A cura dell'Avv. Marco Profili – Studio Legale Marco Profili

22 ottobre 2026

Il sistema dei controlli interni nel settore dell'intermediazione creditizia

La crescente complessità normativa e organizzativa del settore dell'intermediazione creditizia impone agli operatori di prestare particolare attenzione all'adeguatezza dei propri sistemi di controllo interno.

L'osservanza degli obblighi normativi non può limitarsi alla predisposizione formale di procedure e regolamenti aziendali, ma richiede l'effettiva attuazione di presidi organizzativi, verifiche periodiche e interventi correttivi.

In tale contesto assume particolare rilevanza l'Internal Audit, quale funzione di controllo indipendente finalizzata a valutare l'adeguatezza e l'efficacia del sistema dei controlli interni.

La possibilità di esternalizzare tale funzione rappresenta una soluzione organizzativa prevista dalla disciplina di settore, nel rispetto di specifici requisiti di professionalità, indipendenza e supervisione.

1. Il quadro normativo di riferimento

Per le società di mediazione creditizia, la principale disciplina dei requisiti organizzativi è contenuta nel Decreto del Ministero dell'Economia e delle Finanze 22 gennaio 2014, n. 31, adottato in attuazione del D.Lgs. 141/2010.

L'articolo 4 del decreto prevede che le società di mediazione creditizia adottino un sistema di controllo interno proporzionato alla propria complessità organizzativa, dimensionale e operativa.

Le disposizioni sono integrate dalle Linee guida dell'Organismo Agenti e Mediatori (OAM), che individuano le caratteristiche dei controlli e i principi da osservare nell'organizzazione delle funzioni aziendali.

Il sistema dei controlli deve essere concretamente adeguato ai rischi connessi all'attività, alla struttura distributiva e alle modalità operative della società.

Occorre tuttavia distinguere la disciplina specifica delle società di mediazione creditizia da quella applicabile agli agenti in attività finanziaria.

Per questi ultimi assumono rilievo gli obblighi previsti dal Testo Unico Bancario, le disposizioni applicabili alla propria attività e ai collaboratori, nonché i rapporti contrattuali e i presidi di controllo richiesti dagli intermediari mandanti.

Non è pertanto corretto estendere automaticamente a tutti gli agenti le medesime regole dimensionali previste per l'Internal Audit delle società di mediazione creditizia.

2. I tre livelli del sistema dei controlli interni

Nelle organizzazioni che adottano un modello articolato di controllo, è possibile distinguere tre livelli.

  • Controlli di primo livello

Sono i controlli svolti nell'ambito dell'operatività ordinaria.

Riguardano, ad esempio, la corretta acquisizione della documentazione, la gestione delle pratiche di finanziamento, il rispetto delle procedure interne e la regolarità dell'attività svolta dai collaboratori.

  • Controlli di secondo livello

Comprendono le attività di Compliance e Risk Management, oltre ai presidi antiriciclaggio secondo la disciplina applicabile.

La Compliance verifica il rischio di non conformità alle norme, mentre il Risk Management contribuisce all'individuazione, alla valutazione e al monitoraggio dei rischi aziendali.

  • Controlli di terzo livello – Internal Audit

La funzione di Internal Audit svolge una valutazione indipendente dell'adeguatezza, della funzionalità e dell'efficacia del sistema dei controlli interni.

Il suo compito non consiste nel sostituirsi alle funzioni operative, ma nel verificare se i presidi adottati siano effettivamente idonei e correttamente applicati.

L'indipendenza della funzione rappresenta un requisito fondamentale, da assicurare anche mediante un'adeguata separazione dalle responsabilità operative e dai controlli di secondo livello.

3. Quando è obbligatoria la funzione di Internal Audit?

Per le società di mediazione creditizia, il sistema dei controlli interni è richiesto indipendentemente dalle dimensioni aziendali, secondo criteri di proporzionalità.

In particolare, i chiarimenti OAM prevedono l'istituzione della funzione di Internal Audit di terzo livello per le società che superano i venti dipendenti e/o collaboratori rilevanti ai fini della disciplina.

Tuttavia, la valutazione non deve fermarsi al semplice dato numerico.

Le Linee guida OAM evidenziano che anche società con un numero inferiore di collaboratori possono necessitare di controlli più articolati quando presentino caratteristiche operative particolarmente complesse, ad esempio per l'estensione territoriale, l'utilizzo di canali digitali o l'ampiezza della platea raggiunta.

