Controllo interno CEMAC · Regolamento COBAC controllo interno
Il vostro controllo interno, misurato sul regolamento COBAC e tradotto in piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Controllo interno CEMAC · Regolamento COBAC controllo interno
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Règlement COBAC R-2016/04 relatif au contrôle interne des établissements de crédit avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Le raccomandazioni derivanti dal controllo periodico e dalle missioni del supervisore sono oggetto di un seguito fino alla loro chiusura?
- N1
Le raccomandazioni figurano nelle relazioni di missione. Non esiste alcun seguito organizzato tra due missioni.
- N2
Una tabella di seguito è tenuta dall’audit interno. Viene aggiornata in modo irregolare e le scadenze superate non attivano solleciti.
- N3
Ogni raccomandazione ha un responsabile, una scadenza e uno stato di avanzamento. Il seguito viene rivisto periodicamente e i ritardi sono segnalati alla direzione generale.
- N4
La chiusura viene pronunciata solo dopo la verifica dell’effettività da parte dell’audit interno. Il comitato di audit esamina lo stato delle raccomandazioni a ogni seduta, comprese quelle del supervisore.
- N5
Le cause profonde ricorrenti vengono analizzate e alimentano la revisione del piano di controllo permanente e del piano di audit. L’efficacia del seguito stesso viene valutata.
Azione per passare da N2 a N3
Attribuire a ciascuna raccomandazione aperta un responsabile nominato e una scadenza, e inserire la revisione dello stato di avanzamento all’ordine del giorno del comitato di direzione mensile, con segnalazione esplicita delle scadenze superate.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu COBAC.
Di cosa parla questo quadro di riferimento
Il regolamento COBAC relativo al controllo interno stabilisce per gli istituti di credito e le holding finanziarie della CEMAC i requisiti di organizzazione del loro dispositivo di controllo delle attività. Distingue il controllo permanente, esercitato al primo livello dagli operativi e al secondo livello da funzioni dedicate, e il controllo periodico, affidato all’audit interno. Impone funzioni di gestione dei rischi e di conformità indipendenti, un sistema di misurazione e sorveglianza dei rischi di credito, di mercato, di liquidità, di tasso e operativo, una pista di audit, nonché una relazione annuale sul controllo interno trasmessa al supervisore e presentata all’organo deliberante.
La difficoltà non sta nel conoscere il testo, sta nel dimostrare che il dispositivo funziona. Le domande che si pongono in sala del comitato sono concrete. Il piano di controllo permanente di secondo livello copre i processi realmente a rischio, o solo quelli che i team sanno controllare? Le raccomandazioni dell’audit interno e quelle derivanti dalle missioni del supervisore vengono seguite fino alla chiusura, con una prova di efficacia? Il responsabile della conformità riferisce all’organo deliberante senza filtro della direzione generale? Su questi punti, il dichiarativo raramente basta.
Una confusione ricorre spesso: assimilare il controllo interno all’audit interno. L’audit interno è il controllo periodico, costituisce un anello del dispositivo, non il dispositivo stesso. Un istituto può disporre di un’ispezione generale attiva e presentare un controllo permanente inesistente, mappature dei rischi non aggiornate e un ciclo di reporting al consiglio ridotto a una formalità. Altro punto di contesto, il progressivo aumento dei requisiti prudenziali regionali, ICAAP, sicurezza dei sistemi informativi, esternalizzazione, si basa sulla stessa base: un controllo interno debole indebolisce tutti gli altri cantieri.
L’audit di conformità pone una domanda binaria: il requisito è soddisfatto o no. La diagnosi di maturità pone una domanda di traiettoria: a quale livello di controllo si trova ciascuna componente del dispositivo, e quale azione precisa fa passare al livello successivo. Un piano di controllo esistente ma applicato in modo disomogeneo a seconda delle filiali non è né conforme né assente: si trova a un livello intermedio, ed è questa posizione che permette di quantificare lo sforzo residuo e di programmarlo su un esercizio.
In Datamensio, il quadro di riferimento è pronto all’uso e resta vostro. L’IA adatta gli ambiti, le domande e i livelli alle vostre dimensioni, alla vostra organizzazione in rete o al vostro status di filiale di un gruppo regionale. Può anche costruire una declinazione a partire dai vostri stessi documenti: carta di audit, piano di controllo, relazione annuale di controllo interno, lettere di seguito del supervisore.
