Contenuti
- Definizioni e soglie dell'ISA 265 - Il framework decisionale per la comunicazione - Esempio pratico: Valutazione e comunicazione - Checklist operativa - Errori comuni - Risorse correlate
Definizioni e soglie dell'ISA 265
Il caso tipico contestato dal MEF: il revisore identifica una carenza, la annota nelle carte di lavoro, e la classifica come "rilevante ma non significativa" senza tracciare il ragionamento. In ispezione, l'ispettore chiede perché. La risposta "giudizio professionale" non basta se il giudizio non è documentato.
L'ISA 265.6 definisce una carenza significativa come "una carenza, o una combinazione di carenze, del controllo interno che, secondo il giudizio professionale del revisore, sia di importanza tale da richiedere l'attenzione dei responsabili delle attività di governance". In termini concreti: la soglia non è quantitativa. Si comunicano le carenze che meritino la lettura del collegio sindacale, non quelle che meritano una nota nel margine del foglio di calcolo.
Fattori di valutazione secondo l'ISA 265.A9-A11
Si considerano quattro elementi.
Probabilità di errore. Una carenza che ha già prodotto errori identificati durante la revisione presenta maggiori probabilità di generare errori futuri. L'ISA 265.A10 specifica che la probabilità dipende non solo dall'esistenza della carenza, ma anche dal grado di mitigazione offerto da altri controlli compensativi. Cosa significa nella pratica: se il responsabile acquisti aggira la doppia firma, ma la riconciliazione mensile del magazzino intercetta lo scostamento, il controllo compensativo riduce la probabilità senza azzerare la carenza.
Entità del potenziale errore. L'ISA 265.A11 richiede di considerare non solo l'importo massimo dell'errore possibile, ma anche il volume delle transazioni che attraversano il controllo carente nel periodo corrente e in quelli futuri.
Natura del conto o asserzione interessata. Le carenze che riguardano stime contabili complesse o transazioni con parti correlate ricevono di norma una valutazione più severa, anche quando l'importo sia contenuto.
Cause della carenza. L'ISA 265.A12 distingue tra carenze derivanti da errori isolati, meno probabili di ripetersi, e quelle derivanti da debolezze sistemiche nel disegno o nell'applicazione dei controlli.
C'è un punto che il testo dello standard non rende esplicito. L'ISA 265 non chiede al revisore di trovare le carenze. Chiede di comunicare quelle trovate durante la revisione del bilancio. Si tratta della differenza tra esame del controllo interno (non richiesto) e osservazione incidentale (obbligo di comunicare). Questa distinzione, spesso ignorata in fase di pianificazione, protegge il revisore da contestazioni di overscoping quando un sindaco chiede perché certe aree non siano state coperte.
Il framework decisionale per la comunicazione
L'ISA 265.9 stabilisce che tutte le carenze significative siano comunicate per iscritto ai responsabili delle attività di governance. Per l'art. 2403-bis C.C., in società con collegio sindacale, il destinatario è il collegio stesso. L'ISA 265.11 richiede invece la comunicazione alla direzione delle altre carenze rilevanti.
In termini concreti: due lettere distinte, due destinatari distinti, due tempistiche distinte.
Tempistiche obbligatorie
L'ISA 265.13 richiede comunicazione tempestiva per le carenze significative. "Tempestiva" significa entro 60 giorni dalla data di identificazione, salvo circostanze eccezionali documentate. Decorrenza: dalla data del working paper firmato, non dalla data del rapporto. Per le carenze rilevanti comunicate alla direzione lo standard non fissa una scadenza specifica, ma la prassi ispettiva del MEF considera ragionevole la comunicazione entro la finalizzazione del rapporto di revisione.
C'è un'incentivazione perversa qui. La comunicazione formale ISA 265 richiede quattro-sei ore di lavoro non fatturate sul forfait di revisione. Quando i compensi sono irrisori e il team è sotto la pressione della busy season, scrivere le carte dopo il rapporto è una scorciatoia comune. Funziona, fino al primo controllo MEF: a quel punto la lettera datata 15 aprile su carenze identificate il 20 gennaio diventa un problema di tracciabilità, perché il sistema documentale dello studio mostra una data di creazione del file che non si concilia con la data riportata.
Modalità di comunicazione
La comunicazione scritta è obbligatoria per le carenze significative (ISA 265.9). Per le altre, l'ISA 265.11 ammette comunicazione orale, purché sia documentato il contenuto e la data secondo l'ISA 230.
L'ISA 265.A28 fissa la struttura minima della comunicazione scritta:
1. Definizione di carenza del controllo interno 2. Descrizione delle carenze identificate e dei loro potenziali effetti 3. Raccomandazioni per il miglioramento, quando appropriato 4. Dichiarazione che lo scopo dell'incarico era esprimere un giudizio sul bilancio e che la revisione non costituisce esame specifico del controllo interno
Esempio pratico: Valutazione e comunicazione
Scenario: Elettromeccanica Piemonte S.r.l.
Ricavi annui: EUR 28 milioni. Settore: componentistica automobilistica. Dipendenti: 180. Revisore: studio medio con sede a Torino. Significatività di gruppo: EUR 450.000.
