PwC Audit Approach
febbraio 5th, 2010
L’attività di auditing consiste nello svolgimento di una complessa procedura di analisi e revisione a livello di overall financial statement ed a quello di financial statement assertions per classi di transazioni, account balances e disclosures, che ha per scopo la riduzione ad una soglia ragionevolmente accettabile del rischio che i documenti finanziari possano presentare dei dati non corretti (a seguito di errori materiali e/o frodi) i quali potrebbero fuorviare il giudizio di tutti quegli stakeholder aziendali che fanno affidamento su di essi per compiere delle scelte in campo economico e finanziario.
Come già accennato in altri articoli, la diffusione del modello di corporate governance fondato sulla separazione tra la proprietà e la gestione dell’impresa ha richiesto nel corso degli ultimi decenni una crescita imponente dell’attenzione rivolta dal mercato e dagli organi di vigilanza alle problematiche concernenti la trasparenza, l’affidabilità e la chiarezza dei prospetti e dei dati finanziari presentati dalle aziende (soprattutto da quelle quotate).
Gli scandali finanziari che si sono susseguiti in questi anni hanno agevolato l’emanazione di regolamenti in ambito internazionale volti a promuovere una maggiore etica nel mondo degli affari ed un rispetto più ampio per gli investitori. La prima svolta importante è avvenuta negli USA con l’introduzione del Sarbanes-Oxley Act, anche noto come Public Company Accounting Reform and Investor Protection Act e comunemente chiamato Sarbanes-Oxley, Sarbox o SOX. Trattasi di una legge federale degli Stati Uniti emanata in risposta ad un preoccupante fenomeno di scandali finanziari e di fallimenti che agli inizi del 2000 hanno visto coinvolte società di grande prestigio e di grandi dimensioni come Enron, Tyco International, Adelphia, Peregrine Systems e WorldCom. Questi scandali sono costati agli investitori diversi miliardi di dollari, perché hanno generato il crollo dei titoli azionari delle società interessate senza che il risparmiatore fosse stato adeguatamente informato dalle società di rating, dagli organi di vigilanza e dalle società di revisione (spesso colluse). Lo scandalo della Enron, ad esempio, ha determinato la scomparsa di una società di auditing di fama internazionale come la Arthur Andersen. Si trattava, in origine, di due diversi disegni di legge proposti dai senatori Michael G. Oxley (repubblicano, eletto nell’Ohio) e Paul Sarbanes (democratico eletto nel Maryland): i due disegni furono unificati da una commissione bicamerale nell’atto finale approvato il 24 luglio 2002 con grandissima maggioranza in entrambe le camere, e firmato dal presidente George W. Bush il 30 luglio.
La legge mira ad intervenire per chiudere alcuni “buchi” nella legislazione, al fine di migliorare la corporate governance e garantire la trasparenza delle scritture contabili e dei prospetti finanziari, agendo tuttavia anche dal lato penale, con l’incremento della pena nei casi di falso in bilancio e simili (in Italia in quegli anni il falso in bilancio veniva di fatto depenalizzato). Viene inoltre aumentata la responsabilità degli auditor all’atto della revisione contabile.
La SOX istituisce anche una nuova agenzia semi-pubblica il Public Company Accounting Oversight Board, o PCAOB, che ha il compito di vigilare, regolare, ispezionare e disciplinare le società di revisione nella loro attività di auditor di public companies (ossia di società per azioni quotate). Esso si occupa anche di problematiche relative all’indipendenza, alla corporate governance, all’accertamento del controllo interno ed al miglioramento delle financial disclosure.
La maggiore attenzione rivolta alla trasparenza ed alla chiarezza ed affidabilità dei prospetti finanziari, unite al processo di globalizzazione economico-finanziaria, hanno obbligato le società di revisione ad adeguare la propria attività e le proprie metodologie in conformità (compliance) con i principi etici, gli standard, le leggi ed i regolamenti professionali riconosciuti a livello internazionale nel campo dell’audit (ISAs International Standards on Auditing emanati dallo IAASB International Auditing and Assurance Standards Board).
