ISA 240 Fattori di Rischio Frode: Come Valutare Tutte e Tre le Dimensioni in un Incarico Reale

Indice

1. La tesi: perche i fascicoli falliscono nelle delibere CONSOB 2. Il triangolo della frode: cosa richiede ISA Italia 240 3. Dimensione 1: incentivi e pressioni che reggano alla lettura 4. Dimensione 2: opportunita, ovvero dove il controllo cede 5. Dimensione 3: razionalizzazioni, la dimensione che nessuno documenta 6. Esempio reale: Trasporti Mediterranei S.r.l. 7. Quando i partner non sono d'accordo 8. Lista di controllo operativa 9. Errori comuni 10. Contenuti correlati

La tesi: perche i fascicoli falliscono nelle delibere CONSOB

Le procedure di frode che falliscono nelle delibere CONSOB non falliscono per ignoranza dello standard. Falliscono perche il revisore ha tickato i tre fattori senza valutarli sul cliente specifico. Quando il MEF apre il fascicolo, trova le tre voci compilate e le tre voci scollegate dalle asserzioni di bilancio. Le carte erano leggere.

Si potrebbe obiettare che la valutazione dei fattori di rischio sia per natura preliminare, e che il vero lavoro avvenga nelle procedure di risposta a livello di asserzione (ISA Italia 240.31, ISA Italia 330). L'obiezione e parzialmente fondata. Il problema e che senza una valutazione sostantiva dei fattori, le procedure di risposta diventano standard e generiche: cutoff esteso a quindici giorni, conferme bancarie, journal entry testing su due criteri. La direzione lo sa, e lo sa anche l'ispettore.

Il verdetto di questo articolo e che il fascicolo regge solo quando i tre fattori sono ancorati a evidenze specifiche dell'entita (numeri, contratti, frasi della direzione registrate a verbale) e quando ciascun fattore e collegato a un rischio di frode a livello di asserzione che modifica la procedura di revisione. Tutto il resto e tickare.

Il triangolo della frode: cosa richiede ISA Italia 240

ISA Italia 240.A1 descrive tre condizioni generalmente presenti quando si verifica frode: incentivi o pressioni, opportunita percepita, capacita di razionalizzare. La struttura non e ornamentale. ISA Italia 240.27 obbliga il revisore a identificare e valutare i rischi di errori significativi dovuti a frode, e a presumere un rischio di frode sui ricavi salvo confutazione documentata.

Cosa significa nella pratica: la presunzione e ribaltata rispetto alla logica del controllo interno standard. Sui ricavi, il revisore parte dall'ipotesi che il rischio di frode esista, e il fascicolo deve contenere o le procedure specifiche di risposta o l'argomento (con prove) per cui la presunzione e stata superata. ISA Italia 240.A25 chiarisce che l'assenza di fattori non significa assenza di rischio; la loro presenza, invece, accresce la probabilita.

Il triangolo, in altre parole, non e un elenco. E un sistema di tre filtri che, applicati al cliente reale, producono ipotesi specifiche di errore. Quando le carte mostrano "pressione sui margini" senza il numero, "controlli inadeguati" senza il processo, "atteggiamento difensivo" senza la frase, il fascicolo non descrive l'entita: descrive un revisore che ha tickato.

Perche la maggior parte dei fascicoli non supera questo test

Il problema non e che il revisore non conosca ISA Italia 240. E che la valutazione dei fattori di rischio frode richiede tempo che a certi compensi non c'e. Si copia la sezione dell'anno scorso (SALY), si aggiorna il nome del cliente, si modifica un numero. Il fascicolo sembra completo. La direzione, leggendolo, capisce immediatamente che il revisore non ha guardato.

ISA Italia 240.A26-A27 elenca esempi di fattori di rischio. Molti fascicoli si limitano a copiare gli esempi senza adattarli. La conseguenza pratica si vede quando un controllo MEF evidenzi carenze: la documentazione non distingue tra "fattori possibili in astratto" e "fattori riscontrati in concreto", e l'ispettore non puo che concludere che la valutazione del rischio non sia stata svolta.

Dimensione 1: incentivi e pressioni che reggano alla lettura

Cosa cercare secondo ISA Italia 240.A26

Gli incentivi e le pressioni si manifestano quando la direzione (o i dipendenti) abbia motivazione a commettere frode. ISA Italia 240.A26 indica quattro famiglie:

Pressioni finanziarie sull'entita: deterioramento dei risultati, necessita di rifinanziamento, aspettative di analisti o investitori, obiettivi di performance irrealistici imposti dalla casa madre o dal socio finanziario.

Pressioni personali: perdite finanziarie del singolo, esposizione su garanzie personali, stile di vita non sostenibile dalla retribuzione dichiarata.

Pressioni esterne: rinegoziazione di covenant bancari, mantenimento di rating, soggezione a creditori dominanti.

Pressioni operative: settori in declino strutturale, nuovi obblighi normativi che modificano i risultati storici, crescita anomala rispetto al benchmark di settore.

