Nell’attività di revisione legale esiste un principio fondamentale che accomuna tutte le fasi dell’incarico: non sono le procedure a guidare il lavoro del revisore, ma il rischio.
Spesso si tende a considerare la revisione come un insieme di verifiche standardizzate e ripetitive. In realtà, i principi ISA richiedono un approccio completamente diverso: ogni procedura deve essere progettata in funzione dei rischi identificati e delle asserzioni di bilancio da verificare.
Una procedura formalmente corretta, infatti, può risultare inefficace se non è in grado di rispondere al rischio rilevante individuato. Il revisore è pertanto chiamato a sviluppare una vera e propria strategia di audit, nella quale valutazione del rischio, sistema di controllo interno e procedure di validità costituiscono elementi strettamente interconnessi.
Dalla comprensione dell’azienda alla definizione delle procedure
Il punto di partenza di qualsiasi attività di revisione è la comprensione dell’impresa e del contesto in cui opera.
Attraverso l’analisi dell’organizzazione, dei processi aziendali, dei sistemi informativi e del settore di attività, il revisore identifica i rischi di errore significativo che potrebbero compromettere l’attendibilità del bilancio.
Una volta individuati tali rischi, occorre stabilire come affrontarli.
Le possibili strategie sono due:
- fare affidamento, in tutto o in parte, sui controlli interni dell’impresa (Control Approach o Controls-Based Approach);
- ottenere evidenze direttamente attraverso procedure di validità (Substantive Approach).
Nella pratica professionale le due strategie sono normalmente integrate tra loro.
Il ruolo del sistema di controllo interno
Quando l’azienda dispone di procedure organizzative formalizzate e controlli adeguati (dispone cioè di un Sistema di controllo interno ben strutturato), il revisore può valutare l’opportunità di fare affidamento su tali presidi.
Tale valutazione non può tuttavia basarsi esclusivamente sull’esistenza teorica del controllo interno.
Un controllo può essere perfettamente descritto in procedure aziendali, manuali o regolamenti interni e risultare, nella realtà operativa, inefficace o addirittura non applicato.
Per questo motivo il revisore deve svolgere specifici test sui controlli interni, finalizzati a verificare se il controllo abbia effettivamente funzionato nel periodo oggetto di revisione.
Test sui controlli: verificare l’efficacia operativa
I test sui controlli (test di conformità) hanno l’obiettivo di accertare che il presidio identificato sia stato applicato correttamente e con continuità nel corso dell’esercizio.
Le principali tecniche utilizzate sono:
Indagine
Consiste nell’acquisizione di informazioni dal personale che esegue o supervisiona il controllo.
L’indagine rappresenta spesso il punto di partenza dell’attività, ma da sola non costituisce generalmente evidenza sufficiente.
Osservazione
Il revisore assiste direttamente all’esecuzione del controllo.
Ad esempio può osservare il processo di approvazione degli ordini o la procedura di inventario fisico.
Ispezione documentale
Permette di verificare l’esistenza di tracce documentali che dimostrino l’esecuzione del controllo.
Firme di autorizzazione, report periodici, verifiche di quadratura e riconciliazioni costituiscono esempi tipici.
Riesecuzione
È una delle tecniche con il più elevato livello di affidabilità.
Il revisore ripete autonomamente il controllo per verificare che il risultato ottenuto dall’azienda sia corretto.
Esempio pratico
Un esempio concreto di riesecuzione applicato al ciclo passivo (il ciclo degli acquisti e dei debiti verso fornitori) riguarda il controllo di corrispondenza dei documenti (noto come 3-way matching o riscontro a tre vie).
Nel ciclo passivo, un rischio comune è che l’azienda paghi una fattura a un fornitore per merce mai ricevuta o a prezzi differenti rispetto a quelli pattuiti nell’ordine d’acquisto.
