ISSA 5000

Cosa va storto nei primi fascicoli

La pratica osservata nei primi cicli post-D.Lgs. 125/2024 mostra quattro fallimenti ricorrenti, tutti riconducibili alla logica con cui lo studio aveva pensato l'assurance prima che lo ISSA 5000 imponesse la struttura ISA 315.

Limited assurance trattata come una checklist. Il revisore prepara una lista di indagini al management, le pone, riceve risposte coerenti, conclude. Il paragrafo 18 dello ISSA 5000 richiede però che le procedure siano calibrate al rischio identificato a livello di asserzione, non al fatto che la limited assurance consenta procedure ridotte. Limited è il livello di assurance, non l'intensità della pianificazione. Questo passaggio si perde quasi sempre.

La doppia materialità accolta a scatola chiusa. Il cliente consegna l'esito del proprio assessment di doppia materialità, costruito tipicamente da un consulente ESG esterno. Il revisore lo allega. Lo ISSA 5000 paragrafo 26 e ESRS 1 richiedono invece che il revisore sfidi sia il processo sia gli output. Non è un'attestazione del lavoro del consulente; è un giudizio indipendente sulla materialità divulgata.

Dati carbon verificati per sole representation. Le emissioni Scope 1, 2 e soprattutto Scope 3 vengono firmate sulla base di una representation del management che descrive il sistema di calcolo. Nessuna riconciliazione con fatture energetiche, nessun walkthrough del foglio di calcolo, nessun ricalcolo sui fattori di emissione. La representation è una procedura legittima sotto ISSA 5000.40, mai una procedura sufficiente da sola.

ESRS S2 chiusa con un "non disponibile". I lavoratori della catena del valore sono trattati come non rendicontabili perché l'entità dichiara di non avere informazioni. Il revisore accetta. Il paragrafo 21 dello ISSA 5000 richiede invece di valutare se l'omissione di una categoria di parte interessata sia coerente con la valutazione di materialità o se la nasconda.

Cosa richiede il principio

Lo ISSA 5000 si articola su una struttura familiare a chi ha già implementato ISA 315 (Revised 2019) sugli incarichi di bilancio: identificazione lorda degli eventi e delle condizioni, valutazione del rischio a livello di asserzione, calibratura delle procedure in funzione del rischio e della materialità di sostenibilità.

Il paragrafo A2 introduce un elemento che gli incarichi finanziari non hanno. Il revisore deve identificare le parti interessate il cui interesse è influenzato dalle asserzioni oggetto di assurance, e l'ambito dell'incarico deve esserne coerente. Non è un riempimento procedurale. Cambia il modo in cui si stabilisce la materialità: secondo il paragrafo 26 non si parte da un benchmark di ricavi o EBITDA, si parte dall'interesse della parte interessata identificata. Una sottostima del 4% delle emissioni Scope 1 può essere immateriale finanziariamente e materiale assicurativamente, perché un cliente automotive del fornitore valuta i contratti su una soglia di riduzione contrattuale del 5%.

La distinzione tra reasonable e limited assurance resta quella classica del framework IAASB. La differenza pratica sotto ISSA 5000, però, riguarda la documentazione. Il paragrafo 31 richiede che il rischio identificato a livello di fattore venga tracciato con il controllo associato, il giudizio sulla sua efficacia, la procedura eseguita e l'evidenza ottenuta. Limited assurance riduce l'estensione delle procedure, non la rigorosità del lawyering carta-per-carta.

Secondo l'art. 8 del D.Lgs. 125/2024, l'incarico di attestazione della sostenibilità è conferito dall'assemblea su proposta dell'organo di controllo, e per le EIP la vigilanza spetta alla CONSOB. Per gli enti non-EIP la qualità del lavoro entrerà nei controlli del MEF. Dal 1° gennaio 2025 i primi fascicoli CSRD italiani sono soggetti a questo regime, con l'attesa che le prime ispezioni mirate inizieranno dal ciclo 2026.

