Certificazione Tax Control Framework: dal metodo alla verifica

Fonte: Quotidianopiù

Metodologia: dal modello alla verifica

Nel precedente contributo si è osservato come la certificazione del Tax Control Framework presupponga un metodo capace di tradurre il quadro di riferimento in un percorso strutturato e ripercorribile. Nel frattempo, il correttivo Omnibus ha differito il termine previsto per la certificazione e la Circolare 6/E/2026 è intervenuta sui principali profili applicativi. È soprattutto quest’ultima a rendere più concreti alcuni dei nodi metodologici già individuati.

La Circolare non costruisce un protocollo standardizzato, ma individua passaggi che incidono sull’assessment: completezza della Risk and Control Matrix, rischi contabili con impatto fiscale, Company Level e Activity Level Controls, Test of Design e Operating Effectiveness, lavoro delle funzioni di monitoraggio, carenze e copertura temporale delle verifiche.

Il certificatore deve ricomporre questi elementi in un percorso coerente, nel quale siano comprensibili perimetro, controlli verificati, procedure ed evidenze poste a base della conclusione.

Assessment: definire il perimetro prima del testing

L’assessment non inizia con la selezione dei test, ma con la definizione di ciò che il certificatore deve essere in grado di concludere sul sistema.

La Circolare chiarisce che il certificatore deve verificare che la Risk and Control Matrix sia redatta secondo il format e lo standard delle Linee Guida e contenga le informazioni rilevanti. La mappatura deve comprendere i rischi fiscali e quelli contabili con impatto fiscale, insieme ai relativi presidi.

Definire il perimetro non significa soltanto scegliere quali controlli testare, ma comprendere se la rappresentazione dei rischi sia completa e se i presidi descritti restituiscano l’architettura di controllo dell’impresa. Partire dai documenti disponibili espone al rischio di accumulare evidenze senza chiarirne la selezione; partire dall’obiettivo richiede invece di comprendere il rischio, individuare il presidio rilevante e scegliere procedure adeguate alla conclusione.

Integrazione: quando i controlli si sovrappongono

La Circolare richiama il rapporto tra TCF e sistemi di controllo già presenti nell’impresa, tra cui modelli 262, SOX o analoghi. Il tema, però, non è soltanto evitare duplicazioni.

Quando più framework insistono sugli stessi processi, occorre verificare se i controlli siano realmente utilizzabili anche ai fini fiscali. La coincidenza del processo non implica infatti necessariamente coincidenza del rischio presidiato, dell’obiettivo di controllo o delle evidenze prodotte.

Un controllo sull’informativa finanziario-contabile può concorrere al presidio del rischio fiscale, ma solo nella misura in cui disegno, responsabilità, frequenza e modalità di monitoraggio risultino coerenti anche con gli obiettivi del TCF.

Il rischio non è quindi soltanto duplicare controlli già esistenti, ma fare affidamento su presidi apparentemente sovrapponibili che rispondono, in realtà, a finalità differenti.

Testing: distinguere il disegno dal funzionamento

Nel Test of Design si valuta l’idoneità del disegno del controllo rispetto al rischio da presidiare. La presenza del controllo in una procedura o nella RCM non esaurisce la verifica: responsabilità, modalità di esecuzione, frequenza e tracciabilità devono risultare coerenti con l’obiettivo di controllo.

Nel Test of Operating Effectiveness la verifica riguarda il funzionamento: occorre accertare se il controllo abbia operato con continuità nel periodo considerato. La Circolare prevede test su più transazioni, selezionando, ove possibile, un campione statisticamente significativo, senza fissare numerosità standard o criteri quantitativi uniformi.

Non conta soltanto quale campione sia stato selezionato, ma perché campione e procedure siano stati ritenuti adeguati rispetto al controllo e alla popolazione esaminata. Un campione numericamente ampio non compensa una selezione priva di razionale metodologico.

Aggiornamento: quale TCF si certifica

La verifica del disegno non può fermarsi alla fotografia del TCF esistente al momento dell’istanza. La Circolare richiede infatti al certificatore di valutare anche se l’impresa abbia attivato i meccanismi di aggiornamento e autoapprendimento del sistema e se le modifiche intervenute nel periodo siano state correttamente recepite nel disegno dei controlli.

