogni livello, che devono avere la possibilità di aggiornarsi sui cambiamenti normativi che, in un settore come quello bancario, sono sempre in continua evoluzione.
Da non dimenticare infine il primario obiettivo di ogni azienda, cui il Sistema di controllo interno deve contribuire. Stiamo parlando della salvaguardia del patrimonio aziendale, che riguarda la protezione del capitale umano, tecnologico e commerciale presente in azienda. Nelle banche, inoltre, bisogna porre particolare attenzione anche all'accezione più ristretta del patrimonio aziendale, ovvero la protezione dei beni materiali: la presenza di valori come denaro, assegni ed effetti, ad esempio, fanno sì che sia necessario predisporre misure di protezione fisica degli stessi (mezzi forti), ma anche di prevenzione di eventi pregiudizievoli, come le procedure connesse al trasporto valori o alla loro custodia.
E' importante ricordare che gli obiettivi citati sono tra loro strettamente connessi e concatenati, e devono essere compresi ad ogni livello come un tutto unitario. A tale proposito la ricerca empirica1 evidenzia che rispetto al passato le Banche pongono sempre più attenzione alla variabile del sistema di controllo: in particolare, si segnala una maggior attenzione ai rischi di eventi pregiudizievoli all'immagine della banca, al rischio di perdite impreviste e al mantenimento di sistemi informativi affidabili; gli obiettivi relativi alla conformità a leggi e regolamenti mantengono un peso rilevante. Questo ci fa vedere che, se da un lato l'evoluzione porta verso una concentrazione su obiettivi strategici, dall'altro l'attendibilità delle informazioni sarà sempre fondamentale, poiché funzionale al soddisfacimento delle attese degli stakeholder. I cambiamenti in atto, l'attenzione 1 Si tratta della ricerca empirica promossa dalla Divisione Ricerche della Scuola di Direzione Aziendale
verso le strategie e gli orientamenti di fondo non toglieranno mai importanza ai controlli di conformità, ai quali si andranno ad affiancare e mai a sostituire.
1.3 Le componenti del sistema di controllo interno
Continuando a seguire la proposta del CoSO Report, gli obiettivi enunciati possono essere raggiunti soltanto se il Sistema di controllo interno è completo e funzionante in ogni sua componente, ovvero:
• Ambiente di controllo • Valutazione dei Rischi • Attività di controllo
• Informazione e Comunicazione • Monitoraggio
Le citate componenti vengono rappresentate nel seguente schema piramidale, che consente di esprimere appieno il contributo di ognuna e il grado di importanza.
Come si può vedere, la base è formata dall'Ambiente di controllo, che in questo modo diventa elemento su cui poggia l'intera struttura. La variabile Informazione e Comunicazione è posizionata invece in modo trasversale: il sistema informativo è un meccanismo strumentale a tutto il Sistema di controllo interno. Gli obiettivi del controllo e le componenti sono tra loro interrelati, come riporta la matrice seguente:
Sulle colonne verticali troviamo i tre obiettivi principali, sulle righe le componenti del controllo; la terza dimensione rappresenta infine le diverse unità e attività di un'azienda, verso le quali il controllo interno è orientato.
Andiamo ora ad analizzare rapidamente le singole componenti.
• Ambiente di controllo: si tratta della cultura aziendale in tema di controlli, ovvero della consapevolezza dell'importanza del sistema di controllo quale elemento indispensabile per conseguire gli obiettivi operativi, di informazione e di svolgimento dell'attività; l'Alta Direzione, il Consiglio di Amministrazione devono sentirsi responsabili della sua diffusione all'interno di tutta l'organizzazione, e devono adoperarsi affinché ogni collaboratore renda propria tale consapevolezza. Il ruolo del management è fondamentale, ma non è l'unico elemento: l'Ambiente di controllo è infatti influenzato da altre variabili, come integrità e valori etici -esiste un codice etico? E' esauriente? E' conosciuto e riconosciuto da tutto il personale? I dirigenti sono i primi a rispettarlo? -, dalla competenza del personale, da filosofia e stile di direzione, dall'adeguatezza della struttura organizzativa -la funzione I.A. ha un posizionamento organizzativo che ne favorisce l'indipendenza?-, dalla definizione di deleghe e responsabilità, dalle caratteristiche del sistema premiante, ecc.
pregiudicare il raggiungimento degli obiettivi. Se da una parte è impossibile eliminare tutti i rischi che sono elementi intrinsechi all'attività imprenditoriale, dall'altro ogni Sistema di controllo interno deve provvedere alla identificazione e valutazione degli stessi, in modo da contenerne le conseguenze. Si parla di Risk Management, ovvero di gestione del rischio: non solo identificazione, ma valutazione del possibile impatto e della probabilità di manifestarsi, quindi gestione del rischio stesso e monitoraggio continuo attraverso specifici interventi di Audit.
