Cos’è il sistema di controllo interno? Come un grande gruppo multinazionale (che chiameremo Gruppo Alfa per rispetto delle policy di riservatezza) lo ha organizzato per far fronte alla crescita del business? E infine: quali elementi potrebbero essere mutuati anche da aziende di minori dimensioni e complessità? Proviamo a sviluppare alcune riflessioni a beneficio della nostra community!
A) Il Gruppo Alfa in pillole
Fondato negli anni Quaranta del Novecento, tuttora interamente controllato dalla famiglia fondatrice giunta ormai alla terza generazione, con a capo un CEO manager cresciuto internamente, il Gruppo Alfa si posiziona al terzo posto mondiale nel settore del “fuori pasto dolce” con un fatturato di 11 miliardi di Euro, 40.000 dipendenti che operano nelle 60 sedi commerciali e 30 siti produttivi presenti nei principali paesi del mondo. Il Gruppo è quasi raddoppiato negli ultimi 10 anni con una espansione geografica soprattutto in Asia e Nord America; una serie di recenti acquisizioni hanno poi dato un impulso alle quote di mercato in aree geografiche difficili da penetrare, e allo stesso tempo creato la necessità di integrare le aziende acquisite negli standard operativi e qualitativi del Gruppo.
B) Gestione del rischio e sistema di controllo interno
Con la crescita del business si è passati da una logica di gestione del rischio di tipo imprenditoriale, basata sulla fiducia nei propri collaboratori e su una prudente e graduale crescita interna, alla necessità di dotarsi di un sistema di controllo basato su regole, processi e sistemi informativi in grado di sostenere lo sviluppo di una multinazionale. In questo contesto, al CFO viene assegnato il ruolo di guardian & compliance officer del sistema di controllo interno; per fare fronte a questo compito nel 2011 viene costituita la funzione Governance, Risk and Compliance (GRC) avente il compito di supportare tutte le unità aziendali nella identificazione dei rischi operativi, definizione di regole e controlli comuni (governance) e rimediare ai punti sollevati dall’audit o richiesti dalle normative locali (compliance).
Lo schema di controllo interno è basato su tre linee di difesa:
1) management (primo responsabile della governance, dei risultati di business e relativi rischi)
2) funzioni di supporto (GRC, controllo di gestione, qualità, legale, ecc.)
3) audit interno ed esterno (che fornisce una opinione indipendente).
Il fulcro del sistema sono le policy & procedure interne, disegnate in maniera accurata e integrata tra loro, con identificazione dei controlli chiave, relativi responsabili e frequenza, il tutto supportato da un sistema ERP comune. L’applicazione di queste procedure deve poi essere verificata periodicamente con degli assessment locali effettuati dal management e validati dal GRC.
In un contesto maturo dal punto di vista della governance e cultura del rischio, il ricorso all’audit dovrebbe essere una sorta di “ultima spiaggia”, per confermare la compliance con il sistema di controllo interno (oltre che per identificare eventuali nuovi rischi emergenti)
C) Possibili spunti per le piccole e medie imprese
Fatte le debite proporzioni, quali insegnamenti possiamo trarre dall’esperienza del Gruppo Alfa a beneficio di aziende più piccole? Sicuramente la mentalità, l’approccio: raggiunta una certa dimensione e complessità, occorre valutare l’introduzione di un sistema di controllo interno (processi, procedure, sistemi informativi) che supporti lo sviluppo dell’azienda in maniera controllata, per ridurre il più possibile il rischio di commettere pericolosi passi falsi nel percorso di crescita (anche in termini di reputazione, un rischio importante per chi opera nel settore del gruppo Alfa).
Altro suggerimento utile è quello di andare per step successivi: focalizzare i principali elementi di rischio nella propria realtà, valutare progressivamente quale è il livello di rischio accettabile dell’azienda (risk appetite), bilanciare controlli e flessibilità operativa, sensibilizzare e formare il management rispetto al tema della “gestione del rischio e della compliance” e soltanto successivamente predisporre le necessarie procedure con i relativi controlli. Date le risorse e competenze necessariamente limitate, inizialmente potrebbe essere utile farsi aiutare da consulenti specializzati per poi continuare a gestire il sistema internamente.
Come realizzare in concreto un approccio di risk management anche nell’ambito di un’azienda di dimensioni contenute? Proviamo a rispondere a questa domanda con riferimento ad un processo particolarmente critico in termini di rischi, quale il processo di acquisto.
Il modello di riferimento può essere quello di una semplice matrice RISCHIO / CONTROLLO (vedi tabella successiva), con l’avvertenza che ci limitiamo in questa sede, per motivi di spazio, alla segnalazione di alcuni aspetti a puro titolo esemplificativo. Segnaliamo comunque un approfondimento su questo tema nelle prossime settimane a beneficio della nostra community.
Matrice rischio / controllo con riferimento al Processo di Acquisto.
| RISCHIO | CONTROLLO | |
| 1 | Continuare ad utilizzare fornitori storici senza valutare se sono ancora i migliori disponibili sul mercato (prezzo, qualità, servizio, ecc.), creando relazioni consolidate ma potenzialmente pericolose tra fornitore e ufficio acquisti. | Periodicamente rivedere il parco fornitori distinguendo quelli realmente unici da quelli che non lo sono. Per questi ultimi effettuare delle ricerche sul mercato per verificare la disponibilità di soluzioni alternative. |
| 2 | Selezionare i fornitori sulla base di elementi non oggettivi, effettuando scelte sub-ottimali. | Mettere in gara sempre più fornitori (almeno 3), utilizzando dei parametri oggettivi e omogenei per valutare prezzo, qualità, servizio, affidabilità, solidità economico-finanziaria, ecc. |
| 3 | Ricevimento del bene o servizio senza aver prima emesso regolare ordine di acquisto o contratto, con il rischio di indebolire la propria posizione nel caso di resi/reclami a seguito di pagamento della fattura. | Educare il personale nell’emissione di ordine o sottoscrizione di contratto non appena concordato con il fornitore quanto necessario e richiedere ai fornitori l’indicazione di ordine o contratto sulla fattura (auspicabile il supporto del sistema informativo aziendale che consenta di abbinare fattura a ordine). |
D) Conclusione
Il bilancio del Gruppo Alfa per quanto riguarda l’introduzione del sistema di controllo interno è stato riconosciuto come molto positivo da molti punti di vista: non solo in termini di prevenzione dei rischi e riduzione dei costi relativi a incidenti o non conformità, ma anche in termini di maggiore disciplina e professionalità nelle decisioni e nei comportamenti del management.
Riteniamo che, fatte le debite proporzioni, analoghi benefici possano essere conseguiti anche nel contesto di una impresa di medie dimensioni. Un aspetto da non sottovalutare, oltre a quelli già evidenziati per le imprese più grandi, è il seguente: siamo di fronte ad un investimento utile anche al fine di incrementare il “valore d’azienda” (che, lo ricordiamo, è anche inversamente proporzionale al grado di rischio a cui l’azienda è sottoposta), anche agli occhi di potenziali investitori nel capitale d’impresa. Non dimentichiamo mai una verità mai smentita in materia di management …. there is no performance without governance!