Definition
L'ISQM Italia 1 è il principio che la maggior parte degli studi italiani ha implementato come modulo aggiuntivo al manuale di qualità esistente, non come ridisegno del sistema. La distinzione conta. A partire da gennaio 2025, il MEF ha avviato i controlli qualitativi sui revisori legali non-EIP, e la prima cosa che chiede l'ispettore non è il documento di sistema. È la prova che il sistema funzioni davvero. Si vede in pratica che le carte sono leggere proprio dove dovrebbero pesare di più: nella componente di monitoraggio.
Cosa va storto nei fascicoli
Si parte da qui perché è qui che inizia l'ispezione del MEF. L'ISQM 1 prevede cinque componenti che devono parlarsi tra loro: governance, valutazione del rischio del sistema, risposte, monitoraggio e remediation, processo di valutazione complessiva. Sulla carta tutti gli studi le hanno. Nel fascicolo, il punto debole è quasi sempre lo stesso. Falla 1: Il monitoraggio fatto come tickare annuale. ISQM 1.34 chiede un'attività di monitoring continuativa, con campionature di file e revisioni a freddo. Si vede in pratica che la maggior parte degli studi lo riduce a una compilazione di check-list a dicembre, dopo la chiusura del bilancio del cliente principale. Il problema è che monitorare a dicembre serve a poco: se trovo una carenza, il file è già firmato. Per la stessa ragione il responsabile del QM in molti studi guarda fascicoli scelti dal partner di incarico (i "facili"), non a campione casuale. ISQM 1.36 richiede selezione che fornisca una base ragionevole sull'efficacia del sistema, non comfort. Falla 2: La RCA che non arriva alla causa. Quando il monitoraggio rileva una carenza, ISQM 1.41 richiede una root-cause analysis. Nei fascicoli si trova spesso una RCA che si ferma al sintomo ("il senior non ha documentato la procedura di indipendenza all'accettazione") senza chiedere perché ("perché il senior aveva tre incarichi paralleli e nessuna formazione su ISA Italia 220 revised"). Senza arrivare alla causa, la remediation è cosmetica e la stessa carenza ricomparirà nel ciclo successivo. Falla 3: Responsabilità senza tempo allocato. ISQM 1.20 richiede che la persona designata abbia autorità e risorse appropriate. Nella pratica, il ruolo di responsabile del QM viene assegnato a un partner senior che già firma 40 incarichi e dirige il commerciale. Il tempo allocato sul mansionario è zero. Quando il MEF chiede l'evidenza delle attività svolte, escono tre verbali in dodici mesi. Falla 4: La valutazione del sistema fatta una volta sola. ISQM 1.53 prevede una valutazione complessiva annuale del sistema di QM da parte dell'individuo (o gruppo) con responsabilità ultima. La maggior parte degli studi la fa a gennaio del primo anno di adozione e poi non la rifà. Il risultato è una conclusione "il sistema funziona" datata 2023, allegata al manuale del 2026. Il MEF non ha bisogno di leggere il fascicolo per sapere che le carte sono leggere. Falla 5: "È solo per i grandi studi". L'idea è diffusa fra gli studi piccoli e medi che ISQM 1 sia un esercizio per le Big 4 italiane. Il principio prevede esplicitamente la scalabilità (ISQM 1.A8-A10), ma non l'esenzione. La micro-struttura riduce le componenti, non le elimina.
