Governance
Processi di governance
«Valuta l’adeguatezza delle strutture di governance, la rendicontazione all’organo di governo e la cultura di integrità dell’organizzazione.»
Internal audit (revisione interna), la terza linea di assurance della compliance
Ti aiutiamo a progettare e gestire la funzione di internal audit come terza linea del Modello delle Tre Linee: assurance indipendente su governance, gestione dei rischi e controllo interno, con piano basato sui rischi, reporting al comitato di audit e audit del sistema di compliance.
Consulenza gratuita
Ti rispondiamo entro 24 ore
- Principi del Modello IIA
- 6 principi
- Pubblicazione del Modello IIA
- Luglio 2020
- Comitato di audit (LSC)
- Art. 529 quaterdecies
- Norma sul sistema di compliance
- ISO 37301
Servizi
Come lavoriamo sulla tua funzione di internal audit
Sei blocchi per progettare e gestire l’internal audit come terza linea di assurance, dallo statuto e dal piano basato sui rischi fino all’audit del sistema di compliance e al follow-up delle raccomandazioni.
Funzione
Progettazione della funzione di internal audit
Definiamo lo statuto, il mandato, la collocazione organizzativa e l’indipendenza dell’internal audit come terza linea all’interno del Modello delle Tre Linee.
Scopri di più →
3ª lineaStatutoIndipendenzaIIA
Piano
Piano annuale di audit basato sui rischi
Costruiamo il piano di audit a partire dalla mappa dei rischi dell’organizzazione, dando priorità alle aree di maggiore esposizione e allineandolo agli obiettivi.
Scopri di più →
Piano annualeRischiPriorità
Reporting
Indipendenza e reporting al comitato di audit
Garantiamo il reporting funzionale all’organo di governo o al comitato di audit e l’accesso senza restrizioni, elementi chiave dell’indipendenza.
Scopri di più →
ComitatoReporting
Sistema
Audit del sistema di compliance
Svolgiamo l’internal audit del sistema di gestione della compliance in conformità a ISO 37301 e UNE 19601, nell’ambito della valutazione delle prestazioni.
Scopri di più →
ISO 37301UNE 19601
Penale
Verifica del modello di prevenzione dei reati
Verifichiamo in modo indipendente l’efficacia del modello di organizzazione e gestione, a supporto della sua revisione periodica.
Scopri di più →
Art. 31 bis Codice penaleModello
Follow-up
Follow-up delle raccomandazioni
Implementiamo il follow-up delle raccomandazioni e dei piani d’azione e ci coordiniamo con le indagini interne quando serve.
Scopri di più →
RaccomandazioniFollow-up
Cosa copre
Cosa valuta l’internal audit
La terza linea fornisce assurance sull’adeguatezza e sull’efficacia dei processi di governance, gestione dei rischi e controllo, e crea valore con una consulenza indipendente.
Rischi
Gestione dei rischi
«Verifica se la gestione dei rischi identifica, valuta e tratta in modo adeguato le esposizioni dell’organizzazione, in modo indipendente dalla direzione.»
Controllo
Controllo interno
«Verifica il disegno e l’efficacia operativa dei controlli interni che mitigano i rischi rilevanti del business.»
Compliance
Sistema di compliance
«Sottopone ad audit il sistema di gestione della compliance (ISO 37301 / UNE 19601) e l’efficacia del modello di prevenzione dei reati.»
Perché è importante
Perché l’internal audit è fondamentale?
Senza una terza linea indipendente, l’organo di governo non dispone di un’assurance oggettiva sul funzionamento dei controlli. Un internal audit ben progettato tutela il consiglio e rafforza la credibilità della compliance.
Senza la 3ª linea, il consiglio procede alla cieca: l’internal audit offre l’assurance indipendente che né la direzione né le funzioni di controllo possono dare su se stesse.
