16. Funzione di audit interno

Laddove istituita, la funzione di audit interno dovrebbe essere indipendente e disporre di autorità, peso e risorse in misura sufficiente. In particolare, gli emittenti di ART dovrebbero garantire che le qualifiche del personale addetto alla funzione di audit interno e le risorse di quest’ultima, in particolare i suoi strumenti di audit e i metodi di analisi del rischio, siano adeguate alle dimensioni e alle sedi dell’emittente di ART, nonché alla natura, alla portata e alla complessità dei rischi associati al modello di business, alle attività, alla cultura del rischio e alla propensione al rischio dell’emittente di ART.

La funzione di audit interno dovrebbe essere indipendente dalle attività soggette ad audit. Pertanto, la funzione di audit interno non dovrebbe essere combinata con altre funzioni.

La funzione di audit interno dovrebbe, secondo un metodo basato sul rischio, riesaminare in modo indipendente e offrire una garanzia obiettiva della conformità di tutte le attività e le unità di un emittente di ART, incluso il ricorso a soggetti terzi, alle politiche e alle procedure dell’emittente di ART e agli obblighi normativi esterni.

La funzione di audit interno non dovrebbe essere coinvolta nello sviluppo, nella selezione, nella determinazione o nell’attuazione di politiche, meccanismi, procedure di controllo interno specifici o dei limiti di rischio. Tuttavia, ciò non dovrebbe impedire all’organo di amministrazione nella sua funzione di gestione di richiedere un contributo dalla funzione di audit interno su questioni legate al rischio, ai controlli interni e alla conformità alle norme applicabili.

La funzione di audit interno dovrebbe valutare se il quadro di controllo interno dell’emittente di ART, come descritto nel titolo V, sia efficiente ed efficace. In particolare, la funzione di audit interno dovrebbe valutare:

• a. l’adeguatezza del quadro di governance dell’emittente di ART;
• b. se le politiche e le procedure esistenti restino adeguate e conformi agli obblighi normativi e giuridici nonché alla strategia in materia di rischio e alla propensione al rischio dell’emittente di ART;
• c. la conformità delle procedure alle leggi e ai regolamenti applicabili e alle decisioni dell’organo di amministrazione;
• d. se le procedure siano attuate in modo corretto ed efficace (ad esempio la conformità delle operazioni, il livello di rischio realmente sostenuto, ecc.); e
• e. l’adeguatezza, la qualità e l’efficacia dei controlli eseguiti e delle segnalazioni effettuate dalle unità operative (prima linea di difesa) e dalle funzioni di gestione dei rischi e di conformità.

La funzione di audit interno dovrebbe verificare, in particolare, l’integrità dei processi che garantiscono l’affidabilità dei metodi e delle tecniche di quantificazione del rischio dell’emittente di ART, compresi i modelli. Essa dovrebbe inoltre valutare la qualità e l’uso di strumenti qualitativi di individuazione e valutazione dei rischi e le misure di mitigazione del rischio adottate.

La funzione di audit interno dovrebbe esaminare l’adeguatezza dei processi di elaborazione dei libri bianchi, la loro approvazione e i processi in base ai quali gli ART sono offerti al pubblico.

La funzione di audit interno dovrebbe avere un accesso illimitato a tutti i dati, i documenti, le informazioni e gli immobili dell’emittente di ART. Ciò dovrebbe includere l’accesso ai sistemi informativi gestionali e ai verbali di tutti i comitati e gli organi decisionali.

La funzione di audit interno dovrebbe rispettare gli standard professionali nazionali e internazionali. Un esempio di standard professionali cui si fa riferimento nel testo sono gli standard stabiliti dall’Institute of Internal Auditors.

L’attività di audit interno dovrebbe essere eseguita regolarmente sulla base di un piano di audit e di un dettagliato programma di audit che seguano un metodo basato sul rischio.

Almeno una volta all’anno dovrebbe essere redatto un piano di audit interno, sulla base degli obiettivi annuali di controllo di audit interno. Il piano di audit interno dovrebbe essere approvato dall’organo di amministrazione.

Tutte le raccomandazioni di audit dovrebbero essere oggetto di una procedura formale di follow-up da parte dei livelli di gestione appropriati, comunicata all’organo di amministrazione dell’emittente di ART e messa a disposizione dell’autorità competente per garantire e riferire in merito alla loro risoluzione efficace e tempestiva.