Internal Audit in sanità: stato dell’arte e prospettive

L’analisi ha evidenziato che, allo stato attuale, è disponibile una normativa regionale sull’Internal Audit in sanità solo in cinque regioni (Veneto, Lombardia, Emilia-Romagna, Abruzzo e Sardegna). Nelle altre regioni il riferimento normativo è rappresentato dalla disciplina sull’Internal Audit nel settore pubblico in senso lato. Le principali iniziative sono state intraprese a partire dal 2018.

Undici interviste semi-strutturate con attori chiave a livello regionale e aziendale hanno evidenziato come nella quasi totalità delle esperienze rilevate, il trigger che ha portato all’istituzione della funzione di Internal Audit è rappresentato dall’introduzione dell’obbligo di certificazione dei bilanci ed è, pertanto, prevalentemente di natura amministrativo-contabile. Oltre a tutelare l’azienda dal punto di vista dei rischi economico-finanziari, le funzioni di Internal Audit analizzate tendono a tutelare l’azienda dai rischi di compliance e, tra questi, in particolare, dai rischi di frode e corruzione. Meno presidiati sono i rischi strategici e i rischi operativi (rischio clinico).

Per garantirne l’indipendenza, la natura del ruolo vorrebbe una collocazione in staff alla direzione generale, che garantirebbe anche un maggiore collegamento tra i sistemi di Internal Audit e quelli di pianificazione e controllo strategico. Nella gran parte delle realtà analizzate, invece, la funzione riporta gerarchicamente alla direzione amministrativa, rappresentando quasi un contraltare del clinical risk manager in forza alla direzione sanitaria. Allo stato attuale è quindi indebolita la visione sistemica e strategica dei rischi in sanità – una visione che necessita di una cultura della gestione dei rischi che consente di tenere sotto controllo l’evoluzione degli obiettivi, anche strategici, dell’azienda e che richiede una formazione non solo tecnica della figura dell’Internal Auditor.

Allo stato attuale, la funzione di Internal Audit in sanità deve ancora guadagnarsi quella autorevolezza che le permetta di agire come stimolo al miglioramento della performance aziendale e al raggiungimento degli obiettivi strategici e operativi. Perché ciò sia possibile sono stati identificato i seguenti ambiti di azione:

• Promuovere una visione sistemica della gestione dei rischi aziendali: partecipazione della funzione alla definizione di sfide, obiettivi e priorità di tutti i settori dell’azienda.
• Incoraggiare il governo integrato del sistema dei controlli interni: allineamento e integrazione della funzione con gli altri controlli, monitorandone l'efficacia.
• Investire nella conoscenza delle logiche e degli strumenti di governo dei rischi aziendali: formazione dell’Internal Auditor, del management strategico e operativo.