Third Party Assurance

Transcript

1 Third Party Assurance L attestazione della bontà dei servizi erogati in ambito Gestione del Personale Risk Assurance Services

2 2

3 Indice Il contesto di riferimento 5 L approccio PwC 7 Le fasi progettuali 7 Gli obiettivi di controllo 9 I benefici ottenibili 11 I nostri tratti distintivi 12 Alcuni casi di successo 13 Contatti 15 3

4 4

5 Il contesto di riferimento Nell attuale contesto competitivo sempre più aziende (cosiddette organizzazioni clienti) decidono di esternalizzare i propri processi e le proprie attività a terze parti (cosiddette organizzazioni di servizi). Da diverse analisi condotte è emerso che, oltre alle attività legate alla gestione e manutenzione del proprio parco applicativo, una delle principali attività soggette a tale processo di esternalizzazione da parte delle organizzazioni clienti è la gestione del personale. Dati i rischi connessi al processo di esternalizzazione, sono stati sviluppati appositi standard internazionali che consentono a un revisore indipendente di valutare il disegno dei controlli, testarne l efficacia operativa ed emettere un opinione sui controlli applicati da una organizzazione di servizi. Gli standard di riferimento sono i seguenti: ISAE 3402 L International Standard on Assurance Engagement 3402, Assurance Report on Controls at a Service Organization è uno standard di revisione sviluppato dall International Auditing and Assurance Standard Board (IAASB). SSAE 16 Lo Statement on Standards for Attestation Engagements No. 16 è un attestazione sviluppata dall Auditing Standards Board (ASB) dell American Institute of Certified Public Accountants (AICPA). Tale standard è stato sviluppato esclusivamente per i clienti in ambito US. Entrambi gli standard prevedono l emissione di due tipi diversi di report: Report di tipo 1: contenente un opinione sull efficacia dei controlli in essere ad una specifica data, con riferimento a determinati obiettivi di controllo definiti dall organizzazione di servizi; Report di tipo 2: contenente l attestazione sull efficacia dei controlli testati in un preciso arco temporale. 5

6 6

7 L approccio di PwC L approccio PwC consente al cliente di intraprendere le azioni necessarie per costruire ed implementare il sistema dei controlli nello stesso momento in cui PwC esegue la fase di attestazione della relazione SSAE 16 o ISAE Le fasi progettuali Il nostro progetto si articola in nove sotto-fasi progettuali che permettono al revisore indipendente, attraverso un approccio modulare, di poter elaborare e predisporre sia il Report di tipo1 sia il Report di tipo 2. 7

8 8

9 Gli obiettivi di controllo Grazie all esperienza maturata su attività di Third Party Assurance relativamente al processo di gestione del personale e di gestione dei sistemi informativi abbiamo identificato i seguenti ambiti che è opportuno vengano considerati e analizzati. Processo Gestione del Personale Processo Gestione dei Sistemi Informativi n Sottoprocesso 1 Aggiornamento tabelle 2 Rilevazione presenze 3 Calcolo retribuzioni 4 Stampa LUL 5 Stampa tabulati 6 Calcolo contributi a fondi pensione 7 Dati per la contabilizzazione 8 Invio cedolini 9 Invio flusso UNIEMENS 10 Aggiornamenti su normativa n Sottoprocesso 1 Gestione dei servizi informatici 2 Protezione fisica delle risorse informatiche 3 Gestione dell esercizio e supporto agli utenti 4 Sicurezza logica dei sistemi 5 Gestione dei problemi, dei malfunzionamenti e degli incidenti 6 Gestione della sicurezza della rete 7 Gestione del flusso dati Partendo da questi processi, le organizzazioni di servizi identificano i propri obiettivi di controllo e le attività di controllo da sottoporre a verifica. 9

