Indice dei contenuti
- Perché la documentazione standard non regge al controllo - Il requisito dell'ISA Italia 240.29 e la sua finalità - Come strutturare una sessione efficace - Esempio pratico: brainstorming per Tecnologie Italiane S.p.A. - Lista di controllo per la documentazione - Errori comuni - Contenuti correlati
Perché la documentazione standard non regge al controllo
Non si tratta di rifare la sessione. Si tratta di rifare la traccia. La sessione di brainstorming avviene comunque — si parla, si beve un caffè, qualcuno ricorda l'anno in cui il CFO del cliente era cambiato due volte. Poi si torna alle scrivanie e si compila il modulo. La conversazione sostanziale resta nella memoria del revisore senior. Non entra nel fascicolo di revisione.
La pressione strutturale è nota: i compensi irrisori sui mandati di medie dimensioni non consentono il tempo di documentazione che la norma presupporrebbe. Si tickano le voci del modulo per non creare una carenza formale, ma il lavoro di cattura del ragionamento del team viene compresso. Quando la CONSOB o il MEF aprono il fascicolo, ciò che trovano è la forma. La sostanza — se c'è stata — si è volatilizzata.
Il problema si aggrava se il senior che ha condotto la discussione esce dallo studio. Il partner di incarico, che non c'era, si trova a firmare un documento che non riflette una discussione di cui non ha memoria. Il fascicolo è tecnicamente conforme all'ISA Italia 240.30. Sostanzialmente, è vuoto.
Il requisito dell'ISA Italia 240.29 e la sua finalità
L'ISA Italia 240.29 stabilisce che il team dell'incarico deve discutere della suscettibilità del bilancio a errori significativi dovuti a frode. La discussione deve avvenire con una mentalità di scetticismo professionale, partendo dal presupposto che la direzione possa scavalcare i controlli.
Il paragrafo ISA Italia 240.A21 chiarisce che l'obiettivo non è un aggiornamento sui controlli. È uno scambio tra i membri del team su come e dove ritengano che il bilancio possa essere soggetto a errori dovuti a frode. La parola chiave è "come": non se la frode possa verificarsi, ma in quale modo specifico potrebbe manifestarsi in questo cliente, quest'anno. In pratica, questa distinzione si perde nel 90% dei fascicoli che vediamo. La discussione diventa una rassegna dei risk factor elencati dalla norma, non un'analisi specifica.
L'ISA Italia 240.A22 indica che la discussione deve considerare i fattori di rischio di frode noti, l'ambiente di controllo interno e come la direzione potrebbe perpetrare e occultare una condotta fraudolenta. Il focus è sui rischi specifici dell'entità, non su categorie generiche. Qui è dove si separa il fascicolo che regge da quello che si fa riprendere.
Il paragrafo ISA Italia 240.30 richiede che le questioni chiave discusse siano documentate. "Questioni chiave" non significa verbale completo, ma gli elementi che hanno influenzato l'identificazione dei rischi e le procedure di risposta. È qui che la pratica italiana diverge dalla norma: si documenta ciò che è stato detto, non ciò che ne è seguito. Ed è proprio quest'ultima parte che il controllo qualità chiede di vedere.
Come strutturare una sessione efficace
Preparazione pre-sessione
Distribuire ai partecipanti, almeno 24 ore prima, una sintesi di una pagina contenente: - Informazioni di base sull'entità (settore, dimensione, struttura proprietaria) - Principali cambiamenti dall'ultimo esercizio - Indicatori di performance finanziaria preliminari - Eventuali pressioni note sulla direzione
L'ISA Italia 240.A23 incoraggia la partecipazione di tutto il personale che abbia responsabilità significative nell'incarico. In pratica, questo comprende il partner di incarico, il manager, il senior e i collaboratori che esamineranno aree ad alto rischio. Se il partner non partecipa perché è in viaggio, la sessione va riorganizzata. Non vale sostituirlo con il manager e poi fargli firmare il verbale. Il controllo qualità distingue.
