Traduzione parziale Circolare FINMA 2013/3, attività di audit A cura di Martin Gloor e Angelo Colombini PRECISAZIONI a) Le cifre romane da I. a III., come pure la cifra VIIa., della parte generale della circolare FINMA, sono state omesse (vedi circolare in francese allegata). b) Pure le cifre romane dalla I. alla III., e la V. delle disposizioni speciali, non sono state tradotte. c) Le cifre marginali della circolare citata, sono indicate prima dei singoli paragrafi nella presente traduzione. d) Fa stato il testo originale in tedesco o francese edito dalla FINMA ((vedi circolare in francese allegata). IV. Analisi dei rischi 9* In linea di principio, le società di audit determinano un analisi dei rischi che sottopongono alla FINMA ogni anno per ogni soggetto per cui svolgono l audit. L analisi dei rischi è pure eseguita per i gruppi o conglomerati sottoposti alla sorveglianza della FINMA. 10 L analisi dei rischi è una valutazione indipendente della situazione in materia di rischio dell assoggettato elaborata dalla società di audit all attenzione della FINMA. 11* Nell ambito dell analisi dei rischi, la società di audit presenta quali sono, dal suo punto di vista, i rischi ai quali l assoggettato è confrontato. L analisi dei rischi deve essere portata a conoscenza dell'assoggettato. L analisi dei rischi non è oggetto di un armonizzazione con l assoggettato. 12, 13, 14, 15,16 L analisi dei rischi deve: - coprire nella sua totalità l assoggettato sottoposto ad audit; 1
- dare una visione d insieme dei rischi risultanti dalle attività dell assoggettato (tenendo in considerazione soprattutto le condizioni del mercato ed il contesto economico e politico); - integrare la direzione dell impresa dell assoggettato; e - includere un quadro globale nel quale sono prese in considerazione le possibili ripercussioni degli sviluppi attuale dell assoggettato. 17 I diversi rischi sono valutati e ponderati in funzione della loro incidenza possibile sull assoggettato. 18 L analisi dei rischi deve essere elaborata conformemente agli allegati (cifra allegati relativi all analisi dei rischi). Comprende in principio la struttura seguente: 19, 20, 21 - valutazione generale dei rischi dell assoggettato dalla società di audit. - Classificazione e valutazione esaustive dei rischi riprendendo in linea di principio i settori ed i campi di audit. Gli eventuali altri rischi apparenti devono essere aggiunti per garantire un quadro completo dei rischi relativi all assoggettato. - Il legame tra ampiezza/volume e probabilità del caso del rischio per settore o campi di audit, determina il rischio inerente (lordo). 22 Il rischio inerente è valutato come segue: 23 Ampiezza Probabilità del caso Rischio inerente Molto elevata Molto elevata Molto elevata Molto elevata Elevata Molto elevata Molto elevata Media Elevata Molto elevata Elevata Elevata Molto elevata Elevata Elevata Elevata Elevata Elevata Media Media Elevata Media Media Molto elevata Media Media Elevata Media Media Media Media Media Molto elevata Elevata Media 2
24 La società di audit elabora una gerarchia dei rischi lordi dell assoggettato. 25* Il rischio netto è determinato sulla base delle misure di riduzione dei rischi identificati dalla società di audit (per es. controlli messi in atto) 26 Abrogato 27 Ulteriori spiegazioni in materia di analisi dei rischi, figurano in una guida pratica della FINMA. V. Strategia dell'audit 28 La strategia dell'audit determina l'estensione dell'audit e la sua periodicità per il controllo delle diverse sfere di audit presso l'assoggettato. La società di audit deve basarsi sulla strategia di audit per stabilire la pianificazione del proprio audit. 29 La FINMA ha definito per ogni categoria di sorveglianza una strategia standard minima di audit di base. Questa prescrive i campi della revisione, nonché il minimo richiesto in materia di estensione dell'audit e della periodicità delle verifiche relative all'audit. 30 Nel caso in cui la società di revisione reputa insufficiente la strategia di audit, potrà proporre alla FINMA di distanziarsene, motivandone la sua proposta. 31 La FINMA può ordinare revisioni supplementari, anche al di fuori del calendario della strategia di audit standard. Le pianifica e le comunica il più presto possibile. VI. Estensione dell'audit 32 A questo proposito sono previsti due livelli: 33 Audit: la società di revisione deve elaborare una visione estesa dei punti da esaminare. 3
Un'attestazione di audit univoca sul rispetto delle disposizioni prudenziali deve essere rilasciata (positive assurance). 34 Analisi critica: la società di revisione elabora un'immagine adeguata dei fatti da controllare. Il revisore conferma formalmente che nel quadro delle verifiche effettuate (esame dei documenti, interrogazioni, ecc.) non ha riscontrato elementi tali da giungere alla conclusione che le disposizioni prudenziali non siano state rispettate (negative assurance). VII. Principi dell'audit 35 Le norme di audit nazionali ed internazionali relative alla revisione dei conti stabilite dai principi del CO e relative alla revisione ordinaria (audit contabile) non sono pertinenti per l'audit, che deve rispettare le prescrizioni della presente circolare. 36 La società di audit deve preparare una pianificazione sistematica dell'audit in base alla strategia di audit definita. La società di audit è tenuta a preparare ed eseguire la revisione con un approccio fondamentalmente critico. La società di audit garantisce una valutazione oggettiva. Nell ambito delle verifiche il revisore deve tenere conto delle possibili ripercussioni degli sviluppi attuali che toccano il settore della revisione presso l'assoggettato e la sua sfera, particolarmente nell'ambito di eventuali infrazioni alle disposizioni prudenziali. IV. Disposizioni speciali per l audit degli intermediari finanziari direttamente sottoposti (IFDS) secondo l art. 2, par. 3 della LRD A. Analisi dei rischi 131 Di regola non deve essere eseguita un analisi dei rischi. Se necessario, la FINMA può esigere un analisi dei rischi presso un IFDS secondo la parte generale della presente circolare. B. Strategia di audit 4
132 La strategia di audit definita dalla FINMA deve essere applicata per ogni audit di un IFDS. La FINMA potrà ordinare in ogni momento verifiche supplementari. C. Rispetto delle condizioni legate all autorizzazione e lacune nella realizzazione degli obblighi di diligenza 133 Se la società di audit constata che le condizioni per l ottenimento dell autorizzazione concessa non sono più adempiute o che la realizzazione degli obblighi di diligenza da parte dell IFDS è lacunosa, il revisore è obbligato ad annotare tali anomalie nel suo rapporto. D. Audit in loco 134 Gli audit in loco devono essere svolti negli uffici dell IFDS. L IFDS mette a disposizione un posto di lavoro appropriato, nonché tutti i dossier, i documenti ed i giustificativi necessari allo svolgimento dell audit. E. Rischio dell audit 135 143 Alla fine dell'audit, l'ufficio di revisione deve pronunciarsi sul lavoro svolto e sui risultati dell'audit nell ambito del rapporto di revisione che redige. Questa presa di posizione verte in particolare sui seguenti punti: se sono emersi problemi durante l'audit se tutti documenti e giustificativi richiesti (inclusi documenti contabili) sono stati presentati da parte dell'ifds se l'ifds ha presentato in tutta trasparenza l'integralità della sua attività e l'organizzazione aziendale La società di audit deve altresì indicare: come si è svolto l'audit; quali sono i documenti ed i giustificativi che ha controllato; il numero dei dossier e delle transazioni controllati; e la durata dell'audit. 5