Le linee di indirizzo del Sistema di Controllo Interno e di Gestione dei Rischi
Il Consiglio di Amministrazione ha definito le linee di indirizzo del Sistema di Controllo Interno e di Gestione dei Rischi (SCIGR), un insieme integrato di regole, procedure e strutture organizzative volte a individuare, valutare e gestire i rischi a cui il Gruppo è esposto.
Un SCIGR efficace è essenziale per una conduzione dell’impresa sana e corretta, coerente con gli obiettivi strategici, in grado di supportare decisioni consapevoli nell’interesse di tutti gli stakeholder. Esso contribuisce alla tutela del patrimonio sociale, all’efficienza operativa e all’affidabilità delle informazioni finanziarie e non finanziarie, e al rispetto delle normative applicabili, dello Statuto e delle policy interne.
L’approccio ERM
CIR adotta un Modello di Enterprise Risk Management (ERM) ispirato alle best practice internazionali e basato sul framework del “Committee of Sponsoring Organizations of the Treadway Commission” (CoSO report).
L’obiettivo del modello ERM è quello di:
- Identificare in modo strutturato i principali rischi che potrebbero ostacolare il raggiungimento degli obiettivi strategici;
- Valutarne l’impatto e la probabilità di accadimento;
- Individuare misure adeguate alla loro prevenzione, mitigazione o gestione.
Tale analisi viene effettuata almeno una volta all’anno, in occasione della definizione del budget, con una valutazione complessiva del portafoglio rischi, utile anche alla gestione strategica delle partecipazioni.
Gli attori del Sistema di Controllo Interno e di Gestione dei Rischi
Il SCIGR coinvolge molteplici organi e funzioni aziendali con compiti differenziati e coordinati:
- Consiglio di Amministrazione: ha la responsabilità ultima del SCIGR. Definisce le linee di indirizzo, individua la natura e il livello di rischio compatibile con gli obiettivi strategici, valuta annualmente l’efficacia, l’efficienza e l’adeguatezza del sistema;
- L’amministratore incaricato del SCIGR: assicura l’implementazione e l’efficace funzionamento del sistema. Tale ruolo è normalmente ricoperto dall’’Amministratore Delegato;
- Comitato Controllo, Rischi e Sostenibilità: svolge funzioni consultive, propositive e di monitoraggio a supporto del Consiglio in materia di controllo interno e rischi;
- Responsabile della funzione Internal Audit: predispone il piano di audit, verifica l’adeguatezza del SCIGR e redige relazioni periodiche su aspetti rilevanti o criticità emerse;
- Risk Manager: effettua una continua attività di analisi e monitoraggio dei principali rischi aziendali. Cura la mappatura dei processi, supporta la valutazione quantitativa dei rischi, monitora i piani di mitigazione e aggiorna periodicamente la reportistica di rischio;
- Collegio Sindacale: vigila sull’efficacia del SCIGR, mantenendo uno scambio informativo costante con il Comitato Controllo, Rischi e Sostenibilità;
- Organismo di Vigilanza (OdV): monitora il rispetto del Modello 231, relaziona al Consiglio di Amministrazione e collabora con gli attori del sistema di controllo;
- Dirigente Preposto: sovraintende al sistema di controllo interno in ambito amministrativo-contabile, a garanzia dell’attendibilità delle informazioni finanziarie.
La gestione del rischio nelle società controllate
Le principali società operative del Gruppo adottano un approccio coerente a quello del capogruppo, integrando un modello ERM nei rispettivi sistemi di controllo.
- KOS considera la gestione del rischio un fattore distintivo di qualità, con rilevanza diretta sulla sicurezza dei pazienti e sull’affidabilità dei servizi. Il suo sistema ERM, introdotto nel 2012, prevede linee guida, audit annuali, formazione, protocolli di sicurezza e vede due funzioni dedicate al Risk Management e alla Sicurezza. Il modello viene regolarmente aggiornato per riflettere l’evoluzione organizzativa del gruppo.
- Sogefi, anch’essa dotata dal 2012 di un modello ERM, ha istituito a partire dal 2019 la funzione di Group Chief Risk Officer, autonoma rispetto all’Internal Audit, con il compito di presidiare l’identificazione, valutazione e gestione dei principali rischi strategici, operativi e di compliance.
In entrambe le realtà, l’identificazione dei rischi è guidata dai principali driver strategici e finanziari di medio-lungo termine, e supporta il Consiglio di Amministrazione nella comprensione degli scenari evolutivi e nella definizione delle priorità d’intervento.
