Assurance limitata

Punti chiave

- La conclusione della limited assurance è negativa ("non siamo venuti a conoscenza di alcun elemento che ci faccia ritenere..."), e il rischio di assurance accettato resta più alto di quello di un'assurance ragionevole. - Il livello di assurance non determina la quantità di lavoro: lo determina il rischio di errore materiale sulla materia oggetto di assurance, dato il livello di assurance scelto. - ISAE 3000 (Revised) impone di stabilire ex ante il rischio accettabile, di disegnare procedure coerenti con tale rischio, e di documentare perché quelle procedure siano sufficienti. - Le aree tipiche restano gli interim, l'attestazione di controlli interni, le informazioni prospettiche e le verifiche di compliance — non solo la sostenibilità.

Come funziona — e dove si rompe

Si pensi al lavoro come a un'inversione rispetto all'assurance ragionevole. Nell'assurance ragionevole il revisore parte dal rischio residuo target (basso) e disegna procedure sufficienti a portarcelo. Nella limited assurance il revisore parte da un rischio residuo target più alto (tipicamente nella fascia 15-25%) e seleziona un sottoinsieme di procedure — prevalentemente inquiry e analitiche — che riducano il rischio fino a quella soglia. ISAE 3000.49L richiede che le procedure forniscano una base significativa per la conclusione negativa; ISAE 3000.7 e 3000.8L definiscono i due livelli e impongono al revisore di identificare quale tipo di incarico stia accettando prima di firmare la lettera.

Cosa accade in pratica: il fascicolo si apre con la lettera di incarico, e già lì si gioca la prima partita. Se la lettera non specifica con chiarezza che l'incarico è di limited assurance ai sensi di ISAE 3000.7, e non lega quella scelta a una valutazione preliminare del rischio, il resto delle carte non avrà un ancoraggio. Il revisore arriva al working paper di pianificazione e si ritrova a giustificare a posteriori procedure già scelte. È un errore strutturale, non di esecuzione.

Qui interviene quello che chiamo il primo malinteso strutturale. La limited assurance non è "reasonable assurance con meno tickare". È un disegno diverso. Le procedure analitiche e l'inquiry sono primarie, non ancillari. Se il team senior parte dal programma di lavoro di reasonable assurance e cancella metà delle voci, il fascicolo non descriverà mai un incarico di limited assurance: descriverà un incarico di reasonable assurance fatto male. La CONSOB ha rilevato esattamente questo schema in più di una ispezione su attestazioni di controlli interni.

Perché "limitata" è strutturalmente più difficile di "ragionevole"

Questa è la seconda osservazione che vale la pena dichiarare apertamente, perché nei fascicoli si vede di rado. ISAE 3000 dice al revisore cosa non basta (procedure ridotte rispetto alla reasonable, evidenza non conclusiva), ma raramente dice cosa basta. Nella reasonable assurance la cassetta degli attrezzi è ricca: campionamento sostantivo, test of details, ricalcoli, conferme esterne. Si lavora fino a chiudere il rischio. Nella limited assurance gli strumenti sono pochi e la soglia è elastica. Il revisore deve giudicare, sotto pressione di tempo e fee, quando l'inquiry e le analitiche siano sufficienti. È più giudizio, non meno. E il giudizio si difende solo nel fascicolo.

Da qui il secondo malinteso che merita di essere nominato: "le carte sono leggere" non è una caratteristica della limited assurance, è un rilievo. Quando un ispettore dice che le carte sono leggere, sta dicendo che il fascicolo non spiega perché quelle procedure abbiano ridotto il rischio al livello dichiarato. Limited assurance significa meno procedure, ma non meno motivazione. Anzi, la motivazione deve essere più esplicita, perché lo standard non la fornisce a default.

Esempio pratico: attestazione su informazioni prospettiche

Cliente: Meccanica Padana SpA, gruppo bresciano del settore componentistica, FY 2024, ricavi €72M, bilancio consolidato IFRS. Una banca finanziatrice richiede un attestato di limited assurance ai sensi di ISAE 3400 e ISAE 3000 (Revised) sulle proiezioni di cassa a 18 mesi predisposte dalla direzione, a corredo di una richiesta di rinegoziazione del covenant.

