1° Contenuto Riservato: Il recepimento dell’ISA Italia 402: novità e criticità

CIRCOLARE MONOGRAFICA – REVISIONE LEGALE

Esternalizzazione della tenuta della contabilità e della redazione del bilancio e revisione delle aziende di minori dimensioni

DI ROBERTA PROVASI | 23 OTTOBRE 2026

L’applicazione del Principio ISA Italia 402, “Considerazioni sulla revisione contabile di un’impresa che esternalizza attività avvalendosi di fornitori di servizi”, presenta diversi aspetti critici operativi, in particolare per le PMI e le nano-imprese che delegano la tenuta della contabilità o la gestione di sistemi IT a studi o fornitori esterni. Il cuore della criticità sta nel fatto che l’esternalizzazione non solleva il revisore dalle sue responsabilità: egli deve comunque ottenere elementi probativi sufficienti e appropriati. All’interno del nuovo approccio metodologico le linee guida relative all’applicazione di questo Principio vengono aggiornate secondo un approccio più pragmatico e proporzionato, ma non meno rigoroso.

Il nuovo approccio metodologico per la revisione delle aziende di minori dimensioni

Nelle piccole e micro imprese, l’esternalizzazione della tenuta della contabilità e della redazione del bilancio a studi professionali (es. commercialisti) o centri servizi esterni è una prassi estremamente diffusa. Il nuovo approccio metodologico alla revisione legale affidata al collegio sindacale nelle imprese di minori dimensioni, pubblicato dal CNDCEC lo scorso febbraio 2026 richiede al revisore (o al collegio sindacale incaricato della revisione legale) di abbandonare logiche standardizzate e di calibrare le procedure in base alla complessità e alla dimensione dell’organizzazione.

Il nuovo approccio è stato sviluppato considerando i principali aspetti critici operativi che i revisori devono affrontare per recepire le disposizioni dell’ISA Italia 402 e precisamente:

Principali aspetti critici operativi
1. La disponibilità e l’adeguatezza dei report SOC (Tipo 1 e Tipo 2):
L’ISA 402 prevede che il revisore possa fare affidamento sulle relazioni emesse dal revisore del fornitore di servizi (service auditor): Relazione di Tipo 1: Descrive la configurazione del sistema e il disegno dei controlli a una determinata data. Relazione di Tipo 2: Attesta anche l’efficacia operativa di tali controlli lungo un arco temporale. Aspetto critico: Nelle realtà medio-piccole italiane (come gli studi commercialisti che gestiscono la contabilità di terzi), questi report non esistono quasi mai. Di conseguenza, il revisore si trova privo di una documentazione standardizzata e deve trovare vie alternative per comprendere il sistema di controllo interno.
2. Le procedure alternative in assenza delle relazioni
Quando i report non sono disponibili, il revisore dell’impresa utilizzatrice deve attivarsi autonomamente. L’operatività diventa complessa e critica per tre motivi principali: Accesso fisico o virtuale al fornitore: Contattare o recarsi presso lo studio / fornitore esterno per effettuare test sui controlli incontra spesso resistenze commerciali o di privacy da parte del fornitore stesso. Costi e tempi: Effettuare “mini-audit” presso terzi richiede tempo e budget che le micro-imprese che spesso non hanno a disposizione. Applicazione di procedure di validità (substantive): Il revisore si vede costretto a bypassare i test sui controlli e a svolgere controlli dettagliati massivi (ricalcoli, riconciliazioni estratti conto, circolarizzazioni) direttamente sui documenti originari detenuti dal cliente o dal fornitore.
3. La gestione dei rischi legati all’indipendenza (ISA 200)
Si configura una criticità relazionale e deontologica importante: Spesso il revisore della nano-impresa si interfaccia con il commercialista esterno che non solo tiene la contabilità, ma ha redatto il bilancio dell’azienda. Il revisore deve mantenere un fermo scetticismo professionale e verificare l’operato del professionista terzo senza farsi condizionare, gestendo con delicatezza ma fermezza il flusso informativo e il controllo degli errori.
4. Il coordinamento con i sistemi informatici (IT) ed i sub-fornitori
Tracciabilità del dato: Capire come i dati transitano dai sistemi aziendali a quelli del fornitore esterno (punti di interfaccia, sicurezza informatica, backup) rappresenta una sfida tecnica notevole per il revisore. La catena dei sub-fornitori (Subservice Organizations): Se il fornitore di servizi a sua volta esternalizza (es. uno studio commerciale che si appoggia su un cloud server esterno non protetto o gestito da terzi), il revisore deve estendere la valutazione del rischio anche a questa ulteriore catena, aumentando la complessità operativa.

