Uno sguardo al futuro della revisione
I nostri esperti approfondiscono le principali implicazioni della trasformazione digitale per l’attività di revisione, analizzando come l’innovazione tecnologica stia ridefinendo il ruolo del revisore, i processi di audit e le competenze richieste ai professionisti del settore. Attraverso un focus sull’evoluzione degli standard ISA, sull’utilizzo di strumenti di data analytics, dei controlli IT e delle Automated Tools and Techniques (ATT), vengono esaminate le opportunità offerte dalla digitalizzazione per migliorare l’efficacia e la qualità della revisione, senza trascurare i nuovi rischi connessi all’impiego dell’intelligenza artificiale e dei processi automatizzati. Un approfondimento dedicato illustra inoltre le principali sfide legate all’automation bias e alla governance delle nuove tecnologie, offrendo una panoramica sulle prospettive future della professione di revisore.
La revisione contabile di fronte alla trasformazione digitale
a cura di Ferdinando Greco
In che modo la trasformazione digitale sta modificando il ruolo del revisore?
La trasformazione digitale sta cambiando profondamente il ruolo del revisore, che evolve da funzione prevalentemente orientata alla verifica ex post a presidio sempre più integrato nei processi aziendali. Oggi non è più sufficiente validare l'informazione finanziaria: è necessario comprendere i processi operativi e i sistemi tecnologici che la generano. L'accesso a dati strutturati, piattaforme ERP evolute e strumenti digitali consente di svolgere analisi più estese, tempestive e approfondite, modificando il modo stesso di concepire l'attività di audit. Cresce quindi l'attenzione verso i sistemi informativi, la qualità dei dati e i controlli che ne garantiscono affidabilità e integrità. Il revisore non valuta soltanto i risultati prodotti dall'impresa, ma anche l'affidabilità dei processi che li generano, contribuendo a rafforzare il sistema di controllo interno e la fiducia degli stakeholder in un contesto aziendale sempre più complesso e digitalizzato.
Quali opportunità offre l’evoluzione tecnologica all’attività di audit?
L'evoluzione tecnologica rappresenta un'importante opportunità per rendere la revisione più efficace, efficiente e coerente con la crescente complessità delle imprese. L'impiego di strumenti di data analytics e di soluzioni automatizzate permette di analizzare volumi di dati impensabili fino a pochi anni fa, ampliando il perimetro delle verifiche e migliorando la qualità degli elementi probativi. Le attività manuali e ripetitive possono essere progressivamente ridotte, consentendo al revisore di dedicare maggiore attenzione alla comprensione dei rischi, all'analisi critica delle evidenze e alla conoscenza del business. La tecnologia non sostituisce il giudizio professionale, ma lo rafforza, mettendo il revisore nelle condizioni di assumere decisioni basate su informazioni più complete e affidabili. L'obiettivo non è svolgere più controlli, ma concentrare l'attività sulle aree di rischio realmente rilevanti, offrendo alle imprese un audit sempre più orientato alla qualità e alla creazione di valore.
Quali nuovi rischi introduce la digitalizzazione nelle aziende revisionate?
Accanto alle opportunità, la digitalizzazione introduce nuovi profili di rischio che richiedono un presidio sempre più strutturato. Assumono particolare rilevanza i rischi legati alla qualità e all'integrità dei dati, alla sicurezza informatica, alla gestione degli accessi e alla corretta configurazione dei sistemi applicativi. In ambienti fortemente automatizzati, eventuali errori nei processi o nei controlli possono propagarsi rapidamente e produrre effetti significativi sull'informativa finanziaria. Si aggiungono inoltre i rischi connessi all'utilizzo di servizi cloud, alla dipendenza da fornitori tecnologici e alla crescente interconnessione tra piattaforme differenti. Per questo motivo il revisore deve ampliare il proprio perimetro di analisi, sviluppando una conoscenza sempre più approfondita dell'ambiente IT e del suo impatto sui processi aziendali. Valutare correttamente i rischi tecnologici significa oggi contribuire non solo all'affidabilità dell'informativa finanziaria, ma anche alla resilienza dei processi aziendali.
Come stanno cambiando le competenze richieste ai team di revisione?