• Attività di controllo: sono le forme di protezione dal rischio che vengono messe in atto per prevenire un errore (controlli preventivi), per scoprire irregolarità già avvenute (controlli successivi), o durante lo svolgimento dell'ordinaria operatività (controlli concomitanti). Possono essere di tipo manuale (es. le verifiche di cassa o il riscontro valori), o automatico, cioè svolte dal sistema informatico. Tali attività possono essere relative a aspetti operativi, al rispetto di leggi e regolamenti e alla correttezza delle informazioni di bilancio, seguendo, e qui ricordiamo la matrice a pag. 14, gli obiettivi del Sistema di controllo interno.
• Informazione e comunicazione: nello schema piramidale visto in precedenza, possiamo notare come questa componente attraversi le altre in maniera trasversale: questo vuole rappresentare l'importanza del ruolo ricoperto dal sistema informativo, che deve garantire la raccolta e la diffusione di informazioni. Tutte le aziende devono essere infatti in grado di reperire informazioni di qualità dall'interno e dall'esterno, e devono poter garantire canali di comunicazione per le stesse di tipo top-down, bottom-up e trasversale. L'informazione di qualità è quella che rispetta requisiti ben precisi, tra cui ricordiamo caratteristiche di contenuto, selettività, accuratezza, tempestività, aggiornamento e accessibilità; i dati prodotti dal sistema informativo devono essere utili alle varie finalità che si prefiggono, sia che siano destinati all'esterno, ad esempio per il rispetto
di normative vigenti, sia che siano orientati all'interno, verso il personale o l'Alta Direzione. Anche la comunicazione, infatti, influisce sul controllo, e può svilupparsi dall'alto verso il basso o dal basso verso l'alto. Si ha una comunicazione di tipo top-down ad esempio poiché il personale deve avere piena consapevolezza dell'importanza del controllo, di come svolgerlo e delle proprie responsabilità in merito. Devono essere predisposti però anche canali di tipo bottom-up, ad esempio in caso di violazione del codice etico devono esistere canali riservati che permettano una sicura segnalazione ai soggetti dotati dell'autorità per porre in essere azioni sanzionatorie.
• Monitoraggio: l'accento posto su questa variabile, che sovrasta la piramide, vuole mostrare che, una volta definite le varie componenti, bisogna continuamente verificarne l'adeguatezza alla realtà aziendale, che è in continuo divenire: le variabili ambientali e il contesto normativo rendono necessario un monitoraggio continuo che accerti se il Sistema di controllo interno mantiene nel tempo inalterati i suoi requisiti di efficacia e funzionalità al raggiungimento degli obiettivi prefissati e alla gestione dei numerosi rischi che si affacciano continuamente sul panorama aziendale.
1.4 Gli attori del Sistema di controllo interno
Una prima classificazione che possiamo fare per identificare gli attori del Sistema di controllo interno, distingue tra:
• interlocutori interni: rientrano in questa categoria il Consiglio di Amministrazione, il Comitato per il controllo interno, il Preposto al controllo interno, la Funzione Internal Audit;
• interlocutori esterni: parliamo ad esempio delle Autorità creditizie, la CONSOB, la Banca d'Italia;
Revisione come interlocutori intermedi, in quanto, seppur nominati e remunerati dall'impresa, operano in qualità di professionisti indipendenti e sono spesso chiamati a interfacciarsi con le autorità pubbliche.
Andiamo adesso a vedere nel dettaglio le caratteristiche dei principali oggetti coinvolti.
1.4.1. Il Consiglio di Amministrazione
Il Consiglio di Amministrazione è il principale organo di governo delle società per azioni che non hanno optato per un cambiamento del sistema di Amministrazione e Controllo.
