ISAE 3402 vs SOC 1

Tabella comparativa: ISAE 3402 vs SOC 1

Quando la differenza conta su un incarico

La maggior parte dei team accetta il certificato che il fornitore di servizi presenta, senza verificare se sia il certificato corretto per la giurisdizione del cliente. Questo passaggio è coerente con l'efficienza percepita del lavoro. Sotto ISA Italia 402.13, no.

Se il cliente opera principalmente in Europa, ISAE 3402 è lo standard atteso. Se ha operazioni significative negli USA o serve clienti americani, serve SOC 1. Se opera in entrambe le giurisdizioni, il fornitore dovrebbe avere entrambe le certificazioni. La confusione fra i due porta a due errori sistematici nei fascicoli italiani.

Primo errore: non chiedere il certificato giusto per la giurisdizione. Un revisore italiano valuta un fornitore di servizi di un cliente PMI italiano e accetta un SOC 1 Type II senza verificare se esista anche un ISAE 3402. ISA Italia 402.13 chiede al revisore di valutare l'idoneità dei controlli del fornitore secondo la giurisdizione applicabile. SOC 1 è basato sul framework AICPA, che non è automaticamente equivalente al framework COSO atteso in Europa.

Secondo errore: confondere i criteri di controllo. I principi di controllo interno in ISAE 3402 (tipicamente COSO) si differenziano dal framework AICPA usato in SOC 1. Un revisore che accetta un SOC 1 come equivalente a un ISAE 3402 non valuta se i criteri usati siano coerenti con le aspettative della clientela europea del fornitore.

Cosa cambia davvero in pratica. Il principio dice "valutare l'idoneità dei controlli secondo la giurisdizione applicabile". In pratica, significa leggere la sezione "scope" del certificato e verificare quale framework il fornitore ha applicato. È un controllo di cinque minuti. Si dice apertamente: nei dossier in cui le carte sono leggere su questo passaggio, il certificato si ticka come "ricevuto", e il rilievo emerge solo quando il MEF chiede di vedere la nota di valutazione del framework.

Esempio pratico: servizi di outsourcing contabile

Cliente: Tessuti Trentini S.p.A., azienda manifatturiera con sede in Italia e una filiale operativa negli Stati Uniti, gestisce il ciclo di contabilità tramite un fornitore di servizi internazionale che ha sia certificazione ISAE 3402 sia SOC 1.

Passaggio 1: identificare quale certificazione valutare. Tessuti Trentini opera principalmente in Italia e in Europa, con una filiale minore negli USA. Per le operazioni europee, il revisore richiede ISAE 3402. Per la filiale americana, valuta il SOC 1 Type II del fornitore. Documentazione: nel memorandum di pianificazione si dichiara quale certificazione è valutata, quale periodo copre e quale giurisdizione copre.

Passaggio 2: verificare il periodo di copertura. Il certificato ISAE 3402 Type II del fornitore copre il periodo dal 1° gennaio 2024 al 30 giugno 2024 (sei mesi). Il SOC 1 Type II copre il periodo dal 1° gennaio 2024 al 31 dicembre 2024 (12 mesi, come atteso dai clienti americani). Documentazione: si registrano le date di copertura di ciascun certificato e si verifica che coprano il periodo di revisione dell'azienda.

Passaggio 3: valutare il livello di affidabilità. ISAE 3402 valuta i controlli rispetto ai principi COSO sui processi contabili. Il certificato indica che i controlli erano efficaci e che non sono stati rilevati difetti significativi. Il SOC 1 Type II valuta i controlli secondo il framework AICPA per la gestione dei rischi e la prevenzione degli errori. Documentazione: si registra quale livello di affidabilità si assegna al fornitore in base a ciascun certificato. Generalmente, un ISAE 3402 Type II o SOC 1 Type II consente di pianificare procedure di validità a un livello di affidabilità da moderato a elevato, in base alla natura dei controlli e alla coerenza del loro funzionamento.

Passaggio 4: integrare con i test di controllo del revisore. Anche con certificazioni valide, ISA Italia 402.18 chiede al revisore di svolgere procedure di validità su un campione dei controlli nel fascicolo. Il revisore seleziona alcuni dei controlli critici descritti nel certificato ISAE 3402 (riconciliazione mensile dei conti payable, approvazione delle fatture) e ripete un campione di transazioni per verificare che i controlli siano stati effettivamente efficaci. Documentazione: si registrano i controlli testati, i campioni selezionati e i risultati ottenuti.

Passaggio 5: la complicazione che si presenta nei dossier reali. A metà del campionamento, il revisore scopre che il certificato ISAE 3402 del fornitore copre il "ciclo passivo (procurement to pay)" ma non il "ciclo attivo (order to cash)" della filiale italiana di Tessuti Trentini. Il fornitore ha gestito anche la fatturazione attiva della filiale italiana, ma quella attività è fuori dallo scope del certificato. Il SOC 1 della filiale americana copre invece entrambi i cicli. Sotto ISA Italia 402.16 il revisore non può estrapolare l'affidabilità del certificato a un'attività che non è stata oggetto di attestazione. La carta di lavoro originale, che assumeva la copertura completa, va riscritta. Si tratta del passaggio classico in cui la lettura affrettata dello scope produce un rilievo formale: il revisore aveva tickato la "ricezione del certificato" senza verificare quali processi fossero coperti. La rivalutazione richiede di pianificare procedure di validità sostanziale sulla fatturazione attiva della filiale italiana, perché il fornitore non ha attestazione su quel processo. Si dice apertamente: questo è il rilievo che genera più note in controlli MEF e CONSOB sui clienti che usano outsourcer multinazionali.