Le competenze richieste ai team di revisione stanno evolvendo verso un modello sempre più multidisciplinare. Le conoscenze contabili, finanziarie e normative restano il fondamento della professione, ma devono essere integrate con la capacità di comprendere sistemi informativi, flussi di dati, controlli automatizzati e strumenti di analisi avanzata. Parallelamente, cresce l'esigenza di sviluppare una visione più ampia del business, capace di collegare i rischi tecnologici a quelli operativi e finanziari. Il revisore deve comprendere non solo i risultati prodotti dai sistemi, ma anche le logiche che li generano e i potenziali rischi associati. Il valore aggiunto della professione risiede sempre meno nell'esecuzione di attività ripetitive e sempre più nella capacità di formulare giudizi indipendenti, interpretare correttamente le evidenze disponibili e supportare gli stakeholder attraverso analisi affidabili, tempestive e orientate al futuro.
Quale impatto può avere l’intelligenza artificiale sul futuro della revisione?
L'intelligenza artificiale rappresenta uno dei principali fattori di trasformazione della revisione nei prossimi anni. Gli strumenti basati su AI potranno rafforzare l'identificazione delle anomalie, la valutazione dei rischi e l'analisi di grandi quantità di dati, consentendo verifiche sempre più estese e tempestive. Ne deriveranno modelli di audit maggiormente orientati al rischio, con una crescente capacità di individuare situazioni potenzialmente critiche. Tuttavia, il futuro della revisione non sarà caratterizzato dalla sostituzione del revisore, bensì da una collaborazione sempre più efficace tra tecnologia e giudizio professionale. La responsabilità finale delle valutazioni rimarrà infatti in capo al revisore, chiamato a garantire che gli strumenti innovativi siano utilizzati all'interno di processi controllati, trasparenti e coerenti con i principi di revisione. In un contesto di continua innovazione, il valore distintivo della professione continuerà a essere la capacità di generare fiducia attraverso un giudizio professionale indipendente, fondato su competenza, etica e qualità dell'evidenza.
L’applicazione degli ISA nei contesti digitalizzati: controlli IT, data analytics e intelligenza artificiale
a cura di Cosimo De Musso
In che modo l’ISA Italia 315 Revised modifica il processo di identificazione e valutazione dei rischi in ambienti IT complessi?
Nel corso del 2022 è stato emanato l’ISA Italia 315 Revised “Identificazione e valutazione dei rischi di errori significativi mediante la comprensione dell’impresa e del contesto in cui opera” che incoraggia i revisori ad acquisire una adeguata comprensione dell’ambiente e dei sistemi IT utilizzati dalla società revisionata, ponendo particolare attenzione ai fattori di rischio associati.
L’approccio di audit non può prescindere da una più estesa comprensione del sistema di controllo interno adottato dall’impresa, tenendo conto del suo continuo aggiornamento dovuto all’uso crescente della tecnologia e dei sistemi informativi utilizzati, nonché da una chiara definizione dei controlli in ambiente IT, così come disposto dall’ISA Italia 315. La qualità degli elementi probativi, ispirandosi alle indicazioni del principio ISA Italia 500, pertanto, deve tener conto necessariamente del contesto entro cui tali elementi si concretizzano e del fatto che l’adozione di soluzioni tecnologiche anche evolute nei processi aziendali tende ad influenzare in maniera rilevante il peso specifico di talune evidenze di revisione (ad esempio, l’estrazione delle scritture contabili e/o di dati di natura gestionale/contabile in formati elettronici potenzialmente modificabili).
In tale contesto, acquista particolare importanza la ragionevole sicurezza che il processo utilizzato per riportare i fatti di gestione in contabilità generale operi correttamente in tutti i suoi aspetti rilevanti.
Risulta pertanto evidente come al revisore sia richiesta una conoscenza tecnica diversa rispetto ai classici canoni a matrice giuridico-economica. Assume importanza l’opportuna competenza per valutare in maniera adeguata l’ambiente IT ed il suo funzionamento, con particolare attenzione ai meccanismi di fondo di funzionamento del software. Tale competenza consente di rassicurare in merito al buon funzionamento di quanto concorre alla determinazione dell’ambiente IT e confermare l’oggettività e, quindi, l’accuratezza dei dati estratti quali evidenze per lo sviluppo delle procedure di revisione.
Come le Automated Tools and Techniques (ATT) migliorano la qualità degli elementi probativi?
Conseguenza fisiologica del processo di trasformazione tecnologica delle imprese è quella del “valore” e dell’attendibilità delle evidenze probative di revisione ottenute dai sistemi IT nell’ambito di file il cui formato risulta, per propria natura intrinseca, modificabile. Occorre infatti considerare come le evidenze ottenute nei formati digitali, anche se da un lato consentono al revisore di attuare una serie di analisi quantitative e qualitative avanzate, dall’altro impongono al revisore stesso di valutare la completezza ed accuratezza dei dati, quali elementi probativi.