Come documentare le pressioni in modo che reggano

La documentazione generica ("pressioni sui risultati") non basta perche non si lega a nulla. ISA Italia 240.45-.46 richiede che il fascicolo documenti le procedure di valutazione del rischio eseguite e i risultati raggiunti. Cosa significa nella pratica: ogni pressione identificata viene quantificata e collegata a una fonte, e la fonte e nominata.

Esempi di documentazione che regge:

- Margine lordo sceso dal 23% al 17% in due esercizi (bilanci comparativi 2022-2024). La direzione ha comunicato al CdA l'obiettivo di tornare al 20% entro chiusura (verbale CdA del 14 marzo 2025). - Il CFO ha sottoscritto un mutuo ipotecario per EUR 800.000 nel 2023 (visionato in sede di test parti correlate). RAL del CFO: EUR 85.000. - Settore della logistica in contrazione del 12% nel 2024 (dati ISTAT). I tre concorrenti diretti hanno ridotto i prezzi del 15% medio (analisi listini di settore).

Ogni pressione viene poi tradotta in un'asserzione specifica: la pressione sui margini si lega di norma a sopravvalutazione dei ricavi (asserzione di esistenza/cutoff) e a sottovalutazione dei costi (asserzione di completezza). Senza questo passaggio, il fattore di rischio resta una nota narrativa che non modifica nulla a valle.

Dimensione 2: opportunita, ovvero dove il controllo cede

Identificare le debolezze di controllo, non descriverle in astratto

ISA Italia 240.A27 chiarisce che le opportunita esistono dove una persona ritenga di poter commettere e nascondere l'atto. Le condizioni tipiche includono controlli inadeguati o aggirabili, transazioni inusuali o complesse, supervisione carente.

Il revisore non si limita a registrare l'esistenza di una debolezza, ma ne ricostruisce il meccanismo: chi autorizza, chi registra, chi riconcilia, con quale frequenza, contro quale soglia. Questo e il livello di dettaglio che ISA Italia 240.31 richiede implicitamente quando obbliga a progettare procedure di risposta a livello di asserzione.

Procedura sistematica per la valutazione delle opportunita:

1. Identificare i processi critici (ciclo ricavi, ciclo acquisti, chiusura contabile, gestione liquidita) 2. Mappare i controlli esistenti specificando responsabilita e cadenza 3. Identificare i gap (segregazione assente, controlli aggirabili dalla direzione, supervisione del collegio sindacale carente, punto rilevante in chiave art. 2403 C.C.) 4. Collegare ciascun gap a un rischio specifico di frode con indicazione del conto e della soglia di rilevabilita

Esempio di documentazione che regge:

> Il processo di fatturazione e gestito interamente dal controller, che prepara le fatture, le registra, e riconcilia il saldo clienti. Manca segregazione tra registrazione e riconciliazione. Il sistema gestionale consente la modifica della data documento senza traccia in audit trail. Cio configura un'opportunita di registrare ricavi fittizi o di spostare il riconoscimento attraverso il cutoff senza che la riconciliazione lo riveli. Rischio di asserzione: esistenza dei ricavi, accuratezza del cutoff. Risposta: estrazione di tutte le fatture con data documento modificata negli ultimi 30 giorni dell'esercizio (ISA Italia 240.32, journal entry testing).

Cosa significa nella pratica: il collegio sindacale puo intercettare il management override prima del revisore, e il fascicolo dovrebbe registrare se il collegio abbia segnalato anomalie in corso d'esercizio (art. 2403 C.C.). Quando il sistema duale italiano funziona, l'opportunita viene ridotta. Quando non funziona, va trattata come fattore aggravante.

Dimensione 3: razionalizzazioni, la dimensione che nessuno documenta

La dimensione piu difficile da valutare

Le razionalizzazioni riguardano la mentalita che permette a una persona di giustificare l'atto fraudolento. ISA Italia 240.A27 indica come segnali: tolleranza per controlli aggirati, retorica di giustificazione ricorrente, debolezza dei valori etici dichiarati. La difficolta e nota: si rischia di scivolare in giudizi caratteriali non supportati.

L'osservazione di campo che merita di essere detta apertamente: la razionalizzazione e la dimensione piu predittiva di chi commette frode, ed e anche quella che il 90% dei fascicoli non documenta. La direzione che dice "i controlli formali rallentano il business" sta dichiarando la propria razionalizzazione in chiaro, e il revisore che non la registri si priva dell'evidenza piu pertinente.

Indicatori oggettivi di razionalizzazioni in atto

ISA Italia 240.A27 suggerisce di concentrarsi su comportamenti osservabili. Quattro famiglie di indicatori:

Comunicazioni della direzione: discrepanze tra messaggi interni ed esterni, minimizzazione dei problemi, esagerazione dei successi, costruzione di una narrativa difensiva ("il settore non e capito dalle banche").

Relazione con il revisore: accesso ritardato ai documenti, risposte evasive su contratti chiave, riluttanza a coinvolgere persone diverse dal CFO.

