Continuous audit e process mining, una coppia vincente

Nella realtà aziendale le attività di controllo interno (audit) stanno assumendo una rilevanza sempre maggiore, anche in considerazione dell’impatto di normative e standard. Ciò ha portato molte imprese a dotarsi di competenze interne in materia di audit o a introdurre specifici ruoli aziendali. Oggi, con la disponibilità di sistemi informativi di supporto e di tecniche di analisi in continua evoluzione, ci si sta muovendo verso un’ulteriore trasformazione: il continuous audit.

L’audit: interno versus continuo

Anche per adeguarsi a normative o standard interni o esterni di varia natura (ad esempio negli ambiti della qualità, sicurezza sul lavoro, ambiente e protezione delle informazioni) o per gestire processi di particolare complessità o rilevanza, le organizzazioni hanno introdotto modelli organizzativi e sistemi gestionali, a volte molto complessi e integrati, per rispondere al meglio alle istanze di conformità.

Tali sistemi gestionali necessitano di un’attività di controllo costante volta a consentire la risoluzione di non conformità, l’aggiornamento continuo e la preparazione a verifiche ispettive di terze parti (ad esempio enti di certificazione). L’audit diventa in questo contesto uno strumento per la dimostrazione e il mantenimento dell’efficacia ed effettività dei propri modelli organizzativi.
Sull’onda di questo modello nasce, una trentina di anni fa, il concetto di continuous audit (CA). L’idea di base è – come chiarito dal nome – quella di automatizzare il processo di audit, arrivando idealmente ad un controllo in tempo reale, intercettando le non conformità e intervenendo tempestivamente per evitare il perdurare delle stesse. Il salto tra queste due applicazioni sta sicuramente nell’avanzamento tecnologico e tecnico recente. In questo contesto, il l process mining può essere l’arma giusta per passare da un’implementazione all’altra.

Che cos’è il process mining?

Sviluppatosi e diffuso nell’ultimo decennio, il process mining completa e supporta le tradizionali tecniche di analisi dei processi con un approccio quantitativo. Il punto di partenza sono i dati di log dei sistemi informativi, quello di arrivo una comprensione chiara e oggettiva dei processi di business. A patto che il processo si appoggi su un sistema informativo, ovviamente configurato nel pieno rispetto dei requisiti normativi applicabili (per esempio in materia di protezione dei dati personali o di controllo a distanza dell’attività lavorativa), gli ambiti di utilizzo di questa tecnica sono diversi, così come molte sono le applicazioni

Conformance checking e continuous audit

Nella sua agilità, il process mining supporta anche le pratiche di audit. Infatti, una delle più comuni applicazioni di questa tecnica è quella del conformance checking, che permette il confronto del processo reale con uno di riferimento – sia questo definito internamente dall’azienda o da prescrizioni normativi o standard (leggi, norme ISO, ecc.).  Cosi facendo, questa tecnica supporta anche l’individuazione delle cause che hanno generato eventuali non conformità, che nei flussi di processo si manifestano come deviazioni o ricicli su attività di processo, che non sarebbero previste nel modello di riferimento.

Continuous audit, più efficacia col process mining

Sono le caratteristiche stesse del process mining che permettono di superare alcuni limiti dell’audit “tradizionale”:

• Onerosità: effettuare l’audit dei processi è tipicamente oneroso, richiede l’impiego di diverse risorse ed ha impatti, diretti o indiretti, sull’operatività e sull’efficienza del processo durante il periodo dell’audit. Il process mining permette invece di impostare l’analisi in una prima fase e di renderla poi automaticamente replicabile, abbattendo notevolmente i costi di questo tipo di attività
• Saltuarietà: proprio per quanto rilevato al punto precedente, gli audit non possono che essere effettuati in modo non continuativo, portando benefici limitati nel tempo dettati più dalla “paura” dell’ispezione che non dall’effettivo radicarsi di buone pratiche nello svolgimento dei processi. Grazie alla replicabilità delle analisi di process mining, le attività di audit possono essere condotte molto più frequentemente, arrivando come si vedrà al continuous audit
• Campionamento: effettuare manualmente l’attività di audit è non solo oneroso, è anche time consuming, costringendo così gli auditor a dover lavorare su campioni limitati di istanze di processo. Il process mining invece permette di lavorare sull’intero set di istanze di processo, eliminando così le distorsioni dovute alla composizione del campione, rendendo così i risultati dell’audit molto più precisi ed affidabili

Per sua natura, il continuous audit contrappone ai limiti dell’audit tradizionale i propri vantaggi:

• Continuità: la definizione stessa cattura questo tendere ad un controllo costante e automatizzato. Alcune delle principali caratteristiche del CA sono velocità, efficienza e convenienza, che si contrappongono alle tradizionali investigazioni, manuali e costose sia a livello di risorse che di tempo;
• Fondamento oggettivo: l’utilizzo di tecniche come il process mining garantisce la solidità dei risultati, basati su un’analisi di tipo quantitativo dei processi attraverso i dati relativi agli stessi. In questo modo, si superano anche i limiti di affidabilità dell’analisi degli auditor;
• Knowledge base: l’analisi permette di creare un patrimonio informativo importantissimo per l’azienda, fornendo una base per la piena comprensione dei processi, dandone una definizione oggettiva e chiara.

Perché integrare il continuous audit in azienda?

Come buona norma nelle applicazioni del process mining, questa tecnica non si vuole sostituire alle competenze dei professionisti, ma vuole piuttosto fornire un efficace supporto: l’intervento umano è ancora una componente fondamentale per guidare l’analisi e interpretarne i risultati nella maniera più efficiente.

Questa sinergia ottimizza la distribuzione dell’effort all’interno dell’azienda, permettendo agli auditors di concentrarsi sull’analisi delle eventuali anomalie individuate dagli algoritmi, o sull’individuare piuttosto spunti di miglioramento, trasformando l’attività di audit da un elemento di controllo che incute timore nelle persone in un elemento di empowerment, in grado di dare ai process owner un reale strumento di controllo e miglioramento del proprio processo

Non solo: l’utilizzo di una tecnica di analisi di tipo quantitativo permette una migliore gestione del rischio. Infatti, grazie al fatto che il process mining lavora sull’intero set di istanze di processo e fornisce elementi quantitativi chiari, questo permette di quantificare i rischi legati alle non conformità (reali o potenziali) in modo molto più preciso e puntuale. Ciò permette quindi di prioritizzare meglio anche le azioni correttive, andando così a gestire in modo migliore i rischi in azienda, di qualsiasi natura essi siano.

Uno sguardo al futuro

In queste righe si è parlato del process mining come di uno strumento descrittivo e diagnostico, che accompagna le pratiche di audit verso l’automatizzazione, ma sempre con l’ottica di comprendere cosa è accaduto in passato. Il suo apporto può tuttavia spingersi oltre.

Quest’altro caso d’uso comporta ulteriori vantaggi all’azienda, che può decidere di sfruttare ulteriormente tecniche di advanced analytics per spingersi fino all’adozione di modelli prescrittivi, passando così da una logica “reattiva” ad una logica “proattiva”, che permetta all’organizzazione di anticipare eventi futuri, andando così a fornire un supporto ancora maggiore all’applicazione della strategia aziendale.