Cosa succede davvero quando l'incarico è bundled

Sui medi studi italiani lo schema dominante prevede l'incarico di attestazione della sostenibilità affidato allo stesso revisore legale, talvolta senza una rivalutazione proporzionale dei compensi rispetto all'aumento delle ore. Il bundle si presenta come efficienza per il cliente. In pratica produce due effetti misurabili. Il primo: il team di audit finanziario viene riproposto come team di sostenibilità senza che le competenze ESG specifiche siano state costruite. Il secondo: le ore di sostenibilità vengono compresse perché il budget complessivo del cliente non è cresciuto. Le carte arrivano leggere non per pigrizia, ma per matematica del compenso.

A questo si aggiunge la scadenza. Le prime relazioni CSRD per gli esercizi 2024-2025 dovevano essere consegnate in finestre già strette. Quando si combinano compensi irrisori, scadenze ravvicinate e scarsità di competenze ESG dentro lo studio, la conseguenza è prevedibile e si chiama assurance theater: un fascicolo che esiste, una relazione che si firma, un livello di approfondimento che non corrisponde a quello che il mercato leggerà nella conclusione.

Esempio pratico: Manifatture Sostenibili Italia S.p.A.

Cliente: azienda manifatturiera italiana con sede a Bergamo, ricavi EUR 38M, soggetta alla CSRD a partire dall'esercizio 2025 (gruppo grande non quotato, ai sensi dell'art. 1 comma 2 lett. b del D.Lgs. 125/2024). Incarico: attestazione di conformità sulla rendicontazione di sostenibilità 2025 redatta secondo le ESRS.

Passo 1: definire l'ambito e identificare le parti interessate

Si parte dagli organi sociali. Il revisore della sostenibilità incontra direzione e consiglio di amministrazione per fissare le asserzioni oggetto di assurance: completezza e accuratezza dell'esito di doppia materialità (ESRS 1), accuratezza dei dati di emissione GHG (ESRS E1-5), accuratezza della rendicontazione sui diritti dei lavoratori della catena del valore (ESRS S2). Il paragrafo A2 dello ISSA 5000 richiede che il memorandum di pianificazione identifichi le parti interessate il cui interesse sia influenzato da queste asserzioni: nel caso di Manifatture Sostenibili, azionisti, clienti automotive europei (sensibili alle emissioni di filiera), fornitori, dipendenti e lavoratori dei subfornitori in catena.

Documentazione: il memorandum cita esplicitamente il paragrafo A2 e collega ciascuna asserzione alla parte interessata identificata. Questo passaggio non era richiesto da ISAE 3000 e si è osservato come spesso assente nei primi fascicoli D.Lgs. 125/2024.

Passo 2: identificare i rischi e i controlli

Si conducono interviste con il responsabile sostenibilità, il direttore di stabilimento (per Scope 1) e il responsabile acquisti (per ESRS S2). Emerge che il calcolo Scope 1 si basa su letture manuali dei contatori del gas naturale presso quattro stabilimenti, aggregate in un foglio di calcolo Excel non protetto. Non esiste riconciliazione mensile con le fatture del fornitore di gas. Secondo lo ISSA 5000.18(a) il revisore deve valutare se i controlli sulla sostenibilità riducano il rischio di errore materiale a un livello accettabilmente basso. In questo caso la valutazione è negativa: il controllo manca.

Documentazione: foglio di lavoro di valutazione del rischio con riferimento ai paragrafi 18(b) e 19(a) dello ISSA 5000.

Passo 3: stabilire la materialità di sostenibilità

Non esiste un benchmark predefinito. Il paragrafo 26 dello ISSA 5000 richiede che la materialità sia stabilita in funzione dell'interesse della parte interessata identificata. Per Manifatture Sostenibili, il contratto quadro con un primo cliente automotive prevede una riduzione anno-su-anno delle emissioni della filiera fornitore di almeno il 5%. Una sottostima di Scope 1 del 4% trasformerebbe una riduzione reale dell'1% in un dato dichiarato del 5%, soglia contrattualmente rilevante. Si fissa pertanto una materialità di sostenibilità del 3% sui Scope 1 totali, equivalente a circa EUR 63.000 di CO2e su un totale dichiarato di EUR 2,1M.

Documentazione: paragrafo 26 ISSA 5000. Non si cita un benchmark generico tipo "1% dei ricavi"; la base è la parte interessata.

