Come funziona
Un'entità implementa il monitoraggio continuo attraverso attività ordinarie integrate nei processi operativi. L'ISA 315.15 paragrafo A99 specifica che il monitoraggio continuo avviene durante l'esecuzione delle attività gestionali ordinarie: le vendite nel team commerciale, i pagamenti nel team amministrativo, la riconciliazione dei conti nel back-office. Questi processi generano segnali naturali quando il controllo funziona (il cliente che conferma una fattura) e quando non funziona (un pagamento rimane in sospeso senza motivo, una riconciliazione non si chiude).
La distinzione critica, spesso sottovalutata nei fascicoli, è tra il monitoraggio informale e quello strutturato. Un contabile che nota un'anomalia mentre riconcilia il conto è monitoraggio informale. Lo stesso contabile che registra l'anomalia, la classifica per tipo di errore, e trasmette ogni mese un rapporto al responsabile della funzione è monitoraggio continuo strutturato. L'ISA 315 richiede entrambi, non l'uno o l'altro. Il monitoraggio informale cattura i difetti. Il monitoraggio strutturato ne quantifica la frequenza, traccia se le azioni correttive sono state implementate, e documenta le tendenze nel tempo.
Le entità di medie dimensioni raramente dispongono di software specializzato per il monitoraggio. Usano fogli di calcolo, rapporti di sistema, o semplici liste di controllo. La qualità del monitoraggio non dipende dalla tecnologia usata, ma dal fatto che le discrepanze rilevate generino una comunicazione formale al management e una risposta documentata.
Esempio pratico: Mobilificio Rossi & Associati S.r.l.
Client: azienda italiana manifatturiera di mobili, FY2024, ricavi per EUR 18,5M, IAS applicabili.
Step 1: Identificare il processo ordinario che genera il monitoraggio
Mobilificio Rossi ha un processo di spedizione che funziona così: ogni mattina, il team logistico prepara i DDT (documenti di trasporto). Ogni pomeriggio, il sistema genera automaticamente una lista di spedizioni completate. L'impiegato amministrativo controlla manualmente se il numero di unità nel DDT corrisponde al numero fatturato. Se la risposta è sì, il DDT viene chiuso. Se la risposta è no, il DDT rimane aperto fino a risoluzione.
Nota di documentazione: Nel fascicolo, documentare il processo, i responsabili, la frequenza. L'ISA 315.A99 richiede di descrivere come il monitoraggio avviene, non solo che avviene.
Step 2: Verificare se il monitoraggio è strutturato
L'impiegato amministrativo mantiene una lista mensile dei DDT in sospeso oltre 3 giorni. Ogni mese, il responsabile della logistica firma la lista e certifica se le discrepanze sono state risolte o giustificate. Questa lista viene conservata con la contabilità mensile.
Nota di documentazione: Il fascicolo include le liste mensili firmate. Non si tratta di e-mail scambiati o conversazioni informali. La struttura è semplice, ma è formale.
Step 3: Collegare il monitoraggio alla valutazione dei rischi
Nel memorandum di pianificazione (ISA 320), il revisore valuta se il monitoraggio continuo riduce il rischio intrinseco di errori di vendita e fatturazione. Se il monitoraggio identifica il 100% delle discrepanze entro 3 giorni e il management risponde sempre, il rischio di errori non corretti diminuisce significativamente. Se il monitoraggio identifica discrepanze ma il management non risponde (le liste rimangono aperte per mesi), il monitoraggio non è efficace e il rischio rimane elevato.
Nota di documentazione: Nel fascicolo, valutare se il monitoraggio osservato durante la pianificazione effettivamente riduce il rischio o è principalmente decorativo.
Conclusione: Mobilificio Rossi ha un monitoraggio continuo strutturato. Non è una soluzione software da EUR 50.000. È un processo manuale ripetibile con evidenza formale. Questo è sufficiente ai sensi dell'ISA 315.
Cosa i revisori e i practitioner non colgono
- Rilievo ispettivo Tier 1: La FRC (Financial Reporting Council, Regno Unito) ha identificato in molteplici cicli di ispezione che i fascicoli non distinguono tra monitoraggio informale e monitoraggio continuo strutturato. I revisori osservano attività di monitoraggio ordinaria, le descrivono come "continuo," ma non documentano se il risultato del monitoraggio è effettivamente comunicato al management o viene solo registrato internamente. Questo rilievo ricorre in circa il 18% dei fascicoli ispezionati con una deficienza di controllo interno documentata.
- Errore pratico Tier 2: I team spesso documentano il monitoraggio come parte della descrizione dei controlli interni (ISA 315.15) senza valutare se il monitoraggio è efficace nel ridurre il rischio. La domanda corretta è: questo monitoraggio identifica effettivamente i difetti prima che diventino errori di bilancio? Se la risposta è no, il controllo non sta funzionando e deve essere valutato diversamente nel fascicolo.
- Gap di pratica Tier 3: Nelle aziende di medie dimensioni, il monitoraggio avviene spesso a livello di singola transazione o singolo account (un contabile che riconcilia manualmente), ma non viene aggregato o comunicato formalmente. L'ISA 315 paragrafo A99 richiede che i risultati del monitoraggio siano comunicati ai responsabili per consentire al management di rispondere. Se la comunicazione non avviene strutturalmente, il monitoraggio non soddisfa il principio.
Monitoraggio continuo vs. Valutazione separata dei controlli
Monitoraggio continuo: attività ordinarie ripetibili che identificano difetti nel corso del tempo e generano risposte immediate. Esempio: riconciliazione mensile dei conti con review da parte del supervisore.
Valutazione separata: un'attività discreta, non ordinaria, svolta periodicamente (annualmente o biennalmente) per valutare complessivamente l'efficacia del sistema di controllo interno. Esempio: audit interno o autodiagnosi annuale della conformità alle politiche.
La distinzione importa perché l'ISA 315 presume che il monitoraggio continuo sia il meccanismo principale attraverso il quale un'entità mantiene l'efficacia dei controlli. Le valutazioni separate integrano il monitoraggio continuo, non lo sostituiscono. Un'entità che conta solo su una valutazione annuale e non ha monitoraggio continuo non soddisfa l'ISA 315.
Termini correlati
---
- Controllo interno - Il sistema completo di politiche e procedure attraverso cui un'entità raggiungi i suoi obiettivi. Il monitoraggio continuo è parte della gestione del controllo interno.
- Rischio di controllo - La probabilità che un controllo non rilevi un errore. Il monitoraggio continuo efficace riduce il rischio di controllo.
- Valutazione del rischio - Il processo con cui il revisore identifica e valuta i rischi di errore significativo. Il monitoraggio continuo è una fonte di evidenza per questa valutazione.
- Controlli chiave - I controlli critici per ridurre i principali rischi identificati. Il monitoraggio continuo deve coprire i controlli chiave.
- Comunicazione interna - Il flusso di informazioni dal livello operativo al management sulle carenze di controllo. Il monitoraggio continuo senza comunicazione non è strutturato.
- Ambiente di controllo - La cultura, i valori e la struttura organizzativa che governano il sistema di controllo. Un ambiente di controllo solido supporta il monitoraggio continuo efficace.