Relazione con autorita di vigilanza: contenziosi pregressi con autorita fiscali o CONSOB, gestione dei rapporti con il collegio sindacale, qualita delle risposte agli organi di controllo interno.

Gestione degli errori: atteggiamento verso le rettifiche proposte, narrativa adottata per spiegare scostamenti rispetto al budget, plausibilita delle giustificazioni offerte.

Esempio di documentazione che regge:

> Nella riunione del 15 marzo 2025 sui controlli IT, il CFO ha commentato che "i controlli formali rallentano solo il business" e che "abbiamo sempre fatto cosi senza problemi" (note del responsabile incarico, presenti tre membri del team). Espressa resistenza all'implementazione di controlli automatici sulla segregazione delle funzioni. Cio configura una razionalizzazione esplicita di tolleranza verso il superamento dei controlli, rilevante ai fini della valutazione del rischio di management override (ISA Italia 240.31).

Esempio reale: Trasporti Mediterranei S.r.l.

Contesto

Trasporti Mediterranei S.r.l., settore trasporti merci, sede a Napoli, fondata nel 2018. Ricavi 2024: EUR 12 milioni. Dipendenti: 45. Settore sotto pressione competitiva con ingresso di operatori low-cost dall'Europa orientale. Struttura proprietaria: 60% famiglia Rossi (AD: Marco Rossi), 40% fondo di private equity (ingresso 2022) con clausole di performance legate alla crescita dei ricavi.

Quando i partner non sono d'accordo

Esiste una zona grigia operativa che merita di essere nominata. Quando il team identifica un incentivo significativo in pianificazione (es. covenant in tensione), ISA Italia 240.27 obbliga a presumere il rischio di frode sui ricavi, ma non specifica se ogni incentivo rilevato debba elevarsi a "rischio significativo specifico" ai sensi di ISA Italia 240.31.

Il Partner A sostiene che ogni incentivo finanziario quantificato e collegato a una pressione contrattuale concreta (covenant, earn-out, clausola PE) debba essere trattato come rischio significativo specifico, con risposta dedicata a livello di asserzione e documentazione separata, perche e proprio sul nesso fattore-asserzione che le delibere CONSOB hanno costruito le sanzioni piu pesanti degli ultimi cicli.

Il Partner B sostiene che non ogni incentivo identificato debba essere elevato a rischio significativo, poiche la presunzione su ricavi di ISA Italia 240.27 gia richiede risposte specifiche, e moltiplicare i rischi significativi senza che vi sia un collegamento sostanziale a un'asserzione specifica produce un fascicolo gonfio dove il segnale viene perso nel rumore. La risposta, secondo il Partner B, va calibrata sul collegamento dimostrabile tra incentivo e asserzione, non sul mero peso quantitativo dell'incentivo.

Le due posizioni hanno entrambe ragioni. La posizione che regge meglio sotto un'ispezione MEF e probabilmente la prima, perche un fascicolo "gonfio ma argomentato" si difende, mentre un fascicolo "selettivo" richiede di argomentare ex post perche un certo incentivo non sia stato elevato. Sul piano del Bollettino CONSOB, il rischio asimmetrico favorisce l'argomentazione esplicita.

La pressione strutturale che produce le carte leggere

Va detto chiaramente. Le carte leggere su ISA 240 non nascono dalla pigrizia individuale. Nascono da una catena: compensi irrisori → tempo di incarico ridotto → tickare i tre fattori senza valutarli realmente. La busy season aggrava il problema; il revisore copia il file dell'anno scorso (SALY) e modifica il nome del cliente. Per i clienti di dimensione media, le procedure ISA 240 specifiche sembrano un overhead che non si recupera dal compenso.

Il MEF lo sa, e nelle sue comunicazioni ha esplicitamente legato la qualita ai compensi, definendo "non garantita" la qualita di incarichi a compensi sotto-soglia. La conseguenza pratica e che il revisore che accetta un incarico a compenso irrisorio sta gia comprando un rischio strutturale di carenza ISA 240. Nessuna soluzione metodologica annulla quella matematica.

Lista di controllo operativa

1. Quantificare ogni pressione finanziaria con numero, fonte e data, collegandola a un'asserzione specifica 2. Mappare i processi critici per responsabile e cadenza, identificando i gap di controllo nominalmente 3. Registrare frasi e azioni osservate con data e contesto, evitando giudizi caratteriali 4. Verificare se il collegio sindacale (art. 2403 C.C.) abbia gia segnalato anomalie rilevanti in corso d'esercizio 5. Per ogni fattore identificato, documentare la risposta specifica del revisore (ISA Italia 240.31) 6. Confrontare la documentazione con il file dell'anno precedente, evidenziando cosa sia cambiato e perche

Errori comuni

Contenuti correlati

- Glossario: Fattori di rischio frode: definizioni tecniche ed esempi pratici per ciascuna categoria - Calcolatore ISA 240: strumento per strutturare la valutazione e documentare le risposte del revisore - ISA 240 Scetticismo professionale: come applicarlo concretamente: come tradurre i fattori identificati in scetticismo durante l'esecuzione