Indice dei contenuti
Requisiti di base dell'ISA 265 per la comunicazione scritta
L'ISA 265.9 stabilisce l'obbligo di comunicazione scritta, ma i paragrafi A19-A22 forniscono le indicazioni operative per la strutturazione del documento. La comunicazione deve avvenire entro 60 giorni dalla data di completamento della revisione, come specificato dall'ISA 265.11.
Il rapporto deve distinguere chiaramente tra due destinatari. La direzione riceve informazioni su tutte le carenze identificate che sono rilevanti per la loro responsabilità operativa. I responsabili delle attività di governance ricevono comunicazione delle sole carenze significative, come definite dall'ISA 265.6.
L'ISA 265.A22 richiede che ogni carenza sia presentata con sufficiente dettaglio per consentire ai destinatari di comprendere la natura del problema e le azioni correttive necessarie. La genericità è il difetto più comune: descrizioni come "controlli inadeguati sui ricavi" non forniscono informazioni utilizzabili per il management.
Timing e modalità di consegna
La comunicazione scritta deve essere completata anche quando le carenze sono già state discusse oralmente durante la revisione (ISA 265.A21). La discussione orale non sostituisce la comunicazione scritta formale. Se le carenze sono state corrette durante la revisione, il rapporto deve comunque essere redatto, indicando le azioni correttive già implementate.
Per incarichi ricorrenti, l'ISA 265.A24 consente di fare riferimento a carenze comunicate in anni precedenti solo se non sono state corrette e rimangono rilevanti. Il riferimento deve essere specifico: numero del rapporto precedente, data di comunicazione, e conferma che la carenza persiste nella forma originale.
Struttura del rapporto sui rilievi
Intestazione e riferimenti
L'intestazione deve includere:
Paragrafo introduttivo standard
Il paragrafo di apertura deve chiarire lo scopo del rapporto e le limitazioni della revisione rispetto alla valutazione del controllo interno. L'ISA 265.A20 fornisce il linguaggio standard: "La nostra revisione non aveva lo scopo primario di identificare carenze nel controllo interno e di conseguenza non esprimiamo un'opinione sull'efficacia complessiva del controllo interno."
Questa dichiarazione protegge il revisore da aspettative inappropriate da parte del cliente. Il management potrebbe presumere che l'assenza di rilievi significhi che il controllo interno è pienamente efficace. Il disclaimer chiarisce che la revisione può non aver identificato tutte le carenze esistenti.
Sezione delle carenze significative
Ogni carenza significativa richiede una sezione dedicata con:
Sezione delle carenze minori
Le carenze che non raggiungono la soglia di significatività dell'ISA 265.6 possono essere incluse in una sezione separata indirizzata alla sola direzione. L'inclusione è facoltativa ma generalmente apprezzata dal cliente come valore aggiunto della revisione.
- Denominazione sociale completa dell'entità revisionata
- Esercizio di riferimento della revisione
- Data del rapporto sui rilievi
- Riferimento al fascicolo di revisione
- Destinatari specifici (direzione e/o responsabili delle attività di governance)
- Titolo descrittivo specifico (non "Carenza 1" ma "Mancata segregazione dei compiti nella gestione incassi")
- Descrizione della carenza in termini operativi
- Potenziale impatto sulla revisione del bilancio
- Raccomandazione per la risoluzione
- Timeline suggerita per l'implementazione
Contenuto richiesto per ogni carenza significativa
Descrizione della carenza
La descrizione deve essere sufficientemente dettagliata da consentire al management di localizzare e comprendere il problema. Includere:
Evitare descrizioni generiche come "controlli insufficienti." Specificare quali controlli mancano, in quali processi, e con quale impatto operativo.
Potenziale impatto
L'ISA 265.A22 richiede di spiegare il potenziale impatto della carenza. Questo non significa quantificare l'impatto finanziario (che spesso non è determinabile), ma spiegare:
La formulazione deve essere equilibrata. Evitare allarmismi ("potrebbe causare perdite significative") ma anche minimizzazioni ("impatto probabilmente limitato").
Raccomandazione per la risoluzione
Ogni carenza deve essere accompagnata da una raccomandazione pratica e implementabile. La raccomandazione deve essere:
Le raccomandazioni generiche ("rafforzare i controlli") non sono utili. Specificare chi deve fare cosa, quando, e con quali strumenti.
Risposta del management
L'ISA 265.A23 incoraggia a richiedere una risposta scritta del management a ogni raccomandazione. La risposta deve includere:
Questa sezione può essere lasciata vuota nel rapporto iniziale e compilata dopo aver ricevuto il feedback del management.
- Il processo aziendale specifico coinvolto
- Il controllo che manca o non funziona efficacemente
- Le circostanze in cui la carenza è stata identificata
- La frequenza o la pervasività del problema
- Quali asserzioni di bilancio potrebbero essere interessate
- Quale tipo di errore potrebbe non essere prevenuto o rilevato
- Con quale probabilità l'errore potrebbe verificarsi
- Specifica nelle azioni richieste
- Realistica rispetto alle dimensioni e alle risorse dell'entità
- Coerente con il quadro di controllo interno dell'entità
- Accompagnata da una timeline ragionevole per l'implementazione
- Accordo o disaccordo con la carenza identificata
- Piano di azione proposto per la risoluzione
- Timeline per l'implementazione
- Responsabilità assegnata per l'implementazione
Esempio pratico: rapporto per Ceramiche Italiane S.p.A.
> Contesto: Ceramiche Italiane S.p.A., produttore di piastrelle con sede a Sassuolo, ricavi per EUR 45M, 180 dipendenti. Durante la revisione del bilancio 2024 sono state identificate due carenze significative nel ciclo ricavi e nel processo di chiusura contabile.
