22 Funzione di audit interno

Gli enti dovrebbero istituire una funzione di audit interno indipendente ed efficace, tenendo conto dei criteri di proporzionalità di cui al titolo I, e nominare una persona che assuma la responsabilità di tale funzione in seno all’ente. La funzione di audit interno dovrebbe essere indipendente e disporre di autorità, peso e risorse in misura sufficiente. In particolare, l’ente dovrebbe garantire che le qualifiche del personale addetto alla funzione di audit interno e le risorse di quest’ultima, in particolare i suoi strumenti di audit e i metodi di analisi del rischio, siano adeguate alle dimensioni e alle sedi dell’ente, nonché alla natura, alla portata e alla complessità dei rischi associati al modello di business, alle attività, alla cultura del rischio e alla propensione al rischio dell’ente.

La funzione di audit interno dovrebbe essere indipendente dalle attività soggette ad audit. Pertanto, la funzione di audit interno non dovrebbe essere combinata con altre funzioni.

La funzione di audit interno dovrebbe, secondo un approccio basato sul rischio, riesaminare in modo indipendente e offrire una garanzia obiettiva della conformità di tutte le attività e le unità di un ente, incluse le attività esternalizzate, alle politiche e alle procedure dell’ente e ai requisiti normativi. Ciascuna entità all’interno del gruppo dovrebbe rientrare nella sfera di competenza della funzione di audit interno.

La funzione di audit interno non dovrebbe essere coinvolta nello sviluppo, nella selezione, nella determinazione e nell’attuazione di politiche, meccanismi e procedure di controllo interno specifici e dei limiti di rischio. Tuttavia, ciò non dovrebbe impedire all’organo di gestione nella sua funzione di gestione di richiedere un contributo dalla funzione di audit interno su questioni legate al rischio, ai controlli interni e alla conformità alle norme applicabili.

La funzione di audit interno dovrebbe valutare se il quadro di controllo interno dell’ente, come descritto alla sezione 15, sia efficiente ed efficace. In particolare, la funzione di audit interno dovrebbe valutare:

• a. l’adeguatezza del quadro di governance dell’ente;
• b. se le politiche e le procedure esistenti restino adeguate e conformi ai requisiti di legge e normativi e alla strategia in materia di rischio e alla propensione al rischio dell’ente;
• c. la conformità delle procedure alle leggi e ai regolamenti applicabili e alle decisioni dell’organo di gestione;
• d. se le procedure siano attuate in modo corretto ed efficace (ad es. la conformità delle operazioni, il livello di rischio realmente sostenuto, ecc.);
• e. l’adeguatezza, la qualità e l’efficacia dei controlli eseguiti e delle segnalazioni effettuate dalle unità operative di difesa e dalle funzioni di gestione dei rischi e di conformità.

La funzione di audit interno dovrebbe verificare, in particolare, l’integrità dei processi che garantiscono l’affidabilità dei metodi e delle tecniche dell’ente, e delle ipotesi e delle fonti di informazioni utilizzate nei modelli interni (ad es. la modellazione dei rischi e le misurazioni contabili). Essa dovrebbe inoltre valutare la qualità e l’uso di strumenti qualitativi di individuazione e valutazione dei rischi e le misure di mitigazione del rischio adottate.

La funzione di audit interno dovrebbe avere un accesso illimitato a tutti i dati, i documenti, le informazioni e gli immobili dell’ente. Ciò dovrebbe includere l’accesso ai sistemi informativi gestionali e ai verbali di tutti i comitati e gli organi decisionali.

La funzione di audit interno dovrebbe rispettare gli standard professionali nazionali e internazionali, quali ad esempio quelli stabiliti dall’Institute of Internal Auditors.

L’attività di audit interno dovrebbe essere eseguita sulla base di un piano di audit e di un dettagliato programma di audit che seguano un approccio basato sul rischio.

Almeno una volta all’anno dovrebbe essere redatto un piano di audit interno, sulla base degli obiettivi annuali di controllo di audit interno. Il piano di audit interno dovrebbe essere approvato dall’organo di gestione.

Tutte le raccomandazioni in materia di audit dovrebbero essere sottoposte a una procedura formale di follow-up da parte dei livelli appropriati della dirigenza, al fine di garantire e riferire in merito alla loro efficace e tempestiva attuazione.