Per evitare questo rischio, la procedura interna dell’azienda prevede che l’addetto alla contabilità fornitori, prima di registrare e autorizzare il pagamento di una fattura d’acquisto, debba verificare che i dati coincidano perfettamente tra tre documenti chiave:
L’Ordine di Acquisto (PO “Purchase Order”): emesso dall’azienda e inviato al fornitore (prezzi e quantità concordati).
Il Documento di Trasporto (DDT / Bolla): rilasciato dal corriere al momento della consegna della merce in magazzino (quantità effettivamente arrivate).
La Fattura del Fornitore: ricevuta successivamente (prezzi e importi addebitati).
Come agisce il revisore legale tramite la “Riesecuzione”?
Il revisore vuole verificare se l’ufficio amministrativo ha realmente e correttamente eseguito questo controllo nel corso dell’anno. Per farlo, riesegue autonomamente il riscontro documentale su un campione di fatture registrate:
Selezione del campione
Il revisore estrae dalla contabilità un campione di 15 fatture di acquisto registrate durante l’esercizio (ad esempio, scegliendo quelle di importo più rilevante).
Riesecuzione del riscontro
Per ogni fattura scelta, il revisore recupera i tre documenti originali e li mette a confronto in autonomia, rifacendo i passaggi che avrebbe dovuto compiere l’addetto amministrativo:
- Controllo Quantità: Prende la fattura e la confronta con la bolla di magazzino (DDT) per verificare che l’azienda stia pagando esattamente la quantità di merce fisicamente entrata in azienda.
- Controllo Prezzi: Prende la fattura e la confronta con l’ordine di acquisto originario per verificare che il prezzo applicato dal fornitore corrisponda a quello stabilito inizialmente (evitando aumenti non concordati).
- Controllo Aritmetico: Riesegue il calcolo matematico della fattura (quantità moltiplicata per il prezzo unitario, più eventuali spese di trasporto e IVA) per accertarsi che il totale sia corretto.
Verifica della coerenza finale
Se tutti i dati coincidono: Il revisore conferma che il controllo interno ha funzionato correttamente.
Se emergono discrepanze (es. la fattura indica 100 pezzi ma in magazzino ne sono arrivati solo 80, oppure il prezzo unitario è più alto di quello pattuito) e l’azienda ha comunque registrato e pagato la fattura senza contestazioni, il revisore rileva una carenza di controllo.
L’effetto dei test sui controlli sulla strategia di revisione
L’esito dei test sui controlli influenza direttamente l’ampiezza delle verifiche successive.
Se i controlli risultano efficaci:
- il rischio di controllo diminuisce;
- aumenta il grado di affidamento del revisore;
- possono essere ridotte alcune procedure di sostanza (minori procedure di validità).
Se invece emergono anomalie o deviazioni:
- il livello di affidamento viene ridotto (sistema dei controlli interni inaffidabile);
- il rischio aumenta;
- occorre estendere le verifiche dirette sulle poste di bilancio (maggiori procedure di validità).
È proprio in questo passaggio che emerge il collegamento tra test sui controlli e procedure di validità.
Le procedure di validità
Anche quando il sistema di controllo interno risulta affidabile, il revisore deve comunque acquisire evidenze dirette sulle aree significative del bilancio.
Le procedure di validità rappresentano pertanto il principale strumento attraverso cui vengono verificate le asserzioni formulate dalla direzione.
Esse sono finalizzate a rispondere a domande fondamentali:
- i crediti esistono realmente? (esistenza)
- tutti i debiti sono stati contabilizzati? (completezza)
- le rimanenze sono correttamente valutate? (valutazione)
- i ricavi appartengono all’esercizio di competenza? (accuratezza)
- le informazioni fornite in nota integrativa sono complete? (informazione)
Le procedure di validità si articolano principalmente in:
- test di dettaglio;
- procedure di analisi comparativa.
Test di dettaglio
I test di dettaglio rappresentano la forma più granulare di verifica.
Il revisore esamina direttamente:
- documenti;
- registrazioni contabili;
- operazioni aziendali;
- saldi di bilancio.
