Come si dovrà concentrare l impegno dell audit

Transcript

1 Come si dovrà concentrare l impegno dell audit Carolyn Dittmeier Convegno Nazionale Associazione Italiana Information Systems Auditors 19 maggio

2 AGENDA L importanza della cultura aziendale sulle scelte di audit Strategia di approccio Il caso Che tipologia di audit Su quali processi impegnarsi Quali fattori di rischio per determinare le priorità Quanto tempo dedicare al reporting Quanto formazione Information Systems Auditing: quanto e come impegnarsi nel sistema complessivo 2

3 3 Quanto è importante la cultura aziendale sulle scelte di audit

4 Evoluzione dei Sistemi di Controllo Interno AMBIENTE/ CONTESTO DI RIFERIMENTO STATICO E PREVEDIBILE DINAMICO ALTAMENTE COMPETITIVO MODELLO DI BUSINESS FUNZIONALE (è l impresa che guida) DIVISIONALE (è il mercato che guida) FOCUS SU GOVERNO DEI RISCHI SISTEMA DI CONTROLLO VERIFICA DEL RISPETTO DELLE NORME SISTEMI DI RILEVAZIONE CONTABILE VERIFICA DEL SISTEMA DI CONTROLLO INTERNO E DEL RAGGIUNGIMENTO OBIETTIVI IDENTIFICAZIONE, VALUTAZIONE E GESTIONE DEI RISCHI 4

5 Strategia di approccio Che tipologia di audit? 5

6 Visione d insieme Compliance Audit Monitoraggio a Distanza Adeguatezza della strutturazione del Sistema di Controllo Interno Operational e IT Audit Affidabilità/Funzionamento del Sistema di Controllo Interno 6

7 Caso di studio Poste Italiane Le scelte sugli indirizzi dell impegno e perché 7

8 Caso di Studio Poste Italiane: Impegno Risorse Ante 2002 Fraud Identification 35% Compliance 29% Inchieste illeciti 35% Operational audit 1% 8

9 Caso di Studio Poste Italiane: Impegno Risorse Post 2004 Operational 10% Progetti di Sviluppo 6% Com pliace Mirato 18% Audit Preventivo 14% Com pliance Com pleto 52% 9

10 La struttura dell Internal Auditing in Poste Italiane AMMINISTRATORE DELEGATO E DIRETTORE GENERALE DIREZIONE INTERNAL AUDITING Carolyn DITTMEIER AMMINISTRAZIONE BUDGET e PROGETTI SPECIALI STANDARD PROFESSIONALI e INNOVAZIONE PIANIFICAZIONE e REPORTING ETHICS GOVERNANCE COMPLIANCE AUDIT PROCESSI FINANZIARI e AMMINISTRATIVI COMPLIANCE AUDIT PROCESSI CORPORATE COMPLIANCE AUDIT SERVIZI POSTALI OPERATIONAL & INFORMATION TECHOLOGY AUDIT RESPONSABILI AUDIT MANAGER TERRITORIALI RESPONSABILI AUDIT MANAGER TERRITORIALI RESPONSABILI AUDIT MANAGER TERRITORIALI 10

11 Caso di studio Poste Italiane: Tipologie di audit Progetto Reshaping: approccio globale Fornisce elementi per la prioritizzazione di Operational Auditing Adeguatezza della strutturazione del Sistema di Controllo Interno Compliance Audit Monitoraggio a Distanza Operational e IT Audit Strategia: ogni report un piano di miglioramento Affidabilità/Funzionamento del Sistema di Controllo Interno Fornisce elementi per la strutturazione di Compliance Auditing 11

12 Compliance vs Operational Procedure consolidate Riorganizzazione aziendali recenti o in corso Nuovo management Conoscenze dei processi da parte di IA Audit di processo vs Audit di struttura 12

13 Strategia di approccio Su quali processi impegnarsi? 13

14 Caso di studio Poste Italiane - l Universo di Audit Servizi Postali Corrispondenza Tracciata Ordinaria Stampe Telematica Pacchi 100 processi BancoPosta Conti Correnti Servizi a Pagamento Bollettini Bonifici Assegni Carte di credito e debito 150 processi Filatelia Processi di Supporto Trasporto Acquisti Manutenzione Contabilità e gestione rilievi 70 processi Risparmio Postale Trasferimento Fondi Finanziamenti cto terzi Servizi di Investimento e Polizze Assicurative Servizi Delegati Movimento fondi 14

15 Caso Poste Italiane - l Universo di Audit: Processi Postali CORRISPONDENZA Raccolta Accettazione Lavorazione partenza/logistica Trasporto Lavorazione arrivo/logistica Tracking & Tracing Ripartizione - Recapito PACCHI Accettazione Lavorazione/logistica Recapito TELEG. POSTA TELEM Accettazione Lavorazione- arrivo/logistica Consegna FILATELIA Produzione Lavorazione, Logistica Vendite MARKETING E VENDITE GESTIONE IMPIANTI UP/ UDR FIL CMP/ CPO HUB/ CSI SEDE/ POLO CONTR- OLLATE PARTNER

16 Caso Poste Italiane: Risk Scoring per il ranking dei processi Passo 1: I fattori di rischio Fattori dimensionali -Volumi economici - Quantità; -Valore operazione media - N. Dipendenti Fattori di Controllo (Rischi operativi) -Profilo organizzativo -Profilo sicurezza -Profilo del mgmt -Livello di informatizzazione -Livello di procedure -Livello di Decentralizzazione Esperienza audit -Anzianità -Risultati ultimo audit Passo 2: Risk Scoring formula 16

