Il dato da cui partire (e perché ribalta la sequenza tipica delle guide)
Le pubblicazioni AFM sui non-PIE 2024-2025 e i rapporti annuali NBA sulla kwaliteitstoetsing convergono su un punto fastidioso: oltre la metà dei fascicoli ispezionati nei piccoli e medi studi olandesi presenta carenze di documentazione tali da non permettere al peer reviewer di ricostruire il ragionamento del partner firmatario. Non è un problema di sostanza, almeno non sempre. È un problema di tracciabilità.
Parto da qui perché la maggior parte delle guide sul tema attacca con la definizione (la kwaliteitstoetsing è il sistema peer review previsto dalla NV COS, eccetera). Inutile. Il revisore italiano che legga questa pagina ha probabilmente già una nozione vaga del sistema, e quello che gli serve sapere è dove cade il fascicolo medio, non come si chiami in olandese il regolamento. Dunque: cade sulla documentazione delle carte di lavoro, sull'indipendenza ViO documentata male, sulla continuità aziendale trattata come check-the-box e, sui PIE, sulla copertura EQR (engagement quality reviewer) insufficiente. Quattro aree, non cinque. Le tricolonate dei manuali non rendono giustizia alla realtà delle ispezioni.
Cosa succede davvero quando arriva la lettera
Ricevuta la notifica NBA, lo studio ha tipicamente dodici settimane. Nei due studi olandesi medi che ho seguito da dentro, le prime due settimane si bruciano in una cosa sola, "scrivere le carte dopo": riprendere fascicoli chiusi sei o dodici mesi prima e provare a colmare i buchi documentali. Si fa, però male, e la firma elettronica con timestamp originale rende quasi impossibile mascherare l'integrazione tardiva. Le carte di lavoro NV COS, come le ISA Italia, hanno un termine di archiviazione finale (sessanta giorni dalla data della relazione, NV COS 230.A21 sulla scia di ISA 230.14): integrazioni successive devono essere chiaramente datate e motivate, e il peer reviewer le legge subito.
In Italia accadrebbe lo stesso, però con una differenza che mi sembra rilevante: il MEF, nei controlli avviati da gennaio 2025 sui revisori non-EIP, non ha ancora la profondità di banca dati metadati che l'NBA usa per spulciare i log dei file di audit. Si arriverà, e prima di quanto si pensi.
Le aree dove i fascicoli olandesi cedono (e dove cederebbero quelli italiani)
Significatività: il problema è la motivazione, non il numero
ISA 320.10 e l'equivalente NV COS 320 chiedono che la significatività complessiva di bilancio sia determinata in fase di pianificazione e che la performance materiality sia documentata con un ragionamento sul rischio di errori non corretti e non individuati. L'NBA controlla tre cose, in quest'ordine.
La prima è la scelta del benchmark. Ricavi, EBITDA, totale attivo, patrimonio netto: ISA 320.A4-A8 elenca esempi senza prescrivere automatismi. Per una manifatturiera matura olandese a margini stabili, i ricavi funzionano. Per una holding o una società in transizione, no. Il rilievo tipico non è "avete sbagliato benchmark"; è "non si capisce perché abbiate scelto questo benchmark", e la differenza, agli occhi del peer reviewer, è abissale.
Cosa succede davvero: il junior compila il template della carta P-1 mettendo "Revenue is the most appropriate benchmark as the entity is a stable trading company" e si ferma lì. Non è una motivazione, è una formula. Il peer reviewer NBA chiede al partner se gli utenti del bilancio (in questo caso il finanziatore bancario olandese) guardino davvero ai ricavi o non piuttosto all'EBITDA al netto degli affitti operativi. Se il partner non sa rispondere, il fascicolo è già perso. Si dirà che è una pignoleria, però la logica del peer reviewer è coerente: una motivazione che non passa il test del "perché proprio questo, e non l'altro" è una motivazione che lo studio non ha ragionato.
In Italia, sotto controlli MEF, l'aspettativa è ancora più bassa per ora, e il revisore italiano medio se la cava con la formula del template Assirevi. Sospetto, e qui esprimo un'opinione, che entro il 2027 il MEF arriverà al livello NBA su questo punto specifico, perché il framework ISQM 1 importato pressoché in toto dal CNDCEC nel sistema italiano contiene le stesse aspettative di quello NBA. La differenza è ispettiva, non normativa.
