Come funziona
L'ISA 240.26 definisce il management override come la capacità della direzione di eludere i controlli interni mediante l'uso della propria autorità. Questo crea un rischio di frode intrinsecamente più elevato rispetto ad altre forme di appropriazione indebita.
I tre metodi classici di override sono:
L'ISA 240.A79-A85 esplicita che il rischio di override del management differisce dal rischio di frode da parte dei dipendenti in tre aspetti critici: il management ha accesso senza restrizioni ai sistemi contabili, la direzione può esercitare pressione diretta sui contabili per modificare i numeri, e il management non è soggetto agli stessi controlli preventivi cui sono assoggettati gli altri dipendenti. Di conseguenza, il management override rimane un rischio significativo anche dove i controlli interni sono globalmente efficaci.
- Registrazioni contabili non autorizzate o false: la direzione registra transazioni fittizie, modifica registrazioni legittime, o autorizza pagamenti fittizi senza adeguata documentazione.
- Modificazione di dati o parametri contabili: alterazione retroattiva di dati di transazione nei sistemi informativi, oppure pressione su contabili per registrare importi non supportati da evidenza.
- Soppressione o omissione di transazioni legittime e della loro contabilizzazione: non registrazione di rettifiche di fine esercizio, omissione di accantonamenti dovuti, o soppressione di passività per migliorare artificialmente i risultati.
Esempio pratico: Costruzioni Marchetti S.p.A.
Cliente: società costruttrice italiana, sede a Bologna, fatturato esercizio 2024 di EUR 78M, reporter IFRS.
Situazione: Il direttore amministrativo ha registrato direttamente in contabilità una fatturazione per un progetto non ancora completato (EUR 2,8M), anticipando i ricavi per gonfiare i risultati trimestrali rispetto alle previsioni comunicate al consiglio di amministrazione. La registrazione non era supportata da contratto sottoscritto con il cliente, né dal completamento dei deliverable contrattuali.
Passo 1: identificazione dell'anomalia
Durante il test delle transazioni di ricavo rappresentativo dell'ISA 500, il revisore seleziona questa fattura. Nota di documentazione: Nel file del cliente, il revisore documenta il numero della fattura, la data, il nome del cliente, e il riferimento contrattuale richiesto dal controllo interno (ISA 240.A81-A82).
Passo 2: verifica della documentazione supportante
Il revisore chiede il contratto di lavoro. Il cliente produce un ordine di lavoro provvisorio datato due settimane prima della fatturazione, ma il contratto definitivo (che definisce termini di pagamento, deliverable, e condizioni di completamento) non è mai stato sottoscritto. Nota di documentazione: Nel file, il revisore documenta il mancato reperimento del contratto definitivo, con data della richiesta e data della risposta del cliente.
Passo 3: verifica dello stato di avanzamento lavori
Il revisore accede al fascicolo tecnico del progetto. Lo stato di avanzamento al 31 dicembre era solo del 45% (progettazione completata, lavori in cantiere non iniziati). Secondo lo IFRS 15.35, i ricavi devono essere riconosciuti solo nella misura in cui il controllo dei beni o servizi è trasferito al cliente. Qui il controllo non era stato trasferito. Nota di documentazione: Nel file, il revisore riporta la percentuale di completamento, la data della visita del cantiere, e il riferimento allo IFRS 15.35.
Passo 4: analisi dell'intento della direzione
Il revisore richiede al direttore amministrativo una spiegazione scritta. La risposta è vagaa: "il cliente ha dato l'approvazione verbale." Il revisore interroga il cliente (una società in capitale privato senza audit esterno) e il cliente nega categoricamente di aver autorizzato questa fatturazione. La documentazione della telefonata tra il revisore e il cliente viene inclusa nel file. Nota di documentazione: Nel file, il revisore registra la data della comunicazione con il cliente, i dettagli della discussione telefonica, e il risultato (negazione della fatturazione).
Passo 5: quantificazione e conclusione
La registrazione è stata effettuata da un membro del management (il direttore amministrativo) che ha accesso diretto al sistema contabile e non è sottoposto al controllo di approvazione per le fatture al di sopra di EUR 500.000 (il suo limite autorizzativo di firma è EUR 5M). Questa è frode del management. Secondo l'ISA 240.33-34, il revisore deve comunicare al responsabile della governance ogni caso di frode rilevata o sospetta, anche se di importo non significativo. EUR 2,8M eccede la significatività del 3%, e pertanto è significativo per il bilancio. L'implicazione: il bilancio non può essere certificato senza la rettifica di questa registrazione, oppure il revisore deve esprimere una riserva secondo l'ISA 705.