Secondo quanto previsto dal “Codice di Autodisciplina”, il Consiglio di Amministrazione, con l'assistenza del Comitato per il controllo interno:
• definisce le linee di indirizzo del Sistema di controllo interno, in modo che i principali rischi risultino correttamente identificati, nonché adeguatamente misurati, gestiti e monitorati;
• individua un amministratore esecutivo incaricato di sovrintendere alla funzionalità del Sistema di controllo interno; tale figura ha dei compiti ben precisi, ovvero:
• sovrintendere alla funzionalità del Sistema di controllo interno; • curare l'identificazione dei principali rischi aziendali;
• dare esecuzione alle linee di indirizzo definite dal Consiglio di Amministrazione provvedendo alla progettazione, realizzazione e gestione del Sistema di controllo interno, verificandone costantemente l'adeguatezza complessiva, l'efficacia e l'efficienza; • proporre al consiglio di amministrazione la nomina, la revoca e la
remunerazione di uno o più preposti al controllo interno;
• valuta l'adeguatezza, l'efficacia e l'effettivo funzionamento del sistema di controllo interno;
• nomina e revoca i preposti al controllo interno.
Il Codice inoltre sottolinea che il Consiglio di Amministrazione deve esercitare le proprie funzioni tenendo in considerazione i modelli di riferimento e le best practices esistenti, ponendo particolare attenzione ai modelli di organizzazione e gestione adottati ai sensi del D.Lgs. 8 giugno 2001 n. 231.
1.4.2. Il Collegio Sindacale
Il Collegio sindacale è attore chiave nella Control Governance aziendale. Prima però di descriverne le funzioni, occorre distinguere tra società quotate e non quotate.
Per queste ultime, la normativa di riferimento è rappresentata dall'Art. 2403 del Codice Civile, secondo cui:
“ Il Collegio sindacale vigila sull'osservanza della legge e dello statuto, sul rispetto dei principi di corretta amministrazione ed in particolare sull'adeguatezza dell'assetto organizzativo, amministrativo e contabile adottato dalla società sul suo concreto funzionamento”.
L'art. 2409Bis del Codice Civile prevede inoltre che in caso di società non quotate non tenute alla redazione del bilancio consolidato, lo Statuto può stabilire che al Collegio sindacale spettino funzioni di controllo contabile. In tal caso, il collegio sindacale deve essere formato da revisori contabili iscritti nel registro istituito presso il Ministero della Giustizia.
Per quanto riguarda invece le società quotate, il Testo Unico della Finanza, D.Lgs. 58/1998, afferma il ruolo del Collegio sindacale quale organo preposto alla vigilanza sull'adeguatezza del sistema di controllo interno aziendale e allo svolgimento di indagini particolari su fatti anomali con la conseguente necessità di promuovere azioni correttive da parte degli amministratori o dell'assemblea. In particolare, l'Art. 149 prevede che il Collegio Sindacale vigili su:
• osservanza della legge e dell'atto costitutivo; • rispetto dei principi di corretta amministrazione;
• adeguatezza della struttura organizzativa della società per gli aspetti di competenza, del sistema di controllo interno e del sistema amministrativo-contabile, nonché sull'affidabilità di quest'ultimo nel rappresentare correttamente i fatti di gestione.
Nello svolgimento della sua attività, il Collegio sindacale lavora in stretto coordinamento con le altre strutture che operano sul controllo interno, quali:
• Alta Direzione: il Collegio sindacale ha il dovere di partecipare alle riunioni del Consiglio di Amministrazione, può convocare il consiglio e richiedere notizie sullo svolgimento delle operazioni sociali;
• Comitato per il Controllo Interno: al fine di svolgere funzioni di monitoraggio e valutazione sul sistema, il Collegio sindacale dovrà rilevare:
• che la validità del programma di attività, le modalità operative e la composizione del comitato per il controllo interno siano sufficienti perché tale organo abbia idonee caratteristiche di competenza tecnica;
• che la metodologia di valutazione dell'adeguatezza dei controlli interni si riferisca alle singole unità organizzative;
• che siano state intraprese azioni con riferimento a quelle unità organizzative dove sono state riscontrate debolezze.
Il Collegio sindacale dovrà inoltre comunicare osservazioni e rilievi sull'operato del comitato in sede di consiglio di amministrazione, per opportuni provvedimenti correttivi.
