Gestione dei rischi e sistema dei controlli

Pur mantenendo un limitato profilo di rischio economico e finanziario, in quanto concentrata in business regolati, Snam applica un approccio strutturato e sistemico di governo di tutti i rischi che possono influire sulle condizioni alla base della creazione di valore.

Il sistema di individuazione, valutazione, gestione e controllo dei rischi, applicato in tutta l’azienda, è articolato su tre livelli, ciascuno con diversi obiettivi e responsabilità associati. La strutturazione e il mantenimento dell’intero sistema è compito dell’Amministratore Delegato, a tal scopo incaricato dal Consiglio di Amministrazione.

La modalità di valutazione dei rischi è integrata, trasversale e dinamica, e valorizza i sistemi di gestione già esistenti nei singoli processi aziendali, a partire da quelli relativi alla prevenzione delle frodi e della corruzione, e della salute, sicurezza ambiente e qualità.

Le stesse attività di controllo costituiscono parte integrante dei processi gestionali. Compito del management è quindi favorire la creazione di un ambiente positivamente orientato al controllo e presidiare, in particolare, i “controlli di linea”, costituiti dall’insieme delle attività di controllo che le singole unità operative o le società svolgono sui propri processi. Il controllo indipendente è affidato alla funzione Internal Audit, incaricata di verificare che il sistema sia funzionante e adeguato.

Nel 2018 le attività di audit sono state effettuate mediamente con un team dedicato di 10 auditor.

Nel corso del 2018 tutte le attività dell’Internal Audit sono state svolte assicurando il mantenimento delle necessarie condizioni di indipendenza e autonomia nonché la dovuta obiettività, competenza e diligenza professionale, come previsto dalla Mission dell’Internal Audit e dalla Mandatory Guidance dell’Instituite of Internal Auditors, nonché nei principi contenuti nel Codice Etico.

L’Internal Audit ha svolto regolarmente le attività programmate che hanno riguardato: (i) l’esecuzione del Piano di Audit, approvato dal Consiglio di Amministrazione di Snam il 13 marzo 2018, previo parere favorevole del Comitato Controllo e Rischi e Operazioni con Parti Correlate, e di interventi di audit spot non previsti nel piano; (ii) lo svolgimento del programma di monitoraggio indipendente definito col Dirigente Preposto nell’ambito del Sistema di Controllo Snam sull’Informativa Societaria; (iii) le segnalazioni, anche in forma anonima, di problematiche relative al sistema di controllo interno e di gestione dei rischi, alla responsabilità amministrativa della Società, ad irregolarità o atti fraudolenti (whistleblowing); (iv) le attività inerenti i rapporti con la Società di Revisione e quelli relativi al presidio delle attività per il conferimento degli incarichi aggiuntivi della stessa.

Si evidenziano inoltre le principali attività svolte in ambito metodologico:

• l’implementazione di un Manuale di Internal Audit, che in ottica di continuous improvement, ha avuto l’obiettivo di aggiornare le metodologie e individuare dei format standard al fine di efficientare e semplificare il processo di internal auditing;
• la realizzazione di un nuovo tool per la gestione delle attività di audit dalla fase di pianificazione degli interventi fino al follow up delle azioni correttive a valle dell’implementazione del Progetto di Risk Assurance e Compliance Integrata;
• l’aggiornamento di Key Risk Indicator, nonché l’implementazione di nuovi, nell’ambito del tool di countinuous monitoring relativamente al processo di ciclo passivo con la volontà di strutturare nel 2019 una reportistica dedicata per le funzioni del primo e secondo livello di controllo;
• lo svolgimento dell’Internal Quality Review con l’obiettivo di monitorare l’efficacia ed efficienza delle attività, la conformità, nello svolgimento delle attività operative, agli strumenti normativi e operativi di cui si è dotata la Funzione e al rispetto delle best practice e degli standard internazionali di riferimento per la professione.

Il processo di Enterprise Risk Management (ERM)

Il gruppo Snam in linea con le indicazioni del Codice di Autodisciplina e delle best practice internazionali ha istituito, alle dirette dipendenze del General Counsel, l’unità Enterprise Risk Management (ERM), che opera nell’ambito del più vasto Sistema di Controllo Interno e di Gestione dei Rischi, al fine di presidiare il processo di gestione integrata dei rischi aziendali per tutte le società del Gruppo.

I principali obiettivi dell’ERM riguardano la definizione di un modello di valutazione dei rischi che consenta di individuare gli stessi secondo logiche omogenee e trasversali, di identificare i rischi prioritari, nonché di garantire il consolidamento delle azioni di gestione e l’elaborazione di un sistema di reporting.

Il rischio è definito come effetto dell’incertezza sugli obiettivi e può avere valenza negativa o positiva (opportunità).

La trasversalità

Una caratteristica di maggior valore del modello ERM adottato da Snam è la trasversalità della misura degli impatti.

Ogni evento rischioso può avere infatti otto tipologie di impatto, alcuni determinati dagli owner dei rischi (impatti operativi) ed altri dalle funzioni specialistiche (es. l’impatto legale, finanziario). Ciò significa una valutazione del rischio da differenti angolature e una prioritizzazione dei rischi di squadra.

Tra gli impatti operativi, numericamente prevale l’impatto industriale coerentemente con il fatto che l’individuazione dei rischi parte dall’analisi dei processi. Tra gli impatti specialistici, emergono gli impatti reputazionale e legale a conferma di un contesto esterno sempre più globalizzato e normativamente più complesso.

Nel corso del 2018 sono stati completati i cicli di risk assessment, ed effettuata la prima mappatura delle opportunità societarie, secondo il modello sopra descritto ed in accordo alla linea guida “Enterprise Risk Management” approvata a marzo dal Consiglio di Amministrazione, che hanno coinvolto tutto il Gruppo Snam. A fine 2018 risultano mappati circa 138 rischi enterprise suddivisi tra tutti i processi aziendali. Inoltre, nel perimetro di mappatura dei rischi e delle opportunità del 2018 sono state considerate le nuove attività nell’ambito di nuovi business non regolati, a fronte delle acquisizioni effettuate nel corso dell’anno.

Le opportunità (circa 25) sono individuate con metodologia analoga a quella dei rischi. Anche in questo caso vi è una misurazione, con opportune metriche, degli impatti operativi (industriale/business ed economico) da parte di ciascun owner ed una misurazione degli altri impatti (mercato, reputazionale, ambiente, finanziario) da parte delle funzioni specialistiche.

Nel 2018 è stata inoltre avviata la sperimentazione del progetto Risk Assurance e Compliance Integrata, con l’obiettivo di definire e implementare un modello integrato di risk assessment che, attraverso un unico strumento informatico e un’unica banca dati, razionalizzi e integri i flussi informativi dei controlli di secondo livello con un approccio sinergico mirato alla massima efficienza complessiva.

Nell’ambito dei rischi d’impresa, i principali rischi identificati, monitorati, e, per quanto di seguito specificato, sono stati suddivisi in rischi finanziari e non finanziari (rischi strategici, rischio legale e di non conformità e rischi operativi).

Nella tabella di seguito sono riportate le azioni di mitigazione e controllo attuate con riferimento ai principali rischi individuati.

Maggiori informazioni sui principali fattori di rischio e di incertezza sono fornite al capitolo “Fattori di rischio e di incertezza” della presente Relazione.