La necessità di istituire una funzione di terzo livello richiede quindi una valutazione concreta della struttura aziendale e delle disposizioni applicabili.

Per gli agenti in attività finanziaria, invece, l'assetto dei controlli deve essere esaminato sulla base della specifica disciplina del soggetto, dell'organizzazione adottata e degli obblighi derivanti dai rapporti con gli intermediari mandanti.

4. È possibile esternalizzare l'Internal Audit?

L'articolo 4, comma 3, del D.M. 31/2014 consente alle società di mediazione creditizia di affidare la funzione di controllo interno a soggetti esterni dotati di adeguati requisiti professionali, autorevolezza e indipendenza.

L'esternalizzazione permette di avvalersi di competenze specialistiche senza necessariamente costituire una struttura di revisione interna composta da personale dipendente.

La scelta di un professionista esterno deve però essere accompagnata da un assetto organizzativo coerente.

Occorre in particolare assicurare:

  • La formalizzazione dell'incarico e delle responsabilità.
  • L'indipendenza del soggetto incaricato.
  • La disponibilità della documentazione necessaria alle verifiche.
  • Adeguati flussi informativi verso gli organi aziendali.
  • La nomina di un referente interno secondo le indicazioni applicabili.
  • La tracciabilità delle verifiche svolte.
  • Il monitoraggio delle criticità rilevate.

L'esternalizzazione non determina il trasferimento integrale delle responsabilità aziendali al professionista incaricato.

Rimane infatti ferma la responsabilità della società e dei competenti organi aziendali per il corretto funzionamento del sistema dei controlli.

5. Quali attività svolge concretamente l'Internal Audit?

L'attività di revisione interna deve essere organizzata in funzione dei rischi e delle caratteristiche della società.

Un incarico strutturato può comprendere le seguenti fasi.

Analisi preliminare e mappatura dei rischi

La prima attività consiste nell'esame dell'organizzazione aziendale, delle procedure, dei prodotti intermediati e dei principali rischi operativi, normativi e reputazionali.

Particolare attenzione viene dedicata alla struttura distributiva, ai rapporti con gli intermediari e alla gestione dei collaboratori.

Predisposizione del piano delle verifiche

Sulla base dei rischi individuati viene predisposto un programma delle attività di audit.

Il piano individua i processi da verificare, gli obiettivi, la metodologia, i criteri di campionamento e la programmazione temporale degli interventi.

Il piano rappresenta uno strumento organizzativo fondamentale per assicurare sistematicità alle verifiche, ferma restando la distinzione tra le diverse prescrizioni normative e le migliori pratiche di controllo.

Svolgimento delle verifiche

Le attività possono interessare:

  • Corretta applicazione delle procedure aziendali.
  • Rispetto degli obblighi di trasparenza e informativa alla clientela.
  • Regolarità della documentazione relativa alle pratiche.
  • Gestione e monitoraggio dei collaboratori.
  • Verifica dei requisiti professionali e degli aggiornamenti formativi.
  • Gestione dei reclami.
  • Presidi di protezione dei dati personali.
  • Funzionamento dei controlli di secondo livello.
  • Attuazione delle misure correttive precedentemente individuate.

L'estensione di ciascuna verifica dipende dalla disciplina applicabile e dagli obiettivi dell'incarico.

Redazione del rapporto di audit

Al termine delle attività viene predisposto un rapporto contenente le verifiche effettuate, le evidenze acquisite e le eventuali anomalie riscontrate.

Le criticità devono essere rappresentate in modo chiaro, distinguendo i rilievi maggiormente significativi dalle osservazioni di carattere organizzativo.

Monitoraggio e follow-up

L'attività non si esaurisce con la consegna del rapporto.

È necessario verificare nel tempo l'attuazione delle misure correttive concordate e valutare il superamento delle criticità rilevate.

Proprio il follow-up permette di trasformare l'attività di audit in uno strumento effettivo di miglioramento del sistema dei controlli.

6. Il controllo della rete dei collaboratori

Uno degli ambiti maggiormente rilevanti per gli operatori del credito è rappresentato dal controllo della rete distributiva.

L'articolo 128-novies del Testo Unico Bancario prevede specifici obblighi di verifica in relazione ai dipendenti e collaboratori che operano a contatto con il pubblico.

