Rischio significativo

La tesi: una qualificazione, non un punteggio

Il rischio significativo non si determina con una matrice 2x2, si determina con un giudizio professionale ancorato al contesto dell'incarico, alla struttura di controllo interno e al profilo di incentivi della direzione. Su questo poggia tutta l'arringa che segue. Chi nel fascicolo tratta "rischio significativo" come sinonimo di "rischio elevato" sta facendo un errore di categoria che le ispezioni del MEF, lette a freddo sul Bollettino dei controlli qualitativi 2025, riportano con regolarità monotona.

Cosa succede davvero

Nei fascicoli che esaminiamo per le PMI manifatturiere del Nord, la sequenza tipica è questa. Il senior copia la matrice di rischio dell'anno precedente, aggiorna i numeri, lascia inalterata la classificazione. Le carte erano leggere già allora. Diventano più leggere adesso. La direzione chiede una bozza del piano di revisione entro la fine del mese, il budget tempo per la valutazione del rischio è il primo a essere compresso, e tickare la checklist standard libera ore per il sostantivo della verifica. È un'economia razionale per il team, ma è una falla rispetto all'ISA 315.A130.

Le prove: cosa dicono le norme

L'ISA Italia 315.27 prescrive che il revisore identifichi e valuti i rischi di errori significativi a livello di asserzione attraverso la comprensione dell'entità e del suo ambiente, inclusa la valutazione dei controlli rilevanti. Il paragrafo non parla di matrici. Parla di comprensione, e questa è la parola che il MEF cerca quando apre il fascicolo. L'ISA 315.A130 fornisce esempi (riconoscimento dei ricavi, stime soggette a incertezza, transazioni significative non ricorrenti) ma non un elenco vincolante.

L'ISA Italia 330.7 richiede poi che, per ogni rischio significativo identificato, il revisore progetti procedure di revisione specifiche e documentate. Il collegamento tra l'identificazione e la risposta è il punto in cui il fascicolo regge o cade.

Sul piano italiano, l'art. 14 del D.Lgs. 39/2010 attribuisce al revisore legale la responsabilità di esprimere un giudizio sul bilancio sulla base di una valutazione del rischio condotta secondo i principi di revisione adottati. L'art. 2403 del Codice Civile, distinto e complementare, attribuisce al collegio sindacale il monitoraggio sull'adeguatezza dell'assetto organizzativo, amministrativo e contabile. Le due funzioni si parlano nei fascicoli ben fatti. Si ignorano in quelli che il MEF poi richiama.

Cosa succede davvero

Nei verbali ispettivi resi pubblici dalla CONSOB sulle società quotate, e nei controlli qualitativi MEF 2025 sulle non-PIE, il rilievo che ricorre è la mancanza di tracciabilità tra il fattore di rischio identificato in pianificazione e la procedura specifica eseguita in esecuzione. Non basta dire "ricavi: rischio significativo". Bisogna dire perché lo è per Isolmec, in questo esercizio, con questa direzione, e poi mostrare quale procedura è stata progettata in risposta.

Il controargomento

Esiste una difesa legittima delle checklist standard. La obiettano partner esperti: una libreria metodologica pre-popolata riduce il giudizio soggettivo del singolo team, garantisce coerenza tra incarichi, è facilmente difendibile in ispezione perché allineata alla prassi dello studio. Quando un'ispezione apre il fascicolo, trovare la stessa struttura su tutti gli incarichi è un segnale di controllo qualità interno. È un'argomentazione seria e meritava di essere riportata.

La confutazione

La difesa cade su un punto preciso. Le ispezioni MEF 2025 stanno colpendo non l'esistenza della checklist, ma l'assenza di adattamento. L'ISA 315.A76 chiede al revisore di documentare i controlli rilevanti per ogni classe di transazioni stimate, incluse le carenze. Una checklist applicata identica a Isolmec e a una società di servizi finanziari non documenta nulla di Isolmec. Documenta solo che lo studio possiede la checklist.

C'è un secondo livello che merita di essere detto chiaramente. Le checklist pre-popolate sopravvivono all'ISA 315.A130 perché rendono il memorandum di pianificazione auditabile per il team metodologico interno, ma mascherano il lavoro reale di valutazione del rischio dietro uno scudo metodologico. È lo scudo che il MEF nel 2025 ha cominciato a scoperchiare.

Esempio pratico: Isolmec S.r.l.

Cliente: società manifatturiera italiana con sede a Modena, FY2024, ricavi EUR 78M, bilancio secondo principi IFRS.

Passo 1: ambiente di controllo e governance Il CFO è in carica da tre mesi. Proviene da società che hanno collezionato rilievi CONSOB su stime contabili. Il CdA ha messo per iscritto, nel verbale di luglio, l'aspettativa di mantenere il margine operativo allineato alla guidance comunicata al mercato.

Nota di documentazione: registrare nel memorandum di pianificazione (ISA Italia 315.32) la composizione della governance e il profilo di incentivi della direzione.

Passo 2: natura dell'asserzione e controllo interno Le stime contabili ricorrenti pesano per il 22% dell'utile lordo. Si tratta principalmente di ammortamenti e fondi rischi, con una componente residuale di svalutazioni di magazzino, valutate caso per caso. Non esiste un processo formale di riconciliazione tra le assunzioni utilizzate e i dati contabili sottostanti. I calcoli vivono in fogli Excel manuali, senza tracciamento delle versioni.