Confondere la 2ª e la 3ª linea: compliance e gestione dei rischi fanno parte della direzione; l’internal audit deve restare indipendente per mantenere il proprio valore.
L’indipendenza si perde facilmente: se l’internal audit assume compiti di gestione, non può più dare assurance oggettiva su quelle stesse attività.
Modello Tre Linee
6 principi
Il Modello delle Tre Linee dell’IIA (2020) si fonda su sei principi e colloca l’internal audit come terza linea.
Art. 529 quaterdecies LSC
Società quotate
Nelle società quotate, il comitato di audit vigila sull’efficacia del controllo interno, dell’internal audit e della gestione dei rischi.
Raccomandazioni
Con follow-up
Un audit senza follow-up delle raccomandazioni perde valore: il ciclo si chiude verificando che le carenze vengano corrette.
La tua organizzazione ha bisogno di una funzione di internal audit?
Che tu parta da zero o voglia rafforzare una funzione esistente, ti aiutiamo a progettarla, a darle indipendenza e a costruire un piano di audit basato sui rischi che dia al consiglio un’assurance reale.
Domande frequenti
Internal audit: i dubbi più comuni
Che cos’è l’internal audit?
È una funzione indipendente e oggettiva di assurance e consulenza che valuta l’adeguatezza e l’efficacia dei processi di governance, gestione dei rischi e controllo interno, e crea valore per l’organizzazione.
Che cos’è il Modello delle Tre Linee e dove si colloca?
È il framework dell’IIA (2020) che organizza i ruoli: la prima linea gestisce, la seconda linea controlla e supporta (compliance, rischi) e la terza linea è l’internal audit, che offre assurance indipendente.
In che cosa si differenzia dalla 2ª linea?
Le funzioni di 2ª linea (compliance, gestione dei rischi) fanno parte della direzione. L’internal audit si distingue per la sua indipendenza dalla direzione, che gli permette di dare assurance in modo oggettivo.
In che cosa si differenzia dalla revisione legale dei conti?
La revisione legale dei conti (esterna) esprime un giudizio sul bilancio ed è svolta da un revisore esterno indipendente. L’internal audit è una funzione della stessa organizzazione che copre governance, rischi e controllo, non solo l’ambito finanziario.
A chi riporta l’internal audit?
Funzionalmente, all’organo di governo o al comitato di audit; amministrativamente, all’alta direzione. Questo riporto e l’accesso senza restrizioni a persone, dati e risorse ne salvaguardano l’indipendenza.
È obbligatorio?
Nelle società quotate e negli enti di interesse pubblico, il comitato di audit deve vigilare sull’internal audit (art. 529 quaterdecies LSC). In generale è una raccomandazione di buon governo e, nei sistemi di compliance certificabili (ISO 37301 / UNE 19601), l’internal audit del sistema è obbligatorio.
Quali norme lo disciplinano?
Gli Standard internazionali per la pratica professionale dell’internal auditing dell’IIA e il Modello delle Tre Linee, integrati, per le società quotate, dal Codice di buon governo della CNMV.
Si può esternalizzare?
Sì. La funzione può essere esternalizzata in tutto o in parte (co-sourcing o outsourcing) a un terzo qualificato, mantenendo l’indipendenza e il reporting all’organo di governo.
Altre domande correlate
CAE, piano basato sui rischi e assurance
Che cos’è il CAE (chief audit executive), il responsabile dell’internal audit?
È il chief audit executive, il responsabile della funzione. Guida l’internal audit, propone il piano e riferisce all’organo di governo o al comitato di audit.
Che cos’è un piano di audit basato sui rischi?
È il piano che dà priorità agli interventi di audit in base al livello di rischio di ciascuna area o processo, allineandosi alla mappa dei rischi e agli obiettivi dell’organizzazione.
L’internal audit presta servizi di «assurance» e di «consulenza»?