Struttura e contenuto dell’ISA 402 e aspetti operativi

Il Principio affronta il modo in cui il revisore raccoglie elementi probativi sufficienti e appropriati quando funzioni contabili, amministrative o operative vengono delegate a terzi (ad es. studi di commercialisti, centri elaborazione dati, cloud provider finanziari o gestori di fondi). Al riguardo il revisore deve considerare due obiettivi:

• Obiettivo 1: Comprendere la natura e la rilevanza dei servizi forniti dal fornitore e il loro impatto sui controlli interni dell’impresa utilizzatrice rilevanti ai fini della revisione.
• Obiettivo 2: Valutare i rischi di errori significativi e ideare/svolgere procedure di revisione in risposta a tali rischi.

La struttura standard del documento segue la linea degli ISA Italia e si articola nei seguenti macro-blocchi:

Struttura standard del documento
Introduzione: Oggetto del principio e data di entrata in vigore.
Definizioni: Chiarimento dei termini chiave (impresa utilizzatrice, fornitore di servizi, relazione di tipo Tipo 1 e Tipo 2, revisore del fornitore di servizi).
Requisiti (Requirements): Comprensione dei servizi forniti dal fornitore di servizi: analisi della natura, dell’interazione con l’impresa e dei contratti in essere. Risposta ai rischi valutati: determinazione della rilevanza dei controlli e scelta se testare i controlli presso il fornitore oppure svolgere procedure di validità (substantive procedures). Relazioni del fornitore di servizi (Relazioni di Tipo 1 e Tipo 2): utilizzo delle asseverazioni di terzi sulla descrizione e sull’efficacia operativa dei controlli del fornitore. Frodi, non conformità e comunicazioni: obblighi di segnalazione o verifica di eventuali carenze nel controllo interno.
Guida applicativa e altro materiale esplicativo: Esempi pratici e approfondimenti operativi su come applicare i requisiti nelle diverse casistiche (dalle PMI/nano-imprese che esternalizzano la contabilità ai grandi service provider tecnologici).

L’approccio metodologico fornisce alcuni focus operativi con particolare riferimento a quegli aspetti critici per il revisore legale dei conti.

Come noto, l’ISA Italia 402 disciplina le responsabilità del revisore di acquisire elementi probativi sufficienti ed appropriati nei casi in cui l’impresa esternalizzi attività avvalendosi di uno o più fornitori di servizi. In particolare, vengono trattate le modalità con cui il revisore dell’impresa applica i Principi di revisione internazionale (ISA Italia) n. 315 e n. 330 al fine di acquisire una comprensione dell’impresa, incluso il suo controllo internorilevante ai fini della revisione contabile, che sia sufficiente ad identificare e valutare i rischi di errori significativi nonché a definire e svolgere procedure di revisione conseguenti in risposta a tali rischi. In tali circostanze, la comprensione della natura e dell’estensione delle attività svolte dal fornitore di servizi è fondamentale per il revisore ai fini della pianificazione delle proprie attività di controllo. Altrettanto importante è per il revisore acquisire una comprensione dell’impresa utilizzatrice, incluso il suo sistema di controllo interno. Pertanto al riguardo l’approccio suggerisce al revisore in merito a come realizzare i due obbiettivi:

1. la comprensione della natura ed estensione delle attività svolte dal fornitore di servizi,
2. la comprensione dei controlli svolti dal fornitore di servizi.