Tale esigenza rappresenta l’anello di congiunzione tra la fase di analisi dell’ambiente IT e la valutazione delle evidenze ricevute e definisce una sorta di assioma relativo alla correlazione tra l’affidabilità dell’ambiente IT rilevato dal revisore e la qualità delle evidenze in formato file ottenute. Tanto più alta sarà la rassicurazione acquisita dal revisore in merito all’affidabilità dell’ambiente IT, tanto più elevata potrà ritenersi l’affidabilità dei processi di elaborazione dei dati ottenuti come evidenze di revisione in formato digitale.
Il progresso tecnologico e lo sviluppo di strumenti di analisi evoluti, combinati con le nuove conoscenze in tema IT, permettono al revisore di impiegare Automated Tools and Techniques (“ATT”), avendo cura, come riportato nei precedenti paragrafi, di aver ottenuto adeguate rassicurazioni in merito al buon funzionamento dell’ambiente IT da cui i dati oggetto di analisi sono stati estratti, unitamente alla verifica della completezza e dell’accuratezza delle informazioni utilizzate (in proposito il Principio di Revisione ISA Italia 315 include specifiche guidance ed esempi pratici di utilizzo di ATT). Tali strumenti consentono al revisore di realizzare procedure di analisi su intere popolazioni di dati, al fine di identificare e valutare i rischi di errore e applicare procedure a matrice statistica, permettendo in tal modo una maggior profondità di analisi. Rassicurazioni in merito al buon funzionamento dell’ambiente IT consentono al revisore di riconsiderare i programmi di lavoro basati su verifiche campionarie, concentrare la propria attenzione sugli elementi c.d. outlier e focalizzare maggiormente le eventuali procedure di verifica e i relativi campioni oggetto di analisi.
Quali controlli IT devono essere valutati per garantire completezza e accuratezza dei dati estratti?
Ai fini della validazione della completezza e dell’accuratezza dei dati estratti dai sistemi informativi aziendali, il revisore è tenuto a valutare in modo strutturato l’affidabilità dell’ambiente IT e l’efficacia dei controlli generali e applicativi che presidiano la generazione, l’elaborazione, la memorizzazione e la trasmissione delle informazioni. Il documento ASSIREVI evidenzia come l’attendibilità degli elementi probativi in formato digitale sia strettamente correlata al livello di affidabilità del sistema IT da cui tali evidenze sono estratte: quanto maggiore è la robustezza del framework di controllo IT, tanto più elevata sarà l’affidabilità delle evidenze di audit ottenute.
In tale contesto, assumono primaria rilevanza i controlli di access management, finalizzati a garantire che l’accesso a sistemi, applicazioni e database sia limitato ai soli utenti autorizzati, in conformità al principio del least privilege. Tali controlli mitigano il rischio di accessi non autorizzati, alterazioni improprie dei dati o registrazioni contabili fittizie. Parallelamente, è necessario valutare i privileged access controls relativi al personale IT, poiché privilegi eccessivi possono consentire modifiche non tracciate ai dati o alle configurazioni applicative.
Ulteriore area di analisi riguarda i change management controls, ossia i controlli che regolano modifiche a software, applicazioni e configurazioni di sistema. Il revisore deve verificare che ogni modifica sia formalmente autorizzata, adeguatamente testata e correttamente implementata in ambiente produttivo, al fine di prevenire errori sistemici nell’elaborazione dei dati. Analogamente, risultano essenziali i controlli sui master data, volti a prevenire modifiche non autorizzate ai dati di base che alimentano i processi contabili e di reporting.
Devono inoltre essere esaminati gli application controls e gli interface controls, che garantiscono la corretta elaborazione delle transazioni e la completezza dei flussi informativi tra sistemi differenti. Tali controlli consentono di intercettare omissioni, duplicazioni o alterazioni durante i trasferimenti di dati. Infine, i backup and recovery controls assicurano resilienza operativa, continuità di accesso ai dati e capacità di ripristino in caso di perdita o corruzione delle informazioni. La valutazione congiunta di tali controlli permette al revisore di acquisire ragionevole sicurezza sull’affidabilità dei dataset utilizzati nelle procedure di revisione.
In che modo i modelli di data analytics influenzano il campionamento di revisione previsto dall’ISA 530?
