Limited Assurance Engagement On Sustainability

Come funziona

Negli incarichi che facciamo sul primo CSRD, la confusione parte quasi sempre dal CFO. Si chiede "una verifica esterna" e si sottintende che il revisore decida da solo dove fermarsi. ISAE 3000.15 chiede invece un accordo esplicito sul livello di assurance prima dell'accettazione, e questo accordo deve finire nella lettera di incarico, non nelle email preliminari.

Lo ISAE 3000.13 definisce la conclusione negativa come il risultato che si forma quando il revisore non rileva, durante i lavori, materie che lo inducano a ritenere che la relazione di sostenibilità non sia, in tutti gli aspetti significativi, conforme al framework applicabile. Si pianificano le procedure identificando i rischi di errore significativo e si scelgono attività che riducano il rischio a un livello accettabile, ma consapevolmente superiore rispetto a quello della reasonable assurance (ISAE 3000.14). Le procedure tipiche includono richieste di informazioni alla direzione, analisi comparativa, verifiche documentali su aree selezionate. Non il testing esteso che caratterizza una reasonable assurance.

Il confine tra limited e reasonable non è rigido, e qui vive il giudizio. Dipende dal livello di rischio che gli utilizzatori della relazione siano disposti ad accettare e dal contratto sottoscritto. Per la reportistica CSRD molti incarichi nascono come limited e potrebbero evolvere se durante i lavori emergessero rischi più elevati.

Esempio pratico: Tessuti Emilia S.p.A.

Cliente: piccola azienda tessile di Reggio Emilia, 280 dipendenti, ricavi EUR 28M (FY2024). Prima relazione di sostenibilità su ESRS S1 (Personale) ed E1 (Cambiamenti climatici), in adozione volontaria anticipata rispetto agli obblighi CSRD wave 2.

Fase 1: Pianificazione e identificazione dei rischi

Riunione iniziale con CFO e responsabile sostenibilità. La raccolta dati passa per un foglio Excel manuale, alimentato da paghe, contatori e registri di stabilimento; non esiste un ERP integrato. La riconciliazione con il bilancio si fa a mano per il costo del personale.

Documentazione A1 — fascicolo: processo di raccolta, fonti primarie, rischi identificati (riconciliazione manuale, assenza di segregazione tra chi raccoglie e chi verifica, mancanza di review formale prima della pubblicazione).

Fase 2: Procedure di limited assurance

Il revisore seleziona due aree di focus:

- Dati sui dipendenti (totale 280): richiesta della documentazione del totale medio annuo, riconciliazione con costo del personale (EUR 6,2M), verifica documentale di un campione mirato di 40 contratti e cedolini. Foglio di lavoro A2. - Consumi energetici (due stabilimenti su tre): fatture utenze 2024, analisi comparativa con consumi 2023 e 2022, verifica della giustificazione dell'aumento del 12% nel sito principale (HVAC nuovo installato a luglio 2024). Foglio di lavoro A3.

Non si estende il testing alla revisione dei sistemi di misurazione, né a verifiche fisiche in stabilimento. Quello apparterrebbe a una reasonable assurance. Per la limited si rimane sulla documentazione e sulle riconciliazioni.

Fase 3: La complicazione

A metà incarico, EFRAG pubblica un'implementation guidance update sulla materialità di doppia direzione che incide su come Tessuti Emilia ha ristretto il perimetro di S1. Una consultazione tardiva con due grandi clienti distributori sposta la valutazione: quella che era stata classificata "non material" sui workers in value chain (ESRS S2) diventa potenzialmente rilevante per la prima relazione. Si rivedono le procedure di inquiry sulla materiality assessment, si aggiunge una richiesta di informazioni mirata al responsabile acquisti, e si documenta la modifica nel fascicolo. Non si trasforma l'incarico in reasonable; si registra che la baseline è cambiata e che le procedure ora coprono un perimetro aggiornato.

Fase 4: Conclusione

Nulla è emerso che induca a ritenere che la relazione di sostenibilità non sia, in tutti gli aspetti significativi, coerente con i registri di supporto e conforme agli ESRS applicabili. La conclusione si formula in forma negativa: "Sulla base dei lavori svolti come sopra descritti, nulla è emerso che ci induca a ritenere che la relazione di sostenibilità allegata non sia, in tutti gli aspetti significativi, conforme ai criteri di rendicontazione ESRS selezionati."

Cosa i revisori fraintendono

Livello di sicurezza. Limited assurance non è "quasi reasonable". È sicurezza moderata. ISAE 3000.13A è esplicito sul rischio residuo consapevolmente elevato. Molti studi applicano procedure da reasonable credendo di fare la cosa giusta, e il risultato sono costi superiori senza il beneficio sulla riduzione del rischio concordata in lettera di incarico.

Campionamento. La limited non richiede un campione statisticamente rappresentativo come l'ISA 530. ISAE 3000.A33 chiede giudizio professionale: si selezionano aree ad alto rischio e si applicano procedure mirate. Se il team estrae un campione di taglia statistica, sta eccedendo il mandato e probabilmente non sta nemmeno fatturando il lavoro extra.

Documentazione. I fascicoli di limited assurance sono spesso sottodocumentati, e questo è il rilievo che con maggiore probabilità arriverà dalla CONSOB nei primi controlli ispettivi sui CSRD. Il fascicolo deve registrare il processo del cliente per la raccolta dati, i rischi identificati, le procedure eseguite, le materie rilevate (ove presenti), e la base della conclusione. "Verificati i dati, nessun errore riscontrato" non soddisfa ISAE 3000.22.

