Dal controllo sulla gestione dei rischi all'attività di revisione interna nel caso dell'utilizzo dell'approccio VaR per la gestione dei rischi di mercato

The importance as cornerstone of efficient banking regulation attributed today to “rules of sound and prudent management” by regulatory authorities all over the world (starting with the Basel Committee), has lead to a new charter in the evolution of banking regulation. The point of departure lies not in the use of new tools of analysis - tools mostly yet to be defined 1 - but in the emphasis on a new role for regulatory bodies, particularly central banks. Thus, the effectiveness of issued regulation is to be measured in terms of effectiveness in promoting effective and efficient systems of internal controls, which in turn are to become governance levers for corporate growth and corporate strategic success. The relevance of the system of internal controls within an organization translates into an imperative effort on behalf of Internal Auditing and Risk Management at its proactive monitoring and at continuous optimization of business processes. The core of this thesis paper consists in the analysis and documentation of the evolution of the Internal Auditor as an internal consultant to the entire firm. The hands-on professional experience at the BNL Servizio Auditing Finanza has above all provided inspiration and documentation for such analytical objective. Furthermore, this thesis paper analyzes the Risk Management function, starting with the statement that nowadays a risk management system that allows for identification, measurement, management, and monitoring of potential risks represents a fundamental pre-requisite for both business success and survival, not to mention competitive advantage for banking institutions. As logical complement, the two-fold relationship that exists between Internal Auditing and Risk Management is also object of analysis in this thesis paper; on the one hand, the internal auditor can support risk management activities by means of its own professional skills, while on the other hand it is a natural beneficiary of the output of risk management activities in order to perform audit assignments. The change in audit methodology constitutes the focus of the case study at the end of the thesis paper. The use of a risk based and process oriented approach, besides allowing for comprehensive assessment of the system of internal controls as applied to a particular process, also adds value to assessment of first-level controls due to its articulated scoring system for identified residual risk, thus facilitating understanding and communication of business risks.

L'importanza che oggi le Autorità di vigilanza di tutto il mondo, e, in primis il Comitato di Basilea, attribuiscono alle "regole di sana e prudente gestione" come fondamento imprescindibile per una efficace vigilanza bancaria ha aperto un nuovo capitolo dell'evoluzione della regolamentazione bancaria. Nuovo non solo, o non tanto, per gli strumenti adottati - in larga parte ancora da definire 1 - ma soprattutto perché esso ha comportato un radicale cambiamento del ruolo assegnato ai soggetti responsabili della Vigilanza, e, in particolare, alle Banche Centrali Nazionali: l'efficacia della regolamentazione va valutata in funzione della sua capacità di promuovere, attraverso tutti gli strumenti di cui dispone, efficienti ed efficaci Sistemi di Controllo Interno che divengono in questo modo leve di governo su cui le banche devono puntare per la propria crescita e dunque per il raggiungimento degli obiettivi strategici d’impresa. La rilevanza del SCI all’interno dell’organizzazione determina che tutti gli attori che vi fanno parte, nel caso specifico di questa tesi l’Internal Auditing e il Risk management, devono contribuire attivamente al suo monitoraggio nel continuo e al miglioramento di tutti i processi aziendali. Il nucleo della tesi è stato pensato ed elaborato per verificare e conseguentemente evidenziare, grazie soprattutto all’esperienza maturata nel Servizio Auditing Finanza di BNL, come la figura dell’Auditor nell’ambito del SCI si sia sviluppata nel tempo, evolvendo verso quella di un vero e proprio consulente interno per tutta l’organizzazione. Ci si è inoltre soffermati sull’analisi della Funzione di Risk Management partendo dalla constatazione che oggi l’implementazione di un sistema di Risk Management che permetta l’individuazione, la misurazione, la gestione e la verifica costante dell’adeguatezza dei rischi assunti nella definizione ed esecuzione delle strategie di business, rappresenta un pre-requisito fondamentale per la sopravvivenza e l’affermazione dell’attività imprenditoriale, nonché un vantaggio competitivo per le aziende di credito. È sembrato dunque particolarmente interessante analizzare i rapporti tra Internal Auditing e Risk Management, alla luce della considerazione che il legame tra le due funzioni è di duplice natura: da un lato, il revisore interno può supportare, con le proprie competenze, le attività di valutazione, gestione e comunicazione del rischio; dall’altro, egli stesso può beneficiare degli output di tali processi per impostare gli interventi di Audit ed accrescere dunque l’efficacia del lavoro svolto e del sistema di controllo interno nel complesso. Nel Case Study presentato a conclusione della tesi si è voluto poi dare risalto a come sia cambiato il modo di fare Auditing nel concreto: l’adozione della metodologia risk based e process oriented oltre a consentire una valutazione complessiva del Sistema dei Controlli sui rischi di un intero processo analizzato, arricchisce il giudizio sui controlli a presidio dei rischi di importanti elementi quantitativi, in quanto le valutazioni, espresse comunque sulla base di elementi soggettivi, sono sintetizzate da scores relativi ai rischi (residui) individuati, con innegabili vantaggi in termini di comprensione del fenomeno e di immediatezza espositiva. Parole chiave: Corporate Governance, SCI, Internal Auditing, Risk Management, VaR, Rischi di mercato, Metodologia di Auditing, Processo. 1. Ci si riferisce ai modelli interni.