Internal audit: chi è il revisore interno e cosa fa

L'internal audit è il controllo che l'azienda fa su sé stessa per verificare che le regole interne funzionino davvero: che gli acquisti seguano le procedure, che il magazzino contabile corrisponda a quello fisico, che nessuno possa pagare o incassare senza un secondo controllo. Il revisore interno è la persona che fa queste verifiche e riferisce a chi guida l'azienda.

Vediamo cosa fa in pratica, in cosa si distingue dal revisore legale e dal controller, e come una PMI può avere un internal audit senza creare un ufficio apposta.

Cos'è l'internal audit?

È un'attività di verifica indipendente sui processi dell'azienda. Non controlla i numeri del bilancio in sé, controlla il modo in cui quei numeri si formano. La domanda di fondo è: le cose che abbiamo deciso di fare, si fanno davvero? E se qualcuno sbaglia o approfitta, ce ne accorgiamo?

A livello internazionale gli standard della professione li scrive l'Institute of Internal Auditors, l'associazione dei revisori interni. Nelle grandi aziende e nelle società quotate l'internal audit è un ufficio vero e proprio, che riferisce al consiglio di amministrazione o a un comitato. In una PMI quasi mai esiste come funzione, ma le domande a cui risponde restano le stesse.

Chi è il revisore interno e cosa fa?

È un professionista, dipendente o esterno, che ha il compito di controllare i processi senza farne parte. Il punto chiave è proprio questo: chi controlla non deve essere la stessa persona che fa. Il responsabile acquisti non può verificare sé stesso.

Il suo lavoro segue di solito cinque passaggi.

1. Mappa dei rischi. Individua i processi dove un errore o una frode costerebbero di più: acquisti, pagamenti, incassi, magazzino, paghe, accessi ai conti.
2. Piano di verifica. Decide cosa controllare nell'anno, partendo dai rischi più alti.
3. Verifiche sul campo. Prende un campione di operazioni e controlla che siano andate come prevede la procedura: ordine firmato, merce ricevuta, fattura uguale all'ordine, pagamento autorizzato.
4. Rapporto. Scrive cosa ha trovato, quanto vale e cosa propone di cambiare.
5. Verifica di follow-up. Dopo qualche mese controlla che le correzioni siano state fatte.

Che differenza c'è tra internal audit, revisore legale e controllo di gestione?

Sono tre funzioni diverse, che si confondono spesso.

	Internal audit	Revisore legale	Controllo di gestione
Per chi lavora	Per la direzione e il CdA	Per soci, terzi e legge	Per l'imprenditore
Cosa guarda	I processi e le regole interne	Che il bilancio sia corretto	I risultati economici e le cause
Quando	Durante l'anno, a campione	Sul bilancio annuale	Ogni mese
È obbligatorio	No	Sempre nelle SPA, nelle SRL oltre certe soglie	No
La domanda	Le regole si rispettano?	Il bilancio è attendibile?	Stiamo guadagnando e perché?

Per le SRL le soglie che fanno scattare l'obbligo di organo di controllo o revisore sono nell'art. 2477 del codice civile.

Il controllo di gestione dice che il margine di un prodotto è sceso. L'internal audit può scoprire che è sceso perché un fornitore fattura più di quanto concordato e nessuno confronta le fatture con gli ordini. Il controllo di gestione indica dove guardare, l'audit verifica cosa succede in quel punto. Cos'è e come si imposta il controllo di gestione lo trovi nella guida al controllo di gestione per PMI.

Una PMI ha bisogno dell'internal audit?

Non serve un ufficio, ma serve la sostanza. Dal 2019 l'art. 2086 del codice civile chiede a ogni imprenditore che opera in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa, anche per accorgersi per tempo della crisi. Sapere chi fa cosa, chi autorizza cosa e verificarlo di tanto in tanto è parte di quell'assetto. Ne abbiamo parlato nell'articolo sugli adeguati assetti organizzativi.

