La Funzione di Internal Audit nei Controlli Interni

La Funzione di Internal Audit nel sistema dei controlli, tra disposizioni di vigilanza e disciplina antiriciclaggio (articolo del gennaio 2016)

1. La Funzione di Internal Audit negli Intermediari Finanziari ex art. 106 Tub
Roberto Bramato, Consulente Senior Financial Services – BDO Italia SpA, in Diritto 24 del 20 gennaio 2016

Il Provvedimento della Banca d'Italia del 10 marzo 2011 recante disposizioni attuative in materia di
organizzazione, procedure e controlli interni volti a prevenire l'utilizzo degli intermediari e degli altri soggetti
che svolgono attività finanziaria a fini di riciclaggio e di finanziamento del terrorismo, ai sensi dell'art. 7
comma 2 del Decreto Legislativo 21 novembre 2007, n. 231 nonché la Circolare della Banca d'Italia 288 del 3
aprile 2015 recante Disposizioni di vigilanza per gli intermediari finanziari, rappresentano i principali
riferimenti normativi che definiscono il perimetro di attività della Funzione di Internal Audit, nella quale
risultano incardinati i controlli di terzo livello (Il Sistema dei Controlli Interni è articolato su tre livelli).

Alla funzione di controllo di terzo livello si aggiungono i controlli di linea (primo livello) e quelli relativi ai
controlli di conformità alle norme (compliance) e di gestione dei rischi (risk management) che
rappresentano il secondo livello), cui è sottoposto un intermediario finanziario.

Rispetto all'attività di controllo volta a prevenire il rischio di riciclaggio e di finanziamento del terrorismo, il
Provvedimento del marzo 2011 attribuisce alla Funzione di Internal Audit il compito di verificare in modo
continuativo il grado di adeguatezza dell'assetto organizzativo aziendale e la sua conformità rispetto alla
disciplina di riferimento nonché quello di vigilare sulla funzionalità del complessivo Sistema dei Controlli
Interni (SCI), la "robustezza" e la "tenuta" completa del quale è una prerogativa che la Circolare 288 attribuisce
proprio alla Funzione di Internal Audit nel suo doverne garantire "la funzionalità (in termini di efficienza ed
efficacia) e l'affidabilità".
Compete, dunque, a questa Funzione il compito di valutare:
▪ la completezza, l'adeguatezza, la funzionalità (in termini di efficacia ed efficienza) e l'affidabilità della
struttura organizzativa (non solo in riferimento agli adempimenti connessi alla prevenzione del rischio
di riciclaggio e finanziamento del terrorismo);
▪ l'adeguatezza del piano aziendale di continuità operativa o del piano di disaster recovery;
▪ la regolarità delle diverse attività aziendali, incluse quelle esternalizzate presso outsourcers di
comprovata professionalità (ed in merito alla correttezza delle quali redige entro il 30 aprile di ogni
anno una relazione) e dell'evoluzione dei rischi;
▪ la correttezza dell'operatività della rete distributiva (nel pieno rispetto di tutte le norme applicabili);
▪ il monitoraggio della conformità alle norme (anche per prevenire fenomeni di applicazione di tassi
superiori alla soglia usura) dell'attività di tutti i livelli aziendali;
▪ il rispetto dei limiti previsti dai meccanismi di delega nonché del pieno e corretto utilizzo delle
informazioni disponibili nelle diverse attività;