Cosa richiede la norma
L'ISQM 1 (recepito in Italia con l'aggiornamento dei principi ISA Italia, applicabile per le revisioni di bilanci con esercizio dal 15 dicembre 2022) costruisce il sistema attorno a otto componenti collegate. Le elenco con il riferimento al paragrafo, perché il MEF cita per paragrafo. Governance e leadership (ISQM 1.28-32). La direzione dello studio si assume la responsabilità ultima del sistema. Si nominano una o più persone con responsabilità operativa per il QM (responsabile QM), per la conformità all'indipendenza, per il monitoraggio e remediation. Cosa succede davvero: la struttura su carta è quasi sempre presente; quello che manca è l'evidenza che la persona designata abbia esercitato autorità reale durante l'anno. Processo di valutazione del rischio dello studio (ISQM 1.23-27). Si stabiliscono obiettivi di qualità, si identificano i rischi che potrebbero impedirne il raggiungimento, si progettano risposte. Il principio richiede che il processo sia iterativo, non lineare. Cosa succede davvero: si compila la matrice obiettivi-rischi-risposte una volta in fase di prima adozione e si dimentica di rivederla quando cambiano clienti, normativa o personale. Risorse (ISQM 1.32). Quattro categorie: umane, tecnologiche, intellettuali, finanziarie. Per le risorse umane il principio chiede che lo studio abbia personale con competenza e capacità sufficienti al volume e alla complessità degli incarichi. Cosa succede davvero: durante la busy season i compensi irrisori si traducono in personale junior che firma carte di lavoro che senior non hanno tempo di rivedere. Il rischio non è teorico, è strutturale. Informazione e comunicazione (ISQM 1.33). Flusso di informazioni dentro lo studio, con i clienti, con la rete (se c'è). Il punto critico nei fascicoli italiani: la comunicazione fra revisore legale e collegio sindacale, che nel sistema duale è prescritta dall'art. 2409-septies C.C. e dal D.Lgs. 39/2010. Cosa succede davvero: la comunicazione diventa un verbale annuale, non un dialogo continuativo, e il MEF lo nota. Monitoraggio e remediation (ISQM 1.34-47). Tre passaggi: progettazione delle attività di monitoring, esecuzione, valutazione delle carenze identificate con relativa remediation. Il principio 36 chiede che la selezione dei file e dei processi monitorati sia tale da fornire base ragionevole. Cosa succede davvero: si selezionano i file recenti, di clienti collaborativi, con team che si sa abbiano lavorato bene. Non è monitoraggio. È rassicurazione. Processo di valutazione complessiva (ISQM 1.53-54). Annuale, conclude su tre possibili giudizi: il sistema fornisce ragionevole sicurezza, fornisce ragionevole sicurezza eccetto per (specificare), non fornisce ragionevole sicurezza. Cosa succede davvero: il giudizio "fornisce ragionevole sicurezza" si scrive prima ancora di completare la valutazione. La conclusione precede l'analisi.
Esempio pratico: studio Revisionistico Milano S.r.l.
Studio Revisionistico Milano è uno studio italiano indipendente di 18 professionisti, specializzazione manifattura e retail, fatturato annuo da revisioni di EUR 1,8M. Nessun cliente EIP, quindi vigilanza MEF (non CONSOB). Il 40% del portafoglio è entrato negli ultimi tre anni. Fase 1: Nomina e autorità del responsabile QM (ISQM 1.20). Lo studio nomina Daniela Rossi, partner senior, come responsabile del sistema di QM. Tempo allocato sul mansionario: 15% del FTE annuo, equivalente a circa 250 ore. Rossi ha accesso diretto al consiglio di amministrazione, budget autonomo per formazione e tooling QM, potere di veto sull'accettazione di incarichi che ricadono in categorie di rischio elevato. Documentazione: verbale del CdA datato gennaio 2026, lettera interna di assegnazione firmata dalla proprietà. Fase 2: Identificazione dei rischi di qualità (ISQM 1.25). Lo studio conduce una sessione di valutazione, con quattro rischi rilevanti identificati: - Turnover del personale senior (tre uscite negli ultimi due anni). Rischio: gli associati nuovi non raggiungono lo standard di documentazione su incarichi complessi. - Pressione tempo durante la busy season (marzo-giugno). Rischio: procedure di sostanza saltate, scrivere le carte dopo. - Carenza di competenze su revenue recognition retail (modifiche IFRS 15). Rischio: errori di valutazione su stime non standard. - Compensi irrisori sui clienti SRL ereditati dal predecessore. Rischio: ore reali non tracciate, qualità erosa per recuperare margine. Documentazione: matrice rischi datata settembre 2025, classificazione per significatività e probabilità. Fase 3: Risposte (ISQM 1.26). Per il turnover: programma di tutoraggio formalizzato, ogni associato nuovo abbinato a un senior per il primo anno, carte completate da junior riviste prima dell'archiviazione. Per la pressione tempo: checklist di procedure minime non saltabili, firmate dal partner di incarico, con escalation al responsabile QM in caso di deroga. Per la competenza: due corsi IFRS specializzati e una referente interna su revenue recognition. Per i compensi irrisori: revisione del portafoglio, rinegoziazione su otto incarichi, dismissione di tre. Fase 4: Monitoraggio (ISQM 1.36). Ogni trimestre Rossi conduce una revisione a freddo su un campione casuale (sorteggio numerico, non scelta soggettiva) del 10% dei file archiviati. Se emerge una carenza, viene tracciata in registro. Se la stessa carenza emerge una seconda volta sullo stesso team, viene escalata al CdA e attivata la RCA formale. Fase 5: Valutazione complessiva (ISQM 1.53). A dicembre 2026, Rossi e il CdA valutano se il sistema fornisce ragionevole sicurezza. La conclusione si scrive solo dopo aver letto i quattro rapporti trimestrali, non prima. Uno studio che segue questa struttura regge un'ispezione MEF. Quello che fa la differenza non è il manuale: è la coerenza fra le date dei verbali e l'evidenza dell'attività.
