Forensic audit

Come funziona

Si inizi dalla parte che genera il rilievo. Sui fascicoli che la CONSOB ha esaminato negli ultimi cicli, l'errore ricorrente non è non fare il forensic audit. È trattare un'allerta seria come "anomalia da chiarire" e proseguire la revisione con procedure aggiuntive di routine, senza fare il salto formale che distingue i due incarichi. Il fascicolo finisce con un memo che dice "chiarito con la direzione," il giudizio si emette, e tre mesi dopo arriva l'esposto.

Cosa è un forensic audit, in termini operativi. È un incarico investigativo che parte dall'ipotesi che un fatto specifico possa essere accaduto (appropriazione indebita, falsa fatturazione, corruzione, riciclaggio, false comunicazioni sociali ex art. 2622 C.C.) e raccoglie evidenza indipendente sufficiente a sostenere la conclusione in sede penale, civile o amministrativa. La logica è invertita rispetto alla revisione legale: la revisione legale verifica se il bilancio rappresenta correttamente i fatti aziendali; il forensic audit verifica se uno specifico fatto è accaduto, e con quali responsabilità.

Distinzione di mandato. L'ISA Italia 240 assegna al revisore legale la responsabilità di ottenere assicurazione ragionevole che il bilancio non contenga errori significativi dovuti a frode. L'ISA Italia 240.5 chiarisce esplicitamente che la responsabilità primaria di prevenire e rilevare la frode rimane in capo a chi è incaricato della governance e alla direzione, non al revisore. Il forensic audit non rientra nello scopo della revisione legale: è un servizio aggiuntivo che richiede una lettera di incarico separata, un team con competenze specifiche (di norma certificate CFE, esperti di analisi documentale, consulenti tecnici di parte), e un protocollo di gestione della catena di custodia delle evidenze.

Cosa succede davvero quando l'incarico cambia natura. Il revisore legale che identifichi indicatori di frode in corso di revisione ha un percorso preciso. Primo: documentare l'indicatore nel fascicolo (ISA Italia 230.8 sulla documentazione delle materie significative). Secondo: estendere le procedure di revisione per valutare se l'errore potrebbe essere materiale (ISA Italia 240.34-37). Terzo: comunicare ai soggetti incaricati della governance, di norma il collegio sindacale, in tempo utile (ISA Italia 240.40-42). Quarto: valutare se l'indipendenza permette di rimanere come revisore legale, oppure se sia opportuno raccomandare un incarico forensic separato a un soggetto terzo.

Il punto delicato è il quarto. Sui fascicoli reali si vede una resistenza naturale a raccomandare il forensic audit, per due ragioni che convivono: il revisore legale non vuole "perdere" il cliente, e la direzione non vuole l'indagine. Il collegio sindacale, che dovrebbe essere il punto di equilibrio, riceve la comunicazione del revisore in termini spesso troppo cauti. Il D.Lgs. 39/2010 e l'art. 2403 C.C. assegnano al collegio funzioni di controllo distinte da quelle del revisore: quando il sospetto è qualificato, il collegio dovrebbe attivarsi indipendentemente. Quando questo non accade, il fascicolo della revisione legale documenta un sospetto, ma nessuno apre l'indagine.

Metodologia tipica del forensic audit. Estrazione e analisi forensic dei dati (log di accesso al sistema contabile, audit trail dei movimenti, analisi di pattern su anagrafiche fornitori e clienti). Riscontro documentale con catena di custodia (ogni documento numerato, fotografato, sigillato). Interviste strutturate al personale, di norma con verbalizzazione. Analisi documentale tecnica (perizia su firme, timbri, sequenze numeriche, metadati). Riconciliazione dei flussi finanziari attraverso conti terzi, con il supporto di indagini bancarie autorizzate dall'autorità giudiziaria quando necessario. Quantificazione del danno, comprensiva di interessi e costi di recupero.

