Coordinamento, sinergie e flussi informativi tra l OdV, gli organi di controllo interno e le funzioni di assurance: uno schema di analisi - PDF
Download "Coordinamento, sinergie e flussi informativi tra l OdV, gli organi di controllo interno e le funzioni di assurance: uno schema di analisi"
Niccolina Franchi
1 L importanza della comunicazione Coordinamento, sinergie e flussi informativi tra l OdV, gli organi di controllo interno e le funzioni di assurance: uno schema di analisi FAbio ACCARDi se nella ricerca di soluzioni organizzative che tendano a garantire le sinergie e il coordinamento tra organi con funzioni di controllo e funzioni di assurance. Nel seguito si illustrerà un percorso logico per affrontare il problema, che prende spunto da un caso concreto inerente un impresa industriale operante su grandi commesse, esaminato nei seguenti aspetti: a. individuazione dei flussi informativi derivanti dai diversi livelli di controllo; b. enucleazione dei flussi scaturenti Astaldi S.p.A. * Il tema della conformità al D.lgs. 231/01 richiede la definizione di un flusso informativo nei confronti dell Organismo di Vigilanza, come elemento fondante dei Modelli di organizzazione, gestione e controllo. Tale tema assume carattere di elevata complessità per le società quotate, soggette a normative complesse e articolate che prevedono una pluralità di controlli di natura endosocietaria ed esosocietaria. Ne deriva che le funzioni preposte al controllo interno, e in primis quella di internal auditing, sono chiamate ad assolvere sfide complesda un azione congiunta ed integrata delle funzioni di assurance, mirata ad eliminare duplicazioni dei controlli, mettendo a fattor comune le rispettive risultanze; c. modalità di coordinamento tra organi di controllo e funzioni di assurance. LA GESTIONE DEI FLUSSI INFORMATIVI Lo schema riportato nella figura 1 è stato definito avendo a riferimento il Fig. 1 I tre livelli di controllo 4
2 Fig. 2 Flussi informativi dal 1 livello di controllo Position Paper dell AIIA inerente l approccio integrato al Sistema di Controllo Interno (Corporate Governance Paper 2, 2009); secondo tale approccio, sono individuati tre livelli di controllo, gerarchicamente e funzionalmente interrelati: 1. il primo, che definisce e gestisce i controlli di linea (procedurali, informatici, comportamentali, amministrativo-contabili) insiti nei processi operativi, appartiene al management operativo, sia corporate che delle strutture periferiche; 2. il secondo, che presidia il processo di valutazione e controllo dei rischi garantendone la coerenza rispetto agli obiettivi aziendali e rispondendo a criteri di segregazione organizzativa in modo da consentire un efficace monitoraggio appartiene alle strutture che svolgono attività di assurance su specifici rischi, quali le funzioni di Risk Management, il Controllo di Progetto, la Qualità / Sicurezza / Ambiente, la Compliance; 3. il terzo, infine, che fornisce assu- rance indipendente sul disegno e sul funzionamento dell intero sistema di controllo interno aziendale, è insito nell attività svolta dagli organi di controllo e di vigilanza. Ne fanno parte il Comitato per il Controllo Interno, che supporta il CdA nella valutazione dell adeguatezza del sistema di controllo interno, e il Collegio Sindacale 1, «L internal audit controlla e convoglia i flussi informativi provenienti dagli altri livelli di controllo verso l OdV, affinché siano canalizzati in modo appropriato che fornisce assurance sull adeguatezza dell assetto organizzativo, amministrativo e contabile della società; ne sono protagonisti, inoltre, l Organismo di Vigilanza, che valuta l adeguatezza e la funzionalità del Modello 231, e la funzione internal audit, diretta dal Preposto al Controllo Interno, che fornisce supporto operativo agli organi di controllo e di vigilanza suddetti. Nello schema che proponiamo, il Preposto al Controllo Interno con la funzione di internal audit controlla e convoglia i flussi informativi provenienti dagli altri