Nota di documentazione: documentare il controllo interno per ogni classe di transazioni stimate, incluse le carenze rilevanti (ISA Italia 315.A76-A77).

Passo 3: la complicazione A metà del field work, il CFO consegna una stima manageriale del Q3 che torna esattamente con le previsioni dei broker. Troppo pulita. Si apre la domanda che nessuno vuole porre: è sincerità di un manager prudente, o è il primo segnale che le assunzioni sono state piegate alla guidance? Riaprire la valutazione del rischio a metà incarico è la decisione che nessun manager prende volentieri. È anche la più importante. Il team ha riaperto.

Nota di documentazione: descrivere nel fascicolo il rischio significativo con riferimento alla natura dell'asserzione e ai fattori di rischio identificati. Citare ISA Italia 315.27.

Passo 4: risposta di revisione Su questo fronte si sono progettate quattro procedure differenziate: analisi comparativa pluriennale delle stime, conferma scritta dei responsabili sulle assunzioni critiche, intervento di uno specialista di valutazione sui parametri delle svalutazioni di magazzino, supervisione del partner programmata prima della conclusione.

Nota di documentazione: nel foglio di lavoro, documentare le procedure specifiche eseguite in risposta al rischio significativo, con riferimento a ISA Italia 330.7.

Disaccordo legittimo: la presunzione sui ricavi

Sul tema del riconoscimento dei ricavi, due partner della rete sostengono posizioni diverse.

Il primo afferma che la presunzione ISA 240, secondo cui il riconoscimento dei ricavi è un rischio di frode, va trattata come un rischio significativo per default in ogni incarico. La sua tesi: la presunzione riduce il rischio di errore di categorizzazione, e il costo marginale di una procedura specifica sui ricavi è inferiore al costo reputazionale di una rettifica successiva.

Il secondo sostiene che la presunzione è rebuttable per espressa previsione del principio, e che in contesti di vendita stabile, contratti standardizzati e storia priva di rilievi, mantenere la classificazione "significativo" diluisce il significato del termine e svuota di senso la valutazione individuale. La sua tesi: classificare tutto come significativo equivale a non classificare nulla.

Entrambe le posizioni sono difendibili in ispezione, purché motivate nel fascicolo.

Cosa i revisori interpretano erroneamente

- Confusione tra livello di rischio valutato e rischio significativo. Si trovano fascicoli con asserzioni a rischio "elevato" non classificate come significative, e viceversa. L'ISA Italia 315.27 chiede una valutazione esplicita di quali rischi siano significativi alla luce dei controlli e dell'ambiente complessivo. Un rischio elevato diventa significativo solo se richiede una risposta di revisione specifica. - Mancanza di collegamento tra rischio e procedura. L'ISA Italia 330.7 prescrive procedure specifiche per ogni rischio significativo. Nel campione di fascicoli che CNDCEC e MEF hanno esaminato nel ciclo 2025, una porzione consistente identifica il rischio ma non differenzia la procedura. Le carte non mostrano come la natura del rischio abbia influito sulla progettazione del test. - Checklist standard senza adattamento. Si applica una lista predefinita (ricavi, stime, acquisizioni) senza considerare il contesto. L'ISA Italia 315.A130 fornisce esempi, non un elenco fisso. Il revisore identifica i rischi sulla base delle caratteristiche dell'incarico.

Rischio significativo vs. Rischio elevato

Il verdetto

Chi tratta "rischio significativo" come sinonimo di "rischio elevato" perderà sul Bollettino. È una previsione, non una minaccia. La metrica del MEF nel 2025 non è la severità del rischio assegnato, è la coerenza tra fattori contestuali identificati, classificazione e risposta. Il fascicolo che mostra questa coerenza regge anche quando la classificazione è discutibile. Quello che non la mostra cade anche quando la classificazione, presa isolatamente, sembra ortodossa.

C'è un'ultima nota sull'architettura italiana. Sul rischio, il revisore legale risponde ai sensi del D.Lgs. 39/2010, e il collegio sindacale risponde dell'adeguatezza dell'assetto ai sensi degli artt. 2403 e 2409-bis del Codice Civile. Quando il fascicolo mostra che le due funzioni hanno scambiato informazioni rilevanti, il quadro probatorio in ispezione è quasi sempre più solido.

Termini correlati

- Rischio di errori non corretti e non individuati: Il rischio che il bilancio contenga errori significativi non corretti dalle procedure di controllo interno e non individuati nella revisione. - Asserzioni: Le dichiarazioni implicite o esplicite dell'entità relative alle transazioni, agli eventi, alle stime contabili che il revisore valuta. - Controllo interno: Il processo disegnato e attuato dall'entità per fornire ragionevole sicurezza rispetto al raggiungimento dei suoi obiettivi. - Valutazione dei rischi: La procedura tramite la quale il revisore identifica e valuta il rischio di errori significativi nel bilancio. - Procedure di revisione: Le azioni eseguite dal revisore per raccogliere elementi di prova sulla correttezza delle asserzioni. - Significatività di esecuzione: L'importo stabilito dal revisore al di sotto della significatività complessiva per ridurre il rischio di errori non corretti e non individuati.

---