ISA 240 Revised: Procedure rafforzate per l'override del controllo da parte del management

Cosa imparerete

> - Come identificare e documentare gli indicatori di override secondo l'ISA Italia 240.35 > - Quali procedure di validità progettare in risposta agli indicatori secondo l'ISA Italia 240.32 > - Come strutturare il fascicolo per separare valutazione del rischio e risposta > - Perché la separazione formale non risolve la pressione economica che genera il rilievo

Il vero problema non è la formulazione

Si potrebbe sostenere che la separazione fra valutazione e risposta sia un miglioramento tecnico utile. Lo è, in parte: rende tracciabile il ragionamento del revisore, e questo aiuta sia chi rilegge il fascicolo dopo sei mesi sia il reviewer CONSOB che lo apre dopo tre anni. Sotto questo profilo, il principio rivisto è un avanzamento.

Però la formulazione non tocca la pressione che ha prodotto il problema. Negli studi medi italiani, i partner chiedono ai team di limitare le ore caricate sulle procedure di override. La ragione è semplice: i clienti contestano il tempo dedicato a procedure che "tanto non trovano mai niente," e in un mercato dove i compensi irrisori sono già un fatto documentato dal MEF, ogni ora non riconosciuta esce dal margine dello studio. Il risultato pratico è SALY con narrativa migliore: si replicano le procedure dell'anno precedente, si riscrivono i memo per rispettare la nuova struttura in due sezioni, il fascicolo passa il primo giro di review interna.

Il principio rivisto non lo impedisce. Anzi, paradossalmente lo facilita: una volta capita la nuova struttura formale, gli studi riusciranno a confezionare due sezioni distinte partendo dagli stessi indicatori generici di sempre.

Cosa cambia formalmente

Sul piano della normativa, la differenza fra ISA Italia 240.31-33 (versione attuale) e ISA Italia 240.32-35 (versione rivista) si misura in due punti.

Versione attuale

Il revisore valuta il rischio di override del controllo da parte della direzione e progetta procedure "appropriate alle circostanze." La formulazione consente al fascicolo di presentare valutazione e risposta come un unico flusso di ragionamento. Si scrive: "Considerato il livello di coinvolgimento del CFO nelle scritture di rettifica, si è deciso di testare le 30 registrazioni manuali superiori a soglia." Una frase, due passaggi fusi.

Versione rivista

Il paragrafo 35 richiede di identificare e documentare gli indicatori specifici che suggeriscono possibilità di override. Solo dopo, il paragrafo 32 richiede di progettare procedure proporzionate a quegli indicatori. Il fascicolo deve mostrare prima cosa si è osservato (indicatori), poi cosa si è fatto in risposta (procedure). La frase di sopra non basta più: serve una sezione che descriva il coinvolgimento del CFO come indicatore, e una sezione separata che colleghi la procedura di test all'indicatore documentato.

Cosa significa nella pratica: se il fascicolo non documenta l'indicatore prima di descrivere la procedura, la procedura risulta sproporzionata per costruzione. Non si può essere proporzionati a qualcosa che non si è ancora identificato.

Indicatori di override secondo il paragrafo 35

L'ISA Italia 240.35 individua tre aree dove il revisore deve cercare indicatori specifici. Nella nostra esperienza di review interna, il rilievo più frequente non riguarda l'omessa identificazione: riguarda l'identificazione generica, copiata da un fascicolo all'altro.

Registrazioni contabili inusuali

Il principio richiede di esaminare natura, tempistica ed entità delle registrazioni di fine periodo. Cosa va storto nella pratica: si scrive "esistono registrazioni manuali di fine anno effettuate dal CFO" senza nominare quante, per quale importo, su quali conti. È un indicatore generico. Non guida nessuna procedura specifica.

Cosa richiede il principio: la documentazione deve consentire al reviewer di capire perché quel CFO, in quell'azienda, in quell'anno, ha fatto qualcosa che. Quindici registrazioni negli ultimi tre giorni dell'anno per un totale superiore alla performance materiality, su conti raramente movimentati durante l'esercizio. Questo è un indicatore. Cinque registrazioni nominali su conti di rettifica standard non lo è, e dichiararlo tale gonfia il fascicolo senza generare procedure proporzionate.

La zona grigia: quanti elementi specifici servono perché un indicatore sia "documentato" ai sensi del paragrafo 35? Il principio non lo dice. Nella nostra pratica, la soglia operativa è che il reviewer debba poter ricostruire la procedura dal solo indicatore, senza leggere altro.

Stime contabili e giudizi significativi

Il paragrafo 35 richiede attenzione alle aree dove la direzione esercita giudizio. Crediti dubbi, rimanenze obsolete, accantonamenti, stime attuariali: l'elenco è noto, ed è proprio per questo che è il punto in cui il fascicolo cade nella tentazione di SALY. Si replicano i memo dell'anno precedente, si aggiornano gli importi, si chiude la sezione.