• Società di revisione incaricata: la Società di revisione esterna rappresenta un ottimo riferimento per il Collegio sindacale, proprio per la sua indipendenza rispetto alla realtà aziendale. Le norme del D.Lgs 58/1998 prevedono all'art. 150 un'attività di scambio di dati e informazioni tra Collegio sindacale e Società di revisione. Questa relazione è illustrata anche nella norma 2.4 dei Principi di Comportamento del Collegio sindacale nelle società quotate, che prevede che il Collegio sindacale consideri i risultati del lavoro svolto dalla Società di revisione, ma qualora questo non sia sufficiente per lo svolgimento dei propri più ampi compiti di vigilanza, svolga autonome procedure di controllo. Il rapporto di collaborazione tra questi due organi è visto favorevolmente anche dalla CONSOB (comunicazione N. 97001574 del 20 febbraio 1997), che afferma l'importanza che il Collegio Sindacale abbia a disposizione tutte le informazioni necessarie per l'espletamento delle sue funzioni, e, qualora non sia possibile acquisirle dal Consiglio di Amministrazione, suggerisce che il Collegio stesso richieda alla Società di revisione i dati necessari, soprattutto per quanto riguarda il funzionamento del sistema di controllo interno ed amministrativo-contabile.
Infine la legge sulla tutela del risparmio (262/2005) introduce il dovere di vigilare sul modo in cui concretamente vengono attuate le raccomandazioni contenute nei codici di autodisciplina, cui le società, dandone informativa al pubblico, dichiarano di attenersi.
1.4.3 Il Comitato per il controllo interno
Il Codice di Autodisciplina raccomanda la costituzione del Comitato per il controllo interno, un organo costituito all’interno del Consiglio di Amministrazione, composto da un numero adeguato di amministratori non esecutivi, la maggioranza dei quali indipendenti.
Amministrazione coadiuvandolo nell’espletamento dei suoi compiti. In particolare:
• valuta, unitamente al dirigente preposto alla redazione dei documenti contabili e societari ed ai revisori, il corretto utilizzo dei principi contabili, e, nel caso di gruppi, la loro omogeneità ai fini della redazione del bilancio consolidato;
• su richiesta dell’amministratore esecutivo all’uopo incaricato esprime pareri su specifici aspetti inerenti alla identificazione dei principali rischi aziendali, nonché alla progettazione, realizzazione e gestione del sistema di controllo interno;
• esamina il piano di lavoro preparato dai preposti al controllo interno nonché le relazioni periodiche da essi predisposte;
• valuta le proposte formulate dalle società di revisione per ottenere l’affidamento del relativo incarico, nonché il piano di lavoro predisposto per la revisione e i risultati esposti nella relazione e nella eventuale lettera di suggerimenti;
• vigila sull’efficacia del processo di revisione contabile;
• svolge gli ulteriori compiti che gli vengono attribuiti dal consiglio di amministrazione;
• riferisce al consiglio, almeno semestralmente, in occasione dell’approvazione del bilancio e della relazione semestrale, sull’attività svolta nonché sull’adeguatezza del sistema di controllo interno.
Ai lavori del comitato per il controllo interno partecipa il presidente del collegio sindacale o altro sindaco da lui designato.
Il Consiglio di Amministrazione può nominare uno o più preposti al controllo interno, che hanno funzione di supervisione del sistema di controllo interno. In particolare il Codice dispone che i preposti:
• sono incaricati di verificare che il sistema di controllo interno sia sempre adeguato, pienamente operativo e funzionante;
• non sono responsabili di alcuna area operativa e non dipendono gerarchicamente da alcun responsabile di aree operative, ivi inclusa l’area amministrazione e finanza;
• hanno accesso diretto a tutte le informazioni utili per lo svolgimento del proprio incarico;
• dispongono di mezzi adeguati allo svolgimento della funzione loro assegnata;
• riferiscono del loro operato al comitato per il controllo interno ed al collegio sindacale; può inoltre essere previsto che essi riferiscano anche all’amministratore esecutivo incaricato di sovrintendere alla funzionalità del sistema di controllo interno. In particolare, essi riferiscono circa le modalità con cui viene condotta la gestione dei rischi, nonché sul rispetto dei piani definiti per il loro contenimento ed esprimono la loro valutazione sull’idoneità del sistema di controllo interno a conseguire un accettabile profilo di rischio complessivo.
Il preposto al controllo interno si identifica nella prassi con il responsabile della funzione Internal Audit, laddove istituita.