Conclusione del worked example. La differenza fra ISAE 3402 e SOC 1 non è di rigore. È di scope, giurisdizione e framework. Un revisore che comprende quale certificazione si applica, quale periodo copre, quale processo è coperto e quale framework è stato usato può pianificare il livello di affidabilità in modo accurato e documentare la decisione nel fascicolo. Un revisore che ticka "certificato ricevuto" senza leggere lo scope si trova davanti a una rivalutazione a metà esecuzione.

Cosa gli uffici di revisione e i professionisti sbagliano

- Non chiedere il certificato della giurisdizione corretta. Molti team accettano un SOC 1 come prova sufficiente per valutare un fornitore europeo, senza verificare l'esistenza di un ISAE 3402. Sebbene SOC 1 sia riconosciuto a livello globale, ISAE 3402 è lo standard atteso in Europa e fornisce una valutazione secondo i criteri di controllo europei. Questo errore riduce l'affidabilità della valutazione del controllo, e su clienti italiani con esposizione MEF il rilievo emerge nel primo controllo qualità ispettivo.

- Confondere il periodo di transizione. Un revisore pianifica i test di controllo basandosi su un certificato ISAE 3402 Type II vigente solo per i primi sei mesi dell'anno. I test dovrebbero coprire almeno un periodo equivalente. Se il certificato non copre l'intero anno di revisione, il revisore deve svolgere ulteriori test di controllo oppure accettare un livello di affidabilità più basso sui controlli successivi ai sei mesi iniziali. ISA Italia 402.16 chiede di considerare il periodo durante il quale i controlli sono stati in funzione. Tickare l'affidabilità per dodici mesi sulla base di un certificato di sei è il classico passaggio in cui le carte sono leggere.

- Accettare un certificato scaduto o in corso di rinnovo. Alcuni team non verificano la data di scadenza. Se un ISAE 3402 Type II era vigente dal 1° gennaio al 30 giugno 2024, ma la revisione si svolge nel gennaio 2025, il certificato non copre più il periodo di revisione. Il revisore deve acquisire una nuova certificazione oppure svolgere test di controllo per il periodo successivo. Si dichiara apertamente: questo è l'errore che si presenta più spesso negli studi mid-tier sui clienti familiari, perché il certificato dell'anno precedente sta nel fascicolo storico e si dà per buono.

Dove i partner non sono d'accordo

Si vedono due posizioni distinte fra i partner che hanno seguito l'evoluzione di ISAE 3402 dal 2011 e dei suoi rapporti con SOC 1.

La prima posizione: SOC 1 è sostanzialmente equivalente a ISAE 3402 sotto il profilo del rigore tecnico. I controlli testati, le metodologie di campionamento e la profondità delle procedure sono comparabili. Su un cliente italiano con un fornitore americano già certificato SOC 1, chiedere anche un ISAE 3402 è un esercizio di duplicazione formale che non aggiunge sostanza alla valutazione del rischio.

La seconda posizione: la sostanza non è il punto. Il punto è la giurisdizione che valuta il revisore. Sotto controllo MEF e CONSOB, il framework atteso è COSO via ISAE 3402, non AICPA via SOC 1. Anche se i due certificati testano gli stessi controlli, il certificato che il regolatore italiano vuole vedere è ISAE 3402. Tickare un SOC 1 come "equivalente" è una scelta che il revisore può difendere tecnicamente ma non formalmente, e in controllo qualità le scelte non difendibili formalmente costano caro.

Entrambe le letture descrivono qualcosa di vero. La prima tiene se il fascicolo documenta esplicitamente il ragionamento di equivalenza con riferimento alla letteratura comparativa. La seconda tiene se il fascicolo lascia il SOC 1 come unico riferimento senza la nota di valutazione. La differenza non è teorica: è nella pagina di lavoro che giustifica la scelta del framework.

L'incentivo strutturale

La pressione operativa è il fee del fornitore di servizi. Una doppia certificazione (ISAE 3402 e SOC 1) costa al fornitore EUR 60.000-150.000 l'anno in più. Sui fornitori che servono prevalentemente clienti europei, l'incentivo è limitarsi a ISAE 3402. Sui fornitori che servono prevalentemente clienti americani, l'incentivo è limitarsi a SOC 1. Sui fornitori globali, le due certificazioni convivono ma con scope diversi: tipicamente ISAE 3402 copre i processi europei, SOC 1 copre i processi americani.

Il punto di seconda lettura: il revisore italiano che accetta un SOC 1 senza ISAE 3402 non sta accettando un controllo equivalente. Sta accettando un controllo testato sotto un altro framework, su processi che potrebbero non coincidere con i processi rilevanti per il cliente italiano. La sostanza tecnica può anche reggere. La traccia documentale, sotto controllo MEF, no.

Glossario correlato

- Fornitore di servizi (Service Organization) - un'entità che fornisce servizi a aziende clienti, come outsourcer contabile, fornitore di servizi di gestione dei sistemi informativi o fornitore di elaborazione dati. Sottoposto a valutazione secondo ISA 402. - COSO Framework - framework di controllo interno usato da molti fornitori di servizi come base per la valutazione dei controlli in ISAE 3402. - Framework AICPA - framework di gestione dei rischi e controlli usato dai fornitori americani per la certificazione SOC 1. - Relazione Type I e Type II - sia ISAE 3402 sia SOC 1 emettono relazioni Type I (punto specifico nel tempo) e Type II (periodo di tempo). Type II è generalmente più affidabile perché copre un periodo. - Attestazione (Assurance Engagement) - ISAE 3402 è un engagement di attestazione che fornisce una conclusione sull'idoneità dei controlli interni di un fornitore di servizi.

---