Fascicolo d'esempio: Alfa S.r.l.

1. Obiettivo

Documentare la comprensione dell’ambiente di controllo e dei controlli antifrode della società ai sensi di ISA Italia 315 e ISA Italia 240.28-30, e formalizzare la risposta di revisione ai rischi di frode identificati in WP_C03, ivi compresi i due rischi presunti non eliminabili: la forzatura dei controlli da parte della direzione (ISA Italia 240.31) e il riconoscimento dei ricavi (ISA Italia 240.26).

La carta è documentazione di pianificazione: registra la comprensione acquisita e la strategia di risposta, non costituisce test di dettaglio né validazione dell’efficacia operativa dei controlli, che non sono oggetto di affidamento (cfr. §2).

2. Contesto dell’incarico e strategia di revisione

Alfa S.r.l., società a socio unico (Beta Holding S.r.l.), opera nel commercio al dettaglio in esercizi non specializzati attraverso 5 punti vendita, con 225 dipendenti e ricavi 2025 pari a 42.900.000 (+2,0% rispetto a 42.075.000). L’incarico di revisione legale copre il triennio 2025-2027 ed è al primo anno, in continuità di tipologia di controllo rispetto al revisore precedente (studio). Il rischio di incarico è valutato Basso; la società non presenta indebitamento finanziario bancario, circostanza che attenua la pressione a manipolare i risultati per finalità di covenant o di accesso al credito.

Trattandosi del primo anno del mandato, la comprensione dei controlli è stata sviluppata ex novo mediante indagini presso l’organo amministrativo e la funzione amministrativa e osservazione dei processi (walkthrough); per i saldi di apertura si rinvia alle procedure di cui a ISA Italia 510.

Coerentemente con la dimensione e con l’assenza di un sistema di controllo interno formalizzato su cui fare affidamento, la strategia è prevalentemente sostanziale (ISA Italia 330): la comprensione dei controlli serve a identificare e valutare i rischi e a disegnare procedure sostanziali appropriate, non a testarne l’efficacia operativa per ridurre l’estensione delle verifiche di dettaglio.

I parametri di significatività assunti a riferimento (WP_C01) sono:

Significatività complessiva (OM)   858.000   = 2,0% dei ricavi (42.900.000)
Significatività operativa (PM)     729.300   = 85% di OM
Soglia di trascurabilità (CT)       36.465   = 5% di PM

Le procedure antifrode obbligatorie non sono limitate dalla significatività: una frode può manifestarsi per importi inferiori a OM/PM, e le verifiche di cui a ISA Italia 240.32 si applicano a prescindere dalla soglia (§6).

3. Dati e fonti utilizzati

• WP_C03 — identificazione e valutazione dei rischi di frode (input primario)
• WP_C01 — significatività
• WP_C05 — procedure analitiche preliminari e scoping (andamento dei ricavi e della marginalità)
• Colloqui con l’Amministratore Unico e con il responsabile amministrativo
• Bilancino di verifica infrannuale e bilancino di verifica definitivo, estratti dal gestionale contabile in uso (TeamSystem)
• Visura, statuto, organigramma, e documentazione societaria
• Riscontri del consulente fiscale e del consulente del lavoro per i processi in outsourcing (adempimenti tributari e paghe)

4. Comprensione dell’ambiente di controllo (ISA Italia 315)

4.1 Assetto proprietario e di governance

La società è interamente controllata da Beta Holding S.r.l. (socio unico), che esercita attività di direzione e coordinamento (art. 2497 c.c.), ed è amministrata da un Amministratore Unico. Non è istituito un organo amministrativo collegiale né, alla data, un collegio sindacale: la funzione di controllo legale è assolta dal revisore esterno, obbligatorio in quanto superati i parametri dell’art. 2477 c.c. (attivo, ricavi, e dipendenti). La concentrazione dei poteri gestori in capo all’Amministratore Unico eleva, in astratto, il rischio inerente di forzatura dei controlli; è mitigata dal monitoraggio del socio (reporting periodico alla holding) e dalla revisione legale esterna.

