20 Funzione di audit interno

Laddove istituita, la funzione di audit interno dovrebbe essere indipendente e disporre di autorità, levatura e risorse in misura sufficiente. In particolare, l’impresa di investimento dovrebbe garantire che le qualifiche del personale addetto alla funzione di audit interno e le risorse di quest’ultima, in particolare i suoi strumenti di audit e i metodi di analisi del rischio, siano adeguate alle dimensioni e alle sedi dell’impresa di investimento, nonché alla natura, alla portata e alla complessità dei rischi associati al modello di business, alle attività, alla cultura del rischio e alla propensione al rischio dell’impresa di investimento.

La funzione di audit interno dovrebbe essere indipendente dalle attività soggette ad audit. Pertanto, la funzione di audit interno non dovrebbe essere combinata con altre funzioni.

La funzione di audit interno dovrebbe, secondo un metodo basato sul rischio, riesaminare in modo indipendente e offrire una garanzia obiettiva della conformità di tutte le attività e le unità di un’impresa di investimento, incluse le attività esternalizzate, alle politiche e alle procedure dell’impresa di investimento e agli obblighi normativi esterni. Ciascuna entità all’interno del gruppo dovrebbe rientrare nella sfera di competenza della funzione di audit interno.

La funzione di audit interno non dovrebbe essere coinvolta nello sviluppo, nella selezione, nella determinazione o nell’attuazione di politiche, meccanismi, procedure di controllo interno specifici o dei limiti di rischio. Tuttavia, ciò non dovrebbe impedire all’organo di gestione nella sua funzione di gestione di richiedere un contributo dalla funzione di audit interno su questioni legate al rischio, ai controlli interni e alla conformità alle norme applicabili.

La funzione di audit interno dovrebbe valutare se il quadro di controllo interno dell’impresa di investimento, come descritto alla sezione 15, sia efficiente ed efficace. In particolare, la funzione di audit interno dovrebbe valutare:

• a. l’adeguatezza del quadro di governance dell’impresa di investimento;
• b. se le politiche e le procedure esistenti restino adeguate e conformi agli obblighi normativi e giuridici nonché alla strategia in materia di rischio e alla propensione al rischio dell’impresa di investimento;
• c. la conformità delle procedure alle leggi e ai regolamenti applicabili e alle decisioni dell’organo di gestione;
• d. se le procedure siano attuate in modo corretto ed efficace (ad esempio la conformità delle operazioni, il livello di rischio realmente sostenuto, ecc.); e
• e. l’adeguatezza, la qualità e l’efficacia dei controlli eseguiti e delle segnalazioni effettuate dalle unità operative (prima linea di difesa) e dalle funzioni di gestione dei rischi e di conformità.

La funzione di audit interno dovrebbe verificare, in particolare, l’integrità dei processi che garantiscono l’affidabilità dei metodi e delle tecniche dell’impresa di investimento, e delle ipotesi e delle fonti di informazioni utilizzate nei modelli interni (ad es. la modellazione dei rischi e le misurazioni contabili). Essa dovrebbe inoltre valutare la qualità e l’uso di strumenti qualitativi di individuazione e valutazione dei rischi e le misure di mitigazione del rischio adottate.

La funzione di audit interno dovrebbe avere un accesso illimitato a tutti i dati, i documenti, le informazioni e gli immobili delle imprese di investimento. Ciò dovrebbe includere l’accesso ai sistemi informativi gestionali e ai verbali di tutti i comitati e gli organi decisionali.

La funzione di audit interno dovrebbe rispettare gli standard professionali nazionali e internazionali. Un esempio di standard professionali cui si fa riferimento nel testo sono gli standard stabiliti dall’ Institute of Internal Auditors .

L’attività di audit interno dovrebbe essere eseguita sulla base di un piano di audit e di un dettagliato programma di audit che seguano un metodo basato sul rischio.

Almeno una volta all’anno dovrebbe essere redatto un piano di audit interno, sulla base degli obiettivi annuali di controllo di audit interno. Il piano di audit interno dovrebbe essere approvato dall’organo di gestione.

Tutte le raccomandazioni in materia di audit dovrebbero essere sottoposte a una procedura formale di follow-up da parte dei livelli appropriati della dirigenza, al fine di garantire e riferire in merito alla loro efficace e tempestiva attuazione.