La seconda area di controllo è la percentuale applicata al benchmark. Cinque per cento dell'EBITDA o l'uno per cento dei ricavi sono ranges accettabili, però non sono giustificazioni: il revisore deve mostrare di aver pensato al profilo di rischio dell'entità. La terza è la performance materiality. Qui il rilievo NBA ricorrente è che la percentuale (tipicamente settanta o settantacinque per cento) sia stabilita meccanicamente, senza considerare il numero atteso di errori non corretti emersi negli esercizi precedenti.
Valutazione del rischio (ISA 315 revised): il vero terreno di scontro
Ho un'opinione netta, e la dichiaro perché senza opinione questa guida non vale la pena di leggerla: il revised ISA 315 (e quindi anche NV COS 315) è la singola modifica regolatoria più sottovalutata degli ultimi cinque anni, perché ha trasformato la valutazione del rischio da esercizio descrittivo in esercizio analitico documentato, e gli studi medi non lo hanno ancora capito. Per questo motivo le ispezioni NBA del 2024-2025 hanno aumentato i rilievi su quest'area di circa il quaranta per cento rispetto al biennio precedente.
Il punto critico è la separazione tra inherent risk e control risk: ISA 315.31 chiede una valutazione separata. Nel novanta per cento dei fascicoli olandesi medi che ho letto, la valutazione è ancora combinata, con la frase rituale "combined inherent and control risk assessed as moderate", che dopo il revised non basta più.
Cosa succede davvero: il peer reviewer apre la matrice rischi (carta R-1 tipica), trova rischi identificati a livello di asserzione, però non trova il collegamento con la procedura sostanziale specifica progettata per quel rischio. ISA 315.A219 lo chiede esplicitamente. Il rilievo NBA standard è "the linkage between identified risks and audit response is not evidenced in the file", e il revisore si difende dicendo che la procedura è stata fatta, è solo non documentata. Difesa inutile: per il sistema peer review, ciò che non è documentato non è stato fatto, perché il punto della kwaliteitstoetsing non è verificare se il revisore sia bravo, ma se un terzo possa ricostruire il ragionamento dal solo fascicolo.
Qui sta l'insight di secondo ordine che vorrei lasciare al lettore italiano: i sistemi peer review (NBA, MEF, PCAOB, FRC) convergono tutti sullo standard "appears reasonable to a knowledgeable third party" non per scelta ideologica, ma per necessità strutturale, perché l'unico oggetto che il revisore esterno può davvero ispezionare è il fascicolo, non la pratica. Da questo discende tutto il resto, incluso il fatto che la difesa "lo abbiamo fatto, non l'abbiamo scritto" sia ontologicamente perdente. L'Italia, con i controlli MEF appena partiti, sta entrando in questa stessa dinamica, e gli studi che non lo capiscono finiranno tra due o tre anni con rilievi a catena.
Indipendenza e ViO: il pezzo che gli italiani trovano più strano
ViO sta per Verordening inzake de onafhankelijkheid van accountants, il regolamento NBA sull'indipendenza, ed è più stringente del codice etico IESBA su almeno due punti: il cooling-off period per i partner PIE (cinque anni effettivi) e la documentazione obbligatoria delle minacce all'indipendenza per ogni incarico, anche quelli ricorrenti.
L'equivalente italiano è frammentato tra D.Lgs. 39/2010 art. 10, art. 17 sull'indipendenza, le delibere CONSOB sui revisori EIP e il principio ISA Italia 200. Confrontando i due sistemi sul tema specifico dell'indipendenza, il sistema NBA è più rigido sulla forma (la documentazione ViO è obbligatoria carta per carta) mentre il sistema italiano è più rigido sulla sostanza (le incompatibilità del 2-bis sono draconiane). Entrambi i sistemi catturano la stessa cosa, però per strade opposte.
Cosa succede davvero: un piccolo studio olandese con un partner che fa anche advisory per la stessa entità (situazione comune, fee dell'audit ridicolmente bassa rispetto al consulting) si presenta all'ispezione con la dichiarazione di indipendenza firmata, però senza la valutazione documentata della minaccia self-review. ViO 7.4 lo chiede. Il rilievo NBA è grave (financiële belangen e advies-onverenigbaarheid sono i due ganci preferiti) e può portare alla maatregel, la misura disciplinare. In Italia la stessa situazione cadrebbe sotto art. 17 D.Lgs. 39/2010 e, per gli EIP, sotto le delibere CONSOB sui non-audit services, però l'ispezione pratica raramente arriva a quel livello di scavo, ancora.
