La valutazione del rischio e il sistema di controllo interno

La valutazione del rischio è l’aspetto fondamentale dell’attuale filosofia di revisione.
A seconda del modo in cui si valuta il rischio, si orienta in modo diverso tutta la revisione di tipo operativo. In un certo senso, la corretta analisi dei rischi di revisione è il “timone” di ogni revisione. Da ciò ne emerge che valutazioni di rischio diverse comportano procedure di verifica diverse e quindi revisioni differenti.
Per orientarsi in questi aspetti di analisi del rischio, alcuni anni fa la Consob ha approvato il Principio di revisione n. 315 – La comprensione dell’impresa e del suo contesto e la valutazione dei rischi di errori significativi, ha rivisto il Principio di revisione n. 300 – La pianificazione della revisione contabile del bilancio e ha introdotto il Principio di revisione n. 330 – “Le procedure di revisione in risposta ai rischi identificati e valutati” come conseguenza dei precedenti principi.

Il rischio di revisione

I rischi ai quali un’impresa si espone nello svolgimento della propria attività e nel perseguimento dei propri obiettivi sono di varia natura. Essi dipendono da diversi fattori quali, ad esempio, la natura del business, il settore economico di appartenenza, la dimensione e la complessità della società e l’ambiente regolamentare nel quale si muove.
È chiaramente di competenza della direzione dell’impresa identificare e fronteggiare tutti i rischi che comporta lo svolgimento della propria attività.

Come valutare i rischi di errori significativi

Vediamo ora come procedere per effettuare una corretta valutazione dei rischi aziendali prima di iniziare ogni verifica.
Il riferimento lo si trova sempre nel Principio di revisione n. 315 – La comprensione dell’impresa e del suo contesto e la valutazione dei rischi di errori significativi che ha proprio lo scopo di stabilire regole di comportamento e di fornire una guida a chi svolge la revisione legale dei conti. In sintesi, gli aspetti principali del suddetto principio riguardano:
– procedure di valutazione del rischio e fonti di informazione sull’impresa. Questa parte illustra le procedure di revisione da svolgere per comprendere l’impresa ed il suo contesto, incluso il suo controllo interno (procedure di valutazione del rischio). È, inoltre, prevista una discussione nell’ambito del team di revisione in merito alla possibilità che il bilancio contenga errori significativi;
– la comprensione dell’impresa e del suo contesto, incluso il suo controllo interno. Questa parte richiede che si comprendano gli aspetti specifici dell’impresa e del contesto in cui opera nonché le componenti del suo controllo interno, per identificare e valutare i rischi di errori significativi;
– la valutazione dei rischi di errori significativi.

Procedure di valutazione del rischio

Per comprendere l’impresa ed il contesto in cui opera, incluso il suo controllo interno, è necessario svolgere le seguenti procedure di valutazione del rischio:

1. indagini presso la direzione e altri soggetti all’interno dell’impresa. Le informazioni acquisite, oltre che dalla direzione, anche presso altri soggetti all’interno dell’impresa, come il personale addetto alla produzione o quello della revisione interna, possono essere utili per fornire una differente prospettiva per l’identificazione dei rischi di errori significativi.
2. procedure di analisi comparativa. Possono essere utili per identificare l’esistenza di operazioni o eventi inusuali o significativi, nonché importi, indici e andamenti che segnalino aspetti con effetti sul bilancio o sulla sua verifica.
3. osservazioni ed ispezioni. Possono essere di supporto alle indagini presso la direzione e altri soggetti nonché fornire elementi informativi sull’impresa e sul contesto in cui opera.

Comprensione dell’impresa e del suo contesto, incluso il suo controllo interno

La comprensione dell’impresa e del suo contesto riguarda i seguenti aspetti:
– settore di attività, normativa ed altri fattori esterni, incluso il quadro normativo sull’informazione economico-finanziaria;
– caratteristiche dell’impresa, incluse la scelta ed applicazione di principi contabili;
– obiettivi, strategie e rischi correlati che possono causare errori significativi nel bilancio;
– misurazione ed esame della performance economico-finanziaria dell’impresa;
– controllo interno.

Rischi significativi che richiedono una speciale considerazione nella revisione

Identificare i rischi significativi dell’impresa è materia di pertinenza del giudizio professionale del revisore. Nell’esercizio del proprio giudizio professionale egli valuta se i rischi siano tali da richiedere una speciale attenzione data la natura del
rischio, la rilevanza del potenziale errore prodotto, o la possibilità che ne produca di ulteriori, nonché alla percentuale di probabilità del suo verificarsi.
Ricordiamo a tal fine che, nel febbraio del 2009, i tre organismi di primo livello del controllo, ossia Consob, ISVAP e Banca d’Italia, hanno emesso un “documento congiunto1” per riaffermare l’importanza e le criticità dei bilanci delle imprese quotate dato il difficile momento che l’economia stava passando. La loro principale preoccupazione era quella di sensibilizzare il redattore del bilancio su aspetti legati alla solidità delle imprese e, a tal fine, i tre organismi avevano identificano le aree critiche da tenere sotto stretta osservazione considerandole come “aspetti a rischio che maggiormente risentiranno degli effetti della crisi in atto e su cui si concentreranno le domande e le informazioni del mercato".

Rischi per cui le procedure di validità da sole non forniscono sufficienti ed appropriati elementi probativi

Spesso il revisore si trova ad operare in società altamente informatizzate, dove l’intervento manuale dell’uomo è ridotto o del tutto assente.
Si pensi, ad esempio, al caso di una grossa banca che gestisce enormi masse di liquidità della clientela. In tali circostanze, può non essere sufficiente svolgere solamente procedure di validità in relazione al rischio.

Valutazione preliminare del rischio di controllo

La valutazione preliminare del “rischio di controllo”, come componente del “rischio di revisione”, è finalizzata ad individuare la capacità dei sistemi contabili e di controllo interno della società di prevenire o individuare e correggere efficacemente gli errori più significativi.
Il rischio di controllo sussiste sempre, a causa dei “limiti” propri di qualsiasi sistema contabile e di controllo interno.

Comunicazione dei punti deboli rilevati

Dopo aver compreso la struttura dei sistemi contabili e di controllo interno e dopo aver eseguito le procedure di conformità, il revisore individua le debolezze tipiche del sistema e le porta tempestivamente a conoscenza della direzione, ad un livello appropriato, normalmente con una apposita relazione scritta.

Riconsiderazioni sulla valutazione del rischio

La valutazione dei rischi di errori significativi a livello di asserzioni da parte del revisore è basata sugli elementi probativi disponibili e può cambiare nel corso della revisione man mano che si acquisiscono ulteriori elementi probativi.
In particolare, la valutazione del rischio può essere fondata sull’aspettativa che i controlli per prevenire, o individuare e correggere, errori significativi, a livello di asserzioni, siano efficacemente operanti.