Enel S.p.A. di Roma, con 10 milioni di clienti e operazioni in 30 paesi, genera 2,4 terabyte di dati transazionali al giorno. Il collegio sindacale e i revisori di KPMG non aspettano piu' la chiusura semestrale per fare le prime verifiche: accedono a dashboard in tempo reale che segnalano anomalie nelle riconciliazioni intercompany non appena si manifestano. Il continuous auditing non e' fantascienza: e' gia' in uso nelle grandi societa' quotate italiane, e sta scendendo verso le medie imprese.
Continuous auditing
Approccio metodologico in cui il revisore o l'internal auditor monitora continuamente i dati aziendali attraverso strumenti automatizzati, riducendo o eliminando la dipendenza dai periodi di chiusura. Produce evidenze in tempo reale su anomalie, controlli falliti e aree di rischio emergente, consentendo interventi correttivi rapidi.
Continuous monitoring
Attivita' svolta dal management e dalla seconda linea di difesa (risk management, compliance) per verificare in tempo reale il funzionamento dei controlli chiave. Distinto dal continuous auditing del revisore per soggetto e indipendenza: alimenta il lavoro del revisore ma non lo sostituisce.
Il continuous auditing richiede accesso ai dati transazionali del cliente in forma strutturata (API, data lake, connessioni ERP). Pone questioni irrisolte di indipendenza: il revisore che accede ai sistemi del cliente in tempo reale rischia di partecipare alla gestione? Gli standard setter internazionali (IAASB) stanno sviluppando guidance specifica, ma il framework ISA attuale non contempla esplicitamente il modello continuo.
Per le PMI italiane, il continuous auditing si avvicina attraverso soluzioni cloud integrate: software di contabilita' come TeamSystem o Zucchetti espongono API che consentono al revisore legale di impostare alert automatici su soglie critiche (es. crediti scaduti oltre 180 giorni, variazioni anomale di magazzino). L'approccio ibrido — audit periodico arricchito da monitoring continuo — e' il modello praticabile nel breve termine.
| Modello | Frequenza verifiche | Strumento abilitante |
|---|---|---|
| Audit periodico tradizionale | Semestrale / Annuale | Campionamento manuale, fogli di lavoro |
| Audit potenziato da analytics | Mensile / Ad hoc | CAATs su export dati completi |
| Continuous auditing ibrido | Settimanale / Real-time alert | API ERP + dashboard anomaly detection |
| Full continuous assurance | Real-time 24/7 | Data lake + ML + alerting automatico |
Il team di internal audit di Enel implementa un dashboard di continuous monitoring collegato al sistema SAP: 34 KRI (Key Risk Indicators) sono monitorati in tempo reale. Quando due soglie critiche (ricavi non fatturati oltre 45 giorni e approvazioni fuori SLA) si attivano simultaneamente in una business unit, viene generato automaticamente un alert per il responsabile audit, che avvia una verifica mirata senza attendere il piano annuale.
Risposta corretta : Non esiste alcuna differenza sostanziale tra i due approcci
La distinzione chiave è soggetto e indipendenza: il continuous auditing è svolto dal revisore esterno o dall'internal audit indipendente, mentre il continuous monitoring è attività del management e della seconda linea di difesa (risk management, compliance). Il monitoring alimenta il lavoro del revisore ma non lo sostituisce.
Risposta corretta : L'impossibilità tecnica di analizzare dati strutturati in tempo reale
Il framework ISA attuale non contempla esplicitamente il modello continuo. Il rischio principale è che il revisore che accede ai sistemi del cliente in tempo reale possa essere percepito come partecipe alla gestione, compromettendo l'indipendenza. Lo IAASB sta sviluppando guidance specifica per affrontare questa questione.
⚠️Confondere il monitoring continuo del management con il continuous auditing indipendente
→ Il management puo' monitorare i propri controlli in tempo reale, ma il giudizio del revisore richiede indipendenza: i due ruoli non si sovrappongono senza rischi per l'indipendenza.
⚠️Adottare il continuous auditing senza adeguare la documentazione ISA
→ Il fascicolo di revisione deve descrivere come le evidenze continue sono raccolte, valutate e integrate nel giudizio finale: il framework ISA tradizionale va adattato esplicitamente.
⚠️Pensare che il continuous auditing elimini il rischio residuo
→ Anche con monitoring continuo restano rischi non misurabili dai dati (collusione, frodi sofisticate, errori di giudizio): lo scetticismo professionale rimane indispensabile.
partner di revisione con specializzazione in continuous auditing (Italia)
Domande suggerite