A chi va il rapporto. Non al revisore legale, di norma. Al consiglio di amministrazione, all'organismo di vigilanza ex 231, all'autorità giudiziaria via denuncia-querela, oppure al consulente di parte nel processo civile. La forma è diversa da una relazione di revisione: cronologia dei fatti, schede evidenza per ogni elemento probatorio, opinione tecnica firmata, allegati documentali con catena di custodia.

Esempio pratico: Ceramiche Toscane S.r.l.

Cliente: SRL manifatturiera italiana con ricavi annui EUR 18M, bilancio IFRS, partner di revisione legale uscente. Il consiglio di amministrazione ha ricevuto una segnalazione anonima sulla gestione della cassa e dei pagamenti fornitori da parte del direttore amministrativo. Il forensic audit è stato commissionato a un team forensic indipendente dal revisore legale, con lettera di incarico separata.

Fase 1: Brief investigativo e perimetrazione. Il consiglio di amministrazione, sentito il collegio sindacale, autorizza l'incarico forensic. La lettera di incarico definisce: oggetto dell'indagine (transazioni fornitori e movimenti di cassa), periodo di analisi (ultimi 24 mesi), riservatezza (rapporto destinato al consiglio, salvo obblighi di legge), perimetro di accesso (sistemi contabili, banche dati anagrafiche, log accessi, conti correnti aziendali, archivio fisico).

Documentazione: lettera di incarico firmata dall'organo di governance, mandato scritto, lista dei destinatari del rapporto, protocollo di catena di custodia adottato.

Fase 2: Estrazione e analisi dei dati. Estrazione log di accesso al sistema contabile per il periodo 2023-2024. L'analisi identifica 47 nuove anagrafiche fornitori create dal direttore amministrativo, di cui: 32 con IBAN coincidente tra loro o con un IBAN terzo non riconducibile a partita IVA attiva; 8 con indirizzi sede uguali a un indirizzo residenziale già noto al sistema (quello del direttore stesso); 7 con denominazioni che variano per una sola lettera rispetto a fornitori reali esistenti (tecnica del look-alike). Pagamenti complessivi a queste 47 anagrafiche: EUR 680.000.

Nota: l'estrazione è stata eseguita in copia forensic dal responsabile IT della società, alla presenza di due investigatori del team forensic, con verbale di operazione. Il dataset è stato hashato (SHA-256) per garantire l'integrità.

Fase 3: Riscontro documentale. Per ognuno dei 47 fornitori sospetti si ricercano: ordine d'acquisto, documento di trasporto, fattura, ricevuta di pagamento, riconciliazione di magazzino. Risultato: 45 fornitori privi di documento di trasporto fisico e privi di evidenza di consegna di beni o erogazione di servizi. 2 fornitori risultano società realmente operative ma con IBAN sostituito (deviazione di pagamento su conto del direttore amministrativo).

Nota: ogni documento esaminato è stato fotografato, datato, e tracciato in un registro evidenze numerato. Le copie sono state archiviate in formato sigillato presso lo studio forensic.

Fase 4: Riconciliazione dei flussi finanziari. Riconciliazione del registro pagamenti con gli estratti conto bancari. Identificati EUR 680.000 di pagamenti verso le 47 anagrafiche sospette, di cui EUR 540.000 tramite bonifici e EUR 140.000 tramite assegni. Il protocollo interno della società richiede doppia firma per assegni superiori a EUR 5.000 (procura del direttore amministrativo + procura del direttore generale). Il riscontro evidenzia che 23 assegni superiori alla soglia portavano la sola firma del direttore amministrativo, in violazione del controllo interno.

Nota: la procedura ha richiesto l'accesso ai conti correnti aziendali via banca depositaria. Il riscontro sui conti di destinazione (per individuare la titolarità ultima dei fondi) ha richiesto autorizzazione del magistrato in seguito alla denuncia.

Fase 5: Quantificazione del danno e ricostruzione delle responsabilità. Importo appropriato: EUR 680.000. Tracciabilità dei flussi: EUR 120.000 sono stati ricondotti, tramite indagini bancarie autorizzate, a un conto estero intestato a una società fittizia con titolarità effettiva del direttore amministrativo. Il restante è stato versato su un conto corrente personale o utilizzato per spese personali documentate (acquisto di beni di lusso, viaggi).