La comprensione della natura ed estensione delle attività svolte dal fornitore di servizi

Il revisore deve individuare i servizi prestati dal fornitore da considerarsi rilevanti ai fini della revisione contabile che sono quelli circoscritti ai soli servizi che abbiano un impatto sul sistema informativo dell’impresa utilizzatrice rilevante ai fini della redazione del bilancio, ossia che influiscono su uno dei seguenti aspetti:

1. sulle modalità con cui le informazioni relative a classi di operazioni, saldi contabili e informativa rilevanti per la revisione confluiscono all’interno del sistema informativo dell’impresa utilizzatrice, se ciò avviene manualmente o mediante l’utilizzo dell’IT, e se queste provengano o meno dalla contabilità generale o sezionale;
2. sulle registrazioni contabili e sugli specifici conti del bilancio dell’impresa utilizzatrice e le altre registrazioni di supporto relative ai flussi di informazioni;
3. sul processo di predisposizione dell’informativa finanziaria utilizzato per redigere il bilancio dell’impresa utilizzatrice, sulle registrazioni contabili, incluso nella misura in cui si riferiscano all’informativa e alle stime contabili relative a classi di operazioni, saldi contabili e informativa rilevanti per la revisione;
4. sull’ambiente IT dell’impresa rilevante ai fini del bilancio.

Come sottolineato dall’approccio metodologico l’esternalizzazione di attività per la redazione del bilancio mediante l’utilizzo di fornitori di servizi non esime gli amministratori e, ove appropriato, i responsabili delle attività di governance, dalle loro responsabilità per il bilancio (par. A.5 ISA Italia 402). Il revisore dovrà quindi comprendere l’esatto perimetro di attività del fornitore di servizi, valutando la rilevanza delle sue attività in relazione alla predisposizione dell’informativa finanziaria, e comprendere le modalità operative attraverso le quali vengono garantiti flussi informativi e documentali con la società.

Già in fase di attività preliminari all’accettazione dell’incarico, il revisore dovrebbe acquisire una comprensione generale:

1. delle attività svolte dal fornitore di servizi;
2. delle modalità con cui sarà possibile avere accesso ai dati e documenti predisposti dal fornitore di servizi (accesso presso i locali del fornitore di servizi, accesso ai documenti in cloud o da remoto, ecc.);
3. del livello di complessità delle interazioni tra la società e il fornitore di servizi;
4. delle tempistiche di elaborazione dei dati e delle informazioni che sono utili ai fini della revisione contabile, in modo da poter stimare adeguatamente la natura, l’estensione e le tempistiche dello svolgimento dei propri controlli;
5. inoltre dovrebbe accertare l’individuazione del profilo professionale del fornitore di servizi, la verifica dell’iscrizione ad Albi professionali, ad esempio, potrebbe essere facilmente effettuata dal revisore al fine di crearsi una ragionevole aspettativa circa le competenze richieste per lo svolgimento delle attività esternalizzate.

Elemento probativo fondamentale in tali circostanze è senza dubbio rappresentato dal contratto o accordo stipulato tra la società ed il proprio fornitore di servizi. Il contratto o l’accordo possono, infatti, contemplare aspetti quali:

1. le informazioni da fornire all’impresa utilizzatrice e le responsabilità per la rilevazione delle operazioni in relazione alle attività poste in essere dal fornitore di servizi;
2. l’applicazione delle disposizioni degli organismi di vigilanza riguardanti la forma della tenuta delle registrazioni, ovvero l’accesso ad esse;
3. l’eventuale indennizzo da corrispondere all’impresa utilizzatrice in caso di inadempimenti relativi alla prestazione;
4. se il fornitore di servizi fornirà una relazione sui propri controlli e, in caso affermativo, se tale relazione sarà di tipo 1 o di tipo 2;
5. se il revisore dell’impresa utilizzatrice abbia diritto di accedere alle registrazioni contabili dell’impresa utilizzatrice tenute dal fornitore di servizi e alle altre informazioni necessarie allo svolgimento della revisione contabile;
6. se l’accordo consenta la comunicazione diretta tra il revisore dell’impresa utilizzatrice e il revisore del fornitore di servizi.

