Cooperative compliance: la mappatura dei rischi fiscali derivanti dall’applicazione dei principi contabili

  • 7 Agosto 2026
  • Posted by: Studio Pozzan
  • Categoria: News Commercialista
Nessun commento
Cooperative Compliance: La Mappatura Dei Rischi Fiscali Derivanti Dall’applicazione Dei Principi Contabili

Il documento si articola in una parte generale, dedicata all’illustrazione delle origini e delle novità dell’istituto, e in una parte speciale, impostata secondo lo schema “domanda-risposta”, che raccoglie i chiarimenti sviluppati nell’ambito del Forum delle imprese aderenti al regime e del confronto con le principali associazioni di categoria e con gli ordini professionali interessati dalla normativa.

Tra i chiarimenti offerti nella parte speciale, la risposta al quesito 1.1 merita un approfondimento, poiché affronta un tema di rilevante impatto operativo per le imprese aderenti (o che intendono aderire) al regime: la mappatura dei rischi contabili nell’ambito della Risk and Control Matrix (“RCM”) e il ruolo, in tale contesto, dei controlli previsti dalla legge 28 dicembre 2005, n. 262 e dalla disciplina statunitense Sarbanes-Oxley Act (“SOX”).

I chiarimenti alla domanda 1.1: la mappatura dei rischi contabili

Il quesito posto all’Agenzia riguardava l’ambito di applicazione della mappatura dei rischi contabili e fiscali richiesta dall’art. 4, comma 1, D.Lgs. n. 128/2015, come modificato dal decreto delegato, che impone l’adozione di un sistema di controllo dei rischi fiscali integrato “anche in ordine alla mappatura di quelli derivanti dai principi contabili applicati dal contribuente”. In particolare, si chiedeva di chiarire il ruolo che, in tale contesto, assumono i sistemi di controllo sull’informativa finanziaria-contabile previsti dalla legge n. 262/2005 o dalla SOX, nonché le modalità con cui i soggetti privi di tali presidi debbano assolvere l’onere di mappatura.

Nella risposta, l’Agenzia conferma innanzitutto un principio di perimetrazione destinato ad avere rilevanti ricadute pratiche: la mappatura dei rischi nella RCM (o “Mappa dei rischi e dei controlli fiscali”) deve riguardare i rischi di natura fiscale e i rischi contabili che abbiano un impatto fiscale, unitamente ai relativi presidi di controllo. I rischi contabili privi di rilevanza fiscale restano, invece, estranei al perimetro della RCM.

– i processi aziendali;

– l’identificazione del rischio fiscale/contabile;

– l’ambito impositivo;

– la valutazione del rischio inerente;

– i controlli di primo livello (individuazione e valutazione);

– la misurazione del rischio residuo;

– i controlli di secondo livello e il relativo rischio residuo.

I soggetti dotati di un sistema di controllo sull’informativa finanziaria

Per le imprese che già adottano sistemi di controllo sull’informativa finanziaria-contabile ai sensi della legge n. 262/2005, della SOX o di modelli analoghi, l’Agenzia chiarisce che l’obbligo di adozione di un sistema di controllo dei rischi fiscali integrato, anche in ordine alla mappatura dei rischi derivanti dai principi contabili applicati, si intende senz’altro rispettato.
Quanto alle modalità di assolvimento degli oneri informativi nella RCM, la circolare n. 6/E/2026 individua nella relazione del Dirigente Preposto (“DP 262”) o del Responsabile SOX un elemento probatorio sufficiente ad attestare l’adeguatezza dei controlli contabili, a condizione che tale relazione documenti l’affidabilità del dato contabile attraverso il test di disegno (Test of Design – TOD), volto a valutare l’adeguatezza del framework di controllo implementato, e il test di efficacia operativa (Test of Effectiveness – TOE), volto a verificarne il funzionamento continuativo. In questi casi, il contribuente sarà tenuto a indicare nella RCM esclusivamente le informazioni relative alla descrizione dei rischi contabili e dei presidi derivanti dal modello 262/SOX, restando facoltativa l’indicazione delle ulteriori informazioni previste dalle Linee Guida RCM.