I modelli di data analytics influenzano profondamente il campionamento di revisione disciplinato dall’ISA 530, modificando l’approccio tradizionale basato sulla selezione di campioni rappresentativi di operazioni o saldi. In un contesto tradizionale, il revisore seleziona un campione statistico o non statistico su cui svolgere le verifiche, accettando un rischio di campionamento legato al fatto che non tutte le transazioni vengono analizzate.
Con l’introduzione di strumenti avanzati di analisi dei dati, invece, il revisore può elaborare grandi quantità di informazioni in tempi ridotti, arrivando in alcuni casi ad analizzare l’intera popolazione delle transazioni. Attraverso le Automated Tools and Techniques (ATT), i data analytics permettono di individuare correlazioni, trend anomali e outlier che potrebbero indicare errori significativi o frodi. Questo cambia la logica del campionamento: non si selezionano più solo elementi casuali o rappresentativi, ma si costruiscono campioni mirati sulla base del rischio emerso dalle analisi preliminari. Di conseguenza, il campionamento previsto dall’ISA 530 diventa più dinamico e risk-based, poiché l’attenzione del revisore si concentra sulle transazioni con caratteristiche anomale o con maggiore probabilità di errore. Un ulteriore impatto riguarda la qualità dell’evidenza probativa. I modelli di data analytics consentono verifiche più approfondite e una maggiore capacità di identificare eccezioni che, con tecniche manuali, potrebbero non emergere. Tuttavia, l’affidabilità di questo approccio dipende dalla qualità dei dati di input e dalla solidità dell’ambiente IT dell’impresa. Il revisore deve quindi verificare completezza, accuratezza e integrità dei dati estratti dai sistemi informativi, poiché eventuali errori nei dataset comprometterebbero l’intera analisi.
In conclusione, i data analytics non sostituiscono il campionamento previsto dall’ISA 530, ma ne trasformano l’applicazione: da strumento principalmente quantitativo a processo più intelligente, selettivo e orientato al rischio, migliorando efficacia, efficienza e qualità della revisione.
Come mitigare il rischio di automation bias nell’utilizzo di AI e strumenti automatizzati in audit?
Il rischio di automation bias (eccessivo affidamento agli strumenti automatizzati o di AI) non si mitiga limitando l'uso della tecnologia, bensì integrandola con competenze adeguate, scetticismo professionale e solide procedure di revisione.
Potremmo identificare diverse misure di mitigazione. Tra queste:
- Mantenere lo scetticismo professionale del revisore. Il revisore non deve accettare in modo acritico gli output prodotti dagli strumenti automatizzati o dall'AI. Lo scetticismo professionale rimane il principio fondamentale dell'attività di revisione, anche quando vengono utilizzati strumenti di data analytics, automazione o intelligenza artificiale. L'ISA Italia 220 richiama esplicitamente il rischio che un eccessivo affidamento agli strumenti automatizzati riduca la capacità critica del team di revisione.
- Formare adeguatamente il personale. Gli auditor devono essere formati per comprendere il funzionamento degli strumenti tecnologici, verificare che il software svolga correttamente le attività per cui viene utilizzato, interpretare correttamente gli output prodotti e infine prendere decisioni di revisione sulla base del proprio giudizio professionale e non esclusivamente delle elaborazioni automatiche.
- Integrare competenze specialistiche nei team di revisione. I team devono includere specialisti IT e professionisti con competenze in data analytics, programmazione e interpretazione dei dati. I Principi di Revisione prevedono espressamente la possibilità di coinvolgere professionisti specializzati nell'analisi delle informazioni prodotte dagli strumenti automatizzati.
- Validare la qualità dei dati e dell'ambiente IT. Prima di fare affidamento sugli output degli strumenti automatizzati è necessario ottenere ragionevoli rassicurazioni sul corretto funzionamento dell'ambiente IT, sulla completezza e accuratezza dei dati utilizzati e sull'affidabilità delle evidenze digitali.
- Considerare la tecnologia come supporto e non come sostituto del giudizio professionale. La tecnologia migliora efficienza e profondità delle analisi, ma la responsabilità finale del giudizio rimane sempre in capo al revisore.
In sintesi, il modo più efficace per mitigare l'automation bias consiste nel mantenere il revisore al centro del processo decisionale. L'AI e gli strumenti automatizzati devono essere utilizzati come supporto alle attività di audit, mentre il giudizio professionale, lo scetticismo, la verifica della qualità dei dati e la formazione continua degli auditor restano gli elementi essenziali per garantire un'attività di revisione affidabile e conforme ai principi professionali.