RAPPORTO SUI RILIEVI DI CONTROLLO INTERNO
Alla Direzione e al Consiglio di Amministrazione
Ceramiche Italiane S.p.A.
Via dell'Industria 24, Sassuolo (MO)
Esercizio 2024 - Rif. Fascicolo: CI-2024-001
Premessa
Nel corso della nostra revisione del bilancio dell'esercizio chiuso al 31 dicembre 2024, abbiamo identificato alcune carenze nel sistema di controllo interno che riteniamo opportuno portare alla vostra attenzione. La nostra revisione non aveva lo scopo primario di identificare carenze nel controllo interno e di conseguenza non esprimiamo un'opinione sull'efficacia complessiva del controllo interno.
Carenze significative
1. Mancata segregazione dei compiti nel processo di fatturazione
Durante l'esame del ciclo ricavi, abbiamo rilevato che la Sig.ra Rossi, responsabile amministrativa, ha accesso sia al sistema di fatturazione sia al sistema di gestione degli incassi. Può emettere fatture, modificare i dati anagrafici clienti, registrare i pagamenti e autorizzare gli sconti.
Documentazione di revisione: CdL A3.2, test di segregazione dei compiti, 15 gennaio 2025
Potenziale impatto: Questa concentrazione di funzioni incompatibili potrebbe consentire la registrazione di ricavi fittizi o l'occultamento di ammanchi di cassa senza rilevazione tempestiva. L'asserzione di esistenza e accuratezza dei ricavi potrebbe essere compromessa.
Raccomandazione: Separare le funzioni di fatturazione da quelle di incasso. Assegnare la gestione degli incassi a un dipendente diverso oppure implementare un controllo di supervisione mensile da parte del Direttore Generale su tutte le transazioni elaborate dalla Sig.ra Rossi.
Timeline suggerita: implementazione entro marzo 2025
2. Assenza di controllo sulle scritture di assestamento
Il sistema contabile consente al Dott. Bianchi, responsabile contabilità, di registrare scritture di assestamento di qualsiasi importo senza autorizzazione preventiva o successiva revisione. Durante il test sulle scritture di dicembre 2024, abbiamo identificato 23 registrazioni superiori a EUR 10.000 senza evidenza di approvazione.
Documentazione di revisione: CdL F2.1, test journal entries, 22 gennaio 2025
Potenziale impatto: Le scritture di assestamento non autorizzate potrebbero essere utilizzate per manipolare i risultati d'esercizio o occultare errori. Tutte le asserzioni di bilancio potrebbero essere interessate, con particolare riferimento all'accuratezza e alla completezza.
Raccomandazione: Implementare un workflow di autorizzazione per tutte le scritture di assestamento superiori a EUR 5.000. Le scritture devono essere autorizzate dal Direttore Generale prima della registrazione e documentate con supporti giustificativi.
Timeline suggerita: configurazione del sistema entro aprile 2025
Richiesta di risposta
Vi chiediamo di fornire una risposta scritta entro 30 giorni dalla ricezione del presente rapporto, indicando le azioni che intendete intraprendere per risolvere le carenze identificate.
Studio Associato De Sanctis & Partners
Milano, 28 febbraio 2025
Lista di controllo per la redazione
- Verifica dei destinatari: carenze significative comunicate ai responsabili delle attività di governance, tutte le altre carenze comunicate alla direzione
- Completezza della descrizione: ogni carenza include processo coinvolto, controllo mancante, e circostanze di identificazione
- Impatto chiaramente spiegato: quali asserzioni sono a rischio e con quale meccanismo
- Raccomandazioni specifiche: azioni concrete, responsabilità assegnate, timeline definita
- Documentazione di supporto: ogni carenza referenziata alla carta di lavoro specifica che la documenta
- Disclaimer appropriato: chiarimento sui limiti della revisione rispetto alla valutazione del controllo interno
Errori comuni nella redazione
Descrizioni troppo tecniche: Usare il linguaggio del controllo interno invece di termini operativi comprensibili al management. "Controllo ITGC inefficace" non comunica nulla. "Il backup dei dati contabili non viene testato mensilmente" è chiaro.
Raccomandazioni generiche: Suggerimenti come "migliorare i controlli" o "rafforzare la supervisione" non sono implementabili. Ogni raccomandazione deve specificare chi fa cosa entro quando.
Mescolare carenze significative e minori: Presentare tutte le carenze con lo stesso livello di dettaglio confonde i destinatari sulla priorità degli interventi. Le carenze significative richiedono sezioni dedicate e maggior dettaglio.
Mancata comunicazione tempestiva delle carenze urgenti: L'ISA 265.9 impone di comunicare le carenze significative "in tempo utile" e non solo nel rapporto finale. Caso tipico: nella revisione di Ceramiche Italiane S.p.A. la carenza di segregazione dei compiti tra fatturazione e incassi è emersa a gennaio 2025; attendere febbraio per comunicarla formalmente lascia scoperti i 30 giorni successivi alla chiusura, periodo in cui la stessa persona continua a gestire incassi e fatture senza supervisione, e il controllo di qualità rileva il ritardo.
Contenuti correlati
- Glossario: Valutazione del controllo interno - Definizione tecnica delle carenze significative secondo l'ISA 265.6 e criteri per la valutazione della significatività
- Guida alle carenze di controllo interno ISA 265 - Come identificare sistematicamente le carenze durante la fase di comprensione
- Come strutturare la comunicazione con i responsabili delle attività di governance - Linee guida complete per la comunicazione secondo l'ISA 260