Il fulcro dell’attività di audit secondo la metodologia PricewaterhouseCoopers è costituito dal cosiddetto audit comfort cycle al quale si accompagnano le procedure analitiche ed i test di dettaglio. Si tratta di un’attività ciclica e dinamica che consente in estrema sintesi di pervenire ad un grado di conoscenza dell’azienda e dei suoi business process (corroborato dall’acquisizione delle evidenze e delle prove sostanziali necessarie) sufficientemente approfondito per ritenere di poter ragionevolmente (e in conformità con gli ISAs o gli US GAAP) affermare che i dati finanziari presentati dalla società cliente sono attendibili ed esenti da errori materiali che ne potrebbero modificare i valori al punto da dar vita ad una rappresentazione economica, contabile e finanziaria dell’azienda non corrispondente al vero e pertanto fuorviante.
Si noti che l’obiettivo del revisore non è quello di verificare che tutti i valori indicati in bilancio siano corretti al centesimo, bensì di garantire che tali dati esprimano in modo attendibile e rappresentativo il risultato economico/finanziario conseguito dall’impresa al termine del periodo di riferimento e che pertanto tali dati possano essere utilizzati come base affidabile per prendere decisioni che vedono coinvolta la società stessa (si tratti di decisioni di investimento, di finanziamento, piuttosto che misurazioni della performance aziendale o del management, oppure ancora computi di carattere fiscale e tributario ecc.).
L’audit comfort cycle deriva il suo nome dal fatto che si tratta di un’attività che si ripete ciclicamente (difatti nel corso del suo svolgimento si ritorna spesso sulle fasi precedenti le quali continuano ad aggiornarsi anche grazie alle informazioni acquisite negli step successivi mediante un processo adattivo che si realizza come un work in progress) e che si pone l’obiettivo iniziale di comprendere, valutare e validare il livello di comfort che è possibile ottenere dal sistema di controlli interno istituito dall’impresa (laddove tale sistema esista). In relazione alla maggiore o minore affidabilità attribuita al sistema di controlli interno si decide se sia opportuno propendere per un’attività di audit basata principalmente sulle procedure analitiche (poco onerose e poco affidabili), oppure sui test di dettaglio (i quali garantiscono un risultato molto più attendibile, ma richiedono un enorme dispendio di risorse e di tempo). Durante gli incontri iniziali (gli initial meetings) tra l’engagement team e il management della società soggetta a revisione, si definisce lo scope dell’analisi, ossia, si delimita il campo d’azione dell’audit in modo da concentrare lo sforzo e le risorse sulle sole aree di effettivo interesse. In questo stadio hanno luogo le cosiddette preliminary analytical procedures (obbligatorie in base agli ISAs). La definizione dello scope è legata al tipo di azienda, al settore di appartenenza, agli obiettivi di audit, alla storia pregressa, al professional judgement e a numerosi altri fattori. In questa fase si realizzano delle indagini conoscitive che partono dalla comprensione della natura dell’entity, del business aziendale e del settore di appartenenza. Si analizzano quindi gli obiettivi e le strategie aziendali ed i rispettivi rischi di business, le metodologie contabili adottate, le misurazioni e le review delle performance finanziarie ecc. allo scopo di pervenire ad una rappresentazione chiara della configurazione dell’impresa e delle sue caratteristiche basilari. Le informazioni relative ai rischi di business risultano di particolare rilevanza soprattutto laddove si riscontrino delle connessioni con quelli di audit. Tali informazioni vengono sintetizzate in un documento chiamato BAF (Business Analysis Framework), contenente notizie legate alla overview del mercato, la strategia, le attività che creano valore aggiunto e le performance finanziarie. Le prime attività di inquiry servono a verificare che all’interno dell’azienda sia stato istituito un sistema di controlli interno ed in caso affermativo se tale framework sia più o meno allineato alle esigenze di audit. Difatti, sovente capita che la società si sia dotata di un sistema di controlli interno efficiente ed efficace, ma in tutto o in parte inadeguato a coprire i rischi di audit. Ciò si verifica quando il management si è posto nella fase di pianificazione ed allestimento del sistema stesso degli obiettivi differenti rispetto a quelli di audit.