Struttura della sessione
Prima fase: identificazione delle pressioni (15 minuti)
Si inizia identificando le pressioni specifiche sulla direzione di questa entità. L'ISA Italia 240.A1 elenca tre categorie: incentivi/pressioni, opportunità e razionalizzazioni. Concentrare la discussione sulle prime due, che sono osservabili.
Per ogni pressione identificata, porsi la domanda: "Se fossi nella posizione della direzione e sentissi questa pressione, come potrei alterare il bilancio?" Questa formulazione forza il team a pensare in termini specifici, non in astratto. Nei forum professionali, questo esercizio viene a volte descritto come "mettersi dalla parte sbagliata per un'ora" — ed è esattamente lì che lo scetticismo professionale prende corpo.
Seconda fase: mappatura delle opportunità (20 minuti)
Esaminare ogni classe significativa di operazioni e saldi. Per ciascuna area, porsi queste domande: - Come vengono registrate le operazioni? - Chi ha accesso ai sistemi di registrazione? - Quali controlli potrebbero essere scavalcati dalla direzione? - Dove esistono stime contabili significative?
L'ISA Italia 240.A26 evidenzia che la direzione ha spesso la capacità di scavalcare i controlli che limiterebbero altri dipendenti. Concentrarsi sui controlli che la direzione può bypassare, non su quelli che limitano i contabili.
Terza fase: scenari specifici (15 minuti)
Per ogni area vulnerabile, sviluppare uno scenario specifico: - Che tipo di operazione potrebbe essere manipolata? - In quale momento del ciclo contabile? - Come verrebbe nascosta la manipolazione? - Quale sarebbe l'impatto quantitativo approssimativo?
La specificità è decisiva. "Manipolazione dei ricavi" non serve a niente. "Registrazione di vendite fittizie nell'ultima settimana d'esercizio a clienti esistenti che verranno stornate a inizio anno successivo" è specifico e utilizzabile. È anche lo scenario che il partner vorrà vedere tradotto in una procedura di cut-off rafforzata.
Documentazione durante la sessione
Designare un partecipante per prendere appunti strutturati. Non serve documentare ogni parola pronunciata. Concentrare la documentazione su: - Scenari specifici di frode identificati - Aree di bilancio considerate vulnerabili - Razionale per cui certe aree sono state identificate come a rischio più elevato - Accordi su come questi rischi saranno affrontati nelle procedure di revisione
È a questo punto che la maggior parte dei fascicoli si ferma. Il buon fascicolo, invece, aggiunge una riga finale: "chi fa cosa, quando". Senza questa riga, il brainstorming non genera alcuna conseguenza operativa, e il controllo qualità lo rileva.
Esempio pratico: brainstorming per Tecnologie Italiane S.p.A.
Contesto dell'entità: Tecnologie Italiane S.p.A. è una società di software con ricavi di EUR 28 milioni, quotata su Borsa Italiana MTA. La società ha registrato una crescita del 15% nei ricavi negli ultimi tre anni, ma i margini si sono ridotti per la pressione competitiva. Il management ha bonus legati al raggiungimento di target di crescita e redditività.
Sessione di brainstorming — estratti dalla documentazione:
Pressioni identificate: 1. Pressione sui ricavi: target di crescita del 12% annuo per mantenere la valutazione di mercato. Il CEO ha opzioni su azioni in scadenza nel 2025.
Nota di documentazione: verificare i contratti di stock option e i target del piano di incentivazione nella revisione delle transazioni con parti correlate.
2. Pressione sui margini: i costi del personale tecnico sono aumentati del 18% mentre i prezzi dei contratti con clienti esistenti sono rimasti stabili.
Nota di documentazione: analizzare l'evoluzione dei costi per dipendente e confrontarla con i ricavi per contratto negli ultimi 24 mesi.
