Internal Audit

Il contesto normativo

L’internal audit è la funzione che fornisce al Consiglio di amministrazione e al vertice una valutazione indipendente e obiettiva dell’efficacia dei processi di governo, di gestione dei rischi e di controllo. Il riferimento professionale è costituito dai Global Internal Audit Standards dell’Institute of Internal Auditors, in vigore dal 2025. Hanno sostituito gli elementi obbligatori del precedente International Professional Practices Framework (Standard, Codice etico e Core Principles) e fissano requisiti su indipendenza, pianificazione basata sui rischi, comunicazione dei risultati e qualità della funzione. Per il disegno del sistema di controllo interno il modello di riferimento resta il framework COSO, affiancato dal COSO ERM per la gestione dei rischi d’impresa. Il Three Lines Model dell’IIA chiarisce infine il ruolo dell’internal audit come terza linea, distinta dai ruoli di prima e seconda linea (gestione operativa, risk management e compliance) che restano in capo al management.

In Italia la funzione è prevista dal Codice di Corporate Governance per le società quotate che vi aderiscono e dalle normative di settore per banche, assicurazioni e intermediari. Per tutte le altre imprese la spinta viene dal codice civile. L’art. 2086, comma 2, impone all’imprenditore che opera in forma societaria o collettiva assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale (D.Lgs. 14/2019, Codice della crisi). L’art. 2381 chiede agli organi delegati di curarli e al Consiglio di valutarne l’adeguatezza. Senza una verifica indipendente sui processi, quella valutazione si fonda soprattutto sulle informazioni fornite dagli stessi organi delegati: l’internal audit la corrobora con evidenze raccolte sul campo.

Il nostro approccio

Offriamo la funzione in outsourcing, assumendone per intero la responsabilità operativa, oppure in co-sourcing, a fianco di una struttura interna che ha bisogno di competenze specialistiche o di capacità aggiuntiva. In entrambi i casi il mandato è formalizzato in un audit charter approvato dal Consiglio: il documento definisce perimetro, poteri, linee di riporto e regole di indipendenza. Per le società quotate il Codice di Corporate Governance ammette espressamente che la funzione sia affidata, per intero o per segmenti di operatività, a un soggetto esterno con adeguati requisiti di professionalità, indipendenza e organizzazione, con motivazione della scelta nella relazione sul governo societario.

Partiamo dall’audit universe: l’elenco ragionato di processi, società, sistemi e fornitori che possono essere oggetto di verifica. Lo valutiamo per rischio insieme al management, riutilizzando le analisi già disponibili per non chiedere due volte le stesse cose. Ne derivano il piano pluriennale e il piano annuale sottoposti al Consiglio.

Gli interventi seguono un programma di lavoro scritto: analisi documentale, interviste, ricostruzione dei processi sul campo, test dei controlli su campioni definiti, ricerca delle cause radice. I rilievi vengono discussi con i responsabili prima della stesura del report, così che le raccomandazioni siano praticabili e già condivise. Il follow-up è parte del servizio: monitoriamo l’attuazione dei piani d’azione e riferiamo periodicamente al Consiglio, al comitato controllo e rischi e al Collegio sindacale.

Curiamo con particolare attenzione il coordinamento con gli altri presidi (Organismo di Vigilanza, revisore legale, DPO, responsabili dei sistemi di gestione), così che i flussi informativi si integrino e l’azienda non subisca verifiche ripetute sugli stessi processi.

Cosa distingue il nostro servizio

• Impianto verificabile: audit charter, procedure operative, KPI della funzione e programma di quality assurance sono costruiti sui Global Internal Audit Standards, così che Consiglio e Collegio sindacale possano valutare il lavoro della funzione e non solo i suoi esiti.
• Follow-up tracciato: ogni rilievo confluisce in un registro con responsabile, scadenza e stato di avanzamento; verifichiamo sul campo l’attuazione delle azioni correttive e ne rendiamo conto nella relazione periodica al vertice.
• Rilievi utili al vertice: i report distinguono ciò che è urgente da ciò che è migliorabile e danno un giudizio complessivo sul sistema di controllo, non un semplice elenco di anomalie.
• Flessibilità: formula (outsourcing o co-sourcing) e intensità degli interventi si adattano anno per anno al variare del perimetro e dei rischi, senza vincoli di organico.