16 Attuazione di un quadro di controllo interno

L’organo di gestione dovrebbe essere responsabile della definizione e del monitoraggio dell’adeguatezza e dell’efficacia dei processi, dei meccanismi e del quadro di controllo interno, nonché della sorveglianza di tutte le linee di business e unità interne, incluse le funzioni di controllo interno (quali le funzioni di gestione dei rischi, di conformità, di conformità ai requisiti in materia di contrasto al riciclaggio e al finanziamento del terrorismo laddove separata dalla funzione di conformità nonché di audit interno). Gli enti dovrebbero stabilire, mantenere e aggiornare periodicamente e per iscritto politiche, meccanismi e procedure di controllo interno adeguati, che dovrebbero essere approvati dall’organo di gestione.

Un ente dovrebbe disporre di un processo decisionale chiaro, trasparente e documentato e di una chiara ripartizione delle responsabilità e dell’autorità all’interno del suo quadro di controllo interno, incluse le sue linee di business, le unità interne e le funzioni di controllo interno.

Gli enti dovrebbero comunicare tali politiche, meccanismi e procedure a tutto il personale e ogniqualvolta vengano apportate modifiche sostanziali.

Nell’attuare il quadro di controllo interno, gli enti dovrebbero stabilire un’adeguata separazione delle funzioni (ad es. affidando a persone diverse le attività confliggenti nell’ambito dell’elaborazione delle operazioni o nella prestazione di servizi, oppure attribuendo a persone diverse le responsabilità di supervisione e di segnalazione relativamente ad attività confliggenti) e istituire barriere all’informazione, ad esempio attraverso la separazione fisica di taluni dipartimenti.

Le funzioni di controllo interno dovrebbero verificare che le politiche, i meccanismi e le procedure stabiliti nel quadro di controllo interno siano attuati correttamente nelle rispettive aree di competenza.

Le funzioni di controllo interno dovrebbero sottoporre regolarmente all’organo di gestione relazioni scritte sulle principali carenze individuate. Queste relazioni dovrebbero includere, per ciascuna nuova importante carenza individuata, i relativi rischi connessi, una valutazione d’impatto, le raccomandazioni e le misure correttive da adottare. L’organo di gestione dovrebbe dare seguito tempestivamente ed efficacemente alle risultanze evidenziate dalle funzioni di controllo interno e richiedere misure correttive adeguate. Dovrebbe essere messa in atto una procedura formale di follow-up sui risultati rilevati e sulle misure correttive adottate.