La comprensione dei controlli svolti dal fornitore di servizi

Nella fase di comprensione del sistema di controllo interno dell’impresa, il revisore deve identificare quali controlli vengano svolti dal fornitore di servizi, inclusi quelli che sono applicati alle operazioni da questi elaborate, al fine di valutarne la configurazione ed implementazione. Nello specifico, il revisore deve stabilire se sia stata acquisita una comprensione sufficiente della natura e della rilevanza dei servizi prestati dal fornitore, nonché valutare il loro effetto sul sistema di controllo interno dell’impresa utilizzatrice, tale da fornire una base appropriata per l’identificazione e la valutazione dei rischi di errori significativi. Tale comprensione, acquisibile tramite colloqui sia con la società che con il fornitore di servizi, supporta il revisore nel processo di identificazione e valutazione dei rischi di errori significativi, sia a livello di bilancio nel suo complesso che di singola asserzione di voce di bilancio.

L’approccio suggerisce che nei casi di contabilità esternalizzata, il fornitore di servizi potrebbe permettere all’impresa utilizzatrice di accedere (in sola modalità “lettura”) al proprio sistema informativo per visualizzare le registrazioni contabili e le situazioni periodiche elaborate, consentendo quindi un monitoraggio ed un controllo costante ed in tempo reale delle attività svolte. Inoltre, potrebbero essere utilizzate piattaforme in cloud per la condivisione, lo scambio e l’archiviazione dei documenti contabili, osservando chiaramente le vigenti prescrizioni in tema di privacy e sicurezza dei dati.

Tali accessi, debitamente autorizzati dalla società, potrebbero essere consentiti anche al revisore, il quale avrebbe a disposizione in tempo reale le informazioni e i documenti utili ai fini delle proprie attività di controllo sul bilancio, agevolando i flussi informativi con il fornitore di servizi e ottimizzando le tempistiche delle procedure di audit pianificate.

I Principi di revisione prevedono che nei casi in cui il revisore non sia in grado di acquisire una comprensione sufficiente dall’impresa utilizzatrice, è necessario che acquisisca tale comprensione ponendo in essere una o più delle seguenti procedure:

1. acquisire una relazione di tipo 1 o di tipo 2, ove disponibile;
2. contattare, tramite l’impresa utilizzatrice, il fornitore di servizi al fine di acquisire specifiche informazioni;
3. recarsi presso il fornitore di servizi e svolgere le procedure atte a fornire le informazioni necessarie sui controlli presso il fornitore di servizi; ovvero
4. avvalersi di un altro revisore per svolgere le procedure atte a fornire le informazioni necessarie sui controlli pertinenti presso il fornitore di servizi.

Nei casi in cui venga previsto, solitamente in base alle pattuizioni contrattuali con la società, il fornitore di servizi può incaricare un proprio revisore:

1. di emettere una relazione sulla descrizione e sulla configurazione dei propri controlli (relazione di tipo 1);
2. ovvero sulla descrizione e sulla configurazione dei propri controlli e sulla loro efficacia operativa (relazione di tipo 2).

Questi documenti rappresenteranno validi elementi probativi per il revisore, al fine di completare la sua attività di comprensione per l’individuazione e valutazione dei rischi, e sulla scelta dell’approccio di revisione da seguire.

Nelle imprese di minori dimensioni, dove generalmente si riscontra una minore complessità delle attività svolte dal fornitore di servizi e non risulta particolarmente complesso da parte della società favorire uno scambio diretto tra revisore e fornitore di servizi, è certamente più efficace optare per lo svolgimento di procedure di verifica direttamente presso la sede del fornitore di servizi, effettuando colloqui ed ottenendo informazioni che possano consentire l’acquisizione di una complessiva comprensione delle attività svolte dal fornitore dei servizi, della sua organizzazione interna, dei sistemi informativi utilizzati, delle attività di monitoraggio e controllo sulla predisposizione dell’informativa finanziaria, delle modalità di interazione con l’impresa utilizzatrice, del flusso documentale prodotto.

