Fascicolo d'esempio: Alfa S.r.l.

---

1. Obiettivo, perimetro e approccio

La carta documenta la comprensione del sistema informatico di Alfa S.r.l. rilevante ai fini dell’informativa finanziaria, ai sensi dell’ISA Italia 315, e ne trae le implicazioni per la risposta di revisione ai sensi dell’ISA Italia 330. Approfondisce la componente “sistemi informativi” del questionario sul sistema di controllo interno redatto in pianificazione, articolandosi nelle quattro categorie di controlli generali IT (ITGC): accesso a programmi e dati, gestione delle modifiche e degli aggiornamenti di sistema, assetto hardware e software, conservazione e salvataggio dei dati.

Determinazione del percorso. Alfa S.r.l. non è qualificabile come impresa meno complessa. La società tiene internamente la contabilità e opera un gestionale ERP retail con terminali POS distribuiti su 5 punti vendita, a fronte di ricavi per €42.900.000 e 225 dipendenti; il sistema informatico produce direttamente i dati contabili confluiti in bilancio e non è delegato a un fornitore esterno di servizi contabili. Si è pertanto svolta la comprensione estesa dell’ambiente IT (questionario completo), e non il memo di determinazione proporzionata riservato alle imprese meno complesse.

Fonti. La comprensione è stata acquisita mediante colloqui con l’Amministratore Unico, con il responsabile amministrativo e con il fornitore IT esterno; osservazione diretta dell’infrastruttura di sede e del funzionamento di un terminale POS presso un punto vendita; esame della documentazione disponibile (elenco degli applicativi, contratto di assistenza sistemistica, contratto di manutenzione dell’ERP). Trattandosi del primo esercizio del mandato 2025-2027, la comprensione è stata costruita senza affidamento sull’esperienza pregressa diretta sul cliente.

2. Comprensione dell’ambiente IT

2.1 Architettura applicativa e flusso dei dati

L’ambiente è imperniato su un unico gestionale ERP retail di mercato, installato su server centrale presso la sede (database SQL), con moduli integrati per vendite, magazzino, acquisti e ciclo fornitori, contabilità generale e cespiti. I punti vendita operano terminali POS collegati in modo sicuro al database centrale; ogni transazione di vendita alimenta contestualmente la rilevazione del ricavo e lo scarico del magazzino a inventario perpetuo. Le elaborazioni delle paghe sono affidate al consulente del lavoro (procedura esterna) e importate in contabilità con scrittura periodica; il ciclo di fatturazione elettronica e la conservazione a norma dei libri obbligatori sono gestiti tramite il consulente fiscale.

Il flusso rilevante ai fini contabili è lineare: POS → modulo vendite/magazzino → contabilità generale → bilancio, con il ciclo acquisti e il ciclo fornitori alimentati dagli ordini e dalle fatture passive, e il costo del personale importato dalla procedura paghe. La contabilità non riceve dati da sistemi paralleli eterogenei: i moduli condividono l’unico database dell’ERP, il che riduce il rischio di migrazione manuale tra applicativi distinti.

2.2 Governo dell’IT e ruoli

Alfa S.r.l. non dispone di una funzione IT interna. La gestione sistemistica (server, postazioni, rete, sicurezza perimetrale, backup) è affidata a un fornitore IT esterno con contratto di assistenza continuativa; la manutenzione e gli aggiornamenti dell’applicativo gestionale sono a carico della software house dell’ERP. Il referente interno è il responsabile amministrativo, titolare del presidio del modulo contabile e dell’assegnazione dei profili applicativi; l’Amministratore Unico autorizza le variazioni di rilievo (aggiornamenti maggiori, nuove abilitazioni). L’assenza di struttura IT interna è fisiologica alla dimensione e non pregiudica, di per sé, l’affidabilità dei dati contabili, a condizione che i presidi esternalizzati siano operativi.

2.3 Perimetro rilevante ai fini della revisione

Coerentemente con lo scoping (WP_C05) e con la significatività (WP_C01), le componenti IT rilevanti sono quelle che alimentano le voci di bilancio significative:

• ricavi €42.900.000 (2024: €42.075.000; +€825.000, pari a +2,0%): interamente rilevati dai POS dei 5 punti vendita;
• rimanenze €6.930.000 (2024: €5.775.000; +€1.155.000, pari a +20,0%): valorizzate dall’inventario perpetuo del modulo magazzino, con l’incremento concentrato sull’avvio del nuovo punto vendita PV05 — area a rischio di valutazione (cfr. WP_D03);
• debiti verso fornitori €6.765.000: alimentati dal ciclo acquisti, area di attenzione per la completezza;
• costo del personale €4.044.000: importato in contabilità dalla procedura paghe esterna.