In una PMI le verifiche si possono affidare in tre modi:

• a un consulente esterno, una o due volte l'anno, su processi scelti
• a una persona interna di fiducia che non lavora in quel processo, per esempio l'amministrazione che controlla il magazzino
• all'imprenditore stesso, con una lista di controlli semplici fatti a sorpresa

Un esempio con i numeri

Prendiamo un'azienda di esempio che distribuisce materiale elettrico e fattura 5 milioni. Il titolare chiede a un consulente esterno due giornate di verifica su acquisti e magazzino. Ecco cosa emerge.

Verifica	Cosa trova	Valore
Inventario fisico su 50 articoli a rotazione alta	Differenze tra magazzino contabile e fisico	38.000 € in meno a fisico
Confronto fatture e ordini su 3 mesi	Due fornitori fatturano prezzi più alti dei listini concordati	9.600 € l'anno
Controllo pagamenti	Tre fatture pagate due volte	12.400 €
Poteri di firma	Due persone possono disporre bonifici da sole senza limite	Rischio aperto

Sommando le prime tre righe, il valore trovato in due giornate arriva a 60.000 €. Ma il risultato vero è l'ultima riga, che non ha un numero: due persone possono spostare soldi senza che nessuno se ne accorga. Le correzioni proposte sono semplici: doppia firma sopra una certa soglia, confronto automatico tra ordine e fattura, inventario a rotazione ogni mese su una parte degli articoli.

Le differenze di magazzino di solito non sono furti. Più spesso sono resi non registrati, scarichi fatti a mano, codici sbagliati. Ma finché nessuno controlla, il bilancio mostra un magazzino che non c'è, e l'utile è più alto di quello vero.

Cosa c'entra l'organizzazione?

Senza procedure scritte non c'è niente da verificare. Per questo l'audit arriva dopo aver definito chi fa cosa: organigramma, funzionigramma, procedure. Un percorso simile, partito dai numeri, l'ha fatto Fabio Fraschetta, titolare di Butterfly SRL, lavanderia industriale con 52 dipendenti. Dopo aver riorganizzato il piano dei conti ed eliminato i servizi in perdita, l'azienda ha creato un team di controllo interno, allineato i mastrini contabili, introdotto riunioni settimanali e formato il personale chiave. In 8 mesi il fatturato è passato da 3.700.000 € a 4.100.000 € e l'EBITDA è arrivato al 22,34%. «L'imprenditore deve fare quel passo, non tanto da uscire dalla comfort zone, ma da uscire da quella testa quadrata dove pensi di essere capace solo tu», racconta Fabio. La storia completa è nel caso studio di Fabio.

Delegare non vuol dire smettere di controllare. Vuol dire controllare in modo diverso: non più ogni singola operazione, ma a campione, con regole chiare.

Cosa fare lunedì mattina?

Scegli un processo dove passano soldi, per esempio i pagamenti ai fornitori. Prendi dieci pagamenti dell'ultimo mese e per ognuno controlla tre cose: c'era un ordine? La merce è arrivata? Il prezzo pagato è quello concordato? Se in dieci pagamenti trovi anche una sola anomalia, hai trovato il primo processo da sistemare.

Domande frequenti

L'internal audit è obbligatorio?

Per una PMI non esiste un obbligo di avere una funzione di internal audit. Esiste però il dovere di avere un assetto organizzativo adeguato, e le verifiche interne ne fanno parte.

Il revisore interno può essere un dipendente?

Sì, purché non controlli i processi in cui lavora. Molte PMI preferiscono un consulente esterno per avere uno sguardo indipendente.

Ogni quanto si fanno le verifiche?

Dipende dai rischi. Su pagamenti e magazzino almeno una o due volte l'anno, con qualche controllo a sorpresa. Sui processi a rischio basso basta meno.

Internal audit e collegio sindacale fanno la stessa cosa?

No. Il collegio sindacale, dove c'è, vigila per legge sul rispetto delle norme e sull'adeguatezza dell'assetto. L'internal audit è uno strumento della direzione per verificare i processi dall'interno.

---

Nel webinar gratuito Mirco Gasparotto e Alessandro Palumbo mostrano quali numeri guardare ogni mese per accorgersi in tempo di quello che non funziona in azienda. Ricevi i file Excel per rifare i calcoli sulla tua azienda.