Sì. Presta servizi di assurance (valutazione oggettiva per esprimere un’opinione) e di consulenza (supporto per migliorare i processi), preservando sempre la propria indipendenza.
Che rapporto c’è tra internal audit e mappa dei rischi?
La mappa dei rischi alimenta il piano di audit: le aree di maggiore esposizione vengono sottoposte ad audit con più frequenza e in modo più approfondito. L’audit, a sua volta, valuta se la gestione dei rischi funziona.
Le società non quotate devono averlo?
In linea generale no, ma è molto raccomandabile: dà assurance all’organo di amministrazione e rafforza il sistema di compliance, soprattutto nelle organizzazioni con rischi rilevanti.
Che rapporto ha con il modello di prevenzione dei reati?
L’internal audit può verificare in modo indipendente l’efficacia del modello di organizzazione e gestione (art. 31 bis del Codice penale spagnolo), a supporto della sua revisione periodica e della sua credibilità verso i terzi.
Il Modello delle Tre Linee
Prima, seconda e terza linea a confronto
Capire dove si colloca ciascuna funzione evita sovrapposizioni e zone scoperte. Ti aiutiamo a collocare l’internal audit e a delimitarlo rispetto alle altre linee.
Cosa determina la portata del progetto
Progettare e gestire l’internal audit dipende dalle dimensioni dell’organizzazione, dal suo profilo di rischio e dal fatto che la funzione sia interna o esternalizzata.
- Funzione
- Statuto, indipendenza e collocazione organizzativa.
- Piano
- Piano annuale basato sulla mappa dei rischi.
- Esecuzione
- Numero e complessità degli interventi di audit.
- Modello
- Interna, co-sourcing o esternalizzazione.
Come lavoriamo sulla funzione
Partiamo dallo statuto e dall’indipendenza, costruiamo il piano basato sui rischi e lasciamo a regime il ciclo di lavoro e il follow-up.
- Statuto, mandato e indipendenza della funzione.
- Piano annuale di audit basato sui rischi.
- Esecuzione, relazione e follow-up delle raccomandazioni.
| Funzione | 1ª linea | 2ª linea | 3ª linea (internal audit) | Revisione esterna |
|---|---|---|---|---|
| Ruolo | Gestione e assunzione dei rischi | Controllo e conformità | Assurance indipendente | Giudizio sul bilancio |
| Indipendente dalla direzione | No | Parziale | Sì | Sì (esterna) |
| Riporta a | Direzione | Direzione | Organo di governo / comitato | Assemblea dei soci / comitato di audit |
| Esempio | Attività operativa del business | Compliance, gestione dei rischi | Funzione di internal audit | Revisore legale dei conti |
| Quadro di riferimento | Procedure interne | Politiche di controllo | Standard IIA / Tre Linee | Normativa sulla revisione legale dei conti |
Tabella indicativa basata sul Modello delle Tre Linee dell’IIA (2020). La portata concreta di ciascuna funzione dipende dalla struttura e dal profilo di rischio di ogni organizzazione.
Guida operativa
Come implementare la funzione di internal audit: guida pratica
Un internal audit utile non si improvvisa: servono uno statuto che ne garantisca l’indipendenza, un piano basato sui rischi, un’esecuzione metodica e un follow-up che chiuda il ciclo verificando che le carenze vengano corrette.
Definisci la funzione
Lo statuto fissa lo scopo, l’autorità e la responsabilità dell’internal audit, la sua indipendenza e il suo riporto all’organo di governo o al comitato di audit.
Pianifica ed esegui
Il piano annuale si costruisce sulla mappa dei rischi. Gli interventi si svolgono con un approccio sistematico e disciplinato e si concludono con relazioni dalle osservazioni chiare.
Riferisci e fai il follow-up
Le osservazioni vengono comunicate alla direzione e all’organo di governo e le raccomandazioni sono seguite fino a verificarne l’implementazione.
Checklist della funzione di internal audit in 10 passi
- Statuto: approvare lo statuto dell’internal audit e il relativo mandato.
