Come funzionano
Il revisore conduce le procedure di valutazione del rischio per raccogliere le informazioni necessarie a identificare e valutare i rischi di errore significativo. L'ISA 315.5 richiede che il revisore applichi procedure di valutazione del rischio per comprendere l'entità e l'ambiente, i sistemi contabili e di controllo interno, e la natura e l'ampiezza dei cicli transattivi significativi.
Le procedure di valutazione del rischio comprendono inchieste presso la direzione, l'organo di amministrazione e il personale della funzione audit interna (se esiste). L'ISA 315.A37 specifica che le inchieste devono coprire la consapevolezza della direzione circa eventuali frodi, le procedure per la prevenzione e la rilevazione delle frodi, e le comunicazioni ricevute riguardo a possibili irregolarità. Oltre alle inchieste, il revisore osserva i processi (ad esempio, come vengono elaborati gli assestamenti di fine esercizio), ispeziona i documenti (i manuali contabili, le politiche di bilancio, i verbali del consiglio), e ricalcola gli importi specifici per verificare l'accuratezza delle procedure automatiche.
Una considerazione comune è che molti revisori non distinguono tra le procedure di valutazione del rischio e le procedure di validità preliminari. Le prime hanno l'obiettivo di comprendere il rischio. Le seconde testano se i controlli funzionano. Su un incarico di audit, le procedure di valutazione del rischio devono completarsi prima che la strategia di validità venga finalizzata, poiché la natura e l'ampiezza dei test dipendono dai rischi identificati.
Esempio pratico: Industrie Tessili Valpace S.p.A.
Cliente: società manifatturiera italiana, esercizio 2024, ricavi per EUR 67M, rendicontazione secondo i principi contabili internazionali (IFRS).
Passo 1: Inchiesta presso la direzione sulla gestione e i processi contabili
Il revisore incontra il direttore finanziario e il responsabile della contabilità. Chiede quali siano i cicli transattivi più complessi, se vi sono stati cambiamenti significativi nei sistemi informatici, se la società ha acquisito o dismesso rami aziendali, e se la direzione ha ricevuto reclami da clienti riguardo a fatturazioni errate.
Nota di documentazione: le risposte vengono riassunte nel memorandum di pianificazione (ISA 315.31) insieme alle conclusioni iniziali sui rischi potenziali.
Passo 2: Ispezione della documentazione interna
Il revisore esamina il manuale contabile vigente, le politiche di bilancio relative ai ricavi (in particolare il riconoscimento del momento in cui il bene è trasferito al cliente), i verbali dell'ultimo consiglio d'amministrazione per verificare se vi sono state discussioni su problematiche contabili, e la documentazione riguardante il sistema di controllo interno relativo al ciclo vendite.
Nota di documentazione: una tabella nel fascicolo di pianificazione elenca tutti i principali processi contabili, il sistema informatico utilizzato (ad esempio, SAP, Navision), il volume mensile approssimativo di transazioni per ogni ciclo, e se il sistema produce audit trail affidabili.
Passo 3: Osservazione del processo di elaborazione delle transazioni
Il revisore osserva il responsabile del reparto crediti mentre elabora una fattura di vendita: dall'ordine cliente, alla spedizione, al riconoscimento contabile, alla ricezione del pagamento. Nota quanti passaggi manuali intervengono, se il sistema informatico esegue controlli di validità sugli importi o sulle quantità, e se vi sono procedure di approvazione formali.
Nota di documentazione: nel file di pianificazione viene documentato il flusso del processo con eventuali debolezze osservate (ad esempio, "non esiste separazione dei compiti tra chi autorizza gli sconti e chi li registra in contabilità").
Passo 4: Identificazione dei rischi
Sulla base dei risultati dei tre passi precedenti, il revisore conclude che il rischio di errore significativo nel ciclo vendite è da considerarsi medio-alto perché:
Il revisore individua inoltre un rischio specifico nelle rettifiche di fine esercizio relative alle passività stimate per garanzie fornite ai clienti (poiché comportano una componente di giudizio gestionale secondo lo IAS 37).
