Gestione dei rischi e sistema dei controlli

Pur mantenendo un limitato profilo di rischio economico e finanziario, in quanto concentrata in business regolati, Snam applica un approccio strutturato e sistemico di governo di tutti i rischi che possono influire sulle condizioni alla base della creazione di valore.

Il sistema di individuazione, valutazione, gestione e controllo dei rischi, applicato in tutta l’azienda, è articolato su tre livelli, ciascuno con diversi obbiettivi e responsabilità associati. La strutturazione e il mantenimento dell’intero sistema è compito dell’Amministratore Delegato, a tal scopo incaricato dal Consiglio di Amministrazione.

La modalità di valutazione dei rischi è integrata, trasversale e dinamica, e valorizza i sistemi di gestione già esistenti nei singoli processi aziendali, a partire da quelli relativi alla prevenzione delle frodi e della corruzione, e della salute, sicurezza ambiente e qualità.

Le stesse attività di controllo costituiscono parte integrante dei processi gestionali. Compito del management è quindi favorire la creazione di un ambiente positivamente orientato al controllo e presidiare, in particolare, i “controlli di linea”, costituiti dall’insieme delle attività di controllo che le singole unità operative o le società svolgono sui propri processi. Il controllo indipendente è affidato alla funzione Internal Audit, incaricata di verificare che il sistema sia funzionante e adeguato.

Nel 2017 le attività di audit sono state effettuate con un team dedicato di 8 auditor.

Nel corso del 2017 tutte le attività di internal audit sono state svolte in accordo agli standard internazionali emanati dall’Institute of Internal Auditor (IIA) e, a seguito Quality Assurance Review (QAR) del 2016 (il cui giudizio finale di sintesi è di generale conformità della struttura e delle attività di Internal Audit di Snam S.p.A. agli Standard e al Codice Etico dell’IIA), la funzione Internal Audit ha predisposto e avviato un programma di implementazione delle azioni di miglioramento evidenziate dalla QAR. In particolare, tra le principali azioni messe in atto dalla funzione si annovera:

• revisione ed approvazione delle Linee di Indirizzo del Consiglio in tema di attività di internal audit. Le modifiche hanno tenuto in considerazione: (i) l’aggiornamento degli standard internazionali IIA (decorrenza gennaio 2017), (ii) l’aggiornamento del Codice della Borsa Italiana (edito nel luglio 2015) e (iii) la modifica del perimetro delle attività di audit a seguito di variazioni organizzative e all’aggiornamento del quadro procedurale aziendale;
• aggiornamento delle guide operative attraverso la predisposizione di un Manuale di Internal Audit, che in ottica di continuous improvement, ha l’obiettivo di efficientare il processo e rendere più fruibili le informazioni.

Tali attività sono state svolte con il supporto di un consulente specializzato indipendente, che ha inoltre effettuato un benchmark rispetto a società analoghe per dimensioni ed operatività, dal quale non è emerso nulla che evidenzi possibili non conformità agli standard, garantendo inoltre che le modifiche apportate risultano essere in linea con gli Standard Internazionali IIA e alle best practices.

Il processo di Enterprise Risk Management (ERM)

Il gruppo Snam in linea con le indicazioni del Codice di Autodisciplina e delle best practice internazionali ha istituito, alle dirette dipendenze del General Counsel, l’unità Enterprise Risk Management (ERM), che opera nell’ambito del più vasto Sistema di Controllo Interno e di Gestione dei Rischi, al fine di presidiare il processo di gestione integrata dei rischi aziendali per tutte le società del Gruppo.

I principali obiettivi dell’ERM riguardano la definizione di un modello di valutazione dei rischi che consenta di individuare gli stessi secondo logiche omogenee e trasversali, di identificare i rischi prioritari, nonché di garantire il consolidamento delle azioni di mitigazione e l’elaborazione di un sistema di reporting.

1.
Identificazione e misurazione: degli eventi rischiosi afferenti ai processi aziendali e dei fattori di rischio esterni che potrebbero influire sul conseguimento degli obiettivi aziendali, sia attraverso impatti diretti sui valori economici e finanziari aziendali (minori ricavi o maggiori costi), sia attraverso effetti negativi di tipo intangibile su altri capitali, prima fra tutti la “licence-to-operate”.

3.
Definizione strategia di gestione: per tutti i rischi vengono individuate le azioni di gestione ed
eventuali interventi specifici con le relative tempistiche di attuazione ed associata una tipologia di gestione dei rischi tra quelle codificate. I piani di gestione relativi ai principali rischi sono presentati al Comitato Controllo e Rischi.

2.
Valutazione enterprise e prioritizzazione: a ciascun evento viene assegnata una “misurazione enterprise”, che sintetizza per ciascun rischio le diverse valutazioni effettuate dai Risk Owner e dalle unità centralizzate con competenze specialistiche. La prioritizzazione dei rischi è definita, invece, dalla combinazione delle misure di impatto e probabilità.

4.
Monitoraggio e reporting: la mappatura dei rischi è aggiornata periodicamente in funzione della
valutazione “enterprise” ed è comunque almeno annuale, anche per i rischi a bassa prioritizzazione. L'attività periodica di reporting garantisce, ai diversi livelli aziendali, la disponibilità e la rappresentazione delle informazioni relative alle attività di gestione e di monitoraggio dei rischi di competenza.

La trasversalità

Una caratteristica di maggior valore del modello ERM adottato da Snam è la trasversalità della misura degli impatti.

Ogni evento rischioso può avere infatti dieci tipologie di impatto, alcuni determinati dagli owner dei rischi (impatti operativi) ed altri dalle funzioni specialistiche (es. l’impatto legale, finanziario). Ciò significa una valutazione del rischio da differenti angolature e una prioritizzazione dei rischi di squadra.

Tra gli impatti operativi numericamente prevale l’impatto industriale coerentemente con il fatto che l’individuazione dei rischi parte dall’analisi dei processi. Tra gli impatti specialistici emergono gli impatti reputazionale e legale a conferma di un contesto esterno sempre più globalizzato e normativamente più complesso.

Nel corso del 2017 sono stati completati i cicli di risk assessment, secondo il modello sopra descritto, che hanno coinvolto tutto il Gruppo Snam. A fine 2017 risultano mappati circa 136 rischi enterprise suddivisi tra tutti i processi aziendali.

È stato inoltre avviato nel 2017 un progetto con l’obiettivo di definire e implementare un modello integrato di risk assessment che, attraverso un unico strumento informatico e un’unica banca dati, razionalizzi e integri tutti i flussi informativi

Nell’ambito dei rischi d’impresa, i principali rischi identificati, monitorati, e, per quanto di seguito specificato, sono stati classificati nelle seguenti categorie:

• rischi strategici
• rischio legale e di non conformità
• rischi operativi
• rischi finanziari

Nella tabella di seguito sono riportate le azioni di mitigazione e controllo attuate con riferimento ai principali rischi individuati.