Scenari specifici discussi:
Area: riconoscimento ricavi su contratti pluriennali - Rischio: anticipazione del riconoscimento ricavi su milestone non completate - Come potrebbe accadere: modificare artificialmente la percentuale di completamento dei progetti software personalizzati - Controllo aggirabile: il project manager (che riporta al CEO) determina la percentuale di completamento senza supervisione tecnica indipendente - Impatto stimato: EUR 2–4 milioni (7–14% dei ricavi annui)
Nota di documentazione: pianificare procedure dettagliate sui contratti in corso, con test di cut-off su milestone e revisione indipendente delle percentuali di completamento riportate.
Area: costi di sviluppo capitalizzati - Rischio: capitalizzazione di costi che andrebbero spesati - Come potrebbe accadere: riclassificare costi di manutenzione ordinaria come costi di sviluppo di nuove funzionalità - Controllo aggirabile: il CFO approva le capitalizzazioni sulla base delle descrizioni fornite dal team tecnico, senza verifica indipendente - Impatto stimato: EUR 800k–1,5 milioni
Nota di documentazione: testare la documentazione a supporto dei costi capitalizzati, verificare la corrispondenza con i criteri IAS 38.57 e intervistare sviluppatori su progetti specifici.
La complicazione in corso di incarico: A febbraio, il CFO della società sostituisce il project manager che partecipava al brainstorming come interlocutore informativo. Il nuovo PM, in un incontro di routine con il team di revisione, accenna a "un aggiustamento tecnico" sulla percentuale di completamento di due progetti, effettuato a novembre su richiesta del CFO. Il fatto non era emerso nel brainstorming — perché non era ancora avvenuto.
Cosa fare? Il partner A ritiene che sia sufficiente estendere i test di cut-off già pianificati ai due progetti citati. Il partner B ritiene che l'episodio richieda una riapertura della sessione ISA Italia 240.29, con documentazione della nuova informazione e una rivalutazione della response strategy. Non è un disaccordo su cosa fare tecnicamente — è un disaccordo sul livello di formalità richiesto. Il partner B vince, perché l'informazione modifica la valutazione del rischio sul ciclo ricavi in modo non banale, e l'ISA Italia 240.A24 richiede che discussioni significative successive siano documentate con la stessa serietà della discussione iniziale. Il fascicolo finale contiene entrambi i documenti, con l'integrazione datata 14 febbraio.
Conclusioni della sessione: il team ha identificato tre aree ad alto rischio di frode — riconoscimento ricavi su contratti, capitalizzazione costi di sviluppo e accantonamenti per garanzie. Le procedure di risposta includeranno test dettagliati, conferme esterne e verifiche di cut-off rafforzate.
Lista di controllo per la documentazione
1. Chi ha partecipato e con quale ruolo nell'incarico — non solo i nomi, ma le responsabilità specifiche di revisione
2. Data e durata della discussione — l'ISA Italia 240.A24 suggerisce che discussioni prolungate possano essere appropriate per entità complesse
3. Pressioni specifiche identificate con il razionale per cui sono rilevanti per questa entità — collegamento ai fattori di rischio ISA Italia 240.A1
4. Scenari di frode specifici discussi per area di bilancio — non categorizzazioni generiche, ma modalità concrete di manipolazione
5. Valutazione del rischio per ciascuna area — perché certe aree si considerino più vulnerabili di altre
6. Collegamento alle procedure pianificate — come i rischi identificati influenzino natura, tempistica ed estensione delle procedure di revisione
La documentazione deve permettere a un revisore esperto, senza precedente coinvolgimento nell'incarico, di comprendere il ragionamento del team e come la discussione abbia influenzato l'approccio di revisione. È questo il test che la CONSOB applica quando apre il fascicolo.
Errori comuni
Contenuti correlati
- Glossario: fattori di rischio di frode — definizione completa e classificazione secondo l'ISA Italia 240 - Strumento: kit di valutazione del rischio di frode ISA Italia 240 — template strutturato per la documentazione del brainstorming e l'identificazione dei rischi - Articolo correlato: ISA Italia 240 Revised — cosa cambia nell'identificazione e valutazione dei rischi di frode — analisi delle modifiche al principio e impatti sulle procedure