IL PUNTO
TAX CONTROL FRAMEWORK
Approccio integrato process based e risk based per il certificatore TCF
/ Luca MIELE
L’attività del professionista indipendente incaricato della certificazione del Tax Control Framework (TCF), per il rilascio della prima relazione, è svolta in due fasi: la prima consiste nella identificazione del perimetro, la seconda attiene la valutazione del disegno dei presidi di controllo selezionati. Entrambe le fasi devono operare su due livelli di analisi, da svolgere in via successiva. In primo luogo, l’analisi che riguarda i controlli di processo generali (company level) e, in un momento successivo, l’analisi sui processi di controllo specifici (activity level). In merito alla fase di identificazione del perimetro, abbiamo già evidenziato che, a livello di controlli generali, lo scopo di questa fase è accertare che i documenti descrittivi del processo di rilevazione, misurazione gestione e controllo del rischio fiscale e i relativi output siano presenti e contengano tutte le informazioni rilevanti (si veda “La certificazione di un TCF parte dalla definizione del perimetro” del 23 febbraio 2026). Spostando, invece, l’attenzione sulla definizione del perimetro dei controlli specifici e, quindi, dei controlli di singolo rischio (activity level assessment), questa fase è finalizzata all’individuazione dei processi specifici rilevanti da sottoporre alla fase di valutazione (test of design - ToD), alla selezione dei rischi significativi, e alla identificazione dei presidi di controllo da sottoporre a verifica. Si tratta, in altre parole, di selezionare alcuni rischi e relativi presidi, considerati significativi, nell’ambito dei processi dell’impresa. Nella prassi, al fine di individuare i presidi di controllo da sottoporre a valutazione del disegno, il certificatore adotta un approccio integrato process based e risk based. L’approccio process based si sviluppa a partire dalla mappa dei processi aziendali e dei rischi fiscali di adempimento e individua, ad esempio, quelli più specifici rispetto al modello di business dell’impresa o più rilevanti dal punto di vista della materialità. Occorre quindi valutare la bontà e la coerenza della matrice processi e rischi adempimento rispetto alla configurazione organizzativa dell’impresa e alla sua catena di valore. L’approccio risk based, invece, parte dall’esame del bilancio, dei precedenti fiscali e dalle altre informazioni utili, individua i rischi fiscali più rilevanti e risale ai relativi processi. Si analizza, in sostanza, il profilo economico e fiscale dell’impresa mediante i dati di bilancio, la distribuzione del carico tributario per tipologia d’imposta, informazioni relative a operazioni ricorrenti e non routinarie, verifiche fiscali pregresse, schemi di atto, adesioni e contenziosi. Possono rivelarsi, altresì, utili interviste al personale dell’impresa. Attraverso queste informazioni si individuano i rischi fiscali a maggiore esposizione potenziale e si riconducono ai processi di riferimento rappresentati nella mappa. In altre parole, l’approccio risk based completa le analisi svolte, partendo essenzialmente dalla normativa fiscale per scendere nei processi aziendali. Combinare i due approcci (process e risk based) consente di definire un perimetro più “affidabile” dei rischi e dei controlli da sottoporre al Test of Design. Una volta selezionati i processi e rischi da testare, viene individuato il campione ritenuto significativo di controlli mappati, da selezionare sulla base di specifici driver di criticità quali a titolo esemplificativo, l’elevato livello del rischio inerente associato o il valore economico rilevante, nonché informazioni desumibili da verifiche e controlli fiscali pregressi, istanze di interpello, MAP, ravvedimento operoso, ecc. La definizione del perimetro deve anche riguardare i rischi fiscali derivanti dai principi contabili applicati dal contribuente. Al riguardo, è noto che per le imprese che abbiano adottato un sistema di controllo autonomo in materia di informativa finanziaria/contabile (“Modello 262”, “Modello Sox” o altro modello analogo), l’attività del certificatore riguarda essenzialmente la verifica dell’effettiva integrazione tra il sistema di controllo sull’informativa finanziaria-contabile e il TCF, ma non è richiesta una attività di verifica sui controlli già presidiati nell’ambito dell’autonomo modello contabile. Diversamente, per le imprese non dotate di tali sistemi di controllo, le Linee guida approvate dall’Agenzia delle Entrate (provv. n. 5320/2025) affermano che occorre predisporre “specifici presidi contabili «integrati» nel TCF, mediante la formalizzazione di controlli chiave standard sui principali processi operativi e rischi financial associati, opportunamente evidenziati, unitamente ai relativi rischi, nella Risk and Control Matrix del TCF”. In questa seconda ipotesi, pertanto, il certificatore dovrà includere anche la verifica di tali controlli nel perimetro delle proprie attività. Si tratta, quindi, di individuare i processi che possono avere effetti fiscali (ciclo attivo, passivo, magazzino, ecc) e verificare che siano presidiati da controlli chiave finalizzati anche a verificare la solidità del dato contabile, in termini di affidabilità, la corretta rappresentazione in bilancio, la coerenza dei criteri contabili adottati. Si tratta di attività non indifferente in quanto, solo per esemplificare alcuni dei controlli possibili, andrebbe verificata la quadratura tra contabilità generale e sottosistemi, le classificazioni contabili delle poste, la corretta appostazione di fondi e passività potenziali. Assumono rilievo, inoltre, tutti i key controls riguardanti il ciclo attivo e passivo: basti pensare, in relazione al primo, alla rilevazione dei ricavi e alla applicazione ai medesimi del principio della prevalenza della sostanza sulla forma con relativi impatti sulla competenza (si veda “Gestione del rischio fiscale nel TCF con controlli chiave in materia contabile” del 9 marzo 2026).