livelli di controllo verso l OdV, affinché siano canalizzati in modo appropriato. Flussi informativi dal primo livello di controllo all OdV I flussi provenienti dal primo livello (management operativo) possono essere classificati in ragione della periodicità/cadenza (figura 2). Al riguardo, si distinguono i flussi di attestazione a frequenza predefinita da quelli attivati al verificarsi di specifici eventi: i primi attengono a specifici obblighi interni di rendicontazione periodica e strutturata (reportistica di corporate/commessa, Attestazioni 231 ecc.), cui sono tenuti i soggetti responsabili dei processi identificati come sensibili rispetto al rischio di commissione di reati; i secondi sono rappresentati dalle segnalazioni di violazioni, anche solo sospette, del Codice Etico e/o del 5
3 Modello Organizzativo, cui sono tenuti i process owners aziendali. Sono attivati in presenza di particolari eventi (incidenti sul lavoro, provvedimenti dell autorità giudiziaria, richieste di assistenza legale ecc.). Tra i flussi informativi periodici, quale strumento utile ai fini della idoneità, efficacia e funzionalità dei Modelli Organizzativi adottati, si suggerisce il ricorso ad Attestazioni periodiche, il cui testo è predefinito, che sono circolarizzate dalla funzione internal audit alle strutture periferiche di commessa. Esse hanno come oggetto l asserzione motivata da parte del management operativo di commessa che, nell ambito delle strutture di competenza, le attività sono svolte in conformità alla normativa cogente e nel rispetto delle regole aziendali, con particolare riferimento a procedure, princìpi etici, protocolli organizzativi; ovvero, denunciano eventuali anomalie, atipicità, deroghe e/o eccezioni rispetto agli standard aziendali. L internal audit supporta l OdV nella valutazione delle segnalazioni ricevute e in eventuali istruttorie volte ad accertare le cause delle anomalie, sanzionando ove necessario eventuali comportamenti anomali. Flussi informativi dal secondo livello di controllo all OdV I flussi provenienti dal secondo livello di controllo (funzioni di assurance) possono essere classificati in ragione della tipologia/natura, sebbene anche in questo caso si possano prevedere informative ad attivazione periodica e strutturata e, viceversa, segnalazioni a evento. In particolare, ferme restando le logiche di interrelazione dinamica rinvenibili nella normale operatività, le relazioni di tipo informativo verso l OdV possono strutturarsi nel seguente modo (v. fig. 3): la funzione di Risk Management aggiorna periodicamente sui principali rischi identificati e gestiti, con un focus specifico su quelli di compliance; la funzione di Controllo di Progetto riferisce su fatti di interesse determinatisi nello svolgimento dei progetti stessi; la funzione Qualità, Sicurezza e Ambiente veicola una reportistica tecnica, con riferimento all adeguatezza dei sistemi di gestione adottati per la mitigazione dei rischi, come quelli relativi la sicurezza sul lavoro e il rispetto della normativa ambientale; le funzioni Amministrative e in particolar modo la struttura del Dirigente Preposto ex L. 262/2005 forniscono assurance sull applicazione delle procedure contabiliamministrative poste a presidio dei rischi reato di natura societaria; da ultimo, le funzioni Legali aggiornano su profili di conformità normativa, quali quelli attinenti la corporate governance aziendale e le situazioni di contenzioso della società. Anche per tale livello di controllo, l internal audit funge da catalizzatore delle informazioni, veicolandole tempestivamente verso l OdV. Al fine di monitorare efficacemente i flussi informativi, le società si stanno dotando di ambienti informatici ad accesso ristretto in remoto (e-room, virtual data room ecc.) che favoriscono lo scambio e la condivisione delle informazioni. I vantaggi per gli organi di controllo composti da soggetti anche esosocietari sono molteplici: infatti, tali ambienti consentono di gestire i flussi informativi, lo scambio di informazioni con gli altri organi sociali e la condivisione della documentazione attinente l attività di vigilanza sul campo in modo sicuro, fles- Fig. 3 Flussi informativi dal 2 livello di controllo 6
