Continuous Monitoring

Come funziona

Sul campo, accade quasi sempre la stessa cosa. Si entra in un'azienda manifatturiera, il responsabile amministrativo elenca cinque o sei attività che secondo lui sono "monitoraggio continuo": riconciliazioni mensili, controllo dei DDT, lettura del partitario fornitori. Si chiede l'evidenza. La risposta è che le verifiche le fa il contabile "tutti i giorni". Le carte erano leggere già prima di iniziare l'incarico.

L'ISA Italia 315.A99 specifica che il monitoraggio continuo si svolge nell'ambito delle attività gestionali ordinarie, poiché i processi operativi generano segnali naturali quando il controllo funziona (il cliente che conferma una fattura) e quando non funziona (un pagamento sospeso senza motivo, una riconciliazione che non chiude). La distinzione che il principio impone, e che il fascicolo deve rendere visibile, è tra monitoraggio informale e monitoraggio strutturato. Un contabile che nota un'anomalia mentre riconcilia il conto sta facendo monitoraggio informale. Lo stesso contabile che registra l'anomalia, la classifica per tipologia di errore e trasmette mensilmente un report al responsabile della funzione, sta facendo monitoraggio continuo strutturato ai sensi del paragrafo A99. L'ISA Italia 315 richiede entrambi.

In pratica, le entità medie raramente dispongono di software dedicato. Si lavora con fogli Excel, report di sistema, liste di controllo. La qualità del monitoraggio non dipende dallo strumento, bensì dal fatto che le discrepanze rilevate generino una comunicazione formale alla direzione e una risposta documentata. Non il suo viceversa.

Esempio pratico: Mobilificio Rossi & Associati S.r.l.

Cliente: azienda italiana manifatturiera di mobili imbottiti, FY2024, ricavi per EUR 18,5M, OIC applicabili. Collegio sindacale incaricato della revisione legale ai sensi dell'art. 2409-bis C.C.

Step 1: Identificare il processo ordinario che genera il monitoraggio

Mobilificio Rossi ha un processo di spedizione che funziona così: ogni mattina il team logistico prepara i DDT. Ogni pomeriggio, il sistema gestionale genera automaticamente una lista delle spedizioni completate. L'impiegato amministrativo controlla manualmente che il numero di unità nel DDT corrisponda al numero fatturato. Se la risposta è sì, il DDT viene chiuso. Se la risposta è no, resta aperto fino a risoluzione.

Nota di documentazione: nel fascicolo si descriva il processo, i responsabili, la frequenza. L'ISA Italia 315.A99 chiede che si documenti come il monitoraggio avviene, non solo che avviene.

Step 2: Verificare se il monitoraggio è strutturato

L'impiegato amministrativo mantiene una lista mensile dei DDT in sospeso oltre tre giorni. Ogni mese, il responsabile della logistica firma la lista e certifica se le discrepanze siano state risolte o giustificate. La lista viene archiviata con la contabilità mensile.

Nota di documentazione: il fascicolo include le liste mensili firmate, non e-mail scambiate o conversazioni informali. La struttura è semplice. È formale.

Step 3: Collegare il monitoraggio alla valutazione dei rischi

Nel memorandum di pianificazione (ISA Italia 320), si valuta se il monitoraggio continuo riduca il rischio intrinseco di errori di vendita e fatturazione. Qui si presenta la complicazione di giudizio. Il monitoraggio identifica il 100% delle discrepanze entro tre giorni. Tuttavia, controllando le liste mensili FY2024, emerge che 14 DDT sono rimasti aperti per oltre 90 giorni con la dicitura "in lavorazione" e nessun follow-up firmato. La direzione sostiene che si tratti di "casi tecnici". Il valore lordo complessivo dei 14 DDT ammonta a EUR 412.000, di cui EUR 287.000 fatturati nel 2024 e mai stornati. Il monitoraggio identifica le discrepanze, ma il management non risponde in modo strutturato. Il controllo è tecnicamente presente, sostanzialmente inefficace.

Nota di documentazione: si valuti se il monitoraggio osservato in fase di pianificazione riduca effettivamente il rischio o sia principalmente decorativo. Nel caso Mobilificio Rossi, il giudizio professionale porterebbe a non fare affidamento sul controllo e a estendere le procedure sostantive sul ciclo ricavi.

Conclusione: Mobilificio Rossi ha la forma del monitoraggio continuo strutturato, non la sostanza. Ai sensi dell'ISA Italia 315 il revisore non può ridurre le procedure sostantive sulla base di un controllo che esiste sulla carta ma non chiude le anomalie.

Cosa succede davvero quando si valuta il monitoraggio

Si arriva al punto in cui il principio incontra la realtà del mandato. La pratica diverge in due direzioni.

Posizione del Partner A: se il monitoraggio continuo identifica le anomalie e il management produce una qualche forma di documentazione di risposta (anche tardiva), il revisore può fare affidamento sul controllo ai sensi dell'ISA Italia 330.8, riducendo l'estensione delle procedure sostantive. La logica: il principio richiede che il monitoraggio comunichi i difetti, non che il management risponda perfettamente. La risposta del management è oggetto di un'altra valutazione (ambiente di controllo, ISA Italia 315.A77).

Posizione del Partner B: un monitoraggio che produce output non agiti è per definizione inefficace. L'ISA Italia 315.A99 richiede che i risultati siano comunicati "per consentire al management di rispondere", e una risposta che non chiude le anomalie non è una risposta. Fare affidamento su un tale controllo significa documentare un giudizio di affidabilità che non reggerebbe in caso di rilievo CONSOB. Si proceda con procedure sostantive estese, indipendentemente dalla forma del monitoraggio.