Nota di documentazione: la matrice dei rischi nel file di pianificazione associa ogni rischio identificato ai dati finanziari interessati (ricavi, crediti commerciali, passività stimate), alla natura del rischio (esistenza, completezza, valutazione, presentazione), e all'asserzione contabile correlata (ISA 315.A116).
Conclusione
Sulla base delle procedure di valutazione del rischio, il revisore ha identificato i cicli e le asserzioni che richiedono una procedura di validità più ampia. Il ciclo vendite sarà sottoposto a test di controllo sui controlli di approvazione e a test sostanziali sui crediti commerciali e sui ricavi. Le passività stimate saranno oggetto di una riaggravazione specifica (ISA 540) perché comportano una stima contabile significativa. La documentazione disponibile consente ai revisori successivi di comprendere come il giudizio di rischio sia stato formato e quale sia il razionale sotteso alle procedure di validità scelte.
- Le fatture vengono generate manualmente a fronte di documenti di spedizione cartacei che arrivano non sincronizzati con il sistema contabile;
- Non esiste un controllo sistematico che verifichi se tutte le spedizioni siano state fatturate (completezza);
- La pratica di accettare resi mesi dopo la fattura iniziale è gestita senza un procedimento documentato.
Cosa i revisori e i riesaminatori fraintendono
- Stima ispettiva affidabile. Le verifiche interne della CONSOB (Commissione Nazionale per le Società e la Borsa) hanno rilevato che il 31% dei fascicoli esaminati conteneva una valutazione del rischio priva di collegamento documentato tra i rischi identificati e le procedure di validità successivamente eseguite. Il risultato è che i test risultavano non mirato e inefficace (cicli a basso rischio subivano test costosi, mentre cicli ad alto rischio venivano testati in modo superficiale). L'ISA 315.32 richiede che il revisore colleghi gli esiti della valutazione del rischio alle procedure di revisione pianificate.
- Errore pratico diffuso. Molti revisori conducono le procedure di valutazione del rischio come se fossero indipendenti dalla fase di esecuzione. Di fatto, l'ISA 315.A1 specifica che le procedure di valutazione del rischio forniscono la base per il giudizio di revisione e per la determinazione della natura, della tempistica e dell'ampiezza dei test di controllo e dei test sostanziali. Quando un team di junior esegue i test senza aver visto il fascicolo di pianificazione o il memorandum di valutazione del rischio, nascono inefficienze: il test non risulta coerente con il rischio identificato.
- Pratica documentale documentata. In molti studi mid-tier, la valutazione del rischio viene condotta verbalmente dal socio incaricato durante il sopralluogo iniziale, ma non viene formalizzata in un memorandum scritto. Questo comporta che il revisore incaricato della validità non ha evidenza documentale del razionale dei test scelti, e il supervisore/partner incaricato della revisione della qualità non può verificare se la valutazione del rischio è stata condotta secondo i principi.
Termini correlati
- Rischio di errore significativo: il rischio che la valutazione del rischio sia stata erroneamente stimato a un livello inferiore al rischio reale presente.
- Controlli interni: il sistema progettato dalla direzione per prevenire o rilevare gli errori (o le frodi), la cui efficacia è valutata tramite le procedure di valutazione del rischio.
- ISA 315 Identificazione e valutazione dei rischi: il principio che disciplina le procedure di valutazione del rischio in tutte le sue componenti.
- Asserzioni contabili: le affermazioni sottostanti alle classi di transazioni, saldi contabili e informazioni di bilancio, che il revisore valuta esaminandole nella matrice dei rischi.
- Test di controllo: le procedure di validità che verificano se i controlli interni identificati durante la valutazione del rischio funzionano effettivamente durante il periodo di esercizio.
- Stima contabile: valori determinati dalla direzione mediante un processo di giudizio (come le svalutazioni di crediti o le passività stimate) che comportano un rischio di errore significativo di cui tener conto nella valutazione del rischio.
Calcolatore di valutazione del rischio
Il Calcolatore di valutazione del rischio ISA 315 assiste il revisore nella documentazione strutturata delle procedure di valutazione del rischio, nella matrice dei rischi per ciclo e asserzione, e nel collegamento tra i rischi identificati e la natura/tempistica/ampiezza delle procedure di validità pianificate. Genera un file di pianificazione pronto per il fascicolo.
---