Innovation in the internal audit : an empirical activity at Protiviti

In a world where companies have to face a more complex and uncertain business environment, the disruption from new digital competitors and where they have to quickly react to the speed of change, being able to manage risks in an effective way becomes crucial. As the actor responsible to oversee how risk is managed inside a company, internal audit is put under a lot of pressure to support the business during these uncertain times. The focus of this document is to present how the internal audit function is innovating itself to respond to this need of change and how Protiviti, the global consulting firm specialized in internal audit, risk and compliance where I conducted a six-months internship, is supporting its clients in this journey. Following a structured approach, as a first step I reviewed the research conducted both by academic researchers and professionals on the topic of the internal audit function. The structured literature review focused on three main streams of research: the link between internal audit and agency theory, the role of internal audit and the drivers for internal audit adoption and effectiveness. The review of the professional perspective was conducted using the papers of the Institute of the Internal Auditors and the internal knowledge developed by Protiviti as source material. Both the groups identify internal audit as a critical component of the internal control and risk management system of a company and associate its role mainly to risk oversight, even though other new roles are emerging. Then I focused on analysing how internal audit departments are innovating themselves, following the drivers grouped by Protiviti under the name of “Next Generation of Internal Audit”: methodology, technology and governance. By applying more flexible and agile methodologies, supported by innovative technologies, internal audit not only can support the company in preserving the value through an improved risk management system, but also in creating value, by leveraging on new innovative tools and its knowledge of business processes in order to identify opportunities for improving their efficiency. In the last part of the thesis work, I present the two projects I had the opportunity to execute during my internship at Protiviti, both of which featured the application of the next-gen principles. In the first one, where we conducted an audit on the processes of procurement and construction management of an Italian airport, the application of data analytics tools allowed us to get a deeper understanding of the process, identifying potential points of improvement and developing a dashboard for monitoring the performances and risks of the process. In the second one, during the execution of a risk assessment for a large multinational Italian company aimed at defining the Audit Plan for the following three years, we developed a plan for the evolution of a newly developed audit function following the principles of the next generation of the internal audit. For this case, issues related to management turnover and budget constraints did not allow us to see our plans executed and to test their effectiveness.

In un mondo in cui le aziende devono affrontare un ambiente di business più complesso e incerto, la disruption da parte dei nuovi concorrenti digitali e dove devono reagire rapidamente alla velocità del cambiamento, la capacità di gestire i rischi in modo efficace diventa cruciale. In qualità di principale responsabile della supervisione della gestione del rischio all'interno dell'azienda, l’internal audit è chiamato maggiormente a sostenere il business in questi tempi di incertezza. L'obbiettivo di questo documento è quello di presentare come la funzione di internal audit si sta innovando per rispondere a questa esigenza di cambiamento e come Protiviti, la società di consulenza specializzata in internal audit, risk e compliance dove ho svolto un internship di sei mesi, sta supportando i suoi clienti in questo percorso. Seguendo un approccio strutturato, come primo passo ho analizzato le ricerche prodotte sia dalla ricerca accademica che da professionisti sul tema della funzione di internal audit. La revisione strutturata della letteratura si è concentrata su tre principali filoni di ricerca: il legame tra internal audit e agency theory, il ruolo dell'internal audit e i driver per l'adozione e l'efficacia dell'internal audit. La revisione della prospettiva professionale è stata condotta utilizzando come materiale di partenza le ricerche dell’Institute of Internal Auditors e le conoscenze interne sviluppate da Protiviti. Entrambi i gruppi identificano la funzione di internal audit come una componente critica del sistema di controllo interno e di gestione dei rischi di un'azienda e ne associano il ruolo principalmente alla supervisione del rischio, anche se nuovi ruoli stanno emergendo. Successivamente, mi sono poi concentrato sull'analisi di come i reparti di revisione interna si stanno innovando, seguendo i driver raggruppati da Protiviti sotto il nome di "Next Generation of Internal Audit": metodologia, tecnologia e governance. Applicando metodologie più flessibili e agili, supportate da tecnologie innovative, l’internal audit può supportare l'azienda non solo nella preservazione del valore attraverso un migliore sistema di gestione del rischio, ma anche nella creazione di valore, facendo leva su nuovi strumenti innovativi e sulla conoscenza dei processi aziendali per individuare le opportunità di miglioramento della loro efficienza. Nell'ultima parte del lavoro di tesi, presento i due progetti che ho avuto l'opportunità di realizzare durante il mio internship in Protiviti, entrambi caratterizzati dall'applicazione dei principi della next-gen. Nel primo, in cui abbiamo condotto un audit sui processi di acquisto e gestione lavori di un aeroporto italiano, l'applicazione di strumenti di data analytics ci ha permesso di approfondire la conoscenza del processo, individuando i potenziali punti di miglioramento e sviluppando un cruscotto per il monitoraggio delle performance e dei rischi del processo. Nel secondo progetto, durante l'esecuzione di un risk assessment per una grande multinazionale italiana finalizzato alla definizione del Piano di Audit per il triennio successivo, abbiamo sviluppato un piano per l'evoluzione di una funzione di audit al momento non matura, secondo i principi della prossima generazione dell’internal audit. Purtoppo, problemi relativi al management e ai vincoli di budget non ci hanno permesso di vedere eseguiti i nostri piani e di verificarne l'efficacia.