Un sistema di controllo interno rende visibile in una PMI quali processi importanti sono protetti e se i controlli previsti hanno davvero luogo. Una firma o un segno verde non bastano: servono un oggetto di verifica chiaro, una persona responsabile e un’evidenza comprensibile. Questa guida separa l’inquadramento giuridico della revisione ordinaria dalle raccomandazioni organizzative per la quotidianità. Non descrive alcun catalogo di controlli prescritto in generale.
Che cosa dice la legge sul sistema di controllo interno
Il Codice delle obbligazioni (CO; OR) menziona il sistema di controllo interno (SCI; in tedesco IKS) in relazione all’ufficio di revisione. Non descrive come debba essere fatto un simile sistema. In dettaglio:
- Art. 728a cpv. 1 n. 3 CO: nella revisione ordinaria l’ufficio di revisione verifica se esista un sistema di controllo interno. La legge cita qui espressamente l’esistenza dello SCI; come l’ufficio di revisione la verifichi lo stabiliscono gli standard professionali di revisione. Le constatazioni sullo SCI figurano nella relazione al consiglio d’amministrazione (art. 728b cpv. 1 CO).
- Art. 728a cpv. 2 CO: nell’eseguire la verifica e nel determinarne la portata l’ufficio di revisione tiene conto del sistema di controllo interno.
- Art. 728a cpv. 3 CO: la gestione del consiglio d’amministrazione non è oggetto della verifica da parte dell’ufficio di revisione.
- Art. 728b cpv. 1 CO: l’ufficio di revisione presenta al consiglio d’amministrazione una relazione completa con le sue constatazioni circa il rendiconto e il sistema di controllo interno, nonché circa l’esecuzione e il risultato della revisione.
Chi debba essere sottoposto a revisione ordinaria lo regola l’art. 727 CO. Secondo il cpv. 1 sono, primo, le società con azioni quotate in borsa; secondo, le società che oltrepassano, per due esercizi consecutivi, due dei valori seguenti; terzo, le società obbligate ad allestire un conto di gruppo. I valori sono una somma di bilancio di 20 milioni di franchi, una cifra d’affari di 40 milioni di franchi e 250 posti di lavoro a tempo pieno in media annua. Secondo il cpv. 2 si procede a una revisione ordinaria anche quando azionisti rappresentanti insieme almeno il 10 per cento del capitale azionario lo chiedono. Secondo il cpv. 3 lo statuto o l’assemblea generale possono prevedere una revisione ordinaria se la legge non la esige. Per l’ufficio di revisione della società a garanzia limitata (Sagl) valgono per analogia, secondo l’art. 818 cpv. 1 CO, le disposizioni del diritto della società anonima.
| Tipo di revisione | Quando | SCI nell’oggetto di verifica |
|---|---|---|
| Revisione ordinaria | Casi dell’art. 727 CO | Sì: esistenza secondo l’art. 728a cpv. 1 n. 3 |
| Revisione limitata | Se non sono date le condizioni per una revisione ordinaria (art. 727a cpv. 1) | Non citato nell’art. 729a cpv. 1 |
| Nessuna revisione (rinuncia) | Con il consenso di tutti gli azionisti se la media annua di posti a tempo pieno non supera 10 (art. 727a cpv. 2 CO) | Nessuna verifica da parte di un ufficio di revisione |
Indipendentemente dal tipo di revisione, la legge attribuisce al consiglio d’amministrazione, nell’art. 716a cpv. 1 n. 3 CO, come attribuzione intrasmissibile e inalienabile l’organizzazione della contabilità e del controllo finanziario, nonché l’allestimento del piano finanziario, per quanto necessario alla gestione della società. Nella Sagl un compito corrispondente spetta ai gerenti (art. 810 cpv. 2 n. 3 CO). La legge non equipara espressamente il «controllo finanziario» allo SCI ai sensi dell’art. 728a. La disposizione mostra però che l’organizzazione del controllo compete all’alta direzione.
Per la Sua azienda chiarisca l’effettivo obbligo di revisione con la fiduciaria o l’ufficio di revisione; la guida sulla collaborazione con la fiduciaria spiega chi resta responsabile di che cosa. Dall’art. 728a non deriva in particolare che ogni piccola azienda debba costruire la stessa quantità di controlli documentati. A prescindere da ciò, controlli adatti possono essere sensati sul piano organizzativo. Le raccomandazioni seguenti sono prassi, non prescritte dalla legge.