Cosa catturano i reviewer e i professionisti non fanno correttamente
- Rilievo ispettivo internazionale (Tier 1): Le indagini della PCAOB su società quotate negli USA tra il 2020 e il 2023 mostrano che il 78% dei casi di frode del bilancio comportava l'override del management. La maggior parte dei revisori tuttavia non applica procedure di audit specificamente disegnate per rilevare l'override (ISA 240.33 richiede procedure di ricerca di frodi), ma si limita a eseguire i test di controllo ordinari. Un rilievo comune è l'assenza di prove documentate che il revisore ha formulato un'ipotesi specifica di override e ha disegnato procedure per testarla.
- Errore pratico standard-referenziato (Tier 2): L'ISA 240.A85 richiede che il revisore consideri specificamente il rischio di override del management nel contesto della valutazione dei rischi di frode. Molti team di revisione "controllano la casella" registrando "management override risk: presente" nel piano di revisione, ma non identificano quali aree di bilancio o quali tipologie di transazioni sono più vulnerabili all'override. Ad esempio, non specificano se il rischio di override riguarda principalmente le registrazioni manuali di fine esercizio (rettifiche, accantonamenti) o le transazioni ordinarie quotidiane. Senza questa specifico, le procedure di audit rimangono generiche.
- Gap di pratica documentata (Tier 3): Molti team non documentano nel file la logica della loro conclusione sull'override. Se la conclusione è "il rischio di override del management non è stato identificato in questa area," il file dovrebbe contenere una spiegazione di come il revisore ha eliminato questo rischio (ad esempio, "le registrazioni di fine esercizio sono approvate dal consiglio di amministrazione indipendente; questa struttura di governo mitiga il rischio di override della direzione esecutiva"). L'assenza di questa logica suggerisce che il revisore non ha affrontato genuinamente il rischio di override previsto dall'ISA 240.
Management override vs. Frode da parte dei dipendenti
| Aspetto | Management Override | Frode da parte dei dipendenti |
|---|---|---|
| Chi perpetra | Direzione aziendale (direttore amministrativo, CFO, amministratore delegato) | Dipendenti di livello operativo (addetti paghe, addetti acquisti, cassiere) |
| Meccanismo | Uso dell'autorità per eludere controlli interni | Elusione dei controlli mediante aggiramento o falsificazione |
| Ambito tipico | Registrazioni contabili di fine esercizio, ricavi, valutazioni di bilancio | Appropriazione di contanti, beni, scoperture di cassa |
| Rilevabilità | Più difficile, perché i controlli ordinari non si applicano al management | Più facile, perché i controlli ordinari sono disegnati per rilevarla |
| Rischio percepito nel bilancio | Alto: la frode del management tipicamente coinvolge importi significativi | Medio: la frode da dipendenti è spesso rilevata dai controlli prima che raggiunga il bilancio |
Il punto cruciale: il management override non è rilevabile mediante il test dei controlli ordinari dell'ISA 330. Richiede procedure specifiche di ricerca delle frodi (ISA 240.A86-A88), tra cui il test delle registrazioni contabili significative non supportate da adeguata documentazione, l'esame delle registrazioni di fine esercizio ad alto rischio, e l'assessment della pressione esercitata dalla direzione sui contabili.
Termini correlati
---
- Frode nel bilancio – Qualsiasi frode intenzionale che comporta misrepresentation nei bilanci, che sia da parte del management o dei dipendenti.
- Valutazione del rischio di frode – Il processo con cui il revisore identifica e analizza i rischi di frode sulla base degli indicatori di rischio previsti dall'ISA 240.
- Registrazioni contabili manuali – Test specifico sulle registrazioni non generate dal sistema, dove il rischio di override è più elevato.
- Controlli preventivi vs. controlli investigativi – La distinzione tra controlli disegnati per prevenire errori (controlli preventivi) e controlli disegnati per rilevarli dopo che si sono verificati (controlli investigativi).
- Governance aziendale e audit – Il ruolo della struttura di governance nel mitigare i rischi di frode del management.
- ISA 240 – Responsabilità del revisore in relazione alle frodi – La guida normativa che stabilisce come il revisore deve affrontare il rischio di frode, incluso il management override.