4 Fig. 4 Gli attori del SICI sibile ed efficiente, anche in ossequio alle previsioni dell art. 6, co. 2, lett. d) del D.lgs. 231, riducendo il rischio di perdita del controllo sui documenti e/o eventuali accessi abusivi. IL SISTEMA INTEGRATO DI CONTROLLO INTERNO La razionalizzazione e il coordinamento delle attività di verifica espletate dalle funzioni di assurance, nonché delle informazioni che da esse derivano, richiedono l adozione di apposite scelte organizzative: l ottica è quella dell integrazione delle attività mirate a una valutazione di adeguatezza, efficacia ed efficienza del sistema di controllo interno, anche al fine di garantire la conformità alle diverse normative in scope. Una modalità organizzativa che si ritiene confacente a tal scopo è l istituzione di un apposito Comitato (in seguito Comitato SICI, v. fig. 4) che riferisca delle sue attività al Comitato per il controllo interno, all OdV e al Collegio sindacale. La scelta delle funzioni di assurance che compongano il Comitato dipende da diversi fattori, riconducibili alle scelte operate in tema di assurance e controlli interni. Si ritiene comunque opportuno anche sulla scorta della esperienza concreta citata in premessa il coinvolgimento delle funzioni internal audit, Controllo di Progetto, Qualità, Sicurezza ed Ambiente, Controllo e Coordinamento Amministrativo. Il soggetto più idoneo a fungere da coordinatore del Comitato SICI è il Preposto al Controllo Interno, responsabile della funzione internal audit, posto il carattere omnicomprensivo della relativa attività di assurance. L internal audit nell espletamento delle proprie attività esprime infatti una valutazione complessiva del sistema di controllo della società in coerenza con la propensione al rischio aziendale e può svolgere interventi di audit anche «Gli ambienti informatici ad accesso ristretto in remoto consentono di gestire i flussi informativi riducendo il rischio di accessi abusivi sull operato delle funzioni di controllo di secondo livello. I compiti del Comitato SICI possono così sintetizzarsi: pianificazione degli interventi di assurance delle funzioni rappresentate nel Comitato, limitando sovrapposizioni e duplicazioni di controlli e accrescendo l efficacia ed efficienza dei singoli interventi; creazione di un linguaggio comune relativo al sistema di controllo interno, tramite un continuo confronto su metodologie, evoluzioni normative, strumenti utilizzati; accrescimento della cultura aziendale del controllo, sensibilizzando adeguatamente il management. Gli strumenti per assolvere tali compiti sono: una programmazione congiunta degli interventi di audit, che tenga conto dei principali rischi aziendali, delle direttive ricevute dal Comitato per il controllo interno, dal Collegio sindacale e dall OdV in relazione alla valutazione degli eventuali impatti delle risultanze delle attività di controllo ai fini 231/01; il reporting periodico, da parte di ciascuna funzione di assurance sulle risultanze delle verifiche eseguite e sulle conseguenti raccomandazioni, condiviso con i responsabili delle aree/commesse/funzioni sottoposte ad audit, con lo stesso Comitato SICI e quindi veicolato agli organi di controllo e di vigilanza interessati; l elaborazione, da parte della funzione di internal audit, di un rapporto finale che condiviso in ambito di Comitato SICI fornisca assurance sull efficacia ed efficienza del sistema di controllo interno aziendale in relazione ai controlli posti a presidio dei rischi di processo. Il rapporto finale del Comitato SICI deve essere portato all attenzione di una pluralità di soggetti: oltre all AD e al CdA, costituisce un importante strumento di rendicontazione nei 7
