Il documento si articola in una parte generale, dedicata all’illustrazione delle origini e delle novità dell’istituto, e in una parte speciale, impostata secondo lo schema “domanda-risposta”, che raccoglie i chiarimenti sviluppati nell’ambito del Forum delle imprese aderenti al regime e del confronto con le principali associazioni di categoria e con gli ordini professionali interessati dalla normativa.
I chiarimenti alla domanda 1.1: la mappatura dei rischi contabili
Nella risposta, l’Agenzia conferma innanzitutto un principio di perimetrazione destinato ad avere rilevanti ricadute pratiche: la mappatura dei rischi nella RCM (o “Mappa dei rischi e dei controlli fiscali”) deve riguardare i rischi di natura fiscale e i rischi contabili che abbiano un impatto fiscale, unitamente ai relativi presidi di controllo. I rischi contabili privi di rilevanza fiscale restano, invece, estranei al perimetro della RCM.
– i processi aziendali;
– l’identificazione del rischio fiscale/contabile;
– l’ambito impositivo;
– la valutazione del rischio inerente;
– i controlli di primo livello (individuazione e valutazione);
– la misurazione del rischio residuo;
– i controlli di secondo livello e il relativo rischio residuo.
I soggetti dotati di un sistema di controllo sull’informativa finanziaria
L’Agenzia estende opportunamente tale semplificazione anche alle società che, pur non essendo (o non essendo più) formalmente soggette alla normativa 262 o SOX, abbiano volontariamente adottato – e continuino a mantenere – sistemi di controllo equivalenti in termini di struttura, processi, ruoli e responsabilità.
I soggetti sprovvisti di un sistema di controllo sull’informativa finanziaria
Diversamente, per le imprese non soggette a modelli 262/SOX e prive di sistemi di controllo equivalenti, la circolare richiede l’adozione di un efficace set di controlli sui rischi contabili rilevanti, correlati all’operatività tipica dell’impresa, idoneo a garantire un adeguato presidio della qualità e dell’attendibilità del dato contabile – elemento, quest’ultimo, essenziale anche ai fini della corretta determinazione della base imponibile.
In concreto, tali imprese dovranno integrare nell’ambito del Tax Control Framework (“TCF”) una serie di attività finalizzate a intercettare e gestire i rischi di natura contabile:
– l’identificazione e l’aggiornamento dell’elenco dei processi aziendali rilevanti;
– l’identificazione e l’aggiornamento dei rischi contabili legati a ciascun processo;
– la misurazione dei rischi contabili, in termini di rischio inerente, rischio residuo e probabilità di accadimento;
– l’identificazione e l’aggiornamento dei soggetti e delle funzioni responsabili della gestione di tali rischi; l’analisi delle eventuali novità normative e dei relativi impatti sui processi aziendali;
– l’analisi delle evoluzioni del business e dell’organizzazione, al fine di individuare tempestivamente i rischi contabili emergenti.
I presidi così individuati dovranno, infine, essere inseriti nel piano di monitoraggio, con la finalità di verificare che i controlli abbiano operato coerentemente al loro disegno – anche in questo caso attraverso test di disegno (TOD) e test di efficacia operativa (TOE) – ed evidenziare, ove emergano criticità, i relativi piani di miglioramento.
Osservazioni critiche
Il chiarimento reso dall’Agenzia delle Entrate con la risposta 1.1 merita di essere accolto con favore, in quanto contribuisce a definire con maggiore precisione il perimetro applicativo della mappatura dei rischi contabili, con un duplice beneficio:
– da un lato, evita duplicazioni di adempimenti per le imprese già dotate di presidi 262/SOX, valorizzando correttamente il lavoro già svolto dal Dirigente Preposto o dal Responsabile SOX;
– dall’altro, fornisce una prima cornice metodologica anche per i soggetti privi di tali sistemi, comunque chiamati a presidiare i rischi contabili rilevanti ai fini fiscali.
Proprio con riferimento a questi ultimi soggetti, tuttavia, permangono alcuni margini di incertezza applicativa. Se, infatti, l’indicazione secondo cui i controlli contabili da mappare sono quelli “correlati all’operatività tipica dell’impresa” rappresenta un criterio guida condivisibile, essa lascia comunque un margine di discrezionalità significativo nell’identificazione concreta dei rischi contabili rilevanti ai fini fiscali, con il conseguente rischio di approcci disomogenei tra i diversi contribuenti e, potenzialmente, tra i diversi uffici dell’Amministrazione Finanziaria nelle diverse fasi di valutazione e di istruttoria del Tax Control Framework.
Un simile intervento consentirebbe di ridurre l’attuale margine di incertezza interpretativa, agevolando al contempo l’omogeneità degli approcci adottati dai contribuenti privi di sistemi di controllo dell’informazione e del dato finanziario-contabile nella costruzione della propria mappa dei rischi integrata.