- Indipendenza: fissare il reporting all’organo di governo o al comitato di audit.
- Risorse: assegnare mezzi, competenze e accesso senza restrizioni.
- Rischi: partire dalla mappa dei rischi dell’organizzazione.
- Piano: redigere il piano annuale di audit basato sui rischi.
- Programma: definire il programma di ogni intervento (obiettivi e ambito).
- Esecuzione: raccogliere evidenze sufficienti e documentare il lavoro.
- Relazione: emettere conclusioni, osservazioni e raccomandazioni.
- Follow-up: verificare l’implementazione delle raccomandazioni.
- Miglioramento: valutare e migliorare la qualità della funzione stessa.
Se vuoi progettare o rafforzare la tua funzione, consulta la nostra area di corporate compliance o la mappa dei rischi.
L’internal audit in pratica
Dal piano al follow-up delle raccomandazioni
La funzione di internal audit si regge su quattro elementi: pianificare in base al rischio, eseguire il lavoro, riferire alla governance e seguire le raccomandazioni. Ecco il pannello visivo di come si mette in pratica.
1) PianificarePianificare: in base al rischio
Il piano annuale dà priorità ad aree e processi in base al loro livello di rischio, in linea con la mappa dei rischi e con gli obiettivi.
- Mappa dei rischi
- Piano annuale
- Prioritizzazione
2) EseguireEseguire: evidenze e rigore
Ogni intervento definisce obiettivi e ambito, raccoglie evidenze sufficienti e documenta i rilievi con un approccio sistematico.
- Programma di lavoro
- Evidenze
- Carte di lavoro
3) RiferireRiferire: alla governance
Le osservazioni e le raccomandazioni vengono comunicate alla direzione e all’organo di governo per promuovere il miglioramento continuo.
- Osservazioni
- Raccomandazioni
- Reporting al comitato
4) SeguireSeguire: chiudere il ciclo
Il valore dell’audit si concretizza quando si verifica che le raccomandazioni siano implementate e che le carenze siano corrette. Il follow-up chiude il ciclo e alimenta il miglioramento continuo.
Consiglio: un registro delle raccomandazioni con responsabile, scadenza e stato evita che i rilievi si perdano da un esercizio all’altro.
Decisione rapidaMappa pratica: interna o esterna?
Organizzazione con funzione propria
Internal audit interno, con reporting al comitato.
Risorse limitate
Co-sourcing o esternalizzazione a un terzo qualificato.
Sistema di compliance
Internal audit del sistema (ISO 37301 / UNE 19601).
Playbook di internal audit
La funzione di internal audit, fase per fase
Statuto
Approvare il mandato, l’indipendenza e il reporting della funzione.
Statuto dell’internal audit approvato.
Pianificazione
Costruire il piano annuale a partire dalla mappa dei rischi.
Piano annuale basato sui rischi.
Esecuzione
Svolgere gli interventi, raccogliere evidenze e documentare i rilievi.
Programmi e carte di lavoro.
Relazione
Comunicare osservazioni e raccomandazioni alla governance.
Relazioni di audit.
Monitoraggio
Verificare l’implementazione delle raccomandazioni.
Registro di follow-up delle raccomandazioni.
Errori frequenti nell’internal audit
Individuali prima che tolgano valore alla funzione.
- Far sì che l’internal audit assuma compiti di gestione e perda indipendenza.
- Pianificare senza partire dalla mappa dei rischi dell’organizzazione.
- Confondere la 2ª linea (compliance, rischi) con la 3ª linea.
- Riportare alla direzione invece che all’organo di governo o al comitato.
- Emettere raccomandazioni senza un follow-up che chiuda il ciclo.
Glossario operativo
Concetti chiave dell’internal audit
Se stai per progettare o rafforzare la tua funzione di internal audit, questi termini compaiono nel Modello delle Tre Linee e negli standard dell’IIA. Capirli aiuta a costruire una funzione solida.