Quello che cambia con il principio rivisto: non basta dichiarare che la direzione esercita giudizio sulle rimanenze obsolete. Bisogna documentare gli indicatori specifici che suggeriscono come quel giudizio possa essere stato esercitato per ottenere un risultato predeterminato. Una variazione consistente del coefficiente di obsolescenza nell'ultima settimana dell'anno, senza documentazione tecnica a supporto, è un indicatore. Un coefficiente stabile da tre anni applicato a una popolazione stabile non lo è.

Questa è la sezione del fascicolo che genera più osservazioni in fase di review interna. Lo è perché richiede al senior di scrivere quello che vede, non quello che ha sempre scritto.

Operazioni significative al di fuori del corso normale

Il principio identifica come potenziale indicatore le operazioni inusuali o complesse vicine alla data di chiusura. Vendite con termini fuori standard, operazioni con parti correlate non documentate, ristrutturazioni dell'ultimo trimestre: il manuale lo dice da sempre.

Cosa il manuale non dice: in molte SRL e SPA non quotate, queste operazioni esistono ma non vengono presentate come tali al team di revisione. Sono inserite nel general ledger come transazioni ordinarie, e il revisore le scopre solo se va a cercarle. Il paragrafo 35 non risolve questo problema. Lo sposta sul revisore: se non si scopre l'operazione, non si identifica l'indicatore, e la mancata identificazione diventa il rilievo.

Esempio pratico: Sistemi Industriali Lombardi S.r.l.

Entità: Sistemi Industriali Lombardi S.r.l., società manifatturiera con ricavi di EUR 45 milioni, 180 dipendenti, quotata in Borsa Italiana segmento STAR. Bilancio al 31 dicembre 2026, primo anno di applicazione dell'ISA Italia 240 (Revised).

La complicazione

A metà del lavoro sulla Procedura 2, l'esperto tecnico segnala che il cambiamento del coefficiente di obsolescenza dal 12% al 4% è in realtà coerente con un cambiamento del mix di prodotto avvenuto durante l'anno: la società ha aumentato la quota di prodotti standard a rotazione veloce e diminuito quella di prodotti custom a rotazione lenta. Il dato è verificabile dai movimenti di magazzino. La direzione non aveva fornito spontaneamente questa motivazione: l'ha confermata solo dopo che il team gliel'ha chiesta esplicitamente.

Qui inizia la zona grigia. L'indicatore identificato (assenza di documentazione tecnica) era valido al momento della valutazione. La procedura ha trovato che la spiegazione esiste. Cosa va nel fascicolo finale?

Il Partner A direbbe: si chiude la procedura come "no exception," si documenta la spiegazione fornita dalla direzione, si conclude che l'indicatore non costituisce override. Il ragionamento: la procedura ha funzionato, l'evidenza supporta il giudizio del management, il fascicolo deve riflettere la conclusione.

Il Partner B direbbe: si documenta come exception minore. Il ragionamento: la direzione ha la responsabilità di fornire spontaneamente la motivazione del cambiamento di stima, non solo dopo richiesta del revisore. Una giustificazione costruita ex post, anche se sostanzialmente corretta, è un sintomo di processo di controllo interno carente, e il fascicolo deve segnalarlo per ridurre il rischio in continuità.

Entrambi i ragionamenti sono difendibili. La differenza non è tecnica, è di filosofia: il Partner A vede la revisione come verifica del risultato, il Partner B come verifica del processo. La nostra esperienza è che davanti alla CONSOB regge meglio il secondo approccio, ma a costo di un confronto più duro con il cliente sull'esercizio successivo.

Lista di controllo pratico

1. Identificare gli indicatori specifici prima di progettare qualsiasi procedura. Documentare natura, tempistica, entità di ciascuno con dati numerici tracciabili dal general ledger.

2. Separare la documentazione in due sezioni distinte del fascicolo: valutazione del rischio e progettazione della risposta. Non basta cambiare titolo a un memo unico.

3. Progettare procedure proporzionate. Se un indicatore non è stato identificato in fase di valutazione, non si può progettare una procedura specifica in risposta, e una procedura "generica" non soddisfa il paragrafo 32.

4. Testare le registrazioni manuali della direzione che bypassano i controlli normali, indipendentemente dall'importo, se l'indicatore è stato documentato.

5. Documentare il collegamento esplicito tra ogni indicatore e la procedura. Il reviewer deve poter tracciare il ragionamento dal rischio alla risposta senza leggere altro.

6. Chiedersi alla fine: il fascicolo racconta la storia della valutazione del rischio, o sta solo tickando una checklist? Se non racconta una storia, le carte sono leggere anche quando il volume è alto.

Errori comuni

Contenuti correlati

- ISA 240 Toolkit di valutazione del rischio di frode — Strumento per identificare e documentare i fattori di rischio di frode secondo il principio rivisto - Procedure analitiche di validità ISA 520 — Come progettare procedure analitiche per identificare manipolazioni di bilancio - [FUTURE POST: ISA 240 vs ISA 315 — Coordinamento nella valutazione del rischio]