5 CONCLUSIONI I temi approfonditi nell articolo inducono a svolgere alcune riflessioni sulla rilevanza della comunicazione nel funzionamento del sistema di controllo, anche con riferimento alla conformità al D.lgs. 231/01. Richiaconfronti degli organi di controllo e di vigilanza e deve essere pertanto modulato in relazione agli obiettivi di controllo societari e in relazione alla finalità dell informativa da rendere ai diversi destinatari. «Il rapporto finale del Comitato SICI deve essere modulato in relazione alla finalità dell informativa da rendere ai diversi destinatari rettive, per l assolvimento di compiti istituzionali nell ambito di poteri e mezzi attribuiti. A titolo esemplificativo, gli organi di controllo e di vigilanza chiedono al Preposto al Controllo Interno di eseguire attività di verifica: in particolare, l OdV può chiedere all internal audit di svolgere attività istruttorie alle quali fanno seguito specifiche raccomandazioni o provvedimenti impartiti dallo stesso organismo. IL COORDINAMENTO TRA GLI ORGANI DI CONTROLLO Il processo fin qui descritto si conclude, a livello sistemico, con il coordinamento dinamico tra gli organi di controllo che riportano al massimo vertice aziendale (il CdA), all Assemblea dei Soci e in generale, agli stakeholder. Al riguardo, si possono distinguere tre modalità di interrelazione che creano sinergie e coordinamento: flussi informativi tra organi, sia spontanei che strutturati, che costituiscono il fluidificante necessario perché il modello descritto sia effettivo e non si incorra in diseconomie relazionali o in gap informativi. Ne sono un esempio l informativa in merito ai principali rischi aziendali e ai sistemi di controllo interno (fornita dal Comitato per il controllo interno al Colleg io sindacale e all OdV), l informativa su tematiche amministrativocontabili e fiscali relative alla revisione legale (di pertinenza del Collegio sindacale) o l aggiornamento sulle attività poste in essere per l adeguamento al D.lgs. 231/01, che l OdV condivide con gli altr i Organi di Controllo; comunicazione conoscitiva e partecipativa, mediante la partecipazione a incontri congiunti tra gli organi di controllo e di vigilanza per lo scambio di informativa e per gli specifici obblighi di comunicazione; impartizione e attuazione di dimando quanto riportato a proposito dell e-room, si rileva come l utilizzo di adeguati mezzi di comunicazione, quali siti web e portali aziendali, consenta la necessaria trasparenza, nei confronti dell interno e/o dell esterno, dei codici, delle norme di comportamento e dei sistemi disciplinari volti a sanzionare comportamenti illegittimi o illeciti. La comunicazione è quindi un efficace strumento a supporto delle funzioni chiamate a presidiare le diverse aree di rischio e a svolgere, quindi, attività di prevenzione e controllo. Dall attività integrata delle funzioni di assurance, attuata in sinergia con gli organismi di controllo, possono scaturire quei corsi di azione che accrescono il valore di tutti gli stakeholder. In tal senso le strategie di compliance non costruiscono un fine, ma uno strumento da inquadrare nell ambito generale dei processi mediante i quali le organizzazioni complesse perseguono i propri obiettivi in accordo e nel rispetto dei profili di rischio condivisi dai rispettivi portatori di interesse 2. NoTE (*) L autore ringrazia la dott.ssa Antonella Ambrosanio e il dott. Roberto Rosato, soci AIIA, del Servizio Controllo interno di Astaldi S.p.A. per il contributo fornito nella stesura dell'articolo. (1) Per una più estesa definizione dei compiti e delle funzioni di tali organi nell ambito della governance delle società quotate in Borsa, si richiama Borsa Italiana S.p.A., 2006, Comitato per la Corporate Governance Codice di Autodisciplina. (2) Quanto riportato nelle conclusioni è liberamente tratto dall articolo che l Autore ha scritto con Nicoletta Mincato, Sistemi di controllo interno e comunicazione: riflessioni per un approccio integrato ed approfondimenti sulla compliance ai fini del D.lgs. 231/2001, pubblicato in Diritto ed economia dei mezzi di comunicazione n. 10,