Nuovi standard per l’Internal Audit: una visione strategica del futuro

Il 9 gennaio scorso si è concluso il periodo di transizione e sono ufficialmente entrati in vigore i nuovi standard globali per l’Internal Audit elaborati dall’Institute of Internal Auditors (gli “Standard”).

La nuova versione attua una sostanziale riorganizzazione degli Standard (la cui versione precedente risale al 2017) e dei relativi documenti di corredo (ad es., Implementation Guides), unificandoli e razionalizzandoli nel tentativo di dare ulteriore slancio alla professione dell’Internal Auditing in un momento fondamentale per la sua crescita.

Al di là della nomenclatura e delle novità operative, ciò che veramente cambia nell’approccio degli Standard è la presa di consapevolezza dell’importanza strategica della funzione d’Internal Audit, tanto per la capacità di garantire, attraverso indipendenza ed autorevolezza, l’adeguata ed efficace implementazione della strategia dell’organizzazione, quanto per l’attitudine a proiettare quella stessa funzione di garanzia e senso di sicurezza verso gli stakeholders, la società civile ed il legislatore (nazionale o sovranazionale che sia). 

In questo senso, le principali novità degli Standard riguardano: 

• l’enfatizzazione del valore strategico dell’Internal Audit, attraverso la costruzione di un Piano di Audit basato sulla profonda conoscenza da parte del Chief Audit Executive (il “CAE”) dei meccanismi operativi e decisionali dell’organizzazione nonché l’elaborazione di una «strategia per la funzione Internal Audit» capace di allineare «gli obiettivi strategici e il successo dell’organizzazione», con le «aspettative del Board, del Top Management e degli altri stakeholder chiave».
• una maggiore attenzione per gli aspetti di trasparenza e comunicazione, sia internamente che esternamente, con l’intento di favorire un dialogo più aperto tra la funzione di Internal Audit e le altre aree dell’organizzazione, migliorando la condivisione delle informazioni e delle decisioni a livello complessivo, anche attraverso la promozione di un’etica condivisa e l’esercizio di un adeguato scetticismo professionale; 
• un approccio olistico e di ampio respiro nella gestione del rischio, sia in senso conservativo che evolutivo, rispettivamente valutando l’adeguatezza del sistema di controllo interno rispetto alle principali tipologie di rischio (finanziario e non) e considerando le possibili evoluzioni del business e del contesto in cui esso si colloca, a partire alle sfide legate all’innovazione tecnologica e ai rischi emergenti (ad es., cybersicurezza, digitalizzazione dei processi aziendali, eventi di portata globale, ecc.); inoltre, spetta al CAE verificare l’approccio dell’organizzazione al risk appetite condiviso; 
• la massimizzazione dell’autorevolezza della funzione d’Internal Audit e dei relativi Auditors, attraverso un’ulteriore stretta sui requisiti di indipendenza, oggettività, imparzialità, competenza e diligenza al fine di mantenere intatta ed inattaccabile la proiezione di sicurezza che la funzione di Internal Audit e gli Auditors sono chiamati a garantire, essendo capaci di resistere a pressioni e condizionamenti ed operando unicamente sulla base del proprio giudizio professionale, con l’obiettivo di verificare l’efficace attuazione degli obiettivi dell’organizzazione;
• l’enfatizzazione del miglioramento continuo e della formazione professionale che richiede la capacità della funzione di Internal Audit di fissare obiettivi strategicamente orientati rispetto ai quali misurare le proprie performance, nonché la necessità di pianificare l’aggiornamento e l’acquisizione delle competenze professionali necessarie a garantire l’efficacia della Strategia di Audit, anche in relazione ad un contesto globalizzato in continua evoluzione.

In questa prospettiva, emergono chiaramente le lezioni apprese nell’ultimo quinquennio; se gli standard precedenti si concentravano principalmente su rischi legati a compliance e governance, i nuovi Standard includono i rischi legati alle tecnologie emergenti (ad es.: cybersicurezza, intelligenza artificiale, protezione e gestione dei dati ed innovazione digitale), al cambiamento climatico o quelli derivanti da eventi globali imprevedibili (si pensi all’emergenza Covid-19 o alla situazione geopolitica sempre più instabile).

D’altronde, è facile immaginare che molte delle principali sfide del futuro ruoteranno attorno alla capacità delle organizzazioni di garantire un’adeguata raccolta ed elaborazione dei dati “strategici” (nel senso di capacità d’individuare, raccogliere ed elaborare adeguatamente i dati sulla base dei quali prendere decisioni di carattere programmatico e strategico), mantenendo al tempo stesso l’indipendenza, l’intraprendenza e la diversificazione decisionale tipiche dei contesti innovativi e imprenditoriali, senza schiacciarsi pedissequamente su soluzioni standardizzate offerte dalle nuove tecnologie.

Al di là dei possibili futuri, tuttavia, i nuovi Standards già tracciano questo solco, richiedendo alle funzioni d’Internal Audit di pianificare strategicamente i loro interventi, presupponendo una conoscenza trasversale e profonda del settore di operatività della singola organizzazione assolutamente non banale; proprio in tali contesti, l’intervento di un consulente esterno può giocare un ruolo fondamentale. 

Infatti, grazie ad una prospettiva multisettoriale e ad una metodologia attenta ai profili olistici delle organizzazioni, Grant Thornton non solo è in grado di accompagnare i propri clienti in un’approfondita Gap Analysis rispetto ai nuovi Standard, ma rappresenta un interlocutore privilegiato proprio per l’elaborazione di Piani di Audit strategicamente orientati.

Per dubbi, chiarimenti o, semplicemente, se desiderate saperne di più, vi invitiamo a leggere i prossimi approfondimenti o a contattarci ai recapiti indicati.