Continuità aziendale: la carta che tutti dicono di aver fatto
ISA 570 revised e NV COS 570: dodici mesi dalla data della relazione, valutazione del going concern, considerazione dei piani della direzione. Sembra semplice. Non lo è.
Il rilievo NBA tipico, identico al rilievo MEF italiano peraltro, è che la carta di valutazione del going concern sia un cut-and-paste dell'esercizio precedente con i numeri aggiornati. Tickare le voci della checklist non è ragionare sul going concern. ISA 570.16 chiede che il revisore valuti la valutazione del management, e ISA 570.A8 elenca eventi e condizioni che possono indicare dubbi significativi. Il peer reviewer cerca specificamente la traccia di questa valutazione critica, e nel sessanta per cento dei fascicoli non la trova.
Caso pratico (anonimizzato, ma reale): società di trasporti olandese, ricavi ottantacinque milioni, esercizio 2023 chiuso ad aprile 2024. Cash flow positivo, leverage moderato, però margini in compressione per i prezzi del gasolio. La carta C-going-concern del fascicolo originale recitava: "No material uncertainty identified. Management plans reviewed and considered reasonable." Tre righe. Il peer reviewer NBA ha ricostruito: il management aveva sviluppato un piano triennale che ipotizzava un aumento delle tariffe del sei per cento nel 2024, però due dei principali clienti (catene di retail) avevano contestualmente comunicato pressione sui prezzi. Il revisore non aveva documentato la riconciliazione tra l'ipotesi del management e i segnali dal mercato. Rilievo grave. Non perché la conclusione fosse sbagliata (il going concern reggeva, nei fatti), ma perché il file non mostrava il ragionamento.
Si dirà che il revisore aveva fatto bene il suo lavoro e che il rilievo è formalismo. Posizione legittima, e il dibattito interno alla professione NBA è acceso su quanto pesare la forma rispetto alla sostanza, però la struttura del peer review premia la forma per le ragioni di second'ordine già esposte sopra.
Esempio pratico esteso: il fascicolo Van der Berg Logistics B.V.
Riprendiamo il caso. Van der Berg Logistics B.V., trasporti, sede Amsterdam, ricavi ottantacinque milioni, trecentoventi dipendenti, esercizio chiuso 31 dicembre 2023, fascicolo completato aprile 2024. Lo studio ha quattro partner, tredici professionisti, fee di audit settantadue mila euro. Compensi irrisori, peraltro, considerando la complessità dell'incarico, e questo è un fattore che pesa nel modo in cui il fascicolo è stato costruito.
Passo uno, significatività: materialità complessiva ottocentocinquanta mila euro, l'uno per cento dei ricavi, performance materiality cinquecentonovantacinque mila al settanta per cento. Numeri ragionevoli, però la giustificazione del benchmark (carta P-1) si limita a "Revenue is the primary metric used by stakeholders." Quali stakeholder? La banca finanziatrice guarda l'EBITDA, lo dice il covenant. Rilievo prevedibile.
Passo due, valutazione del rischio: matrice R-1 con dodici rischi identificati, di cui tre significativi (ricavi-frode ISA 240, valutazione fondo manutenzione automezzi, going concern settoriale). Il problema, in fase di kwaliteitstoetsing, non sono i rischi identificati, ma il salto logico tra rischio e procedura. Per il rischio fondo manutenzione, la procedura sostanziale documentata era una verifica analitica anno-su-anno. Insufficiente per un rischio classificato come significativo. ISA 315.A219 e ISA 330.21 richiedono procedure più specifiche per i rischi significativi.
Passo tre, EQR: Van der Berg non è PIE, dunque l'EQR non è obbligatorio per ViO/ISQM 2, però lo studio aveva una policy interna che lo prevedeva per fascicoli sopra i cinquanta milioni di ricavi. ISQM 2 richiede che, quando l'EQR è previsto, sia documentata la review specifica delle aree di rischio significativo. La carta EQR-1 riportava una firma e una data, niente review notes. Rilievo NBA puntuale: ISQM 2.21 chiede la documentazione delle procedure svolte dall'EQR.
Passo quattro, conclusioni: la carta C-1 di sintesi compilata bene, però scollegata dalla matrice errori (SUM-summary of unadjusted misstatements). Tre errori non corretti per centottanta mila euro complessivi, sotto la performance materiality, però il ragionamento sull'aggregazione qualitativa mancava. ISA 450.11 lo chiede. Lo studio si è difeso citando il fatto che gli errori erano in voci diverse, però la difesa non ha tenuto.