La zona grigia: ISQM 1 e i micro-studi
Qui i partner italiani non sono d'accordo, e l'argomento merita di essere esposto in entrambe le direzioni perché il principio non risolve il dubbio. Posizione A (il principio non esenta). ISQM 1 si applica a ogni studio che svolge revisione legale o servizi di assurance ISA. Non c'è soglia dimensionale di esenzione, e i paragrafi A8-A10 sulla scalabilità non sono un'esenzione: sono un riconoscimento che le risposte cambiano, non che le componenti spariscano. Un sole practitioner deve comunque documentare obiettivi di qualità, rischi, risposte, monitoraggio e valutazione annuale. Se non lo fa, il MEF lo rileverà. Posizione B (la scalabilità di fatto svuota le componenti). Per un revisore legale persona fisica con tre clienti SRL, alcune componenti si riducono talmente da diventare formali. La separazione fra responsabile QM e partner di incarico è impossibile (sono la stessa persona). Il monitoraggio "indipendente" sui propri file non esiste come concetto: si rivede sé stessi. Il principio 35.b consente l'uso di service provider esterni per il monitoring, ma a costi proibitivi rispetto al compenso medio dell'incarico SRL. In pratica, ISQM 1 sui micro-studi è compliance theater. Personalmente trovo la posizione B più onesta sul piano descrittivo, ma la A più difendibile sul piano normativo. Il MEF ispezionerà sulla A. Conviene predisporre il fascicolo di sistema sapendo che non ci sarà spazio per argomentare "siamo troppo piccoli".
Perché monitoraggio è la componente che cade per prima
Per due ragioni, e qui prendo posizione. Primo, perché richiede allo studio di trovare i propri problemi. Il principio 38 chiede di valutare la severità delle carenze identificate, non quelle che si vorrebbero non aver identificato. Trovare carenze significa scriverle in registro, e tutto ciò che è in registro deve essere remediato secondo ISQM 1.42-44. Il disincentivo è strutturale: meglio non guardare troppo a fondo. Secondo, perché la finestra di esecuzione coincide con la busy season. Si pianificano i monitoraggi a freddo a fine ciclo (febbraio-marzo) per cogliere i file appena chiusi, ma a febbraio i team sono nei nuovi incarichi e non ci sono ore allocate al monitoring. Si rinvia. A maggio si rinvia ancora. A novembre il responsabile QM scopre di aver completato un monitoraggio invece di quattro, e firma comunque la conclusione "ragionevole sicurezza" perché non firmarla genera questioni che nessuno vuole aprire prima di Natale. L'effetto secondario è che la componente di monitoring è quella che il MEF è più probabile sanzioni nel primo ciclo ispettivo 2025-2027. Non perché lo studio non sappia farla, ma perché il calendario industriale italiano la rende strutturalmente difficile da fare bene.
Confronto con ISQC 1
L'ISQC 1, in vigore prima del recepimento dell'ISQM, permetteva un approccio reattivo: lo studio si occupava di qualità quando emergevano problemi. L'ISQM 1 chiede l'opposto. Si identificano i rischi prima, si progettano le risposte prima, si monitora durante. ISQC 1 era retrospettivo, ISQM 1 è prospettico. L'ISQC 1 consentiva responsabilità diffusa. L'ISQM 1 chiede individui nominati con autorità e risorse (paragrafo 20). Non un ruolo sulla carta organizzativa. Sotto l'ISQC 1 il monitoraggio poteva essere annuale e a campione ridotto. Sotto l'ISQM 1 il monitoraggio è continuo, con base che fornisca ragionevole sicurezza (ISQM 1.36). Il salto pratico è proprio questo: dal "abbiamo guardato qualcosa" al "abbiamo guardato abbastanza ".
Termini correlati
Controllo di qualità dell'incarico: il processo che garantisce che il singolo incarico raggiunga gli standard QM dello studio prima della firma della relazione (ISA Italia 220 revised + ISQM 2). Responsabile del QM: la persona nominata e autorizzata a guidare l'implementazione dell'ISQM 1 e a rispondere dei risultati al CdA o alla proprietà. Valutazione dei rischi di qualità: il processo sistematico di identificazione dei rischi che potrebbero impedire il raggiungimento degli obiettivi di qualità dello studio (ISQM 1.25). Monitoraggio della qualità: le attività continue di revisione e test che lo studio implementa per verificare se il sistema funziona come progettato (ISQM 1.34-40). ISQM 2: il principio che disciplina il riesame di qualità dell'incarico (engagement quality review). ISQC 1 (versione precedente): il quadro precedente, sostituito dall'ISQM 1 con applicazione dai bilanci 15 dicembre 2022.
Strumenti ciferi
La Checklist di implementazione ISQM 1 aiuta lo studio a strutturare il sistema documentato, a nominare il responsabile QM con tempo allocato realistico, e a costruire un calendario di monitoraggio che regga l'ispezione MEF. ---