Carenza A: autorizzazione ordini di acquisto.
Le procedure aziendali richiedono che gli ordini sopra EUR 50.000 siano approvati dal direttore generale. Su 25 ordini campionati, tre, rispettivamente da EUR 75.000, EUR 125.000 e EUR 95.000, risultano approvati dal solo responsabile acquisti. Importo totale: EUR 295.000.
Durante la discussione, il responsabile acquisti tira fuori il telefono. "Guardi, ho la chat WhatsApp con il direttore generale. Ogni ordine è preapprovato verbalmente, poi noi lo formalizziamo a sistema." Compaiono effettivamente i messaggi: "ok per i 75k", "vai con i 125", "approvato".
Qui scatta il giudizio sostanza-forma. Un partner direbbe che il controllo c'è, è effettivo, e la carenza è puramente documentale: la chat WhatsApp dimostra l'autorizzazione. Un altro partner direbbe che la procedura aziendale richiede firma del direttore generale sull'ordine, e che un trail su WhatsApp non è retention-compliant rispetto al sistema di controllo aziendale, quindi il controllo è disegnato ma non operante. Entrambe le posizioni sono ragionevoli. Personalmente, l'ho classificata come carenza significativa, perché il controllo non lascia evidenza nel sistema gestionale e la chat del direttore generale non è auditabile in modo replicabile dal collegio sindacale. La sostanza esiste, però l'evidenza è fragile.
Valutazione ISA 265.A9-A11:
- Probabilità di errore: media (3 su 25 campioni) - Entità potenziale: EUR 2,1 milioni (acquisti annui sopra EUR 50.000) - Natura: controllo preventivo su ciclo acquisti - Causa: disegno del controllo non allineato alla procedura aziendale formale
Decisione: carenza significativa. Impatto potenziale EUR 2,1M su significatività di EUR 450.000. Comunicazione scritta al collegio sindacale entro 60 giorni.
Carenza B: riconciliazione estratti conto bancari.
Le riconciliazioni del conto corrente principale sono preparate dal responsabile amministrativo senza revisione indipendente. Il test rivela una differenza non riconciliata di EUR 12.000 rimasta in sospeso per quattro mesi.
Anche qui c'è disagreement legittimo. Un partner classificherebbe la Carenza B come carenza significativa perché EUR 12.000 in sospeso per quattro mesi suggerisce frode latente, o almeno un controllo che non funziona; un altro la lascerebbe rilevante perché il controllo è detective, l'importo è sotto la significatività, e la differenza si è poi chiusa con un giroconto interbancario. Entrambi ragionevoli. Il giudizio dipende da quanto si pesi la durata del sospeso rispetto all'importo.
Valutazione ISA 265.A9-A11:
- Probabilità di errore: bassa (controllo detective, non preventivo) - Entità potenziale: EUR 850.000 (movimenti annui del conto principale) - Natura: controllo detective su liquidità - Causa: debolezza nel disegno del controllo
Decisione finale del partner responsabile: carenza rilevante. Comunicazione orale al direttore amministrativo, con annotazione nel memorandum di completamento.
Comunicazione risultante.
Per la Carenza A, lettera al collegio sindacale datata 15 giorni dopo l'identificazione, struttura ISA 265.A28: "Oggetto: Comunicazione di carenza significativa del controllo interno ai sensi dell'ISA 265. Il nostro incarico di revisione ha come obiettivo l'espressione di un giudizio sul bilancio d'esercizio e non costituisce esame specifico del sistema di controllo interno..."
Per la Carenza B, comunicazione orale durante l'exit meeting con annotazione: "15 marzo 2024. Comunicata oralmente la carenza sulle riconciliazioni bancarie. Raccomandazione: revisione indipendente mensile a cura del controller."
Checklist operativa
1. Identificare tutte le carenze rilevate durante la revisione. Includere sia quelle emerse dai test sui controlli sia quelle identificate durante le procedure sostantive (ISA 265.5). 2. Applicare i criteri dell'ISA 265.A9-A11 a ogni carenza. Documentare la valutazione di probabilità, entità, natura e cause. 3. Determinare i destinatari. Carenze significative al collegio sindacale o ai responsabili delle attività di governance, carenze rilevanti alla direzione (ISA 265.9 e 265.11). 4. Preparare le comunicazioni scritte obbligatorie. Struttura ISA 265.A28 per le carenze significative; per le orali, annotare contenuto e data nelle carte di lavoro. 5. Verificare le tempistiche. Carenze significative entro 60 giorni dall'identificazione; le altre entro la finalizzazione del rapporto. 6. Documentare le carenze non comunicate. Quando si giudichi una carenza non rilevante, tracciare la motivazione (ISA 230.8).
Errori comuni
Risorse correlate
- Controlli Interni e Test di Efficacia - Panoramica dei controlli soggetti a test e metodologie di valutazione dell'efficacia - Calcolatore Significatività ISA 320 - Strumento per determinare le soglie di significatività da utilizzare nella valutazione delle carenze - ISA 240 e Controllo Interno - Come le carenze del controllo interno influenzano la valutazione del rischio di frode