• compliance
• coso report
• enterprise risk management
• internal audit
• primo livello
• risk management
• secondo livello
• sistema di controllo interno
• standard
• terzo livello

Definiamo il Sistema di Controllo Interno come l’insieme delle strutture organizzative, delle procedure e delle regole che complessivamente presiedono al corretto funzionamento e al buon andamento dell’impresa, nel contesto economico e normativo di riferimento.
Nell'ambito della tesi sono state evidenziate le caratteristiche del Sistema di Controllo Interno nel suo complesso, determinandone sviluppo e funzioni, nonché gli attori coinvolti.
In particolare, ci siamo soffermati sulla rilevanza dell’Enterprise Risk Management, ossia del processo posto in essere dal Consiglio di Amministrazione, dal management e da altri operatori della struttura aziendale, utilizzato per la definizione delle strategie in tutta l’organizzazione.
La struttura del modello di controllo interno viene proposta nel 1992 dal CoSO Report, elaborato dal Committee of Sponsoring Organization of the Treadway Commission, nel quale vengono definite le principali componenti attraverso una rappresentazione a matrice tridimensionale avente lo scopo di far comprendere i collegamenti che si creano tra obiettivi, componenti e attività riguardanti il Sistema di Controllo Interno. Negli il CoSO report è stato rivisto in conseguenza dell’evoluzione del contesto interno ed esterno alle aziende (vengono presi in considerazione i Report del 1992, del 2004, del 2013 e del 2017).
Con riguardo al piano organizzativo, vengono individuate tre linee di controllo: primo livello definito “prima linea di difesa”, diretto ad assicurare il corretto svolgimento delle operazioni e garantito dal rispetto delle normative di riferimento e dalle regole interne dell’impresa. I controlli di primo Livello producono informazioni definite fondamentali per riallineare i processi operativi alle esigenze aziendali che si presentano con il passare del tempo. Inoltre, consentono ai vertici aziendali di determinare azioni relative al cambiamento delle condizioni ed eventuale aumento del rischio, in modo tempestivo. Il secondo livello rappresenta i controlli che sono finalizzati al monitoraggio e alla gestione dei rischi tipici aziendali, quali il rischio operativo, il rischio finanziario, il rischio di mercato, il rischio di (non) conformità, etc. in particolare, in questo tipo di controlli le figura che rivestono maggior rilievo sono: Risk Management che definisce le metodologie di misurazione del rischio, verifica il rispetto dei limiti assegnati alle varie funzioni operative e controlla la coerenza dell'operatività delle singole aree produttive con gli obiettivi di rischio rendimento assegnati; Funzione di Compliance si occupa della definizione delle metodologie di misurazione/valutazione del rischio di conformità, attraverso l’individuazione di misure volte a mitigare i rischi significativi e rispettando le leggi e i regolamenti; Dirigente Preposto alla redazione dei documenti contabili societari, che si occupa di attestare e dichiarare l’informativa contabile societaria secondo quanto previsto dalla legge. Il Terzo livello è rappresentato dall'Internal Audit, che fornisce agli Organi Aziendali una valutazione indipendente del Sistema di Controllo Interno, dei processi e della Governance Aziendale.
Infine, si è voluto dare particolare rilevanza alla funzione di Internal Audit svolge “un’attività indipendente e obiettiva di assurance e consulenza, finalizzata al miglioramento dell’efficacia e dell’efficienza dell’organizzazione. Assiste l’organizzazione nel perseguimento dei propri obiettivi tramite un approccio professionale sistematico, che genera valore aggiunto, in quanto finalizzato a valutare e migliorare i processi di controllo, di gestione dei rischi e di corporate governance”. Quindi la finalità primaria si individua nell'apportare un miglioramento dell’efficienza e dell’efficacia dell’organizzazione, attraverso l’accettazione di obiettivi specifici dei singoli processi, in relazione a quelli che sono i mezzi che vengono predisposti per raggiungerli.
Si evidenzia la presenza di diverse tipologie di Audit le quali vengono suddivise in relazione all’oggetto, ossia Financial, Management, Operational Auditing; oppure in relazione agli obiettivi da conseguire, come il Compliance Auditing e infine, come IT Audit e Fraud Audit.
L’attività di internal audit si fonda sul rispetto degli Standard Internazionali per la pratica professionale dell’Internal Auditing definiti dall’Institute of Internal Auditors, in particolare sono stati enunciati dall’Internal Auditing Standard Board, il quale si occupare di revisionarli con regolarità. Tali standard hanno lo scopo di promuovere l’adesione agli elementi vincolanti dell’IPPF; definire i parametri per la valutazione della prestazione dell’internal audit e promuovere il miglioramento dei processi e delle attività della società. Gli Standard vengono suddivisi in: Standard di Connotazione, che identificano le caratteristiche della Funzione di Internal Audit nella governance aziendale e le conoscenze che le organizzazioni e i soggetti che si occupano di Audit devono possedere; Standard di Prestazione, che specificano i criteri qualitativi e l’approccio sistematico col quale svolgere l’attività; Standard Applicativi, si occupano di dettagliare i contenuti degli Standard precedentemente nominati, stabilendo requisiti, regole, formulari relativi alle attività di consulenza e assurance a seconda dei settori di applicazione.
Infine, vengono analizzate le fasi del processo di Audit, ovvero: Pianificazione, in cui gli internal auditor hanno il compito di recuperare le informazioni generali e definiscono l’Audit Universe (insieme degli elementi che possono essere o saranno oggetto di audit); Esecuzione, nella quale viene determinato un piano di lavoro e dove verranno posti in essere i primi controlli specificati in sede di definizione del piano di audit; Reporting, ossia la stesura di un Report e la divulgazione dei risultati ottenuti; infine, Follow-up, la quale si caratterizza per essere la fase conclusiva e continuativa, poiché verifica il rispetto e l’attuazione del piano di azione concordato con il management oggetto di audit.