17 Strategia di approccio Come selezionare i fattori di rischio al fine di indirizzare l impegno di audit secondo una logica risk based 17

18 Caso Poste Italiane: Risk Model ai fini Operational Audit Rischi Non Operativi Rischi Operativi Rischi Interni Fattore umano Compliance Disegno Processo/Sistemi Processi IT Governo e controllo direzionale Monitoraggio/ Informativa Rischi Esterni Scenario Socio- Economico Concorrenza Mercato/ Cliente Risorse Umane Processi Ammin./ Contab. Pianificazione Partner/ Fornitori Altri Processi Integrazione Contesto Legale Infrastruttura/ Risorse tecniche Attacchi/ Eventi esterni Tecnologia 18

19 Caso di Studio Poste Italiane: Criteri di Risk Scoring Fattori di rischio Processi Finanziari e Amm.vi Processi Postali Processi Corporate Fattori Dimensionali Volumi N. Rapporti N. Sportelli BP Proventi Corrisp.za Volumi Corrisp.za N. Sportelli SP Zone di Recapito (*) Volumi costi/ricavi N. transazioni Valore economico singola transazione Fattori di Controllo Up External N. Rilievi Contabili Monoperatore (*) Operatività Recapito N. Personale (*) Composizione Personale Procedure Codificate Grado automazione Grado frammentazione attività Esperienza Audit Anzianità di Audit Anzianità di Audit Anzianità di Audit (*) Fattori di rischio Utilizzati per l Audit Preventivo 19

20 Copertura in termini di contributo economico? % Costi coperta da procedure di audit 20

21 21 Quanto tempo impegnare nella predisposizione degli audit report e degli altri flussi informativi?

22 Caso di Studio Poste Italiane - Flussi Informativi Time Monitor Compliance Audit Report Informatizzato CruscottoControlloInterno Audit Management 22

23 Caso Poste Italiane - Cruscotto Controllo Interno CruscottoControlloInterno Destinatari Compliance Audit Report Informatizzato Nazionale Frequenza semestrale Vertice Top Management Responsabili Nazionali Operations, Risorse Umane Audit Management Regionale Frequenza quadrimestrale Filiale Responsabili Regionali di Rete Management Centrale Operations Direttore Filiale 23

24 25 23% 21% 18% 20 14% 15 11% 10% 10% 8% 10 8% 7% 7% 6% 7% 5% 5 one dei reclami nsegna ndenza telleria esatura rodotto ontro e azione posta stampe i posta gistrata ispacci UDR al P/CPO rtizione rodotto T&T e gistrata nza nel sellario gistrata omicilio portello segnati registra Mittenti % non conformità azione reclami Cruscotto Controllo Interno: Processi Postali Raccolta Accettazione Lavorazioni in partenza e logistica Lavorazioni in arrivo e logistica Ripartizione Recapito, macero e restituzione invii 17% 4% 2% Strutture: Uffici Postali 24 Gestione reclami 18%

25 Caso di Studio Poste Italiane: Reporting di Sintesi Sottoprocessi RICHIESTE DI SOVVENZIONE E PROPOSTE DI VERSAMENTO AUTORIZZAZIONE E ORDINE AL SERVICE (Vettore) EVASIONE ORDINI 2 2 LOGISTICA TRASPORTO FONDI REGISTRAZIONE MOVIMENTI FONDI (non oggetto di 1 1 Audit) FATTURAZIONE ED ATTIVITA AMMINISTRATIVE Strutture coinvolte UP FILIALI SECURIPOST SERVICE TESORERIA P.LE UP UP FILIALI DRT - Sede SERVICE SECURIPOST DBP DAFC Principali Criticità/Azioni: Implementazione di controlli a livello di Filiale su: Richieste Up Livelli di giacenza UP Avvio attività di monitoraggio a livello centrale sugli indicatori del processo (es. rispetto livelli di giacenza UP) Integrazioni tra le diverse strutture di Filiale Introduzione monitoraggio delle giacenze dei caveaux dei Service Piano di integrazione tra sistema gestionale e contabile Riduzione dei sospesi di cassa Rilievi di natura operativa Eliminazione applicativo gestione Valori e accesso diretto di Securipost al sistema MF Rilievi di natura informatica (IT) 25

26 Information Systems Auditing: quanto impegnarsi nell audit e come? 26

27 IT Auditing Auditing Banche Dati (Full Data Base Auditing) Integrated Process Auditing Monitoraggio a distanza per andamenti anomali Information System Auditing 27

28 Caso Poste Italiane: Analisi Banche Dati - Monitoraggio a distanza Le banche dati Le analisi Le finalità Conti correnti Andamento dei volumi operativi Monitoraggio a Distanza-Audit Mirati Libretti BPF Titoli Datawarehouse Andamento anomalie contabili Scostamenti Benchmark Indicatori compliance Sistema Pianificazione Compliance Audit (Risk Scoring) Analisi Preliminare del singolo audit Assegni Analisi incrociata prodotti di investimento Auditing Banche Dati (operational audit) Altri ecc 28

29 Come si dovrà concentrare l impegno dell audit? E una scienza ed è un arte 29