IL PUNTO
TAX CONTROL FRAMEWORK
Attestazione di efficacia operativa del proprio TCF per le imprese già aderenti
/ Giovanni FORMICA e Luca MIELE
Le imprese già in regime di adempimento collaborativo (o con istanza di ammissione già presentata) al 18 gennaio 2024, data di entrata in vigore delle nuove norme post-riforma 2023 (imprese già aderenti), sono esonerate dall’acquisizione di una certificazione d’impianto, essendo l’impalcatura del loro Tax Control Framework (TCF) oggetto di validazione amministrativa secondo le regole pregresse. Devono però acquisire un’attestazione di efficacia operativa del proprio TCF. Il decreto attuativo (DM 21 novembre 2024) ha disciplinato le modalità di rilascio di tale attestazione prevedendo, all’art. 1 comma 2 una certificazione di “avvenuto svolgimento, da parte del contribuente, di procedure di test finalizzate a verificare che i controlli implementati abbiano operato in maniera continuativa e siano stati effettivamente svolti in maniera corretta”. Dal punto di vista testuale, la norma sembra imporre al professionista un mero riscontro circa l’effettuazione dei test da parte dell’impresa, non riconducendo al certificatore, bensì all’impresa stessa, il loro svolgimento. In altre parole, il professionista potrebbe limitarsi, secondo questa lettura, a verificare le procedure di test già effettuate dalla funzione aziendale a cui spetta il controllo sull’adeguato funzionamento dei presidi del TCF nell’ambito del sistema a tre linee di difesa disegnato dalle Linee guida dell’Agenzia delle Entrate, vale a dire la funzione Tax Risk Management (TRM). Tuttavia, tali Linee guida – alle quali il DM 21 novembre 2024 (art. 1, comma 3) rinvia per le opportune indicazioni operative – affermano al riguardo che “i professionisti dovranno svolgere i controlli di efficacia operativa (cd. ToE), dei controlli generali e di singolo rischio, descritti al paragrafo 6, sottoparagrafo 3 «Valutazione di efficacia operativa dei controlli (fase rilevante ai fini dell’aggiornamento della certificazione)»”. In pratica esse rinviano, per l’attestazione, ai medesimi compiti e adempimenti previsti per l’aggiornamento periodico della certificazione, con il diretto coinvolgimento del professionista nei controlli di efficacia operativa, quindi senza la possibilità per quest’ultimo di limitarsi al riscontro circa l’effettuazione dei test da parte dell’impresa. Questa seconda impostazione – che sovrappone attestazione e certificazione di efficacia operativa – appare condivisibile in quanto pone le imprese già aderenti sullo stesso piano dei soggetti in regime di adempimento collaborativo post-riforma 2023, i quali devono procedere all’aggiornamento della certificazione (con periodicità almeno triennale) mediante verifica professionale dell’efficacia nel continuo del TCF. Ciò premesso, rimane il tema del corretto coordinamento dell’attività per il rilascio dell’attestazione alle imprese già aderenti (mediante controllo esterno dell’efficacia operativa del TCF) con l’attività di monitoraggio compiuta, in seno all’impresa, dalla funzione TRM, anche con l’eventuale supporto di soggetti terzi. Infatti, il responsabile della seconda linea di controllo (Tax Risk Officer - TRO) deve valutare periodicamente l’efficacia e l’effettività dei controlli di primo livello disegnati nel TCF (Linee Guida TCM); l’attività del professionista per il rilascio dell’attestazione delle imprese già aderenti, così come quella finalizzata al periodico aggiornamento della certificazione delle altre imprese, potrebbe quindi sovrapporsi all’operatività della funzione di controllo di secondo livello. Pertanto, si ritiene che, anche al fine di scongiurare duplicazioni e inefficienze, il certificatore debba previamente valutare, sin dalla fase di perimetro, l’adeguatezza (es., indipendenza, risorse e competenze disponibili) e la congruità (es., grado di copertura dei processi, qualità documentale) dell’attività della funzione TRM, in modo da poter pianificare la propria attività di testing tenendo conto del patrimonio informativo riveniente dalle verifiche effettuate da detta funzione. Si ritiene, cioè, che il certificatore possa far riferimento anche a quanto emerge dall’attività della funzione TRM e ai controlli già oggetto della sua attività di testing, salvo selezionarne di nuovi. Egli, in altre parole, da un lato, può fare “affidamento” selettivo sull’attività del TRO, previamente giudicandone la bontà in base a una valutazione critica, e dall’altro approntare una propria strategia di testing inclusiva di ulteriori e nuovi controlli. In sostanza, considerando il testing sui controlli specifici (activity level assessment), il professionista non può limitarsi a un riscontro di quanto fatto dal controllo di secondo livello, ma deve anche espletare una propria e diretta attività di verifica sull’effettività dei presidi della prima linea di difesa. Insomma, gli esiti delle attività di testing della funzione TRM, pur non sostituendosi all’attività di quest’ultimo, possono rappresentare un elemento di supporto e conferma. Peraltro, in alcuni casi, risulta che la documentazione relativa ai processi di testing della funzione TRM siano stati richiesti dalla stessa Agenzia delle Entrate, magari anche solo con riferimento ad alcuni anni; ciò, a maggior ragione, depone per un loro utilizzo quale elemento di supporto. Del resto, le stesse Linee guida TCM (capitolo 7) prevedono che, per un complessivo giudizio sull’efficacia operativa del sistema, tanto sul company che sull’activity level, “il certificatore potrà tenere conto delle risultanze delle verifiche del terzo livello di controllo, acquisendo altresì la documentazione relativa al ToE effettuati da quest’ultimo”. Non si comprenderebbe perché ciò non debba riguardare anche il secondo livello, che è proprio quello “istituzionalmente” deputato ai ToE (test of effectiveness) nell’ambito del TCF.