Ogni verifica viene collegata alla specifica asserzione da controllare.
Test sulle transazioni
Sono utilizzati soprattutto per verificare:
- esistenza;
- completezza;
- accuratezza.
Ad esempio, per verificare i ricavi il revisore può esaminare fatture, ordini e documenti di trasporto allo scopo di accertare che la vendita sia realmente avvenuta e che sia stata registrata nell’esercizio corretto.
Test sui saldi
Sono invece finalizzati a verificare:
- esistenza;
- completezza;
- valutazione;
- informazione.
Un esempio tipico riguarda i crediti verso clienti, le rimanenze o i fondi rischi.
Il caso delle conferme esterne sui crediti
Tra le procedure più efficaci per verificare l’esistenza dei crediti vi è la circolarizzazione.
Supponiamo che il revisore invii richieste di conferma a 40 clienti rappresentativi del 65% del totale dei crediti aziendali.
L’esito potrebbe essere il seguente:
- 28 conferme senza rilievi;
- 8 mancate risposte;
- 4 contestazioni.
A prima vista il risultato potrebbe sembrare rassicurante.
In realtà il revisore non può ignorare le eccezioni riscontrate.
Le mancate risposte
Un errore frequente è considerare il mancato riscontro come una conferma implicita del saldo.
I principi di revisione escludono questa possibilità.
Il silenzio del debitore non costituisce evidenza probativa.
Per i saldi non confermati occorre quindi svolgere procedure alternative quali:
- verifica degli incassi successivi;
- esame delle fatture;
- controllo dei documenti di trasporto;
- riconciliazione con la documentazione commerciale.
Le contestazioni
Ancora più rilevanti sono le contestazioni ricevute.
Quando il cliente contesta integralmente il credito, il revisore deve approfondire le cause della divergenza.
Potrebbe trattarsi di:
- errori amministrativi;
- merci non consegnate;
- resi non contabilizzati;
- controversie commerciali;
- errata rilevazione dei ricavi.
Se la contestazione evidenzia un errore significativo, il problema potrebbe estendersi oltre il singolo saldo esaminato e richiedere ulteriori verifiche sull’intera popolazione.
I temi trasversali che influenzano il rischio di revisione
La revisione moderna non si limita più alla sola analisi contabile.
Esistono aspetti trasversali che influenzano direttamente il rischio di errore significativo e, conseguentemente, la natura delle procedure da svolgere.
Continuità aziendale
Il revisore deve valutare se esistano eventi o condizioni che possano compromettere la capacità dell’impresa di continuare la propria attività.
Tensioni finanziarie, perdita di mercati, contenziosi rilevanti o difficoltà operative possono incidere significativamente sulla rappresentazione del bilancio.
Sistemi informativi e controlli IT
Sempre più processi aziendali sono gestiti attraverso applicativi informatici.
Di conseguenza il revisore deve comprendere:
- integrità dei dati;
- gestione degli accessi;
- sicurezza informatica;
- controlli applicativi;
- controlli generali IT.
Un sistema informatico debole può generare errori sistematici su grandi volumi di transazioni.
Esternalizzazione
Molte aziende affidano a soggetti esterni attività rilevanti, come:
- elaborazione paghe;
- servizi informatici;
- contabilità;
- gestione documentale.
In tali situazioni il revisore deve comprendere non solo i controlli dell’outsourcer, ma anche quelli esercitati dall’azienda utilizzatrice.
Conclusioni
I test sui controlli consentono di valutare l’affidabilità dei processi aziendali; le procedure di validità permettono di ottenere evidenze dirette sulle asserzioni di bilancio; i temi trasversali come continuità aziendale, sistemi IT ed esternalizzazione influenzano la valutazione del rischio e la scelta delle verifiche.
La lezione più importante che emerge dai principi ISA è semplice ma fondamentale: non esistono procedure efficaci in assoluto. Esistono procedure efficaci solo se sono progettate per rispondere ai rischi effettivamente presenti nell’impresa oggetto di revisione.