Nota: la quantificazione include gli interessi legali calcolati dalla data di ciascun prelievo alla data della scoperta, e i costi di recupero. Il rapporto forensic finale, depositato presso il consiglio e la procura competente, contiene 312 pagine di evidenze numerate, una cronologia dettagliata, e l'opinione tecnica del responsabile dell'incarico.

Complicazione che è arrivata in corso d'indagine. A metà della fase 4, il direttore amministrativo si dimette. Domanda del board: l'indagine si chiude o prosegue? La decisione del team forensic, condivisa con il legale di parte, è di proseguire. Le dimissioni non azzerano la responsabilità penale (art. 646 C.C., appropriazione indebita; art. 2622 C.C., false comunicazioni sociali se i bilanci hanno recepito le fatture false), e la quantificazione precisa del danno è necessaria per l'azione civile di recupero. L'indagine prosegue, il rapporto è completato, e la denuncia-querela è depositata dal consiglio di amministrazione su parere unanime del collegio sindacale.

Esito. Il rapporto forensic ricostruisce un danno di EUR 680.000 con evidenza idonea al procedimento penale e all'azione civile di risarcimento. La revisione legale dell'esercizio in corso emette un giudizio con richiamo informativo sulla rettifica delle anagrafiche fornitori e sulla rideterminazione dei saldi di costi e debiti dell'esercizio precedente. Il fascicolo della revisione legale documenta, separatamente, la conoscenza acquisita tramite il rapporto forensic e l'effetto sul giudizio.

Cosa gli ispettori e i revisori interpretano male

Tier 1: Rilievo CONSOB. Sui fascicoli di revisione legale che hanno preceduto frodi successivamente accertate, il rilievo dominante riguarda la qualità della comunicazione ai soggetti incaricati della governance quando il revisore legale aveva identificato indicatori di rischio. Le carte erano leggere in due punti specifici: la documentazione del giudizio professionale che ha portato il revisore a non estendere le procedure (ISA Italia 240.34-37) e la formulazione della comunicazione al collegio sindacale (ISA Italia 240.40-42). La CONSOB ha pubblicato delibere sanzionatorie su casi in cui la comunicazione era stata fatta in termini cauti, in calce a una relazione, o all'interno di una "lettera di management" dal contenuto generico (per confronto internazionale, FRC nel Regno Unito e PCAOB negli Stati Uniti hanno pubblicato risultati ispettivi analoghi).

Tier 2: Errore standard-based. Il revisore legale che, di fronte a un'allerta significativa, esegue procedure aggiuntive minimali (richiesta di chiarimenti alla direzione, riconciliazione documentale di un campione, accettazione di una spiegazione orale registrata in memo) e chiude il punto con "chiarito." L'ISA Italia 240.34 richiede che, in presenza di indicatori, il revisore valuti se le risposte della direzione e di chi è incaricato della governance siano coerenti tra loro e con l'evidenza esterna disponibile. La sola spiegazione della parte sospettata non è risposta sufficiente. Quando il revisore non documenta una fonte indipendente di conferma o smentita, il fascicolo è esposto.

Tier 3: Gap di indipendenza tra incarico legale e incarico forensic. Sui gruppi più piccoli, il revisore legale viene a volte richiesto di "fare anche la parte forensic." L'art. 17 D.Lgs. 39/2010 e il principio di indipendenza ISA Italia 200 lo escludono nella maggior parte delle configurazioni: il forensic audit produce conclusioni che potrebbero impattare sul giudizio di revisione, e l'autovalutazione è una minaccia all'indipendenza non gestibile con misure di salvaguardia ordinarie. La pratica corretta è che il forensic sia svolto da un team indipendente dal revisore legale, anche all'interno della stessa rete (con segregazione dei team, dei file, e della catena di reporting). Quando il revisore legale accetta entrambi gli incarichi senza separazione, il rilievo CONSOB sull'indipendenza è quasi automatico.

