Come funziona
Un forensic audit si differenzia da una revisione contabile ordinaria per ambito, metodologia e intenti. Mentre la revisione ordinaria verifica se il bilancio è redatto in conformità ai principi contabili applicabili, un forensic audit indaga su transazioni specifiche, comportamenti di soggetti, e tracce documentali per determinare se si è verificata una frode, un'appropriazione indebita, una corruzione, o una violazione normativa.
L'ISA 240 assegna al revisore la responsabilità di ottenere un'assicurazione ragionevole che il bilancio non contenga errori significativi dovuti a frode. Tuttavia, l'ISA 240.5 chiarisce che un forensic audit non è un'estensione naturale di quella responsabilità: è un incarico distinto, con mandato, metodologie e rapporti completamente diversi.
Nel corso di una revisione ordinaria, se emergono indicatori di frode (ad esempio, riconciliazioni mancanti, voci in sospeso non spiegate, o controlli bypassati), l'auditor ha l'obbligo di comunicare i sospetti ai soggetti incaricati della governance (ISA 240.37). Un forensic audit parte già dal presupposto che una frode potrebbe essersi verificata e struttura l'intera indagine per dimostrarlo.
La metodologia include: estrazione di dati (analisi di log di sistema, tracciamento di transazioni), interviste sotto giuramento quando consentito dalla giurisdizione, analisi del DNA documentale (firme, timbri, sequenze numeriche), accertamento di eventuali movimenti di fondi attraverso conti terzi, e ricostruzione di rotte di transazione. L'incarico è spesso affidato a team forensi specializzati che coordinano con gli auditor esterni e con consulenti legali.
La comunicazione dei risultati non avviene mediante il consueto rapporto di revisione. Dipende dal mandato: può trattarsi di un rapporto riservato al consiglio di amministrazione, di una comunicazione alle autorità di polizia, di uno schedario processuale, o di una deposizione. L'auditor è esperto di contabilità, il team forense è esperto di investigazione; la collaborazione è critica.
Esempio pratico: Ceramiche Toscane S.r.l.
Cliente: società manifatturiera italiana con ricavi annuali di €18M, società per azioni, IFRS reporter. Sospetta appropriazione indebita nella gestione della cassa e dei fornitori.
Fase 1: Brief investigativo
Il consiglio di amministrazione sospetta che il direttore amministrativo abbia creato fatture di fornitori inesistenti e abbia prelevato fondi tramite assegni a sua firma. Autorizza un forensic audit.
Documentazione nella carta di lavoro: lettere di nomina firmate dall'organo di governance, mandato scritto, limiti di riservatezza, identificazione dei soggetti incaricati della governance che riceveranno il rapporto.
Fase 2: Estrazione e analisi dei dati
Si estraggono i log di accesso al sistema contabile per gli ultimi 24 mesi. Si identifica che il direttore amministrativo ha creato 47 nuove anagrafiche di fornitori, tutte con numero di conto bancario coincidente (IBAN) oppure con indirizzo corrispondente a un indirizzo residenziale noto. Si estrae la lista completa delle transazioni verso questi fornitori: €680.000.
Nota: il forensic audit si basa su dati, non su supposizioni. L'estrazione deve essere tracciata e certificata dal responsabile IT della società.
Fase 3: Riscontro documentale
Per ciascuno dei 47 fornitori sospetti, si verifica: ordine d'acquisto, documento di trasporto, fattura, ricevuta di pagamento, riconciliazione contabile. Risultato: 45 dei 47 fornitori non hanno alcun documento di trasporto fisico né alcuna evidenza di fornitura di beni. 2 fornitori risultano aziende reali, ma con numero di conto bancario diverso da quello in anagrafica contabile (indicatore di reindirizzamento di fondi).
Nota: la raccolta di evidenza fisica è la pietra miliare di un forensic audit. Ogni documento deve essere fotografato, datato, e conservato in catena di custodia.
Fase 4: Riconciliazione dei flussi di cassa
Si riconcilia il registro dei pagamenti con gli estratti conto bancari degli ultimi 24 mesi. Si identifica che €680.000 sono stati versati tramite bonifico e assegni ai fornitori sospetti, e che tutti gli assegni sono stati firmati dal direttore amministrativo in assenza di autorizzazioni di un secondo firmatario (il direttore generale).