L’Agenzia estende opportunamente tale semplificazione anche alle società che, pur non essendo (o non essendo più) formalmente soggette alla normativa 262 o SOX, abbiano volontariamente adottato – e continuino a mantenere – sistemi di controllo equivalenti in termini di struttura, processi, ruoli e responsabilità.

I soggetti sprovvisti di un sistema di controllo sull’informativa finanziaria

Diversamente, per le imprese non soggette a modelli 262/SOX e prive di sistemi di controllo equivalenti, la circolare richiede l’adozione di un efficace set di controlli sui rischi contabili rilevanti, correlati all’operatività tipica dell’impresa, idoneo a garantire un adeguato presidio della qualità e dell’attendibilità del dato contabile – elemento, quest’ultimo, essenziale anche ai fini della corretta determinazione della base imponibile.

In concreto, tali imprese dovranno integrare nell’ambito del Tax Control Framework (“TCF”) una serie di attività finalizzate a intercettare e gestire i rischi di natura contabile:

– l’identificazione e l’aggiornamento dell’elenco dei processi aziendali rilevanti;

– l’identificazione e l’aggiornamento dei rischi contabili legati a ciascun processo;

– la misurazione dei rischi contabili, in termini di rischio inerente, rischio residuo e probabilità di accadimento;

– l’identificazione e l’aggiornamento dei soggetti e delle funzioni responsabili della gestione di tali rischi; l’analisi delle eventuali novità normative e dei relativi impatti sui processi aziendali;

– l’analisi delle evoluzioni del business e dell’organizzazione, al fine di individuare tempestivamente i rischi contabili emergenti.

I presidi così individuati dovranno, infine, essere inseriti nel piano di monitoraggio, con la finalità di verificare che i controlli abbiano operato coerentemente al loro disegno – anche in questo caso attraverso test di disegno (TOD) e test di efficacia operativa (TOE) – ed evidenziare, ove emergano criticità, i relativi piani di miglioramento.

Osservazioni critiche

Il chiarimento reso dall’Agenzia delle Entrate con la risposta 1.1 merita di essere accolto con favore, in quanto contribuisce a definire con maggiore precisione il perimetro applicativo della mappatura dei rischi contabili, con un duplice beneficio:

– da un lato, evita duplicazioni di adempimenti per le imprese già dotate di presidi 262/SOX, valorizzando correttamente il lavoro già svolto dal Dirigente Preposto o dal Responsabile SOX;

– dall’altro, fornisce una prima cornice metodologica anche per i soggetti privi di tali sistemi, comunque chiamati a presidiare i rischi contabili rilevanti ai fini fiscali.

Proprio con riferimento a questi ultimi soggetti, tuttavia, permangono alcuni margini di incertezza applicativa. Se, infatti, l’indicazione secondo cui i controlli contabili da mappare sono quelli “correlati all’operatività tipica dell’impresa” rappresenta un criterio guida condivisibile, essa lascia comunque un margine di discrezionalità significativo nell’identificazione concreta dei rischi contabili rilevanti ai fini fiscali, con il conseguente rischio di approcci disomogenei tra i diversi contribuenti e, potenzialmente, tra i diversi uffici dell’Amministrazione Finanziaria nelle diverse fasi di valutazione e di istruttoria del Tax Control Framework.

Sotto questo profilo, sarebbe auspicabile che l’Agenzia delle Entrate intervenga, in futuro, con l’individuazione quantomeno di un elenco tipologico dei rischi contabili presumibilmente “tipici” e “standard” (ad esempio, determinazione dei ricavi, magazzino, determinazione delle imposte anticipate e differite, attività prodromiche alla chiusura del bilancio, etc.), articolato per categorie di soggetti (ad esempio, imprese industriali, assicurative, bancarie, etc.), sul modello di quanto già realizzato con le Linee Guida RCM dedicate al settore industriale (provvedimento 2025 prot. n. 5320/2025).

Un simile intervento consentirebbe di ridurre l’attuale margine di incertezza interpretativa, agevolando al contempo l’omogeneità degli approcci adottati dai contribuenti privi di sistemi di controllo dell’informazione e del dato finanziario-contabile nella costruzione della propria mappa dei rischi integrata.

Copyright © – Riproduzione riservata

Fonte