Lo studio del sistema di controllo interno non può prescindere dall’analisi dei suoi 5 componenti principali che costituiscono il cosiddetto Internal Control-Integrated Framework by COSO : Il Control Environment; L’Information and Communication; Il Risk Assessment; Le Control Activities; Il Monitoring of Controls. Con il control environment ci si riferisce alle caratteristiche dell’ambiente di controllo dell’azienda nel suo complesso (adozione, diffusione e condivisione di principi etici, cultura della legalità ecc.); l’information and communication ha ad oggetto l’analisi del sistema informativo aziendale (si veda l’ITGC Information Technology General Controls); col termine risk assessment ci si riferisce alle modalità, ai presupposti ed agli obiettivi che il management ha considerato nell’accertamento dei rischi interni (in special modo di quelli chiave); le control activities sono invece le attività di controllo poste in essere dal management, ivi comprese le procedure e le policy (se opportunamente formalizzate); infine, l’analisi completa del sistema di controllo interno non può astenersi dall’esaminare il monitoring, ossia l’attività di monitoraggio dei controlli stessi (controllo dei controlli).
L’audit comfort cycle si compone di 4 fasi:
scoping, understanding, evaluating e validating
La definizione dello scope serve a delimitare l’attività di audit alle sole aree di interesse (nell’ottica della massima efficienza ed efficacia). L’understanding mira alla comprensione della struttura organizzativa del sistema di controllo interno (framework), degli obiettivi, delle procedure, dei rischi chiave e delle responsabilità previste e formalizzate.
L’evaluating invece costituisce lo step successivo di valutazione della efficacia dei controlli interni posti in essere dal management e consente di esprimere un giudizio finale in merito al livello di comfort che si ricava nello svolgimento dell’attività di audit. Dopodichè, si procede con le attività di validazione dei controlli individuati, in modo da raccogliere delle evidenze che attestino la validità e la veridicità di quanto appreso nella fase cognitiva.
Maggiore è il comfort ottenuto dall’analisi dei controlli interni e minore sarà il dettaglio delle attività successive di revisione, ossia, si potranno svolgere un maggior numero di procedure analitiche ed un minor numero di test di dettaglio (sicuramente più onerosi).
I rischi chiave e quelli ritenuti in qualche modo significativi vengono riportati in una matrice detta ACM (Audit Comfort Matrix). All’interno del documento excel vengono riportate per ciascun ciclo aziendale inserito nello scope (revenue and receivables, purchase and payables, Inventory, Treasury ecc.) in ordine di colonna gli obiettivi del controllo analizzato, la descrizione del controllo esistente/le eventuali deficiency riscontrate, la tipologia di controllo (manuale o automatico), la frequenza, gli obiettivi del processo informativo meglio noti con l’acronimo CAVR (completeness, accuracy, validity e restricted access), l’impatto che i rischi individuati secondo questi obiettivi possono determinare a livello di financial statement assertions ed infine i test realizzati per validare i controlli interni ed i rispettivi risultati. L’attività viene condotta percorrendo gli step appena elencati per ciascun tipo di controllo esaminato (in ordine di riga) e per ogni attività che costituisce il processo o ciclo aziendale considerato (in ordine di sheet).
L’attività di test non può mai prescindere dallo svolgimento dell’inquiry (indagine), però quest’ultima non può mai rimanere isolata, ossia, deve essere sempre accompagnata da almeno una delle attività di test successive che sono l’observation, l’inspection ed il re-performing (in ordine di maggiore affidabilità). Maggiore è il livello di comfort che vogliamo ottenere dal test, maggiore è l’importanza del rischio del quale stiamo verificando la copertura da parte del controllo interno e molto più probabilmente una semplice attività di inquiry ed observation non saranno sufficienti, ma sarà necessario ricorrere all’inspection ed al re-performing.
Dall’evaluating e dal validating si perviene al giudizio relativo al livello di comfort che si può ottenere dal sistema di controlli interni. Ricordiamo che il rischio di audit (audit risk) si compone dell’inherent risk (rischio inerente o intrinseco) tipico del settore di appartenenza dell’impresa e della natura dell’attività svolta; segue poi il control risk, ossia il rischio legato al cattivo funzionamento o all’inadeguatezza ed inefficacia dei controlli interni ed infine dal detection risk, vale a dire, il rischio che l’auditor non riesca ad individuare la presenza di material mistatements, ossia di errori materiali che condizioneranno i valori di bilancio in modo significativo.