Il team accetta l'incarico nel mese di marzo. La direzione consegna un modello finanziario in Excel con tre scenari (base, stress, downside). Il rischio accettabile di limited assurance viene fissato al 20%, e il fascicolo lo documenta con riferimento esplicito a ISAE 3400.27 e alle aspettative dell'utente bancario.

Procedure pianificate: inquiry alla direzione finanziaria sulle assunzioni chiave (tasso di crescita, working capital, capex), analitiche sulla coerenza dello scenario base con i dati storici degli ultimi tre esercizi, verifica del modello matematico (formule, link, totali), e walkthrough del processo di approvazione interna delle proiezioni.

Qui si presenta la complicazione. Le analitiche sul cash conversion cycle dello scenario base producono uno scarto inatteso: la direzione assume che i giorni medi di incasso scendano da 92 a 78 nel secondo semestre 2025, senza che ciò sia coerente con l'andamento storico né con azioni di credit management documentate. L'analitica da sola non chiude il punto: può segnalare l'incoerenza, ma non spiegarla. Si torna allora all'inquiry, questa volta strutturata: si chiede al CFO la giustificazione, si chiede evidenza di iniziative concrete (nuovi termini contrattuali con i tre clienti principali, un sistema di solleciti automatizzato, un accordo di factoring in valutazione). Il CFO produce una bozza di accordo con uno dei clienti e una mail interna sul progetto factoring; non produce evidenza per gli altri due clienti. Si fa allora un'analitica supplementare: si simula lo scenario base mantenendo i giorni di incasso storici. Il covenant non passa.

Il fascicolo registra il loop: analitica → inquiry → analitica supplementare → conclusione qualificata sulla porzione delle proiezioni relativa al working capital. La conclusione finale non è "non siamo venuti a conoscenza" pulita; è una conclusione modificata di limited assurance ai sensi di ISAE 3400.31. La banca riceve un attestato che segnala l'eccezione, e ne tiene conto nella rinegoziazione.

Nota nel fascicolo: "Loop iterativo procedure analitiche/inquiry documentato al WP 4.3.2. Conclusione modificata coerente con ISAE 3400.31 ed evidenza disponibile alla data di firma."

Si noti il punto: la limited assurance non ha esonerato il team dall'inquiry approfondita quando l'analitica ha sollevato dubbi. Al contrario, l'ha resa l'unico strumento residuo per gestire il rischio sopravvenuto.

Disaccordo Partner A vs Partner B

Sullo stesso fascicolo, prima della firma, si è acceso un disaccordo che vale la pena descrivere perché ricorre in pratica. Il Partner A — quello firmatario — ha sostenuto che la sola analitica supplementare (lo scenario alternativo coi giorni di incasso storici) fosse sufficiente per qualificare la conclusione, senza richiedere ulteriori procedure. La sua tesi: ISAE 3400.27 chiede coerenza interna delle proiezioni, e l'incoerenza era documentata; il livello di assurance limitato non richiede di andare oltre.

Il Partner B, coinvolto come engagement quality reviewer, ha sostenuto invece che la presenza di evidenza parziale (la mail sul factoring, la bozza con un cliente) imponesse di estendere l'inquiry alla controllata commerciale e di chiedere il piano formalizzato del CFO, perché senza quel passaggio la conclusione modificata avrebbe potuto essere percepita come prematura.

La discussione è durata due ore. Si è chiuso con un compromesso: estendere l'inquiry al direttore commerciale per documentare l'assenza di un piano formalizzato, mantenere la conclusione modificata nei termini in cui il Partner A l'aveva impostata. Il punto rilevante è che entrambe le posizioni erano difendibili sotto ISAE 3400, e nessuna delle due era sbagliata. La limited assurance vive in questo spazio. Il fascicolo deve ricostruire la discussione, non nasconderla — anche perché un eventuale controllo di qualità del MEF leggerà la memo del Partner B come parte dell'evidenza, non come dissenso.

