Azienda Regionale Centrale Acquisti S.p.A. RELAZIONE SUL GOVERNO SOCIETARIO AI SENSI DELL ART.6 DEL D.LGS. N 175/2016

Transcript

1 Prot. ARCA del 17/11/2017 Azienda Regionale Centrale Acquisti S.p.A. Via Fabio Filzi 22 Milano (Mi) Capitale Sociale i.v. Socio Unico Cod. fisc./r.i. Milano R.E.A Società soggetta all attività di direzione e coordinamento di Regione Lombardia RELAZIONE SUL GOVERNO SOCIETARIO AI SENSI DELL ART.6 DEL D.LGS. N 175/2016 Esercizio chiuso al 31 dicembre 2016 Pagina 1 di 6

2 PREMESSA Il D. Lgs. 19 agosto 2016 n. 175 recante il Testo Unico in materia di società a partecipazione pubblica, entrato in vigore il 23 settembre 2016 e successive modificazioni (D.Lgs. 100 del 26 giugno 2017) ha riordinato la disciplina delle società a partecipazione pubblica. La presente relazione, i cui contenuti sono stati trasmessi a Regione Lombardia con nota protocollata n. ARCA , risponde a quanto previsto dall art. 6 D. Lgs. n. 175/2016, in particolare dai commi 2 e 4 che prevedono, per le società a controllo pubblico, l obbligo di predisposizione della relazione sul governo societario contenente il programma di valutazione del rischio di crisi aziendale. Il sopra citato comma 2, citando il rischio di crisi aziendale senza ulteriori specifiche, si ritiene si riferisca, evidentemente, a profili di rischio ad alto impatto sulla gestione e che mettano in discussione la continuità aziendale. La relazione in oggetto specifica dunque il tema in oggetto, declinandolo, per ARCA S.p.A., in cinque aree: 1. Valutazione dei rischi aziendali, 2. Valutazione del rischio su procedimenti di gara, 3. Valutazione del rischio IT, 4. Valutazione dei rischi sulla sicurezza del lavoro, 5. Valutazione dei rischi finanziari. 1. VALUTAZIONE DEI RISCHI AZIENDALI A partire da febbraio 2015 ARCA ha avviato, con Regione Lombardia, un progetto per la definizione dei rischi del Sistema Regionale al fine di effettuare una ricognizione e quindi una mappatura dei rischi di tutti gli Enti e Società rientranti nel Sistema Regionale. Il modello proposto da Regione Lombardia e condiviso dai partecipanti per effettuare la ricognizione dei rischi è quello del Control Self Risk Assessment (di seguito CSRA ), ovvero un processo di autovalutazione dei rischi da parte del management operativo attraverso un Pagina 2 di 6

3 percorso specifico che ha previsto l utilizzo di strumenti come questionari e workshop con gli auditors quali facilitatori qualificati. Questo tipo di approccio ha quindi consentito ad ARCA di identificare i rischi, determinare i processi di controllo per mitigare tali rischi e sviluppare piani di azione sia in termini di struttura che di procedure e regolamenti per ridurre i rischi entro i limiti accettabili al fine di valutare realisticamente la probabilità di conseguimento degli obiettivi aziendali. I risultati emersi dall analisi dei rischi sono stati presentati al CDA ARCA del e quindi utilizzati come base per la costruzione del Piano di Audit Interni per l anno 2016 e per gli anni a seguire. Tali risultanze, espresse in un report, sono state comunicate alla struttura di Audit di Regione Lombardia con mail del e successivamente condivise in sede di incontro il Quindi per il 2016 è stato pianificato ed effettuato un audit interno sul tema contrattualistica e ciclo acquisti (il programma è contenuto nel documento aziendale Piano di audit annuale 2016 ), i cui risultati, contenuti nel Report di Audit 2016 e condivisi con il Consiglio di Amministrazione nelle sedute del 08/02/2017 e 21/03/2017, hanno dato luogo a piani di azione oggetto di monitoraggio nel corso di quest anno. Tutti gli atti discussi nelle sedute consiliari sono regolarmente trasmessi alla Unità Organizzativa Programmazione e Coordinamento SIREG di Regione Lombardia. Per il 2017 è stato pianificato un audit interno nell ambito della gestione delle risorse umane ( Piano di audit annuale 2017 ), che, per impegni e priorità aziendali, presumibilmente si estenderà anche nei primi mesi del Le attività di audit interno di ARCA vengono sempre studiate, pianificate e svolte di concerto con la Struttura di Audit di Regione Lombardia al fine di rafforzare gli standard organizzativi delle funzioni di audit dei diversi enti e società del SIREG e per avere un costante supporto metodologico condiviso volto a favorire una adeguata qualità delle attività svolte. 2. VALUTAZIONE DEL RISCHIO SUI PROCEDIMENTI DI GARA In sede di chiusura dell esercizio, il Responsabile della Funzione Giuridico Legale Attività Interne procede ad una attenta valutazione economica della possibile rivalsa e danno conseguente al Pagina 3 di 6