Passo 4: eseguire procedure calibrate

Dato il rischio elevato sulla completezza dello Scope 1 e l'assenza del controllo di riconciliazione, si esegue il 100% delle riconciliazioni manuali per i dodici mesi del 2025, confrontando aggregati dei contatori e fatture del fornitore di gas per i quattro stabilimenti. Si individua un'inesattezza: due letture di dicembre sono state contabilizzate a gennaio, producendo una sottostima delle emissioni di dicembre del 7,2%. L'inesattezza puntuale supera la materialità del 3%.

Documentazione: foglio di lavoro con procedure eseguite, perimetro del campione (100% dei mesi), inesattezze individuate, rapporto rispetto alla materialità.

Conclusione

Si documenta un'inesattezza materiale sulla completezza del Scope 1. Secondo lo ISSA 5000.38, si comunica al cliente la valutazione complessiva e si emette una conclusione modificata sulla componente Scope 1, mantenendo eventualmente la conclusione non modificata sulle altre asserzioni se le procedure lo supportano. La relazione include la limitazione di ambito derivante dalla debolezza di controllo riscontrata.

Dove i revisori sbagliano

Tier 1: regolatore internazionale. L'IFIAR (International Forum of Independent Audit Regulators) ha segnalato nella Relazione sulla qualità della revisione 2024 che i team che oggi conducono assurance sulla sostenibilità sotto ISAE 3000 sottodocumentano i rischi a livello di asserzione. Quando lo ISSA 5000 entra a regime, lo stesso comportamento diventa rilievo. La debolezza ricorrente: identificare un rischio generico ("rischio di inesattezza nelle emissioni") senza scendere al fattore specifico ("rischio che il sistema di misurazione Scope 1 non riconcili contatori e fatture mensilmente").

Tier 2: errore standard-specifico. Si assume che la materialità di sostenibilità si calcoli come percentuale di ricavi o EBITDA. Il paragrafo 26 dello ISSA 5000 non lo consente. La materialità deve essere ancorata all'interesse di parte interessata identificato. Per un produttore alimentare il cui rischio primario è la sicurezza alimentare, una materialità basata sulle emissioni può essere irrilevante. Questo è uno dei rilievi che CONSOB e MEF intercetteranno per primi sui fascicoli del primo ciclo CSRD.

Tier 3: gap pratico documentato. Molti fascicoli adottano oggi una struttura "lista di controllo della sostenibilità" fornita dal cliente, non un framework di rischio-asserzione. La struttura di pianificazione dello ISSA 5000 è invece sequenziale: prima il rischio, poi le procedure. I fascicoli che capovolgono la sequenza (procedure standard fissate, rischio documentato a posteriori) falliranno il controllo qualità interno e, prevedibilmente, il MEF.

Una disagreement legittima sul limited

C'è una questione su cui i partner senior italiani non sono d'accordo, e va dichiarata. Se l'entità calcola le emissioni Scope 3 usando medie di settore al posto di dati primari, il revisore può comunque emettere una conclusione di limited assurance non modificata?

Posizione A. Sì. Il livello "limited" è progettato per accogliere stime di ordine di grandezza. Il paragrafo 84 dello ISSA 5000 riconosce che l'evidenza ottenibile a un livello limited è meno persuasiva, e che le metodologie di stima imperfette sono parte fisiologica del primo ciclo CSRD. Sospendere la conclusione fino a quando i sistemi non sono primari renderebbe l'assurance economicamente impossibile per la maggior parte delle medie imprese italiane.

Posizione B. No. Se la base di stima non regge un test analitico minimo (varianza tra medie di settore e dato proxy ottenibile dall'entità superiore alla materialità di sostenibilità fissata), il giudizio va modificato a prescindere dal livello di assurance. Limited non significa che l'evidenza possa essere insufficiente; significa che le procedure sono ridotte. La distinzione conta.

La mia posizione operativa, perché la dichiari: si propende per la posizione B nei casi in cui il dato Scope 3 sia rilevante per le decisioni di parte interessata identificate (ad esempio, contratti di filiera che premiano riduzioni). Per le voci Scope 3 marginali la posizione A è difendibile. La distinzione richiede che la materialità di sostenibilità sia stata stabilita seriamente al passo 3 della pianificazione: non si può discutere se un'evidenza sia sufficiente se non si è prima deciso quanto deve esserlo.