Forensic audit vs revisione legale ordinaria

Dove inizia il giudizio professionale. I due incarichi convivono nel sistema italiano duale. Il revisore legale identifica l'allerta, comunica al collegio, e di norma raccomanda l'incarico forensic separato. Il punto in cui il giudizio diventa contestabile è quando l'allerta è seria ma la raccomandazione di incarico separato non viene formulata, e si prosegue con procedure aggiuntive interne all'incarico di revisione. La regola pratica: quando l'allerta riguarda potenzialmente la direzione o un soggetto con accesso ai sistemi, l'incarico forensic separato è quasi sempre la risposta corretta.

Dove i revisori esperti non sono d'accordo

Partner A: l'incarico forensic deve essere esterno alla rete del revisore legale, sempre. Anche con segregazione interna, la percezione di indipendenza è compromessa. Il costo di un secondo studio è inferiore al rischio di rilievo CONSOB sull'indipendenza. La motivazione regge sui fascicoli più visibili (EIP, gruppi quotati, enti vigilati).

Partner B: per le SRL non quotate e gli enti minori, la rete con segregazione interna funziona bene se il protocollo è solido (team distinti, partner distinti, file system separati, reporting separato). Costringere ogni indagine a un secondo studio rallenta i tempi e aumenta i costi senza valore aggiunto sulle PMI. La motivazione è economica e operativa, non normativa.

Le delibere CONSOB sui casi recenti suggeriscono che, in pratica, la posizione A è più difendibile in sede ispettiva. La posizione B regge quando la documentazione del firewall è impeccabile. Sui fascicoli reali, la documentazione del firewall è raramente impeccabile.

La pressione che produce il problema

Il forfait della revisione legale non copre il forensic audit. È un servizio aggiuntivo, fatturato separatamente, che la società sospettata di avere un problema interno spesso non vuole autorizzare. Il revisore legale, che ha visto l'allerta, si trova in una posizione scomoda: raccomandare formalmente l'incarico forensic significa entrare in contraddizione con la direzione nel momento in cui la direzione potrebbe essere il problema. La via di minor resistenza è il "memo di chiarimento" che chiude la questione formalmente senza estendere il lavoro. È prevedibile, è documentato nelle delibere CONSOB, ed è il punto preciso in cui il revisore legale paga il rilievo successivo.

L'osservazione che vale più della checklist

Il forensic audit non è uno strumento più "potente" di revisione: è un mestiere diverso che inizia dove la revisione legale si ferma. La revisione legale presume che i controlli funzionino; il forensic audit presume che possano essere stati aggirati. Confondere le due metodologie produce due esiti opposti, entrambi sbagliati: applicare procedure forensic durante una revisione ordinaria sovraestende il mandato e l'indipendenza; applicare procedure ordinarie quando l'allerta richiederebbe l'indagine forensic chiude formalmente un punto che, sostanzialmente, resta aperto. Il fascicolo deve raccontare la storia, e in questi casi la storia richiede due fascicoli, non uno.

Termini correlati

ISA Italia 240 — Responsabilità del revisore relative alla frode — Definisce gli obblighi del revisore legale nel valutare il rischio di frode nel bilancio.

ISAE 3000 — Incarichi di assurance diversi dalla revisione — Quadro di principio applicabile a un forensic audit che produce un'opinione attestativa.

Frode vs errore — La distinzione tra atto intenzionale ed errore non intenzionale, con implicazioni di mandato.

D.Lgs. 231/2001 e organismo di vigilanza — Il regime di responsabilità amministrativa degli enti, con il ruolo dell'OdV come destinatario tipico di rapporti forensic.

Catena di custodia documentale — Procedura forensic per garantire che le evidenze rimangano integre e ammissibili in sede processuale.

Calcolatori e strumenti ciferi

La Matrice di valutazione del rischio frode ISA Italia 240 struttura l'identificazione degli indicatori di rischio durante la revisione ordinaria e documenta la valutazione richiesta dal principio. Non sostituisce un forensic audit: aiuta il revisore a documentare le procedure e la comunicazione al collegio sindacale in modo che il fascicolo regga al controllo CONSOB.

---