Cosa succede sui fee — l'incentivo perverso

Conviene dirlo apertamente. Il mercato italiano dell'attestazione di limited assurance è sotto pressione tariffaria. Si vince un incarico a fee del 40-50% rispetto a una reasonable assurance equivalente, sull'assunto che le procedure siano "molto meno". L'incentivo a copiare il programma di lavoro della reasonable e cancellare voci finché non si arriva al budget è reale, e nei fascicoli che vediamo lascia tracce: pianificazioni che citano ISAE 3000.49L senza una valutazione del rischio accettabile, working paper che riportano "n/a" su sezioni che andrebbero argomentate, conclusioni firmate senza una memo di chiusura del partner.

L'altro lato dello stesso problema è la metodologia di studio. Molti template di firma per la limited assurance partono dal template di reasonable e disabilitano sezioni. Il risultato è che si fattura un budget di limited e si esegue un sottoinsieme storto di reasonable. Andrebbe costruito un programma di lavoro nativo per la limited, ancorato a ISAE 3000.49L e a una mappa esplicita rischio-procedura. Costa di più sviluppare il template; costa molto di più, in caso di rilievo, non averlo.

Cosa catturano gli ispettori

Tre rilievi ricorrono nel Bollettino CONSOB e nei controlli MEF su incarichi di limited assurance.

Il primo è l'assenza di una determinazione documentata del rischio accettabile prima della scelta delle procedure. ISAE 3000.49L lo richiede; il fascicolo deve spiegare il perché del 20% (o di qualsiasi altra soglia), non solo affermarlo. Se la determinazione manca, l'intero impianto delle procedure resta non motivato.

Il secondo è la procedura sovra-disegnata: il revisore esegue, di fatto, un'assurance ragionevole, ma comunica una conclusione di limited assurance per ridurre il fee. Il fascicolo non sostiene la conclusione negativa che si è scelta, perché l'evidenza permetterebbe una conclusione positiva. È un disallineamento di livello, e l'utente del rapporto viene fuorviato.

Il terzo è la limited assurance usata come scappatoia quando la lettera di incarico non chiarisce il livello. Si arriva alla firma con un cliente che si aspettava una conclusione positiva e si emette una conclusione negativa. Il contenzioso è quasi sempre vinto dal cliente, perché il revisore non ha messo per iscritto, ex ante, il livello di assurance e il significato della conclusione.

Assurance limitata vs Assurance ragionevole

Quando conta nell'incarico

Il distinguo conta soprattutto in due momenti. Il primo è la lettera di incarico: si specifichi il livello di assurance, lo standard di riferimento (ISAE 3000 o ISAE 3400 per le prospettiche), il significato della conclusione e il rischio residuo che l'utente accetta. Il secondo è la chiusura: la memo finale del partner motivi perché le procedure svolte siano sufficienti per il livello dichiarato. Senza questi due ancoraggi, il fascicolo non regge a un controllo qualità — e il controllo, in Italia, sta diventando più frequente, non meno. La preoccupazione che molti partner esprimono in privato sul Bollettino CONSOB e sui controlli MEF in arrivo non è retorica: è la ragione per cui il fascicolo di limited assurance va costruito con la stessa cura del fascicolo di revisione legale, anche quando il fee suggerisce il contrario.

Letture correlate

- Assurance ragionevole: il livello superiore di assicurazione, con procedure più estese e rischio residuo target inferiore. - ISAE 3000 (Revised): lo standard internazionale che disciplina sia l'assurance limitata sia quella ragionevole sui temi diversi dalla revisione storica. - ISAE 3400: lo standard specifico per l'attestazione su informazioni finanziarie prospettiche. - Conclusioni negative: la forma di conclusione propria della limited assurance, e la sua relazione con la modifica della conclusione. - Rischio di assurance: la grandezza che il revisore riduce al livello accettabile attraverso la progettazione delle procedure.

---