In particolare, il revisore deve indagare:

1. le operazioni e le attività che fanno riferimento alle scritture di assestamento, completamento e rettifica;
2. alcune voci di bilancio interessate da processi di stima, a puro titolo esemplificativo, sono: fatture e note credito da ricevere, fatture e note credito da emettere, accantonamenti a fondi rischi e oneri, svalutazione e rivalutazione di attività, capitalizzazione di costi;
3. alcune specifiche scritture di assestamento, completamento e rettifica potrebbero in parte essere determinate direttamente dal fornitore di servizi tramite automatismi del proprio sistema informativo [ratei e risconti, ammortamenti di periodo, oneri accessori del personale (TFR, ferie, ROL e relativi oneri sociali), imposte di competenza dell’esercizio], sebbene presuppongano sempre la verifica ed il monitoraggio da parte della società ai fini dell’autorizzazione all’effettuazione delle pertinenti registrazioni contabili;
4. qualora il fornitore di servizi si occupi anche del supporto alla redazione del bilancio di esercizio, il revisore dovrà comprenderne le varie fasi procedurali, incluse le attività di controllo, supporto e monitoraggio svolte (sia dalla società che dal fornitore di servizi), inclusi gli eventuali controlli effettuati a livello informatico (quadrature, elaborazioni, riclassificazioni).

Sulla base della comprensione ottenuta dal revisore in fase di pianificazione, saranno declinate le procedure di revisione da svolgere in considerazione dei rischi individuati e valutati. Nel caso di imprese di minori dimensioni, dove le operazioni sono standardizzate e routinarie, le procedure semplici e solitamente non formalizzate, e qualora non si ravvisino peculiari necessità di dover testare l’efficacia dei controlli, potrebbe risultare poco efficace ed efficiente per il revisore adottare un approccio basato sui controlli, prediligendo quindi un approccio basato sulle procedure di sostanza.

Va infine ricordato che nei casi in cui il revisore non sia in grado di acquisire elementi probativi sufficienti ed appropriati in merito ai servizi prestati dal fornitore che siano rilevanti ai fini della revisione contabile del bilancio, i Principi di revisione richiedono che egli esprima un giudizio con modifica nella propria relazione (giudizio con rilievi ovvero dichiarazione di impossibilità di esprimere un giudizio in base alla sua conclusione sul fatto se i possibili effetti sul bilancio siano significativi ovvero pervasivi), in quanto sussiste una limitazione allo svolgimento delle procedure di revisione.

Le carte di lavoro di supporto

Nel gennaio 2020 il CNDCEC ha pubblicato il Documento “La revisione legale nelle nano-imprese”, finalizzato a fornire linee guida operative per il revisore delle aziende di minori dimensioni. Al riguardo, fra gli altri aspetti il CNDCEC focalizza l’attenzione anche su come recepire al meglio l’ISA Italia 402, anche con il supporto di adeguate carte da lavoro, fra cui in particolare:

1. il questionario di comprensione dei servizi prestati dal fornitore di servizi,
2. memorandum di comprensione delle attività svolte dal fornitore dei servizi nei confronti della società utilizzatrice”,
3. il format della lettera di incarico professionale per contabilità ordinaria, bilancio, adempimenti fiscali e consulenza del lavoro.