4 rischio per contenzioso sui procedimenti di gara, documentabile in una relazione del Responsabile diretta al Collegio Sindacale incaricato della revisione legale dei conti. Sulla base di tale valutazione, ogni anno viene prudenzialmente effettuato un accantonamento al Fondo Rischi nel bilancio di esercizio approvato dalla Assemblea, e documentato nel bilancio e nella nota integrativa allo stesso (il valore del Fondo Rischi al 31/12/2016 è pari a ,44 euro); si ricorda inoltre che, sul bilancio 2016, il Collegio Sindacale ha riferito all Assemblea, convocata per la sua approvazione, per il tramite della Relazione unitaria del Collegio Sindacale all Assemblea dei soci, soffermandosi proprio sul tema. 3. VALUTAZIONE DEL RISCHIO IT Relativamente agli aspetti di gestione del rischio legati alla infrastruttura IT di cui si avvale ARCA per lo svolgimento della attività istituzionale, sono state svolte le seguenti azioni: 1) Azioni rivolte all incremento dei livelli di sicurezza della Piattaforma di e-procurement, attualmente erogata a livello infrastrutturale da Telecom (TIM) e da Fastweb per lo sviluppo e per la manutenzione evolutiva. Individuazione, tramite procedura di gara, della società per lo svolgimento delle attività di web penetration test funzionale (WPT). Spike Reply è stata l aggiudicataria del contratto stipulato nel 2016 e ha prodotto i seguenti deliverable: - Esecuzione del WPT sulla piattaforma di e-procurement da parte del fornitore (Spike Reply), - Analisi ed individuazione delle eventuali azioni correttive e migliorative, e pianificazione degli interventi sulla configurazione e sul codice applicativo della piattaforma, - Messa in campo delle azioni preventive atte al monitoraggio ed alla prevenzione in vista delle implementazioni (CR) in piattaforma, - Ingaggio del fornitore Fastweb per le implementazioni (CR) migliorative sulla piattaforma di e-procurement e successivi rilasci progressivi delle risoluzioni, - Esecuzione di un secondo WPT recheck funzionale, - Esecuzione con esito positivo di un AUDIT a Telecom per la verifica del possesso dei requisiti necessari per la certificazione sulla sicurezza come da norma ISO/IEC ; Pagina 4 di 6

5 Aggiornamento continuo di tutte le patch di sicurezza sui sistemi Telecom che erogano i servizi infrastrutturali di e-procurement; Esecuzione periodica di test di Disaster Recovery sui sistemi Telecom che erogano i servizi infrastrutturali di e-procurement; Esecuzione periodica di test di Vulnerability Assessment e Penetration Test (VAPT) infrastrutturali sui sistemi Telecom che erogano i servizi di e-procurement; Monitoraggio e presidio continuativo da parte di Telecom sui servizi infrastrutturali erogati ad ARCA, a prevenzioni di attacchi dall esterno. 2) Analisi Cyber Risk in corso con il broker assicurativo AON SpA, con l obiettivo di dotarsi di una copertura assicurativa aziendale per rischi correlati alla Cyber Security, sia per i servizi di piattaforma di e-procurement, che per i servizi dei sistemi informativi interni ad ARCA. 4. VALUTAZIONE DEI RISCHI SULLA SICUREZZA DEL LAVORO Arca ha predisposto i necessari documenti in tema di sicurezza del lavoro con particolare riferimento al Documento Valutazione Rischi, ai sensi dell art. 17 D.Lgs. 81/08, secondo quanto stabilito dalla normativa in materia di sicurezza sul lavoro. Il documento è stato consegnato al Collegio sindacale nella seduta dello scorso 28 giugno VALUTAZIONE DEI RISCHI FINANZIARI Tale valutazione è presente nei capitolo B.7. della relazione sulla gestione approvata in sede di approvazione del Bilancio di esercizio 2016 dall Assemblea di ARCA S.p.A. il 28 aprile 2017 con specifiche sul rischio di credito di liquidità e di mercato (Rischio di tassi di interesse, Rischio sui tassi di cambio, Rischio di prezzo). La stessa relazione contiene informazioni circa i Rapporti con le imprese controllate, collegate, controllanti ed imprese sottoposte al controllo di queste ultime (art. 2428, c.3, n.2), le Azioni proprie ed azioni della società controllante (art. 2428, c.3, n.3 e 4), i fatti di rilievo intervenuti dopo la chiusura dell esercizio (art. 2428, c.3, n.5) e la prevedibile evoluzione della Pagina 5 di 6

6 gestione (capitoli B2, B3, B3-4, B5, B6). La relazione sulla gestione illustra anche il nuovo modello di Organizzazione e Funzionamento (capitolo A.2.1.) dal quale si evince la presenza di una specifica Funzione dedicata alle attività di Internal Audit. CONCLUSIONI Concludendo si ritiene che ai contenuti previsti dell'art. 6, commi 2 e 4, d. lgs. n. 175/2016 sia stata posta una particolare attenzione da parte di ARCA e sia stato dato corso alle necessarie attività di analisi e correttive. Dal momento che non esiste uno schema di riferimento finalizzato all adempimento di cui all'art. 6, commi 2 e 4, d. lgs. n. 175/2016, si fa presente che l Azienda ha ritenuto di porre in evidenza agli organi sociali i punti ritenuti più rilevanti ovvero: A) relazionando il Direttore Generale sui temi in oggetto nelle sedute del CDA del 15/12/2015, 02/11/2016, 08/02/2017 e 21/03/2017; B) attraverso la presentazione specifica, nell assemblea di approvazione del bilancio di esercizio anno 2016 (28/04/2017), dell analisi del rischio legato al contenzioso dal quale emerge che finora il danno subito è nullo, come desumibile dal verbale dell Assemblea del 28/04/2017 e dalla nota Relazione sul contenzioso relativo alle procedure di gara Aprile 2014 Marzo 2017 diretta al Segretario Generale di Regione Lombardia (Prot. ARCA del 28/04/2017). ARCA si impegna inoltre, per il futuro, a proseguire nel monitoraggio di questi temi, anche grazie alla costante attività del Collegio Sindacale, alle indicazioni e direttive di Regione Lombardia, e al controllo analogo operato dall ente controllante sulla società. Pagina 6 di 6