Il tema diventa quindi particolarmente rilevante per i TCF presentati nel 2024 o nel 2025 e certificati successivamente: il punto di partenza è il sistema oggetto dell’istanza, ma il giudizio deve tenere conto della sua evoluzione. Cambiamenti organizzativi, modifiche dei processi o del profilo di rischio devono essere ricondotti agli aggiornamenti effettuati dall’impresa e valutati nella loro adeguatezza.

Se il cambiamento richiede un complessivo aggiornamento del TCF, entra invece in gioco la disciplina della nuova certificazione, previa comunicazione dell’evento all’Agenzia.

Reliance: valutare il processo che ha prodotto il test

Per gli Activity Level Controls, la Circolare ammette che il certificatore possa valutare se rieseguire i test effettuati dal Tax Risk Officer, eventualmente ampliandone il campione, oppure procedere a una verifica autonoma e indipendente.

La reliance non può però risolversi nell’acquisizione dell’esito di un test. Prima di valorizzare il lavoro svolto occorre comprenderne metodologia, estensione, popolazione considerata, modalità di selezione, qualità delle evidenze e trattamento delle eventuali eccezioni.

La questione non è soltanto sapere se il test abbia avuto esito positivo, ma valutare l’affidabilità del processo che ha prodotto quel risultato. Solo dopo questa analisi può essere determinato il lavoro ulteriore necessario: riesecuzione, ampliamento del testing o verifica autonoma. La reliance diventa così una decisione dell’assessment, non una scorciatoia operativa.

Carenze: dall’evidenza alla valutazione

La solidità del metodo emerge soprattutto quando il testing produce un’eccezione. La Circolare precisa che le carenze rilevanti ai fini dell’espressione del parere professionale devono trovare evidenza nella relazione anche se successivamente sanate nel periodo di riferimento. Per quelle non significative devono essere riportate le azioni correttive individuate dalla società, mentre la loro validazione resta prerogativa dell’Agenzia delle Entrate.

La remediation non cancella quindi retroattivamente il finding. Tra ciò che emerge dal test e la conclusione esiste un passaggio decisivo: la valutazione. Rilevare un’eccezione è il risultato di una procedura; stabilire che cosa significhi ai fini della certificazione appartiene invece al giudizio professionale.

Il dossier deve quindi conservare non soltanto ciò che è stato riscontrato, ma anche il ragionamento attraverso il quale quel risultato è stato valutato.

Documentazione: costruire il dossier nel tempo

Ai fini dell’aggiornamento della certificazione, le verifiche sull’efficacia operativa devono coprire l’intero arco triennale decorrente dalla prima certificazione o dal precedente aggiornamento. Le attività possono essere svolte anche con periodicità annuale o biennale, purché garantiscano la copertura del periodo.

La documentazione dovrebbe seguire la stessa logica. Un dossier progressivamente alimentato mantiene il collegamento tra verifiche, risultati, carenze, interventi correttivi e successive valutazioni. Ricostruire le evidenze solo a ridosso dell’aggiornamento rischia invece di indebolire la dimostrazione della continuità di funzionamento dei controlli.

Il dossier non è il semplice archivio dell’incarico, ma lo strumento attraverso cui lavoro e scelte possono essere ricostruiti nel tempo.

Giudizio professionale: rendere ripercorribili le scelte

La Circolare 6/E/2026 definisce meglio le coordinate operative, ma non elimina lo spazio del giudizio professionale.

Definire il perimetro, comprendere l’integrazione con gli altri sistemi di controllo, scegliere le procedure, determinare l’estensione del testing, valutare il lavoro del secondo livello e interpretare le eccezioni sono momenti diversi dello stesso processo.

Se il metodo definisce l’architettura della certificazione, l’assessment ne rappresenta l’applicazione concreta e la documenta---zione rende ripercorribili le scelte compiute.

La metodologia non sostituisce il giudizio professionale: rende comprensibile come sia stato costruito.

Il prodotto della certificazione non è il dossier delle evidenze. È il giudizio professionale che quelle evidenze devono essere in grado di sostenere.