Nel maggio 2024 il CNDCEC, in fase di aggiornamento delle carte da lavoro, pubblica il Tool per la “La gestione degli incarichi”, di cui all’interno dell’Audit Tool Excel alla sezione C dedicata alla Pianificazione è presente la specifica carta da lavoro:

• C12 – Questionario di comprensione dei servizi prestati dal fornitore di servizi

Tale carta da lavoro è strutturata in modo tale da permettere al revisore di acquisire le informazioni utili per comprendere come vengono erogati i servizi esternalizzati. Gli aspetti da indagare sono i seguenti:

C12 – Questionario di comprensione dei servizi prestati dal fornitore di servizi
1. Ottenere una comprensione dei seguenti aspetti:
a.1. Natura dei servizi. a.2. Rilevanza dei servizi. a.3. Effetti sul controllo interno dell’impresa utilizzatrice. b. Natura e significatività delle operazioni elaborate o dei processi relativi alla contabilizzazione e alla predisposizione del bilancio da parte del fornitore di servizi. c. Livello di interazione tra le attività del fornitore di servizi e quelle dell’impresa utilizzatrice. d. Natura del rapporto tra impresa utilizzatrice e fornitore di servizi inclusi i relativi termini contrattuali. e. Configurazione e messa in atto di controlli interni rilevanti presso l’impresa utilizzatrice che riguardano i servizi prestati dal fornitore di servizi.
2. Valutare se sia stata acquisita una sufficiente comprensione della natura e della rilevanza dei servizi prestati dal fornitore e del loro effetto sul controllo interno dell’impresa utilizzatrice rilevante ai fini della revisione contabile, tale da fornire una base per l’identificazione e la valutazione del rischio di errori significativi.
3. Nel caso non sia possibile acquisire la comprensione di cui al precedente punto 2, svolgere una o più delle seguenti procedure: Contattare, tramite l’impresa utilizzatrice, il fornitore dei servizi al fine di acquisire specifiche informazioni. Visitare il fornitore di servizi e svolgere le procedure idonee a fornire le informazioni necessarie sui controlli pertinenti presso lo stesso. Acquisire, se disponibile, una relazione di “Tipo 1” o di “Tipo 2”. Avvalersi di un altro revisore per svolgere le procedure idonee a fornire le informazioni necessarie sui controlli pertinenti il fornitore di servizi.
4. Sulla base dello svolgimento delle procedure pianificate e delle indagini svolte presso gli amministratori dell’impresa utilizzatrice stabilire se il fornitore di servizi abbia comunicato all’impresa utilizzatrice, ovvero, se questa abbia avuto conoscenza di eventuali frodi, non conformità a leggi e regolamenti, errori non corretti che influiscono sul bilancio.
5.Valutare in che modo gli aspetti contenuti nelle comunicazioni del fornitore di servizi di cui al precedente punto 4, ovvero, di cui abbia avuto conoscenza l’impresa utilizzatrice, impattino sulla natura, estensione e tempistica delle procedure di revisione, inclusi gli effetti sulle conclusioni e sulla relazione di revisione.

Infine il paragrafo delle conclusioni:

Determinare le procedure di revisione da svolgere per acquisire sufficienti ed appropriati elementi probativi con riguardo alle attività svolte dal fornitore di servizi:
1. Non acquisibili dalla documentazione tenuta dall’impresa utilizzatrice
Svolgere test di sostanza presso il fornitore di servizi.
Svolgere test di conformità presso il fornitore di servizi.
Utilizzare un altro revisore per svolgere i test di conformità presso il fornitore di servizi.
Ottenere relazione di Tipo 1.
Ottenere relazione di Tipo 2.
2. Acquisibili dalla documentazione tenuta dall’impresa utilizzatrice
Svolgere test di sostanza (e/o di conformità) presso l’impresa utilizzatrice.

Riferimenti normativi:

• CNDCEC, Informativa 3 febbraio 2026, “Approccio metodologico alla revisione legale affidata al collegio sindacale nelle imprese di minori dimensioni – Seconda edizione”; 
• CNDCEC, Informativa 9 maggio 2024, “Tool Excel per la gestione degli incarichi di revisione legale”; 
• CNDCEC, Documento di studio 31 gennaio 2020, “La revisione legale nelle nano-imprese – Riflessi e strumenti operativi”; 
• ISA Italia 402, “Considerazioni sulla revisione contabile di un’impresa che esternalizza attività avvalendosi di fornitori di servizi”. 

Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.

Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.

Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.