Norma di riferimento: Règlement COBAC R-2016/04 relatif au contrôle interne des établissements de crédit
Gli ambiti valutati
Organizzazione generale del dispositivo
Architettura dei tre livelli di controllo, separazione delle funzioni che impegnano l’istituto e di quelle che le controllano, formalizzazione in una carta, adeguatezza delle risorse.
Ruolo degli organi esecutivo e deliberante
Responsabilità dell’organo deliberante sul dispositivo, comitato di audit, frequenza e contenuto dei reporting, decisioni tracciate, approvazione della relazione annuale di controllo interno.
Controllo permanente
Controlli di primo livello integrati nelle procedure, funzione di secondo livello identificata, piano di controllo, perimetro coperto, formalizzazione e utilizzo dei risultati.
Controllo periodico e audit interno
Carta di audit, indipendenza e collocazione gerarchica, piano pluriennale basato sui rischi, copertura delle attività e delle filiali, qualità delle relazioni, seguito delle raccomandazioni fino alla chiusura.
Gestione dei rischi
Funzione rischi indipendente, mappatura dei rischi e suo aggiornamento, sistemi di misurazione del rischio di credito, di mercato, di liquidità, di tasso e operativo, dispositivo di limiti e trattamento dei superamenti.
Conformità e AML/CFT
Funzione conformità identificata, controllo dei rischi di non conformità, dispositivo di lotta contro il riciclaggio e il finanziamento del terrorismo, filtraggio, segnalazioni, relazioni con l’ANIF.
Sistemi informativi e pista di audit
Sicurezza e integrità dei dati, gestione delle abilitazioni, tracciabilità delle operazioni dall’origine alla contabilizzazione, piano di continuità operativa e test.
Controllo contabile e reporting prudenziale
Riconciliazioni e giustificazione dei conti, controllo della produzione dei prospetti regolamentari, affidabilità delle segnalazioni trasmesse al supervisore, tempistiche di consegna.
Esternalizzazione e prestazioni essenziali
Censimento delle attività esternalizzate, clausole contrattuali di controllo e di accesso, sorveglianza dei fornitori, reversibilità.
Disfunzioni, incidenti e miglioramento continuo
Censimento e segnalazione degli incidenti e delle perdite operative, soglie, piani correttivi, ritorni di esperienza, revisione periodica del dispositivo.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi vale come attestazione di conformità al regolamento COBAC?
No. Datamensio misura la maturità del dispositivo e prepara le scadenze di supervisione. La valutazione della conformità spetta alla COBAC e, per i lavori di assurance, ai revisori legali dei conti. La diagnosi serve a sapere a che punto siete prima che lo dicano loro.
Che differenza c’è tra questa diagnosi e l’audit interno annuale?
L’audit interno verifica i processi e conclude con constatazioni e raccomandazioni. La diagnosi colloca ciascuna componente del dispositivo su una scala di maturità e indica l’azione che fa salire di un livello. Le due si completano: la diagnosi inquadra il piano di audit, l’audit fornisce la prova sul campo.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 30 minuti da parte di un responsabile del controllo permanente o dell’audit interno. La versione completa, in modalità collaborativa con la conformità, i rischi, la contabilità e i sistemi informativi, si estende generalmente su una due settimane, con la maggior parte del tempo dedicata alla raccolta delle prove.
Il quadro di riferimento è adattabile a un istituto di microfinanza o a una piccola struttura?
Sì. Le domande, i livelli e gli ambiti si modificano, e l’IA produce una declinazione adatta alle dimensioni e allo status dell’istituto, compresi gli istituti di microfinanza i cui requisiti differiscono. Potete anche partire dai vostri stessi documenti interni.
Si possono confrontare più filiali o più agenzie?
Sì. Lo stesso quadro di riferimento si diffonde a più business unit, con un punteggio per entità e per ambito, un benchmark tra entità e un confronto con le campagne precedenti. I piani d’azione si consolidano in una roadmap trasversale, il che evita di trattare dieci volte lo stesso scostamento.
Come viene prodotto il piano d’azione?
Lo scostamento tra il punteggio ottenuto e l’obiettivo fissato genera le azioni. L’IA le raggruppa in cantieri coerenti e le prioritizza. Il catalogo di prestazioni associa a ciascuna azione una soluzione con il suo costo, i suoi tempi e il suo impatto atteso sul punteggio, il che permette di arbitrare prima di stanziare il budget.
Come si articola questo quadro di riferimento con la governance, l’AML/CFT o l’ICAAP?
Questi dispositivi condividono la stessa base organizzativa e le stesse istanze. Una diagnosi di controllo interno solida si riutilizza in gran parte. La roadmap trasversale incrocia più audit senza duplicare le azioni comuni.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.