4.2 Struttura organizzativa e attribuzione delle responsabilità

L’attività operativa è decentrata sui 5 punti vendita, ciascuno con responsabilità sulle vendite e sulla cassa; la funzione amministrativo-contabile è accentrata e la contabilità è tenuta internamente dal responsabile amministrativo. Le paghe sono elaborate dal consulente del lavoro e gli adempimenti tributari sono curati dal consulente fiscale, entrambi esterni. Ne deriva una separazione di fatto tra chi gestisce l’operatività di punto vendita (incassi) e chi rileva le operazioni in contabilità; per contro, la segregazione all’interno della funzione amministrativa è limitata, essendo la registrazione concentrata su una figura ristretta — elemento rilevante ai fini del rischio di override (§6), solo in parte compensato dall’esternalizzazione di paghe e fiscalità e dal reporting alla holding.

4.3 Integrità, valori etici, e incentivi

La società non ha adottato un modello organizzativo ai sensi del D.Lgs. 231/2001 né un codice etico formalizzato: circostanza frequente per la dimensione, non costituisce di per sé carenza. Ricorrendo l’obbligo ex D.Lgs. 24/2023 — la media dei lavoratori dell’esercizio (215) supera i 50 — la società ha istituito un canale di segnalazione interna, di cui è stata verificata l’esistenza e l’avvenuta comunicazione al personale. Resta invece informale la comunicazione dei valori aziendali, in assenza di un codice etico formalizzato (cfr. WP_C03 § 3): circostanza che non costituisce di per sé carenza, ma concorre alla valutazione complessiva del rischio di frode. Sul piano di incentivi e pressioni, l’assenza di debito bancario riduce gli stimoli alla manipolazione; permane un incentivo moderato a sostenere la redditività connesso alle attese di distribuzione del socio (proposta 2025: 1.068.000, §6.3), di cui si tiene conto nel riesame delle stime. Lo stile gestionale è valutato orientato alla conformità; ciò non abbassa tuttavia la valutazione complessiva del rischio di frode, che WP_C03 § 10 attesta a Medio in ragione dei due rischi significativi presunti non eludibili.

5. Controlli e programmi antifrode (ISA Italia 240.28-30)

La direzione non ha formalizzato uno specifico programma antifrode; alla dimensione della società, il presidio si affida a controlli informali radicati nei processi operativi e alla vigilanza del socio. I controlli compresi, rilevanti rispetto ai rischi di frode e considerati a livello di solo disegno (non testati per affidamento), sono:

I controlli compresi sono coerenti con la dimensione e la complessità della società e presidiano, sul piano del disegno, i rischi di frode identificati. Sul perimetro dei controlli antifrode qui esaminati non sono emerse carenze che richiedano autonoma comunicazione ai sensi di ISA Italia 265; la carenza significativa identificata sul ciclo acquisti (D1) è rilevata, classificata e comunicata nell’ambito di WP_C07 § 7, cui si rinvia.

6. Forzatura dei controlli da parte della direzione (ISA Italia 240.31-33)

Il rischio di forzatura dei controlli (management override) è un rischio significativo presunto e non eliminabile, che sussiste indipendentemente dalla valutazione complessiva del rischio di frode (Medio — WP_C03). In una struttura a poteri concentrati e con contabilità gestita internamente da una funzione ristretta, l’esposizione maggiore riguarda le scritture discrezionali di chiusura e le operazioni con la parte correlata (socio). La risposta obbligatoria di cui a ISA Italia 240.32 è così articolata.

6.1 Registrazioni contabili e rettifiche — 240.32(a)

Estrazione del libro giornale dal gestionale e selezione delle scritture secondo criteri di rischio: scritture manuali e di rettifica, importi tondi, contropartite inusuali, scritture sui ricavi in prossimità del 31/12, scritture sui conti della parte correlata (debiti v/soci 744.000) e sulle poste stimate (fondi per rischi 297.000; rimanenze/PV05). Le registrazioni di chiusura sono isolate dal confronto tra bilancino di verifica infrannuale e bilancino definitivo. L’esecuzione avviene nell’ambito del testing per area (WP_D03, WP_D07); le eccezioni confluiscono in WP_E04. Trattandosi di procedura antifrode, la selezione non è vincolata alle soglie di significatività.

