Il revisore deve comunicare le carenze del controllo interno – I° parte

Secondo il principio di revisione internazionale (Isa Italia) n. 315, per controllo interno si intende il “processo configurato, messo in atto e mantenuto dai responsabili delle attività di governance, dalla direzione o da altro personale dell’impresa, al fine di fornire una ragionevole sicurezza sul raggiungimento degli obiettivi aziendali con riguardo all’attendibilità dell’informativa finanziaria, all’efficacia e all’efficienza della sua attività operativa ed alla conformità alle leggi e ai regolamenti applicabili. … Il revisore deve acquisire una comprensione degli aspetti del controllo interno rilevanti ai fini della revisione contabile” (per la definizione di “responsabili delle attività di governance” e di “direzione” si veda invece il paragrafo 10 e le relative linee guida del principio di revisione internazionale Isa Italia n. 260).

Da quanto precede si evince quindi come il revisore legale debba occuparsi solamente della parte del sistema di controllo interno che si riferisce al bilancio e alla sua informativa finanziaria, al fine di definire le procedure di revisione appropriate alle circostanze.

Il perimetro di analisi della revisione legale è infatti più limitato rispetto a quello della vigilanza.

Al sindaco è di fatti richiesto di esprimere un giudizio sull’efficacia e sull’adeguatezza del controllo interno complessivamente inteso. L’attività di vigilanza investe dunque un perimetro di analisi più ampio rispetto alla revisione legale.

Ai fini dello svolgimento delle attività di vigilanza svolte dal sindaco, prendendo spunto dalla definizione di controllo interno contenuta nella norma n. 3.5 dei principi di comportamento del collegio sindacale nelle società quotate del Cndcec, il sistema di controllo interno può quindi essere inteso, in maniera più ampia, quale l’insieme delle direttive, procedure e prassi operative adottate dall’impresa per raggiungere, attraverso un adeguato processo di identificazione, misurazione, gestione e monitoraggio dei principali rischi, gli obiettivi aziendali (strategici, operativi, di reporting e di conformità).

Nell’ambito delle attività di vigilanza, il giudizio del sindaco investe quindi la totalità del sistema di controllo interno e non, come nel caso del revisore, solamente quella parte “collegata” alla redazione del bilancio.

Ovviamente, nel caso in cui al collegio sindacale (o al sindaco unico) sia anche attribuito l’incarico della revisione legale, l’organo sociale dovrà certamente attenzionare il sistema di controllo interno nella sua totalità al fine di esprimere sia un giudizio sulla sua adeguatezza che un giudizio sul bilancio.

Ciò premesso, tornando all’attività di revisore legale, il principio di revisione internazionale (Isa Italia) n. 265 tratta della responsabilità del revisore (e pertanto, anche al sindaco-revisore) di comunicare, in modo appropriato, ai responsabili delle attività di governance e alla direzione, le carenze nel controllo interno che ha identificato nello svolgimento dell’attività di revisione contabile del bilancio.

Il principio grava il revisore di precisi “obblighi” di comunicazione al verificarsi di determinate circostanze.

In particolare, il revisore:

• “deve” comunicare quelle carenze del controllo interno che ritiene “significative” secondo il proprio giudizio professionale;
• “può” comunicare quelle carenze del controllo interno che, sempre secondo il proprio giudizio professionale, non ritiene “significative” ma che reputa comunque utile e corretto portare all’attenzione della direzione (ad esempio perché avrebbero dovuto essere comunicate da altri soggetti e ciò non è avvenuto).

In riferimento alla “forma” della comunicazione è inoltre previsto che:

• le prime (carenze significative) devono essere comunicate in forma scritta, con possibilità di comunicarle anche verbalmente (la comunicazione verbale è quindi solo possibile ma non è alternativa alla comunicazione in forma scritta);
• le seconde (carenze importanti ma non significative) possono invece essere comunicate, a scelta del revisore, sia in forma scritta che solo verbalmente.

Per quel che invece concerne il “contenuto”, secondo il predetto principio, una carenza nel controllo interno esiste:

• quando “un controllo è configurato, messo in atto ovvero opera in modo tale da non consentire la prevenzione, o l’individuazione e la correzione, in modo tempestivo, di errori nel bilancio”;
• quando “non esiste un controllo necessario per prevenire, ovvero per individuare e correggere, in modo tempestivo, errori nel bilancio”.

Per carenza “significativa” nel controllo interno deve inoltre intendersi “una carenza, o una combinazione di carenze nel controllo interno, che, secondo il giudizio professionale del revisore, siano sufficientemente importanti da meritare di essere portate all’attenzione dei responsabili delle attività di governance”.

Il revisore deve valutare una carenza come significativa a prescindere dalla circostanza che l’errore si sia effettivamente verificato. Egli deve infatti valutare una carenza anche dal punto di vita potenziale ovvero considerando la probabilità che un errore possa verificarsi.

Infine, il livello di dettaglio delle comunicazioni è oggetto di giudizio professionale del revisore, pur essendo previsto che egli vi includa sempre una chiara descrizione delle carenze rilevate e dei loro potenziali effetti (non è quindi obbligatorio “quantificare” gli effetti), nonché specifichi che egli ha tenuto in considerazione solamente quella parte del controllo interno pertinente alla redazione del bilancio, al fine di definire le procedure di revisione da svolgere e non per esprimere un giudizio sull’efficacia del controllo interno.