Al fine di evitare uno spreco di risorse ed un disagio eccessivo per la società cliente, l’attività di audit tende a focalizzarsi soprattutto sulla identificazione dei rischi chiave di audit, su quei rischi che se trascurati possono generare errori materiali o frodi. In questo modo si riesce a garantire ai fruitori dei prospetti finanziari un’assurance accettabile perché anche nel caso in cui fossero sfuggiti alle maglie del detection risk degli errori legati a rischi non materiali, l’impatto sui valori finali non sarebbe tale da influire in modo significativo sul giudizio e sull’indicazione fornita dai financial statements.
Un Key risk è quel rischio per il quale si riscontrano le seguenti 3 caratteristiche: elevato inherent risk, ampia magnitudo dell’impatto che può generare sui valori di bilancio (soprattutto se produce errori a catena) ed elevata probabilità che si verifichi.
Nella rilevazione dei rischi tuttavia non bisogna trascurare completamente i rischi non materiali, in quanto, può capitare che tali rischi possano, cumulativamente, superare abbondantemente le soglie di materialità.
Il livello di materialità dei rischi e dei valori di bilancio da esaminare viene fissato già nella fase di definizione dello scope dell’audit attraverso il calcolo della overall materiality e della planning materiality. La prima si riferisce al bilancio inteso nel suo complesso e viene determinata mediante il ricorso a dati provenienti dai benchmark di riferimento, alla cosiddetta rule of thumb, ossia una regola generica valida un po’ per tutte le aziende che appartengono ad una stessa categoria (ad es. il 5% del PBT o lo 0,5% delle revenues per le aziende profit ecc.). Prioritario in queste circostanze è chiaramente il professional judgement ed il buonsenso. La overall materiality consente di calcolare la planning materiality che in genere oscilla tra il 50% ed il 75% della overall. Questo nuovo livello di materialità non può mai superare la overall e viene applicata per individuare delle aree di bilancio che possono essere ritenute a rischio di audit perché soggette ad un rischio chiave in quanto potenzialmente generatore di errori materiali.
Maggiore è il grado di comfort ottenuto dall’analisi del sistema di controllo interno e più alta sarà la percentuale applicata per il calcolo della planning materiality (ossia più larghe saranno le maglie della rete utilizzata per setacciare il bilancio alla ricerca del material mistatement). Viceversa nel caso contrario.
Terminato l’audit comfort cycle e compilate le audit comfort matrix (una per ogni ciclo analizzato), si decide se proseguire l’audit ricorrendo ad un mix di substantive analytical procedures e tests of detail con ago della bilancia più spostato verso le prime o verso i secondi.
Maggiore è il grado di comfort ottenuto dallo studio degli internal controls e maggiore sarà l’impiego delle substantive analytical procedures in luogo degli onerosi tests of detail che ricordiamo sono obbligatori per le verifiche che fanno capo ad attività e controlli legati a rischi chiave.
Le substantive analytical procedures non hanno il carattere della obbligatorietà secondo quanto prescritto dagli ISAs e si realizzano sempre in 5 step (così come le preliminary e le final): creazione di un’aspettativa indipendente, fissazione del livello di treshold e delle differences significative, misurazione del fenomeno, confronto con i livelli di verifica e conclusioni. Esempi di procedure analitiche sono: trend analysis, ratio analysis, analisi di ragionevolezza, analisi di inferenza, scanning analytics ecc.
I substantive tests of detail invece sono generalmente suddivisi in tre categorie: targeted tests, accept and reject tests e sample tests.
I primi sono quelli più consigliati e si focalizzano su una parte della popolazione da esaminare selezionata in base ad un valore o una caratteristica che accomuna gli item che la compongono (omogeneità). Un esempio potrebbe essere una classificazione del tipo ABC. Gli accept and reject test sono maggiormente indicati quando bisogna verificare la presenza di una determinata caratteristica all’interno di una popolazione da esaminare, ossia, quando l’oggetto del test non è un valore finanziario. I sample test si basano invece sul metodo dell’estrazione campionaria statistica e non.
—————————————————————————————————————————-———————–-
– (Copyright © 2009 ECONOMICA MENTE. All Rights Reserved)
Categorie: Auditing, Economia - Politica, Finanza, Message in a bottle