6.2 Riesame delle stime contabili — 240.32(b)

Poste soggette a stima e potenziale bias: valutazione delle rimanenze, in particolare il nuovo PV05 (incremento 1.155.000, +20,0% — WP_D03); fondi per rischi e oneri (297.000); TFR (1.023.000); svalutazione dei crediti verso clienti. Ove disponibile si effettua la considerazione retrospettiva delle stime dell’esercizio precedente. Si segnala inoltre la riduzione del carico fiscale effettivo:

Imposte / Utile ante imposte
2025:  660.000 /   2.142.000  =  30,8%
2024:  807.000 /   1.962.000  =  41,1%

La variazione sarà corroborata con il consulente fiscale per escludere componenti discrezionali nella determinazione del carico d’imposta.

6.3 Operazioni significative anomale — 240.32©

Si acquisisce comprensione della razionalità economica delle operazioni con il socio unico. Nell’esercizio: distribuzione dell’utile 2024 al socio per 744.000 (rilevata a debiti v/soci) e proposta di destinazione dell’utile 2025 con quota al socio pari a 1.068.000:

Destinazione proposta dell'utile 2025 (1.482.000):
  Riserva statutaria         74.100
  Riserva straordinaria      174.000
  Altre riserve              165.900
  Al socio (Beta Holding)   1.068.000
  Totale                    1.482.000

Si verifica la corretta rilevazione e informativa delle operazioni con parti correlate (WP_D07). Non risultano operazioni straordinarie né finanziamenti nell’esercizio.

7. Riconoscimento dei ricavi — rischio presunto (ISA Italia 240.26)

I ricavi (42.900.000, +2,0%) derivano in prevalenza da vendite al dettaglio regolate alla cassa e rilevate automaticamente dai sistemi di punto vendita al momento della vendita: operazioni ad alta frequenza e basso valore unitario, con limitata discrezionalità di competenza sul canale elettronico, tracciabile end-to-end. La presunzione di rischio di frode sui ricavi è pertanto circoscritta alla componente incassata in contante, ove permane un rischio residuo di occorrenza e completezza (mancata registrazione di vendite in contante). La risposta consiste nella comprensione del disegno della riconciliazione POS–incassi–contabilità (§5), in procedure analitiche sulla marginalità per punto vendita, e nell’inclusione dei ricavi di fine esercizio tra i criteri di selezione delle scritture (§6):

Margine lordo 2025 = (42.900.000 − 28.380.000) / 42.900.000 = 33,8%
Margine lordo 2024 = (42.075.000 − 28.218.000) / 42.075.000 = 32,9%

La lieve espansione del margine è coerente con il mix e non segnala di per sé anomalie; l’analisi di dettaglio per punto vendita è svolta in WP_C05. La presunzione non è integralmente superata, ma ridotta a un rischio residuo coerente con la valutazione Basso.

8. Mappatura della risposta ai rischi di WP_C03

9. Eccezioni e carenze rilevate

Sul perimetro antifrode non sono emerse carenze ulteriori rispetto a quelle censite in WP_C07 § 7 — dove la carenza D1 sul ciclo acquisti è classificata significativa e comunicata all’organo amministrativo — né indicatori di frode che modifichino la valutazione Medio di WP_C03. Le caratteristiche strutturali rilevate — concentrazione dei poteri nell’Amministratore Unico, limitata segregazione nella funzione amministrativa, e assenza di un modello 231 — sono connaturate alla dimensione e sono fronteggiate con l’approccio sostanziale e con le procedure obbligatorie del §6; non costituiscono di per sé carenze significative. Nessuna eccezione da convogliare in WP_E04 a livello di pianificazione.

10. Conclusione

Il presunto rischio di forzatura dei controlli (ISA Italia 240.31) e il presunto rischio sul riconoscimento dei ricavi (ISA Italia 240.26) sono stati considerati e documentati; l’ambiente di controllo e i controlli antifrode sono stati compresi ai sensi di ISA Italia 315 e 240.28-30 e risultano coerenti con la dimensione e la complessità della società. La strategia di risposta è sostanziale, con le procedure obbligatorie di cui a ISA Italia 240.32 — test delle scritture e delle rettifiche, riesame delle stime, e comprensione delle operazioni con il socio — eseguite nell’ambito del testing per area (WP_D03, WP_D07) e con esiti convogliati, in caso di eccezioni, in WP_E04. Le procedure pianificate sono ritenute adeguate alla dimensione e complessità del cliente; la valutazione complessiva del rischio di frode resta Medio (WP_C03) e sarà mantenuta sotto osservazione fino alla relazione di revisione (WP_E10).