Le società devono assicurare, anche attraverso procedure interne, il rispetto delle disposizioni applicabili e la permanenza dei requisiti richiesti.

Le verifiche possono interessare la documentazione professionale, la correttezza delle attività svolte, le procedure informative e la gestione dei rapporti con i clienti.

L'attività di controllo deve essere effettiva e documentata.

La semplice predisposizione di checklist, priva dell'evidenza delle attività concretamente svolte e dei relativi esiti, può risultare insufficiente a dimostrare l'effettività dei presidi adottati.

7. Indipendenza e responsabilità della funzione esternalizzata

Un elemento centrale nell'organizzazione dell'Internal Audit è rappresentato dalla necessaria autonomia del soggetto incaricato.

Il responsabile della funzione non deve svolgere mansioni operative incompatibili con le verifiche che è chiamato a effettuare.

Analogamente, occorre prevenire situazioni nelle quali il medesimo soggetto sia chiamato a controllare attività delle quali ha assunto direttamente la responsabilità gestionale.

L'OAM ha chiarito l'importanza della separazione tra controlli di secondo e di terzo livello e della presenza di un referente interno effettivamente coinvolto nella supervisione della funzione esternalizzata.

Il referente non può limitarsi a un ruolo meramente formale.

Deve invece costituire un collegamento operativo tra il soggetto incaricato delle verifiche e gli organi aziendali, contribuendo a garantire l'effettiva esecuzione dell'incarico.

8. I benefici di un sistema di controllo efficace

Al di là degli obblighi normativi, un sistema di Internal Audit adeguatamente organizzato può contribuire al miglioramento della gestione aziendale.

Tra i principali benefici organizzativi rientrano:

  • Individuazione tempestiva delle anomalie.
  • Miglioramento delle procedure operative.
  • Maggiore tracciabilità delle attività di controllo.
  • Riduzione dell'esposizione ai rischi legali, operativi e reputazionali.
  • Rafforzamento dei flussi informativi verso gli organi aziendali.
  • Migliore gestione dei rapporti con la rete distributiva.
  • Monitoraggio strutturato degli interventi correttivi.

L'efficacia del sistema dipende tuttavia dalla sua concreta attuazione e non dalla sola presenza di documenti o incarichi formalmente conferiti.

9. L'attività dello Studio Legale Marco Profili

Lo Studio Legale Marco Profili presta consulenza agli operatori del settore creditizio, con particolare riferimento all'organizzazione dei controlli interni, alla Compliance, al Risk Management e alle attività di Internal Audit.

L'Avv. Marco Profili, Segretario del Centro Studi Operatori del Credito, svolge incarichi esternalizzati di Internal Audit presso diversi operatori del settore.

L'attività professionale comprende l'analisi dei sistemi organizzativi, la predisposizione dei programmi di verifica, lo svolgimento dei controlli, la redazione dei rapporti di audit e il monitoraggio delle misure correttive.

L'approccio adottato integra la valutazione giuridica e normativa con l'analisi dei processi aziendali e delle effettive modalità operative.

Lo Studio offre assistenza a società e operatori del credito, anche a distanza, attraverso strumenti di comunicazione digitale e videoconferenza.

Per approfondire l'organizzazione dei controlli interni o valutare un incarico di Internal Audit esternalizzato è possibile richiedere un primo incontro conoscitivo gratuito.

Studio Legale Marco Profili
Via E. A. Mario, 15 – 80128 Napoli
Email: segreteria@studioprofili.it
Tel. e WhatsApp: 351 695 3522
www.studioprofili.it

Richiedi una prima consulenza gratuita:
https://www.studioprofili.it/contatti.html

---

Principali riferimenti normativi e istituzionali

  • D.Lgs. 1° settembre 1993, n. 385, con particolare riferimento agli articoli 128-quater e seguenti.
  • D.Lgs. 13 agosto 2010, n. 141.
  • D.M. 22 gennaio 2014, n. 31, articoli 3, 4 e 6.
  • OAM, Linee guida sui controlli interni previsti per le società di mediazione creditizia.
  • OAM, Comunicazione n. 21/2019.
  • OAM, chiarimenti sui requisiti organizzativi e sul sistema di controllo interno.

Il presente articolo ha finalità informative e non sostituisce la valutazione delle disposizioni concretamente applicabili al singolo operatore.

Per approfondire l’organizzazione dei controlli e le attività di revisione interna, consulta la sezione Internal Audit e controlli OAM.