2. e verificare
▪ il costante rispetto dell'obbligo di adeguata verifica, sia nella fase di instaurazione del rapporto che
nello svilupparsi nel tempo della relazione;
▪ l'effettiva acquisizione e l'ordinata conservazione dei dati e documenti prescritti dalla normativa;
▪ il corretto funzionamento e la corretta alimentazione dell'Archivio Unico Informatico, attraverso
anche una attività di ICT auditing volta a valutare l'adeguatezza del sistema informativo contabile alla
base dell'alimentazione dei dati;
▪ l'effettivo grado di coinvolgimento del personale dipendente e dei collaboratori nonché dei
responsabili delle strutture centrali e periferiche, nell'attuazione dell'obbligo della "collaborazione
attiva".
Per il perseguimento di questi fini, la Funzione di Internal Audit pianifica (redigendo annualmente un Piano
di Audit) ed effettua interventi sistematici, anche di tipo ispettivo, di verifica aventi ad oggetto tutte le
strutture operative dell'intermediario finanziario, siano esse centrali e/o periferiche (intendendo per queste
ultime anche le eventuali succursali nonché le sedi presso cui i soggetti incaricati della promozione e
conclusione di contratti finanziari operano).
Alla medesima Funzione è attribuita, altresì, la possibilità di effettuare ulteriori accertamenti ispettivi o a
distanza, non pianificati con l'intermediario finanziario (dunque improvvisi) oppure tanto legati al manifestarsi
di specifiche irregolarità quanto a particolari esigenze rilevate dalla governance aziendale ed a seguito delle
quali è stato dato input alla Funzione di Internal Audit di effettuare le proprie verifiche e valutazioni.
Da un punto di vista della frequenza di esecuzione degli interventi la logica da seguire è quella propria di un
approccio di tipo Risk-Based, per cui le strutture che potenzialmente potrebbero essere maggiormente
esposte ai rischi citati sono attenzionate prioritariamente e monitorate con maggiore frequenza, pur
perseguendo l'obiettivo di porre sotto verifica ispettiva, in un lasso temporale ragionevolmente congruo
rispetto all'attività che l'intermediario svolge, quindi anche al suo sviluppo dimensionale sul territorio, tutte
le eventuali strutture periferiche oltre quelle centrali.

Qualora le attività di cui sopra conducessero ad evidenziare "carenze e irregolarità", spetterebbe alla Funzione
di Internal Audit il compito di intervenire in prima battuta formulando le proprie raccomandazioni agli organi
aziendali ed in seconda battuta assicurandosi l'"avvenuta adozione degli interventi correttivi" e la "loro
idoneità a evitare analoghe situazioni nel futuro" (attività di follow-up).

Nei casi più gravi, disciplinati dalla Circolare e dal Testo Unico Bancario, la Funzione di Internal Audit è tenuta
ad effettuare una comunicazione relativa alle stesse rilevazioni all'Autorità di Vigilanza.

3. Erogando il proprio "supporto consulenziale" agli organi aziendali, la Funzione si pone quale obiettivo quello
di individuare i possibili correttivi nonché le nuove metodologie da adottare nella valutazione e prevenzione
non solo del rischio di riciclaggio e di finanziamento del terrorismo, ma di tutte le tipologie di rischio cui
potrebbe essere esposto l'intermediario finanziario.
L'attribuzione di compiti di carattere maggiormente consulenziale alla Funzione di Internal Audit, peraltro
condivisi con la Funzione di conformità alle norme (Compliance) e con quella di Risk Management, si rinviene
nelle disposizioni di cui alla citata Circolare, per la quale rientra tra le attività di detta Funzione quella di fornire
agli organi aziendali "consulenza per i profili che attengono ai compiti di controllo svolti".

È in ragione di questo apporto in termini di verifica e supporto, peraltro a carattere di sistematicità e con la
mission di migliorare il governo dei rischi, che si può considerare l'internal auditing come un'attività che può
generare valore aggiunto all'interno della struttura dell'intermediario finanziario.

In merito a tutte le attività condotte ed all'esito delle stesse, la Funzione di Internal Audit è tenuta, poi, a
redigere con cadenza annuale una relazione da sottoporre al Consiglio di Amministrazione e da inviare
all'Autorità di Vigilanza. Resta fermo, in questa circostanza, l'obbligo di riservatezza relativo alla segnalazione
di operazioni sospette.