Internal auditBase
Funzione di internal audit
Attività indipendente e oggettiva di assurance e consulenza su governance, gestione dei rischi e controllo.
Terza linea del modello.
3 LineeQuadro
Modello delle Tre Linee
Framework dell’IIA (2020) che organizza i ruoli di governance, gestione e assurance attorno a sei principi.
Aggiorna le «tre linee di difesa».
3ª lineaRuolo
Terza linea
Ruolo di assurance indipendente che spetta all’internal audit, separato dalle responsabilità della direzione.
Indipendenza dalla direzione.
CAERuolo
Chief audit executive
Responsabile della funzione di internal audit; propone il piano e riferisce all’organo di governo o al comitato.
Guida la 3ª linea.
AssuranceServizio
Assurance e consulenza
L’internal audit presta servizi di assurance (opinione oggettiva) e di consulenza (supporto al miglioramento).
Assurance + advisory.
StatutoMandato
Statuto dell’internal audit
Documento che fissa lo scopo, l’autorità, la responsabilità e l’indipendenza della funzione.
Approvato dalla governance.
PianoRischi
Piano basato sui rischi
Piano annuale che dà priorità agli interventi di audit in base al rischio di ciascuna area o processo.
Si alimenta della mappa dei rischi.
ComitatoGovernance
Comitato di audit
Commissione del consiglio che, nelle società quotate, vigila sul controllo interno, sull’internal audit e sulla gestione dei rischi.
Art. 529 quaterdecies LSC.
IndipendenzaPrincipio
Indipendenza
Assenza di interferenze e reporting all’organo di governo; è fondamentale per l’oggettività, l’autorevolezza e la credibilità.
Tutela il valore della funzione.
Contatti
Prenota una chiamata
Raccontaci come sta la tua funzione di internal audit e ti aiutiamo a progettarla, a darle indipendenza e a costruire un piano di audit basato sui rischi.
Quadro di riferimento dell’internal audit: Modello delle Tre Linee, standard IIA e comitato di audit
L’internal audit è una funzione indipendente e oggettiva di assurance e consulenza che valuta l’adeguatezza e l’efficacia dei processi di governance, gestione dei rischi e controllo di un’organizzazione. Il suo quadro di riferimento internazionale è costituito dagli Standard dell’Institute of Internal Auditors (IIA) e dal Modello delle Tre Linee.
Il Modello delle Tre Linee
A luglio 2020 l’IIA ha pubblicato il Modello delle Tre Linee come aggiornamento del precedente modello delle «tre linee di difesa», fondato su sei principi. La prima linea gestisce e assume rischi; la seconda linea fornisce controllo e conformità (compliance, gestione dei rischi); e la terza linea è l’internal audit, che offre assurance indipendente e oggettiva e riferisce all’organo di governo e alla direzione per promuovere il miglioramento continuo.
Indipendenza e comitato di audit
L’indipendenza dell’internal audit rispetto alle responsabilità della direzione è fondamentale per la sua oggettività, autorevolezza e credibilità e si tutela con il reporting all’organo di governo e con l’accesso senza restrizioni a persone, dati e risorse. Nelle società quotate, l’articolo 529 quaterdecies della Legge sulle società di capitali (LSC) attribuisce al comitato di audit la vigilanza sull’efficacia del controllo interno, dell’internal audit e dei sistemi di gestione dei rischi, criterio sviluppato dalla Guida tecnica 3/2017 della CNMV.
Internal audit e compliance
Nei sistemi di gestione della compliance, l’internal audit del sistema è un elemento obbligatorio della valutazione delle prestazioni ai sensi delle norme ISO 37301 e UNE 19601 e può verificare in modo indipendente l’efficacia del modello di organizzazione e gestione ai fini dell’articolo 31 bis del Codice penale spagnolo.