10 10

11 I benefici ottenibili Con un buon livello di affidabilità sui controlli mitigate i rischi connessi alla gestione dei processi esternalizzati dai vostri clienti, migliorando la capacità di fornire all organizzazione cliente servizi di alta qualità, compatibilmente con altri standard adottati (COSO, CobIT, ISO, etc.) La certificazione indipendente di una terza parte sui servizi esternalizzati rappresenta una forma di garanzia auspicata anche dalle linee guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001 e può rappresentare un presidio rilevante anche nell ambito dell analisi di adeguatezza del sistema di controllo interno e di gestione dei rischi sull informativa finanziaria (cd. Compliance 262) Il nostro approccio al lavoro sviluppa soluzioni su misura che vi consentono di soddisfare le esigenze dei revisori dell organizzazione cliente limitandone l impatto sulle vostre attività operative La trasparenza del sistema di controllo garantisce la fidelizzazione dei clienti esistenti dando un vantaggio competitivo nell attrarne di nuovi, in particolare quelli che devono soddisfare nuovi requisiti di controllo (es. D.Lgs. 231/2001,Sarbanes Oxley Act of 2002, Legge 262/2005) consentendo di differenziare la vostra offerta Le nostre analisi vi aiuteranno a comprendere le implicazioni e le opportunità di miglioramento del sistema dei controlli interni 11

12 I nostri tratti distintivi Abbiamo consolidato la nostra esperienza fornendo servizi di valutazione sul sistema di controllo interno, sulla gestione dei rischi, su servizi di compliance a livello nazionale e globale a clienti operanti nei principali settori industriali. La nostra area di competenza Third Party Assurance ha sviluppato nel tempo una consolidata esperienza e conoscenza su progetti di certificazione ISAE 3402 e SSAE 16. Questo include: condivisione di metodologie in merito a rischi, obiettivi di controllo e controlli, continuamente aggiornate da specialisti PwC a livello mondiale; possibilità di confronto con realtà simili su scala comparativa geografica e settoriale. Possiamo supportarvi attraverso team di risorse specialistiche dotate di competenze tecniche specifiche in ambito di gestione del personale e gestione dei sistemi informativi. Infine, utilizziamo campioni estesi, dettagliati nel report, che contribuiscono al valore del documento e quindi alla sua affidabilità. 12

13 Alcuni casi di successo Studio di consulenza Esigenza aziendale Lo Studio di consulenza offre servizi di esternalizzazione di attività legate alla gestione del personale. Nel corso del 2014 un potenziale cliente, gruppo multinazionale che conta oltre 600 dipendenti, ha indetto una gara per la gestione dei propri servizi legati all area personale indicando come requisito obbligatorio la disponibilità di un report ISAE L approccio PwC PwC ha definito un percorso per l emissione urgente di un report ISAE 3402 di Tipo 1 e successivamente di Tipo 2. Risultati / benefici Lo Studio ha potuto partecipare alla gara indetta dalla società multinazionale riuscendo a vincere; successivamente grazie all ottenimento della certificazione ISAE 3402 ha potuto darne visibilità esterna ed utilizzarla come leva di marketing per l acquisizione di nuovi clienti. Azienda che esternalizza le attività di contabilizzazione del personale Esigenza aziendale Un azienda quotata alla borsa di New York ha richiesto al proprio fornitore di servizi l attestazione SSAE 16 ai fini della compliance al Sarbanes-Oxley Act (SOX). L approccio PwC PwC ha svolto un apposita attività di audit sul sistema di controllo interno implementato dall organizzazione di servizi emettendo una relazione SSAE 16 nei tempi richiesti. Risultati / benefici Con l ottenimento del report SSAE 16 da parte del proprio fornitore di servizi la società ha potuto indirizzare i propri requisiti di compliance come richiesto dalla normativa statunitense Sarbanes-Oxley Act (SOX). 13

14 14

15 Contatti Alfredo Gallistru Partner TPA Payroll PricewaterhouseCoopers SpA Via Monte Rosa Milano T: M: Paolo Bersani Partner Performance Assurance Leader PricewaterhouseCoopers Advisory SpA Corso Palestro Torino T: M: Nicola Monti Partner Risk Assurance Leader PricewaterhouseCoopers Advisory SpA Via Monte Rosa Milano T: M: 15

16 2015 PwC. All rights reserved. Not for further distribution without the permission of PwC. PwC refers to the network of member firms of PricewaterhouseCoopers International Limited (PwCIL), or, as the context requires, individual member firms of the PwC network. Each member firm is a separate legal entity and does not act as agent of PwCIL or any other member firm. PwCIL does not provide any services to clients. PwCIL is not responsible or liable for the acts or omissions of any of its member firms nor can it control the exercise of their professional judgment or bind them in any way. No member firm is responsible or liable for the acts or omissions of any other member firm nor can it control the exercise of another member firm s professional judgment or bind another member firm or PwCIL in any way.