Dal rischio al controllo adatto
Parta da un processo importante e da una concreta possibilità di errore. Registrando dati di pagamento modificati si potrebbe ad esempio usare un conto non autorizzato o ripreso in modo errato. Il controllo deve influire proprio su questo rischio. «Controllare le finanze» sarebbe un obiettivo di controllo troppo ampio.
Descriva chi confronta quale informazione con quale base indipendente. Un controllo che confronta solo due copie dello stesso dato non verificato offre poca sicurezza aggiuntiva. Conta la qualità della base di confronto, non il numero di documenti coinvolti.
Stabilisca la frequenza in funzione del processo. Un controllo a ogni modifica dei dati anagrafici ha uno scopo diverso da una panoramica periodica di tutte le modifiche. Possono completarsi. Una scadenza mensile non è però automaticamente adeguata se l’operazione decisiva avviene subito dopo una modifica.
Colleghi il controllo al rischio descritto. In un registro dei rischi può ricostruire la situazione di partenza, i provvedimenti esistenti e la rivalutazione. Così si potrà spiegare in seguito perché un controllo è stato introdotto o adeguato.
Esecuzione ed evidenza
Una descrizione eseguibile del controllo risponde alle domande su oggetto, confronto, portata e reazione. Annoti se vengono considerate tutte le operazioni o un campione scelto consapevolmente. Per un campione serve anche la sua delimitazione; altrimenti nessuno può valutare la portata del risultato.
Il risultato dovrebbe poter distinguere tra in ordine, carenza e non applicabile. «Non applicabile» richiede un motivo, ad esempio perché nel periodo non c’è stata alcuna operazione corrispondente. Un controllo non eseguito non deve scomparire sotto la stessa denominazione.
All’evidenza appartengono data, persona che esegue, base considerata e risultato. Può bastare il rimando all’elenco verificato, se resta rintracciabile in modo univoco. Eviti copie incontrollate di dati riservati quando un rimando regolato sostiene l’evidenza altrettanto bene. Per quanto tempo vadano conservati i documenti commerciali lo spiega la guida sull’obbligo contabile.
Stabilisca anche la sostituzione e la gestione delle eccezioni. Se la persona che controlla ha partecipato all’operazione, serve un’alternativa comprensibile. Una separazione dei compiti in sé sensata serve poco se ferie o assenze per malattia la annullano regolarmente nella quotidianità.
Esempio pratico: Muster Handel AG
La Muster Handel AG è un’azienda fittizia. Vuole proteggere meglio le modifiche dei conti dei fornitori. L’esempio illustra un iter organizzativo e non dice nulla sul fatto che l’azienda sia soggetta a revisione ordinaria.
Nel mese considerato sono stati modificati dieci conti bancari. L’azienda ha concordato internamente di controllare ogni modifica sulla base di un riscontro confermato in modo indipendente, prima che sia usata per un pagamento. La persona che controlla non deve essere la stessa che ha registrato la modifica.
Nella panoramica mensile la responsabile finanziaria trova per otto modifiche un’evidenza completa. In una modifica manca la conferma della base di confronto, in un’altra la verifica indipendente documentata.
| Risultato della panoramica mensile | Numero | Quota |
|---|---|---|
| Evidenza completa | 8 | 80 % |
| Manca la conferma della base di confronto | 1 | 10 % |
| Verifica indipendente non documentata | 1 | 10 % |
| Totale | 10 | 100 % |
Due evidenze su dieci sono quindi incomplete, cioè il venti per cento. Questa quota descrive l’esecuzione documentata del controllo, non una quota di frodi dimostrata.
I due casi vengono esaminati singolarmente. Fino al chiarimento la protezione prevista è considerata non comprovata. Una verifica recuperata in seguito viene documentata con la data effettiva. Non deve dare l’impressione che il controllo originario sia stato eseguito in tempo.
L’analisi delle cause mostra una sostituzione poco chiara. L’azienda adegua la ripartizione dei compiti e controlla in modo mirato le prossime modifiche analoghe. Solo quando la nuova regola funziona nella quotidianità valuta la misura come efficace. Dieci punti di controllo evasi da soli non mostrerebbero questo legame.
Trattare le carenze e migliorare i controlli
Una carenza accertata richiede una reazione adeguata. Chiarisca dapprima l’effetto immediato e metta in sicurezza le operazioni aperte. Poi stabilisca causa e miglioramento necessario. Per un trattamento più approfondito, un iter per le azioni correttive separa l’attuazione dalla verifica dell’effetto.