Limited assurance vs. Reasonable assurance

La scelta tra i due dipende dal livello di sicurezza richiesto dagli utilizzatori della relazione e da quanto è scritto in contratto. Per fornitori critici della grande distribuzione, la reasonable spesso è esplicitamente richiesta; per la rendicontazione volontaria iniziale o per le PMI in adozione anticipata, la limited fornisce credibilità a un costo proporzionato.

Il disaccordo che vediamo nei review meeting

Caso concreto da un fascicolo CSRD del FY2024. Il Partner A sostiene che, sotto limited assurance, la doppia materialità (impact + financial) non vada testata in profondità: si fa inquiry sul processo, si verifica che il management abbia documentato la sua valutazione, e si chiude. La limited è limited. Il Partner B obietta che, per il primo anno CSRD, la doppia materialità è il fondamento dell'intera relazione: se la valutazione di materialità è viziata, ogni disclosure successiva eredita il vizio. Per il Partner B si dovrebbe sempre chiedere la documentazione delle stakeholder consultations e applicare procedure analitiche sui criteri di soglia, anche in limited.

Chi ha ragione? Lo standard non risolve la disputa. ISAE 3000.A25 parla di rischi di errore significativo, e se la materiality assessment è il rischio più significativo del primo anno, allora sotto giudizio professionale entrambe le posizioni sono difendibili. Nei fascicoli che vediamo, il Partner A vince nei team con budget stretti e il Partner B vince dove c'è già stata una review CONSOB sul cliente. La zona grigia è reale, e il fascicolo deve documentare quale strada si è scelta e perché.

Perché i team sotto-dimensionano la limited assurance

Cosa accade in pratica: gli studi accettano incarichi CSRD a compensi irrisori per non perdere il cliente storico sulla revisione legale, poi scoprono che la limited richiede competenze ESRS che il team manager non ha, e finiscono per allocare il junior più disponibile invece del senior più esperto. La metodologia interna è ancora in costruzione perché D.Lgs. 125/2024 è entrato in vigore da pochi mesi. Il branding "limited" suggerisce un lavoro più leggero, e questo dà copertura politica per ridurre le ore in fase di pianificazione. Il risultato è un fascicolo che non regge a un'ispezione CONSOB e una conclusione negativa formulata su una base probatoria che non soddisfa nemmeno il livello moderato richiesto dallo standard.

L'asimmetria ispettiva

C'è un secondo punto che meriterebbe attenzione, e cioè l'asimmetria del rischio ispettivo. Lo standard parla di assurance "moderata" e accetta esplicitamente un rischio residuo elevato. La pratica commerciale italiana, però, premia chi promette di più al cliente con il prezzo più basso, e questo crea una pressione opposta. Non si tratta solo di un problema di metodologia: la CONSOB, nei primi cicli di controllo qualitativo sui CSRD attesi a partire dal 2026, avrà un'attenzione politica massima perché la sostenibilità è il dossier su cui si misurerà la credibilità dell'intero impianto di vigilanza italiano. Il fascicolo che oggi si firma con leggerezza potrebbe finire sul Bollettino CONSOB tra diciotto mesi.

Quando la distinzione incide sull'incarico

Un grande distributore comunica al fornitore tessile che richiede "una verifica esterna" della relazione di sostenibilità. Il fornitore incarica un revisore senza specificare il livello. Se il revisore assume reasonable (costo EUR 10.500) ma il cliente avrebbe accettato la limited (EUR 4.200), il lavoro genera una perdita. Se assume limited mentre il distributore ha contrattualmente richiesto reasonable basata su standard GRI con third-level, il revisore non adempie al mandato.

ISAE 3000.15 richiede l'accordo esplicito prima dell'accettazione. Molti studi non documentano questa concordanza in lettera di incarico, e si accorgono della discrepanza solo alla bozza della relazione finale.

Cosa rilevano i reviewer e gli ispettori

Tier 1 — rilievo ispettivo: la FRC britannica, nelle sue osservazioni 2024 su ISAE 3410, ha indicato che molti incarichi su dati climatici etichettati come "limited" applicavano procedure da reasonable senza la documentazione formale a supporto. Il risultato è una relazione incoerente con lo sforzo profuso.

Tier 2 — errore standard di applicazione: la mancata rilevazione di una materia significativa durante una limited non implica che non esistesse. Il revisore deve comunque documentare il rischio ed esprimere la conclusione in forma negativa appropriata. "Nessun errore riscontrato" non è una conclusione conforme a ISAE 3000.13A. La conclusione deve fare riferimento al fatto che non sia emerso nulla che induca a ritenere che la materia non sia conforme.

Tier 3 — gap di documentazione: molti fascicoli di limited mancano di una sezione formale su "rischi di errore significativo identificati e risposta del revisore". La limited non elimina questa responsabilità: ISAE 3000.A25 richiede comunque l'identificazione dei rischi e la progettazione di procedure di risposta. Se i rischi non sono identificati, la conclusione manca di base.

Incarichi correlati

Reasonable assurance sulla sostenibilità: quando l'utilizzatore richiede sicurezza più elevata, con opinione positiva sulla conformità della relazione ai criteri ESRS o GRI.

ISAE 3402 — incarichi di attestazione su controlli presso fornitori di servizi: quando la limited copre i controlli di un'organizzazione esterna che custodisce i dati di sostenibilità del cliente.

CSRD e reporting di sostenibilità: il contesto normativo italiano definito dal D.Lgs. 125/2024, con vigilanza CONSOB.

Relazioni di assurance su informazioni non finanziarie: la forma più generale della limited, non limitata alla sostenibilità.

Strumenti ciferi

Per gli incarichi su dati climatici e consumo energetico, la Checklist ISAE 3410 Limited Assurance guida la progettazione delle procedure e la documentazione della conclusione negativa, con modelli di relazione pre-compilati per il contesto italiano e riferimenti a D.Lgs. 125/2024.

---