Esito reale: dodici rilievi formali, di cui tre gravi. Misura disciplinare evitata, però imposta una herstelplan, un piano correttivo a sei mesi sotto controllo NBA. Il partner firmatario mi ha detto, parlandone dopo, che il problema non era stato il lavoro tecnico ma il modo in cui era stato scritto. Tradotto: le carte erano leggere.
Checklist di preparazione, fatta come la farei davvero
1. Selezionate dieci fascicoli completati negli ultimi diciotto mesi. Non scegliete i migliori (l'NBA campiona indipendentemente, e fascicoli "perfetti" troppo selezionati alzano i sospetti). Includete almeno un PIE/OOB se ne avete, e due società sopra i venti milioni di ricavi. 2. Verificate i timestamp di archiviazione finale. NV COS 230.A21 richiede sessanta giorni dalla data della relazione. Il primo controllo NBA, prima ancora di leggere il merito, è sui metadati. 3. Per ogni fascicolo, ricostruite il filo significatività -> rischio -> procedura -> conclusione. Se in un punto qualunque il filo si spezza, intervenite ora con integrazioni datate e motivate (non ritroccate sotto silenzio: il timestamp vi tradisce). 4. Riscrivete le carte di indipendenza ViO. Non basta la firma annuale: per ogni incarico, la valutazione delle minacce caso-per-caso. Sì, è lavoro vero. Sì, va fatto. 5. Going concern: per i fascicoli con qualunque indicatore (margini compressi, leverage in crescita, perdite recenti), aggiungete il foglio di raccordo tra ipotesi del management e segnali esterni. Una pagina basta, però deve esserci. 6. Documentazione ISQM 1 di studio: la maggior parte dei piccoli studi olandesi ha policy ISQM 1 generiche scaricate da modelli NBA. Vi serve la documentazione del monitoring annuale e della remediation. ISQM 1.34-38, NV COS equivalente. 7. Time records: il monte ore per fascicolo dev'essere coerente con la complessità dichiarata. Discrepanze gravi (cinquanta ore su un fascicolo che la matrice rischi descrive come complesso) sono red flag immediato.
Errori ricorrenti, ordinati per gravità decrescente nelle ispezioni recenti
- Indipendenza ViO non documentata caso-per-caso. Rilievo grave, potenziale maatregel. - Linkage rischio-procedura assente o generico. Rilievo grave, herstelplan probabile. - Going concern compilato per check-the-box senza valutazione critica. Rilievo medio-grave. - EQR documentato in modo formale (firma e data) senza review notes. Rilievo medio per i PIE. - Significatività con benchmark non motivato. Rilievo medio, ricorrente. - Errori non corretti aggregati senza valutazione qualitativa ISA 450.11. Rilievo medio. - Archiviazione tardiva oltre i sessanta giorni. Rilievo formale, però indicativo agli occhi del peer reviewer.
Confronto NBA vs MEF/CONSOB: dove convergono e dove no
Il sistema NBA è più maturo nell'ispezione (cicli triennali da circa quindici anni, AFM aggressiva sui PIE), mentre in Italia il D.Lgs. 39/2010 ha previsto i controlli MEF con decorrenza piena solo da gennaio 2025 per la generalità dei revisori non-EIP, e la CONSOB resta competente sui revisori EIP con un perimetro distinto. L'aspettativa documentale, però, converge: ISQM 1 e ISQM 2 sono recepiti in entrambi gli ordinamenti, gli ISA Italia ricalcano gli ISA internazionali che ricalcano la NV COS olandese. La differenza, oggi, è di intensità ispettiva, non di standard.
Per il revisore italiano la lettura è chiara: il MEF guarderà a cosa l'NBA fa, importerà metodologia, e tra due-tre anni i controlli qualitativi italiani avranno la stessa durezza. Chi lavora oggi nei piccoli studi italiani, con compensi irrisori e busy season schiaccianti, ha una finestra breve per allineare le carte prima che l'asticella si alzi. Un controllo del MEF che evidenzi carenze sistematiche nel lavoro svolto potrebbe danneggiare gravemente la reputazione dello studio, e la finestra per prepararsi si sta chiudendo più in fretta di quanto la professione voglia ammettere.
Contenuti correlati
- Guida al calcolo della materialità ISA 320 per determinare e documentare la significatività in modo che regga al peer review - Calcolatore di materialità per i benchmark ISA 320 e la performance materiality - Checklist valutazione rischio ISA 315 per il linkage rischio-procedura richiesto dal revised standard