Il rischio di second-order

C'è un effetto sistemico che il primo ciclo non ha ancora reso visibile e che vale la pena nominare. Lo ISSA 5000 trasforma il revisore in interprete di metodologie di calcolo che lo studio non ha sviluppato. Fattori di emissione presi da database GHG Protocol, scenari climatici applicati con strumenti di consulenti terzi, soglie ESRS recepite tramite framework di benchmarking esterni. Il revisore firma una conclusione che presuppone una comprensione metodologica che, nei medi studi, è spesso assente.

Il rischio non è quindi il giudizio errato sul singolo dato. Il rischio è la firma di una conclusione "limited" che il mercato e gli stakeholder leggeranno come validazione completa. Lo ISSA 5000 paragrafo 64 richiede che la relazione descriva l'ambito e i limiti dell'incarico in modo chiaro, ma una descrizione corretta in legalese non è una protezione sufficiente quando il pubblico target non distingue tra assurance limitata e assurance ragionevole.

Si è già osservato in alcuni report di sostenibilità del 2024 il pattern in cui la sintesi divulgata dall'azienda cita "verificato dal revisore" senza qualificare il livello. La responsabilità ricade comunque sul firmatario.

ISSA 5000 vs. ISAE 3000 (Revised 2020)

Dove la differenza pesa sull'incarico. Un cliente già in ISAE 3000 che chieda allo studio il costo di migrazione a ISSA 5000 riceverà una risposta diversa a seconda della robustezza dei suoi controlli di sostenibilità. Sistema forte: il costo di migrazione è basso, la logica rischio-asserzione è già parzialmente in atto. Sistema debole: il sistema di raccolta dati va ricostruito per supportare la pianificazione richiesta dallo ISSA 5000, e il costo è non banale.

Termini correlati

- Assurance sulla sostenibilità: incarico di revisione delle informazioni di sostenibilità di un'entità secondo un framework di rendicontazione applicabile. - Doppia materialità: concetto CSRD/ESRS per cui una questione di sostenibilità è materiale sia dal punto di vista degli impatti che da quello finanziario. - Materialità della sostenibilità: soglia stabilita sotto ISSA 5000 per valutare se un'inesattezza su un'asserzione di sostenibilità sia sufficientemente rilevante per influenzare una decisione di parte interessata. - ESRS (European Sustainability Reporting Standard): framework di rendicontazione di sostenibilità obbligatorio sotto la CSRD per le entità soggette al D.Lgs. 125/2024. - ISAE 3000 (Revised 2020): principio di assurance generale applicato agli incarichi di sostenibilità prima dell'entrata a regime dello ISSA 5000. - ISA 315 (Revised 2019): principio di identificazione e valutazione del rischio per gli incarichi di bilancio, struttura di base ripresa dallo ISSA 5000.

Stato dello ISSA 5000 e quadro italiano

Lo ISSA 5000 è stato approvato dall'IAASB nel settembre 2024 con efficacia per gli incarichi su periodi di rendicontazione che iniziano il 15 dicembre 2026 o successivamente, con possibilità di applicazione anticipata. Il primo ciclo CSRD italiano (esercizi 2024-2025) si svolge pertanto in un regime ibrido. Si applica il D.Lgs. 125/2024, che impone l'attestazione di conformità con livello di limited assurance, ma il principio tecnico di riferimento resta ISAE 3000 (Revised 2020) integrato dalle linee guida CEAOB sull'assurance CSRD.

L'allineamento del CNDCEC (Consiglio Nazionale dei Dottori Commercialisti) e del MEF allo ISSA 5000 è atteso per il 2026, in coerenza con la decorrenza IAASB. La CONSOB sta sviluppando le procedure ispettive sulle EIP che integreranno la verifica del rispetto dello ISSA 5000 una volta a regime. Resta aperta la questione se l'Italia adotterà il principio direttamente o pubblicherà una versione "ISSA Italia 5000" con adattamenti, come è avvenuto storicamente per gli ISA Italia.

Per i fascicoli del 2025 il consiglio operativo è semplice. Si scriva il fascicolo come se lo ISSA 5000 fosse già obbligatorio. Il costo marginale è contenuto e l'esposizione futura agli ispettori si riduce.

---