RISCHI, ASSERZIONI E MATRICE DEI RISCHI: IL CUORE DELLA PIANIFICAZIONE
RISCHI, ASSERZIONI E MATRICE DEI RISCHI: IL CUORE DELLA PIANIFICAZIONE
Una volta compresa l’impresa e il suo controllo interno, il revisore entra nella fase che orienta tutto il lavoro successivo: l’identificazione e valutazione dei rischi di errori significativi. Da qui dipendono natura, tempistica ed estensione di ogni procedura di revisione. Il riferimento resta l’ISA Italia 315, che dopo l’aggiornamento ha rafforzato l’approccio basato sulle asserzioni.
I due livelli del rischio
I rischi di errori significativi si identificano e valutano su due livelli:
- a livello di bilancio nel suo complesso, quando riguardano il bilancio in modo pervasivo e possono incidere su molte asserzioni (ad esempio dubbi sulla continuità aziendale o un ambiente di controllo debole);
- a livello di singole asserzioni per classi di operazioni, saldi contabili e informativa (esistenza, completezza, accuratezza, competenza, valutazione, diritti e obblighi, classificazione).
Rischio intrinseco e rischio di controllo
Il rischio di errori significativi è la combinazione di due componenti, che il revisore valuta separatamente:
- il rischio intrinseco, valutato lungo uno spettro in base ai fattori di rischio intrinseco — complessità, soggettività, cambiamento, incertezza e suscettibilità a errori dovuti a distorsioni della direzione o ad altri fattori di frode. Verso l’estremo superiore dello spettro si collocano i rischi significativi, che richiedono un’attenzione specifica;
- il rischio di controllo, considerato massimo quando il revisore non intende verificare l’efficacia operativa dei controlli e imposta il lavoro esclusivamente su procedure di sostanza — situazione frequente nelle realtà di minori dimensioni.
La matrice dei rischi
Lo strumento operativo che sintetizza tutto questo è la matrice dei rischi: una mappatura che incrocia, per ciascuna area di bilancio, le asserzioni rilevanti con il livello di rischio intrinseco e di controllo valutato, e vi associa le risposte di revisione pianificate. La matrice consente di:
- rendere tracciabile e documentata la valutazione del rischio, come richiesto dalle carte di lavoro;
- calibrare le procedure sulle aree e sulle asserzioni realmente esposte, evitando dispersione di lavoro dove il rischio è basso;
- garantire coerenza tra rischio individuato e risposta, che è poi il collegamento con l’ISA Italia 330 (le risposte del revisore ai rischi identificati).
Infine, per le classi di operazioni, i saldi contabili e l’informativa rilevanti che non ha identificato come significativi, il revisore valuta se questa conclusione resti appropriata, così da assicurarsi che nessun rischio sia sfuggito.
In sintesi
La matrice dei rischi è il ponte tra la conoscenza dell’impresa e l’esecuzione delle verifiche: è lì che la comprensione acquisita si traduce in un piano di revisione concreto, mirato e difendibile.