Nota: il protocollo di firma della società prevede due firmatari per assegni superiori a €5.000. L'assenza di una seconda firma è una violazione del controllo interno documentata.
Fase 5: Quantificazione del danno
L'importo totale appropriato è €680.000. Di questo, €120.000 sono stati tracciati verso conti correnti esteri intestati a una società fittizia la cui titolarità è stata ricondotta al direttore amministrativo tramite indagini bancarie (previa autorizzazione del magistrato).
Nota: la quantificazione del danno nel forensic audit include non solo l'importo appropriato, ma anche gli interessi (spesso applicati dalla data del prelievo fino alla data della scoperta) e i costi di recupero.
Conclusione:
L'incarico forense fornisce al consiglio di amministrazione una ricostruzione documentale e quantitativa del danno subito (€680.000) e una traccia di evidenze idonea alla denuncia penale. Diversamente da una revisione ordinaria, il rapporto forense è redatto in formato processuale e contiene fotografie di documenti, copie certificate, e una cronologia dettagliata.
Cosa dicono gli ispettori
La Consob, in sede di ispezione presso studi di revisione e società, ha rilevato che quando un auditor identifica indicatori di potenziale frode nel corso della revisione ordinaria, la comunicazione ai soggetti incaricati della governance avviene spesso in termini vaghi e senza una raccomandazione esplicita di condurre un'indagine forense. L'ISA 240.37 richiede comunicazione tempestiva; omettere di consigliare un forensic audit quando gli indicatori sono significativi è una carenza di procedura.
Gli ispettori internazionali (FRC nel Regno Unito, PCAOB negli Stati Uniti) hanno inoltre rilevato che molti auditor confondono il loro ruolo durante un forensic audit condotto da team specializzati. Se l'auditor ordinario rimane coinvolto nell'indagine, deve preservare l'indipendenza e documentare che non ha modificato la propria opinione di revisione sulla base di conclusioni forensi non ancora formalizzate.
Differenza con una revisione ordinaria
Una revisione ordinaria è una valutazione generale della verità e correttezza del bilancio. Un forensic audit è un'inchiesta specifica su transazioni o comportamenti sospetti.
In una revisione ordinaria, se l'auditor identifica una transazione anomala, applica procedure di audit standard (richiesta di chiarimenti, estrazione di supporti documentali, valutazione del controllo interno). Se la spiegazione fornita dalla direzione è ragionevole e supportata da documentazione, il tema è chiuso.
In un forensic audit, la metodologia presuppone l'inganno intenzionale. Non si accetta una spiegazione fornita dalla parte sospettata; si ricercano prove indipendenti (log di sistema, interviste di terzi, tracce bancarie, analisi forense di documenti). La soglia di evidenza è più elevata: non "assicurazione ragionevole," ma "prova oltre ogni ragionevole dubbio" quando destinata a tribunale.
Termini correlati
- ISA 240 (Responsabilità dell'auditor di considerare la frode): definisce gli obblighi del revisore ordinario nel rilevare frodi nel bilancio. Un forensic audit applica competenze più specializzate, ma l'ISA 240 rimane il quadro normativo di partenza.
- ISAE 3000 (Incarichi di attestazione diversi dalla revisione e dalla certificazione): un forensic audit, quando fornisce un'opinione attestativa sui risultati dell'indagine, si conforma a ISAE 3000.
- Whistleblowing e comunicazione ai regolatori: se il forensic audit scopre frodi che potrebbero costituire violazione di legge, la comunicazione ai regolatori dipende dal mandato e dalle obbligazioni legali della giurisdizione.
- Catena di custodia documentale: procedura forense critica per garantire che le evidenze rimangano integre e ammissibili in sede legale.
- Frode (fraud): distinzione tra frode intenzionale (dolosa) e errore non intenzionale; l'ISA 240 distingue tra le due, mentre un forensic audit indaga specificamente sulla frode.
Calcolatori e strumenti ciferi
La Matrice di valutazione del rischio di frode ISA 240 fornisce un framework strutturato per identificare gli indicatori che potrebbero richiedere un approfondimento forense durante una revisione ordinaria. Non sostituisce un forensic audit, ma aiuta l'auditor a documentare le proprie procedure di valutazione e comunicazione ai soggetti incaricati della governance.
---