Il Sistema di Controllo Interno (SCI) rappresenta oggi uno degli oggetti di indagine più delicati e allo stesso tempo più decisivi dell’intero processo di revisione legale. Comprendere come un’impresa previene, individua e corregge gli errori nei propri dati contabili non è un passaggio accessorio della pianificazione, ma il presupposto stesso su cui si costruisce l’intera strategia di audit: dalla valutazione del rischio alla scelta delle procedure, fino al giudizio finale espresso nella relazione.
Le cinque componenti del modello COSO
Il framework di riferimento più diffuso, richiamato anche in ambito ISA, è quello elaborato dal Committee of Sponsoring Organizations of the Treadway Commission (COSO), che scompone il SCI in cinque componenti interdipendenti:
- l’ambiente di controllo, ossia i valori, l’integrità e lo stile di direzione che permeano l’organizzazione;
- il processo di valutazione del rischio adottato dall’entità stessa per identificare e gestire i rischi rilevanti ai fini del bilancio;
- le attività di controllo, cioè le politiche e le procedure che assicurano l’esecuzione delle direttive della direzione;
- il sistema informativo e di comunicazione, che presidia la qualità e la circolazione dei dati contabili;
- il monitoraggio, cioè i meccanismi con cui l’organizzazione verifica nel tempo l’efficacia del proprio sistema di controllo.
L’ISA Italia 315 e le macroaree di comprensione dell’entità
Il principio di revisione ISA Italia 315, nella versione rivista, chiede al revisore di acquisire una comprensione del sistema di controllo interno rilevante ai fini della revisione, distinguendo tra controlli a livello di entità (entity-level controls), che incidono trasversalmente su più processi, e controlli a livello di processo o di transazione, più puntuali e specifici. A questi si affianca la valutazione dei controlli generali sui sistemi informativi (IT general controls), sempre più rilevanti man mano che i processi contabili si automatizzano. Questa comprensione non è fine a se stessa: serve a identificare e valutare il rischio di errori significativi, distinguendo i controlli che il revisore intende considerare come rilevanti ai fini dell’audit da quelli che, pur esistendo, non incidono sulla strategia di revisione.
Dalla comprensione alla valutazione: l’approccio operativo del revisore
Una volta mappato il sistema, il revisore deve verificarne l’effettiva esistenza e il funzionamento. Gli strumenti tipici sono:
- il walkthrough, ossia la ricostruzione dell’intero percorso di una transazione dall’origine alla registrazione contabile;
- i test di conformità (test of controls), volti ad accertare che un controllo abbia operato con continuità nel periodo.
Si aggiungono poi: colloqui strutturati con il personale; l’osservazione diretta delle procedure; l’ispezione della documentazione a supporto.
Un caso pratico aiuta a chiarire l’uso congiunto di questi strumenti. Ipotizziamo di analizzare il ciclo acquisti: per effettuare un walkthrough, il revisore seleziona una singola fattura di un fornitore e ne ripercorre a ritroso la storia. Intervista l’ufficio acquisti per capire come è nato l’ordine, osserva il sistema informatico in cui il magazziniere inserisce il carico merci, e ispeziona la firma di autorizzazione al pagamento apposta dal CFO sulla distinta. Se il revisore reputa questo controllo solido e intende farvi affidamento, passerà al test of controls: estrarrà un campione di, ad esempio, 25 o 30 pagamenti avvenuti durante tutto l’anno e verificherà che la firma autorizzativa del CFO sia stata apposta con costanza, e non solo nell’isolato caso visto nel walkthrough.
Un tema che merita attenzione specifica è la gestione dei cosiddetti controlli dipendenti, cioè quelli affidati in tutto o in parte a soggetti terzi, come i service organization che gestiscono paghe, sistemi gestionali in cloud o processi di tesoreria: in questi casi il revisore deve valutare se e come ottenere elementi probativi sufficienti, anche attraverso l’analisi delle relazioni SOC (Service Organization Control)[1] predisposte da un revisore indipendente sull’organizzazione esterna, che nella variante Type II non si limitano a descrivere il disegno dei controlli ma ne attestano anche l’efficacia operativa nel periodo, rendendole assimilabili a un test of controls già svolto da terzi. La valutazione del SCI, inoltre, non si esaurisce in fase di pianificazione: va aggiornata ogni volta che emergono elementi nuovi nel corso dell’incarico.
SCI e valutazione del rischio: la logica risk-based
Il legame tra SCI e valutazione del rischio è circolare: la qualità del sistema di controllo interno incide direttamente sul rischio di controllo e, di conseguenza, sul rischio combinato di errori significativi a livello di singola asserzione di bilancio; ed è proprio l’esito di questa valutazione a determinare natura, tempistica ed estensione delle procedure successive. Se il revisore intende fare affidamento sui controlli (approccio combinato), pianificherà ed eseguirà test di conformità; se invece li ritiene non affidabili o non efficienti da testare, opterà per un approccio prevalentemente sostanziale, con procedure di validità più estese e concentrate a fine esercizio. In entrambi i casi, l’acquisizione di elementi probativi sufficienti e appropriati resta il cardine della logica risk-based richiesta dai principi di revisione. Sul piano operativo, matrici rischi-controlli, checklist per ciclo aziendale e strumenti di data analytics – che permettono di testare intere popolazioni anziché campioni ristretti – supportano questo lavoro, ma non sostituiscono il giudizio professionale: la tecnica va sempre calibrata su dimensione, settore e maturità organizzativa dell’impresa.
Riflessi sulla pianificazione, la documentazione e il giudizio di revisione
La comprensione del SCI condiziona in modo pervasivo l’intero impianto della revisione:
- in fase di pianificazione, orienta l’identificazione delle aree significative e la costruzione della strategia generale di revisione;
- in fase esecutiva, guida l’estensione delle verifiche sulle aree individuate come più esposte;
- in fase di reporting, richiede una documentazione puntuale delle valutazioni effettuate, delle carenze rilevate e delle relative conclusioni, elemento indispensabile anche ai fini della comunicazione ai responsabili delle attività di governance, come previsto dai principi in materia di carenze nel controllo interno.
Un SCI carente, se non adeguatamente compensato da procedure sostanziali più estese, può incidere fino a riflettersi sul giudizio finale espresso nella relazione di revisione. Molti revisori strutturano peraltro l’analisi per cicli operativi (vendite e crediti, acquisti e debiti, tesoreria, magazzino, personale), così da tradurre la valutazione del SCI in un Audit Plan concreto, con procedure calibrate ciclo per ciclo; e le carenze significative individuate, se comunicate alla direzione e agli organi di governance (ex ISA Italia 265), trasformano la revisione legale in un’occasione concreta di miglioramento dei presidi aziendali, ben oltre l’adempimento formale dell’incarico.
[1] Le relazioni SOC si distinguono in SOC 1 (controlli rilevanti ai fini del bilancio del cliente, i più utilizzati in revisione), SOC 2 (sicurezza, disponibilità e integrità dei dati) e SOC 3 (sintesi pubblica del SOC 2); ciascuna può essere di Type I, riferita al solo disegno dei controlli a una data, o di Type II, che ne verifica anche il funzionamento lungo un periodo.