L’affidabilità dei dati IT che alimentano queste voci è il fuoco della presente comprensione.

3. Controlli generali IT (ITGC)

3.1 Accesso a programmi e dati

Sintesi. La struttura degli accessi è coerente con la dimensione: profili per ruolo, presidio del modulo contabile segregato in capo all’amministrazione, tracciatura delle modifiche alle registrazioni. L’unica area di attenzione è la condivisione delle credenziali di cassa a livello di turno nei punti vendita, che rende le singole vendite non attribuibili al singolo operatore; il presidio compensativo è la riconciliazione giornaliera dei report di chiusura cassa (§3.4).

3.2 Modifiche e aggiornamenti di sistema

Sintesi. Il change management è informale ma interamente esternalizzato a soggetti specializzati (software house per l’applicativo, fornitore IT per il sistema). L’assenza di un ambiente di test dedicato lato azienda è una debolezza fisiologica alla dimensione, attenuata dal backup pre-aggiornamento, dal collaudo lato fornitore e dall’assenza di incidenti nell’esercizio. L’integrazione dei moduli nel medesimo database elimina la migrazione manuale tra applicativi eterogenei; restano da presidiare l’interfaccia POS→ERP e l’import periodico delle paghe.

3.3 Assetto hardware e software

Sintesi. L’assetto tecnologico è adeguato alla dimensione: protezione perimetrale e antivirus centralizzati, server presidiato, manutenzione a contratto. L’unico punto di esposizione è l’accessibilità fisica dei terminali POS nei punti vendita, contenuta dal fatto che i dati contabili risiedono sul database centrale e non sul terminale.

3.4 Conservazione dati e salvataggio

Sintesi. Le procedure di backup sono adeguate e collaudate, con replica off-site e prove di ripristino. I controlli applicativi contabili (quadratura dare/avere, blocco delle chiusure incomplete, log delle modifiche) presidiano l’integrità del dato e assicurano la disponibilità dell’audit trail. La conservazione a norma delle scritture contabili obbligatorie (art. 2220 c.c., dieci anni; conservazione digitale ex art. 2215-bis c.c.) è gestita dal consulente fiscale.

4. Rischi IT rilevanti e implicazioni sulle asserzioni

Una debolezza IT è rilevante per la revisione solo se può generare un errore prossimo alla significatività operativa o comunque non chiaramente trascurabile. I riferimenti quantitativi sono quelli determinati in WP_C01:

Significatività complessiva (OM)     858.000     2,0% dei ricavi (42.900.000)
Significatività operativa (PM)       729.300     85% dell'OM
Soglia di trascurabilità (CT)         36.465     5% del PM

Mappatura dei rischi IT rilevanti e della relativa risposta di revisione (ISA Italia 330):

5. Punti di debolezza e valutazione

• [x] Riscontrati punti di debolezza, di natura fisiologica alla dimensione; singolarmente e cumulativamente non configurano carenze significative ai sensi dell’ISA Italia 265.

Le debolezze rilevate sono coerenti con la dimensione e con l’assetto esternalizzato dell’IT. Nessuna, singolarmente o in aggregato, raggiunge la soglia della carenza significativa (ISA Italia 265) tale da imporre comunicazione formale ai responsabili delle attività di governance; saranno documentate nel fascicolo e riproposte come raccomandazioni di miglioramento. In assenza di errori contabili rilevati per loro effetto, non alimentano il riepilogo degli errori (WP_E04).

6. Conclusioni e implicazioni per l’approccio di revisione

Il sistema informatico di Alfa S.r.l., pur nella semplicità dell’assetto e nel governo esternalizzato, garantisce un livello ragionevole di integrità, sicurezza e continuità dei dati contabili: gli accessi al modulo contabile sono segregati, i controlli applicativi (quadratura dare/avere, blocco delle chiusure incomplete, log delle modifiche) sono attivi, il backup è adeguato e collaudato e la conservazione a norma è presidiata. Non emergono debolezze IT che pregiudichino l’affidabilità delle scritture come base della revisione.

Trattandosi del primo esercizio del mandato e in coerenza con un rischio dell’incarico basso, l’approccio è prevalentemente sostanziale: non si pianifica la verifica dell’efficacia operativa degli ITGC ai fini di un affidamento riduttivo delle procedure sostanziali. La comprensione qui documentata conferma la ragionevole affidabilità dei dati prodotti dal sistema e alimenta la valutazione del rischio (WP_C05), con attenzione specifica a: riconciliazione dei ricavi rilevati dai POS (€42.900.000), integrità dell’inventario perpetuo e valorizzazione delle rimanenze con focus sul nuovo PV05 (rimanenze €6.930.000, +20,0%; WP_D03), e analisi delle scritture contabili anomale a presidio del rischio di override (ISA Italia 240).