Art. 37 — Nomina e compiti del titolare della funzione di revisione interna
1. Ai fini della nomina e della revoca del titolare della funzione di revisione interna di cui all’articolo 26, comma 2, fermo quanto previsto dall’articolo 28, viene sentito l’organo di controllo e, ove presente, anche il Comitato per il Controllo Interno e i rischi. Il titolare della funzione è dotato dell’autorità necessaria a garantire l’indipendenza della stessa.
2. Nel rispetto di quanto previsto dall’articolo 29, il piano di attività presentato dal titolare della funzione di revisione interna individua almeno:
a) le attività di verifica del sistema di controllo interno e delle ulteriori componenti del sistema di governo societario ed in particolare del flusso informativo e del sistema informatico;
b) le attività a rischio, le operazioni e i sistemi da verificare, descrivendo i criteri sulla base dei quali sono stati selezionati e specificando le risorse necessarie all’esecuzione del piano. Analogo procedimento è seguito in caso di variazioni significative ai piani approvati, che comunque sono definiti in modo da fronteggiare le esigenze impreviste.
3. Ai fini dell’articolo 271, paragrafo 3 lettera d), degli Atti delegati e dell’articolo 30 del presente Regolamento, nella relazione riepilogativa sono inclusi anche gli interventi di follow-up con indicazione degli esiti delle verifiche ivi comprese quelle di cui all’articolo 29, comma 4 del presente Regolamento, nonché dei soggetti e/o funzioni designati per la rimozione, del tipo, dell’efficacia e della tempistica dell’intervento da essi effettuato per rimuovere le criticità inizialmente rilevate.
Spiegazione
Il responsabile della revisione interna è nominato e revocato dopo aver consultato l’organo di controllo e, se esiste, il comitato competente sui controlli e sui rischi. Deve avere sufficiente autorità per operare senza condizionamenti. Ogni anno presenta un piano che indica cosa sarà controllato, quali rischi e sistemi saranno esaminati, perché sono stati scelti e quali risorse servono. La relazione finale deve inoltre verificare se i problemi rilevati sono stati risolti, indicando chi è intervenuto, come, con quale efficacia e in quali tempi.
Perché esiste questa norma
La norma tutela l’indipendenza e l’effettività della revisione interna, assicurando controlli programmati e adeguati ai rischi. Impone anche di seguire la correzione delle criticità, evitando che le verifiche restino prive di conseguenze concrete.
Domande frequenti
Chi decide la nomina del responsabile della revisione interna?
La nomina e la revoca spettano all’organo competente della società, ma devono essere precedute dall’ascolto dell’organo di controllo e, se presente, del comitato per il controllo interno e i rischi.
Il responsabile della revisione interna può lavorare senza pressioni?
Deve disporre dell’autorità necessaria per garantire l’indipendenza della funzione. Ciò significa poter svolgere le verifiche e riferirne senza indebite interferenze.
Che cosa deve contenere il piano dei controlli?
Deve indicare i controlli sul sistema interno e sulle altre componenti del governo societario, compresi flussi informativi e sistema informatico, oltre a rischi, operazioni, sistemi selezionati, criteri di scelta e risorse necessarie.
Se durante l’anno emergono nuovi rischi, il piano può cambiare?
Sì. Le variazioni significative devono seguire un procedimento analogo a quello del piano originario. Il piano deve comunque essere organizzato per affrontare anche esigenze impreviste.
La società deve dimostrare di aver risolto i problemi scoperti?
Sì. La relazione deve riportare le verifiche successive, i risultati ottenuti, i soggetti o le funzioni incaricati di intervenire, il tipo di intervento, la sua efficacia e i tempi impiegati.