Il sistema di controllo interno non è un documento, né un manuale. E' appunto un sistema, composto di elementi distinti che sono tra loro interrelati, con finalità proprie e proprie regole di funzionamento. La definizione fondamentale è del 1992, presentata nel cosiddetto COSO Report.

S

condo la definizione fornita dal COMMITTEE OF SPONSORING ORGANIZATIONS OF THE TREADWAY COMMISSION, nella fondamentale opera Internal Control - Integrated Framework, AICPA, New York, 1992, il sistema di controllo interno è un processo (svolto dal consiglio di ammnistrazione, dai dirigenti e da altri soggetti della struttura aziendale) finalizzato a fornire una ragionevole sicurezza sul conseguimento degli obiettivi rientranti nelle seguenti categorie:

• efficacia ed efficienza delle attività operative;
• attendibilità delle informazioni di bilancio;
• conformità alle leggi e ai regolamenti in vigore.

Il sistema di controllo interno si compone dunque di cinque componenti, tra loro interrelate, che sono sinteticamente descritte nel seguito:

• Ambiente di controllo. Gli individui, le loro qualità individuali, e soprattutto la loro integrità, i loro valori etici e la loro competenza, e l’ambiente nel quale operano sono l’essenza stessa e le fondamenta su cui essa poggia.
• Valutazione dei rischi. Ogni azienda deve essere consapevole dei rischi che incontra e che deve affrontare. Essa deve porsi obiettivi per le attività commerciali, finanziarie, di produzione, di marketing e altre, reciprocamente integrati affinché l’organizzazione possa operare in modo coordinato e armonico. Essa deve anche attivare i meccanismi che consentono di individuare, analizzare e gestire i rischi relativi.
• Attività di controllo. Le politiche e le procedure di controllo devono essere elaborate e applicate per assicurare che siano attivati efficacemente i provvedimenti che il management ritiene necessari per ridurre i rischi connessi alla realizzazione degli obiettivi.
• Informazioni e comunicazioni. Attorno alle suddette attività di controllo si collocano i sistemi di informazione e comunicazione. Questi consentono al personale la raccolta e lo scambio delle informazioni necessarie alla gestione e al controllo.
• Monitoraggio. L’intero processo deve essere monitorato, apportandovi le eventuali modifiche richieste dalle circostanze. In tal modo, il sistema può reagire rapidamente, in funzione dei cambiamenti che si verificano nel contesto operativo.

Si consideri che le cinque componenti del sistema di controllo interno non devono essere considerate come separate, ma anzi sono interconnesse. Il sistema di controllo interno è un processo e non un evento isolato: “é un mezzo mirato a un fine, non un fine di per se stesso”.

Curiosamente non esiste definizione ufficiale, nella nostra normativa, di cosa sia il sistema di controllo interno. Si fa generalmente riferimento a quanto previsto, dal COMITATO PER LA CORPORATE GOVERNANCE, nel Codice di Autodisciplina, Borsa Italiana, Milano, 2006, ove si chiarisce:

• 8.P.1. Il sistema di controllo interno è l’insieme delle regole, delle procedure e delle strutture
  organizzative volte a consentire, attraverso un adeguato processo di identificazione,
  misurazione, gestione e monitoraggio dei principali rischi, una conduzione
  dell’impresa sana, corretta e coerente con gli obiettivi prefissati.
• 8.P.2. Un efficace sistema di controllo interno contribuisce a garantire la salvaguardia del
  patrimonio sociale, l’efficienza e l’efficacia delle operazioni aziendali, l’affidabilità dell’informazione
  finanziaria, il rispetto di leggi e regolamenti.

Le due definizioni non sono in conflitto, anche se l'enfasi anglosassone sul fatto che il sistema di controllo sia innanzi tutto un processo - ovvero un'azione orientata ad un fine - viene sostituita da un maggior importanza data alle regole e alla formalizzazione delle procedure.

Nella sostanza si è solito fare riferimento alla definizione internazionale, poiché di maggior ausilio operativo nella fase di analisi e valutazione del sistema stesso.