Entrambe le posizioni si difendono in fascicolo. La seconda è più difendibile in ispezione, perché l'onere della prova in caso di errore non corretto si sposta sul revisore che ha scelto la riduzione delle procedure.

Cosa i revisori e i practitioner non colgono

- Rilievo ispettivo Tier 1: la CONSOB e i reviewer CNDCEC, in più cicli ispettivi, hanno rilevato che i fascicoli non distinguono tra monitoraggio informale e monitoraggio continuo strutturato. Si osservano attività ordinarie, le si descrive come "continue", non si documenta se il risultato del monitoraggio sia effettivamente trasmesso alla direzione o resti registrato internamente. Il rilievo ricorre in circa il 18% dei fascicoli ispezionati con una deficienza di controllo interno documentata.

- Errore pratico Tier 2: i team documentano il monitoraggio come parte della descrizione dei controlli interni (ISA Italia 315.15) senza valutare se sia efficace nel ridurre il rischio. La domanda corretta non è "il monitoraggio esiste?" bensì "questo monitoraggio identifica i difetti prima che diventino errori in bilancio?". Qualora la risposta fosse no, il controllo non sta funzionando e va valutato diversamente nel fascicolo.

- Gap di pratica Tier 3: nelle realtà medie il monitoraggio avviene a livello di singola transazione (un contabile che riconcilia manualmente), ma non viene aggregato né comunicato. L'ISA Italia 315.A99 richiede che i risultati del monitoraggio siano comunicati ai responsabili affinché il management possa rispondere. Se la comunicazione non avviene strutturalmente, il monitoraggio non soddisfa il principio. La verifica concreta in fascicolo: si chieda al cliente di mostrare come un'anomalia rilevata sei mesi fa sia diventata un'azione del management. Se la catena si interrompe, il principio non è soddisfatto.

Il problema dei compensi e degli strumenti

Esiste un secondo strato che il principio non discute. I compensi del revisore legale italiano in incarichi non-EIP sono spesso compensi irrisori, al punto che il MEF ha pubblicamente riconosciuto come "non sia garantita la qualità" in alcuni segmenti di mercato. In quelle condizioni, investire ore in tickare un monitoraggio continuo che il cliente non ha strutturato è una scelta che si paga di tasca propria. L'incentivo perverso porta a riportare nel fascicolo la dichiarazione del cliente che il monitoraggio "esiste" senza richiederne l'evidenza. Si scrive che il controllo opera, e si va avanti.

A questo si aggiunge l'osservazione di campo, fuori manuale, che chi lavora sul campo conosce. Non sempre i software interni si parlano con i software della contabilità. Il sistema di monitoraggio della logistica produce report che il sistema contabile non legge. La direzione vede l'anomalia in un cruscotto, la contabilità chiude il bilancio senza la rettifica. Il monitoraggio è formalmente operativo, ma il suo output non raggiunge l'organo che potrebbe agire. Il revisore legale che documenti il controllo come affidabile senza testare la trasmissione effettiva del dato sta firmando un giudizio che, qualora il fascicolo finisca sul Bollettino CONSOB, si trasforma nel rilievo classico: "presidi inidonei a presidiarne l'affidabilità".

Monitoraggio continuo vs valutazione separata dei controlli

La distinzione conta perché l'ISA Italia 315 presume che il monitoraggio continuo sia il meccanismo principale, mentre le valutazioni separate lo integrano. Un'entità che si affidi solo a una valutazione annuale e priva di monitoraggio continuo non soddisfa il principio.

Nel sistema duale italiano: chi monitora cosa

Ai sensi dell'art. 2403 C.C., il collegio sindacale vigila sull'osservanza della legge, dello statuto e sull'adeguatezza dell'assetto organizzativo, amministrativo e contabile. Il revisore legale, ai sensi del D.Lgs. 39/2010, esprime il giudizio sul bilancio. Il monitoraggio continuo dei controlli interni del cliente rileva per entrambi, in modo diverso. Il collega sindacale lo osserva in chiave di adeguatezza dell'assetto. Il revisore lo testa in chiave di affidabilità dei controlli a sostegno del rischio di errore significativo. Quando il collegio sindacale svolge anche la revisione legale (frequente nelle SRL ai sensi dell'art. 2409-bis C.C.), il giudizio sul monitoraggio si fonde nei due ruoli e va documentato in entrambe le carte di lavoro: il libro del collegio per la vigilanza, il fascicolo di revisione per il giudizio.

Termini correlati

- Controllo interno - Il sistema di politiche e procedure attraverso cui un'entità raggiunge i propri obiettivi. Il monitoraggio continuo ne è una componente. - Rischio di controllo - La probabilità che un controllo non rilevi un errore. Il monitoraggio continuo efficace lo riduce. - Valutazione del rischio - Il processo con cui il revisore identifica i rischi di errore significativo. Il monitoraggio continuo è una fonte di evidenza. - Controlli chiave - I controlli critici a copertura dei rischi principali identificati. Il monitoraggio deve coprirli. - Comunicazione interna - Il flusso di informazioni dal livello operativo alla direzione sulle carenze di controllo. Senza comunicazione, il monitoraggio non è strutturato. - Ambiente di controllo - La cultura, i valori e la struttura organizzativa che governano il sistema di controllo, sostenendo il monitoraggio continuo efficace.

---