Verifichi anche il controllo stesso. Era descritto in modo comprensibile? La base di confronto era disponibile? La persona responsabile era in grado, per competenze e tempo, di eseguirlo? Un promemoria non risolve né un’autorizzazione mancante né un’istruzione di verifica impraticabile.
Anche risultati ripetuti senza carenze sono un motivo per riflettere. Forse il processo funziona bene. Forse però il controllo è troppo superficiale o non considera le operazioni rilevanti. Se necessario, consulti singoli giustificativi per verificare l’attendibilità dell’esecuzione.
Introdurre un piccolo SCI
Cominci con pochi processi importanti e controlli comprensibili. Elabori la descrizione insieme alle persone che poi controlleranno. Faccia simulare un’operazione realistica e verifichi se emergono ambiguità o informazioni mancanti.
Concordi poi un esame comune dei primi risultati. Decida quale controllo mantenere, adeguare o sostituire. Ogni modifica dovrebbe far capire perché raggiunge meglio l’obiettivo di controllo. Pochi punti di verifica adatti sono spesso più preziosi di un lungo elenco senza un legame riconoscibile con i rischi.
Per la direzione è utile una panoramica dei controlli in scadenza, eseguiti e con carenze. Queste categorie non vanno mescolate. Un controllo eseguito in tempo può scoprire una carenza rilevante e così adempiere il suo scopo. Un controllo omesso resta aperto, anche se per caso non si conosce alcun danno. Alla chiusura annuale conviene dare uno sguardo ai controlli che vi hanno un ruolo; la checklist per la chiusura annuale indica i passi tipici.
Checklist
- La questione della revisione (art. 727 CO) è chiarita separatamente dalla configurazione pratica.
- Ogni controllo ha un rischio e un obiettivo concreti.
- Base di confronto e portata della verifica sono comprensibili.
- Frequenza e momento sono adatti all’operazione.
- Competenza e sostituzione sono regolate.
- Risultato e data effettiva di esecuzione restano ricostruibili.
- «Non applicabile» e «non eseguito» sono motivati.
- Le carenze ricevono misure con un proprio monitoraggio.
- La mancata esecuzione non conta come risultato positivo.
La soluzione KMU | base
In QMS | base apre i controlli nel menu, gruppo «Esercizio e prove», alla voce «Controlli interni (SCI)». Con «Nuovo controllo» ne crea uno.
Controlli SCI con frequenza. Definisce controlli con obiettivo, riferimento a rischio e processo, responsabili, frequenza da giornaliera ad annuale e punti di controllo. Così il piano dei controlli si può gestire in modo strutturato. È possibile il collegamento con una voce di «Rischi e opportunità». Se il controllo sia tecnicamente adatto lo decide Lei in base ai Suoi processi aziendali.
Eseguire il controllo. Risponde ai punti di controllo; una carenza genera, se lo desidera, una misura, e la scadenza successiva viene calcolata. La misura nasce se nel controllo è impostata l’opzione «In caso di carenza, creare una misura». Un punto di controllo contrassegnato come «Non applicabile» non vale come carenza; nel portale il modulo richiede per questo un’osservazione. Un controllo non eseguito lo registra con motivazione. Registri un risultato solo dopo la verifica effettiva e descriva la base in modo sufficientemente concreto.
Controlli SCI in scadenza. La persona responsabile riceve una notifica nel giorno di scadenza. Il promemoria non conferma né l’esecuzione né l’efficacia del sistema di controllo. Aiuta a rendere visibile in tempo il compito concordato.
Che cosa il software non verifica: se la persona che controlla sia diversa da quella che ha registrato l’operazione. Questa separazione dei compiti la regola in modo organizzativo.
La guida a QMS | base spiega l’utilizzo. Guardi la demo, apra un conto di prova o ci contatti tramite la pagina di contatto.
Fonti
- Codice delle obbligazioni (CO; OR, RS 220), art. 727 cpv. 1–3, art. 727a cpv. 1 e 2, art. 728a cpv. 1–3, art. 728b cpv. 1, art. 729a cpv. 1, art. 716a cpv. 1 n. 3, art. 810 cpv. 2 n. 3 e art. 818 cpv. 1, stato 1° ottobre 2026, consultato il 27.10.2026.
I processi organizzativi e gli esempi sono aiuti pratici redazionali e non prescrizioni legali.
Questa guida non sostituisce una consulenza legale o fiscale. Stato delle informazioni: 27.10.2026.