Revisione legale con l'AI: cosa cambia per il revisore
La revisione legale con l'intelligenza artificiale cambia il modo di acquisire evidenze, non i principi: l'AI analizza l'intera popolazione contabile, prova le scritture e prepara bozze di carte di lavoro. Significatività, valutazione dei rischi, scetticismo e giudizio restano del revisore, che documenta ogni passaggio secondo ISA Italia 230.
In breve
- L'AI non cambia i principi. Cambia il modo di acquisire e documentare le evidenze: l'ISA Italia 315 prevede già strumenti e tecniche automatizzate.
- Il guadagno è sui dati completi: journal entry testing, quadrature, riconciliazioni, clausole estratte da contratti e verbali.
- Restano al revisore significatività, valutazione dei rischi, scetticismo, giudizio e firma della relazione.
- L'ISA Italia 230 vale anche per l'output dell'AI: procedure, evidenze, conclusioni e giudizi significativi vanno nel fascicolo.
- Riservatezza e indipendenza si decidono prima di caricare il primo file.
Cosa cambia davvero nella revisione legale
Il prodotto dell'incarico è un giudizio: l'articolo 14 del D.Lgs. 39/2010 chiede al revisore una relazione con un giudizio sul bilancio, e quel giudizio non si delega. La domanda utile non è se un modello possa sostituire il revisore, ma come rendere verificabile ciò che produce.
I principi non sono scritti contro la tecnologia. L'ISA Italia 315, nota applicativa A21, prevede «strumenti e tecniche automatizzate» per le procedure di valutazione del rischio su grandi volumi di dati: analisi, ricalcoli, riesecuzioni, riconciliazioni. La nota A137 ammette l'accesso diretto ai database dell'impresa per seguire il percorso delle scritture; la A203 cita l'analisi dell'intera popolazione di operazioni. L'ISA Italia 530 si applica quando verifichi meno del 100% della popolazione: se guardi tutto, il problema non è il campione ma la completezza dei dati.
L'IAASB, con la Technology Position del 3 ottobre 2024, chiede standard che facilitino l'uso appropriato della tecnologia e sta rivedendo l'ISA 330, l'ISA 500 e l'ISA 520 per l'audit automatizzato. Il CNDCEC, con la guida del 24 ottobre 2025, propone policy, assessment iniziale e registro dei sistemi, con verifica umana degli output. Il quadro ISA Italia sull'AI non vieta: chiede metodo.
Le sette fasi, una per una
| Fase (principio ISA Italia) | Uso realistico dell'AI | Controllo del revisore |
|---|---|---|
| Accettazione e continuità (210) | Visure, bilanci depositati, alert su procedure e contenziosi | Indipendenza, competenze, rischi dell'incarico |
| Pianificazione e significatività (300, 320) | Mappa delle voci, trend, indicatori per scegliere il benchmark | Benchmark e soglia, motivati nel fascicolo |
| Valutazione dei rischi (315) | Analisi dell'intera popolazione, anomalie, mappatura dei processi | Rischio inerente, rischi significativi, controlli |
| Procedure di validità (330, 500) | Clausole da contratti e verbali, ricalcoli, riconciliazioni | Sufficienza e appropriatezza delle evidenze |
| Campionamento (530) | Stratificazione, selezione, proiezione degli errori | Popolazione, metodo, valutazione dei risultati |
| Documentazione (230) | Bozze di carte di lavoro, indici, memo, riepilogo errori | Chi ha svolto e chi ha riesaminato, giudizi |
| Relazione (700) | Bozza di struttura, coerenza con le conclusioni | Giudizio, richiami, firma |
Le fasi restano quelle. Cambia il punto in cui l'AI entra: prima quasi solo in esecuzione, oggi anche nella comprensione dell'impresa e nella preparazione del fascicolo. Il presidio si sposta dal campione al passaggio dai dati all'evidenza.
Analisi dell'intera popolazione e journal entry testing
L'AI nella revisione contabile lavora dove i dati sono digitali: giornale, partitari, anagrafiche, cespiti, magazzino, fatture XML. Il primo passo è l'estrazione: un file completo, con totali che si riconciliano con la contabilità. Se mancano righe, l'analisi sembra completa ed è pericolosa.
Journal entry testing. L'ISA Italia 240, paragrafo 33, lettera a), chiede di verificare le scritture registrate nei libri contabili e le rettifiche, selezionando quelle di fine periodo e valutando se estendere la verifica all'esercizio. Un modello profila tutte le righe per utente, data e ora, importo, conto, descrizione: emergono scritture senza descrizione, importi tondi, registrazioni concentrate in un giorno, conti di compensazione, rettifiche manuali su conti automatici.
Esempio ipotetico. Su 180.000 righe, l'AI segnala 240 scritture tonde registrate l'ultimo giorno del mese dallo stesso utente. Il revisore ne estrae dodici, chiede i documenti, intervista chi le ha inserite e decide se allargare. Il numero non è la prova: la prova è il documento.
Il modello non conosce l'impresa: una registrazione di domenica può essere normale per un e-commerce. I falsi positivi si gestiscono con soglie motivate; i falsi negativi verificando la completezza dell'estrazione.
Quadrature, contratti e bozze di carte di lavoro
Quadratura. Bilancio contro contabilità, partite intercompany, IVA e ritenute, cespiti, magazzino, crediti e debiti per scadenza. Se il totale non torna, c'è una differenza da spiegare. L'AI esegue i controlli su tutte le voci e produce gli scostamenti; la spiegazione resta al revisore.
Contratti e verbali. Estrazione delle clausole che contano: covenant, leasing, ricavi, parti correlate, contenziosi. Il modello cita clausola e pagina; il revisore riapre l'originale. Il rischio nuovo è la citazione plausibile e inesistente.
Bozze di carte di lavoro. Indici, lead schedule, checklist, memo, riepilogo degli errori non corretti (ISA Italia 450), punti per la lettera alla direzione (ISA Italia 265). La bozza si prepara in poco; la sostanza la scrive chi ha fatto il lavoro.
Il confine è semplice: l'AI può produrre un documento che cita dati già verificati, non può produrre la verifica.
Prima di mettere l'AI su un incarico serve una policy: strumenti ammessi, dati trattabili, chi controlla cosa. Stiamo costruendo Policy AI Studio proprio per questo.
Cosa resta al revisore
La significatività. L'ISA Italia 320 chiede di determinare la significatività per il bilancio nel suo complesso e, se serve, per particolari classi di operazioni, saldi o informativa. La scelta del benchmark e delle soglie dipende dall'utilizzatore del bilancio: un modello calcola dieci scenari, non decide quale sia appropriato.
La valutazione dei rischi. L'ISA Italia 315 chiede di identificare e valutare i rischi di errori significativi, collegandoli ai controlli. L'AI segnala anomalie; il revisore decide se l'anomalia è un rischio, se è significativa e come rispondere.
Lo scetticismo. L'ISA Italia 200, paragrafo 15, impone di pianificare e svolgere la revisione con scetticismo professionale. L'articolo 9, commi 2-4, del D.Lgs. 39/2010 lo richiama per l'intera attività e lo definisce come «valutazione critica della documentazione inerente alla revisione». Un output ben formattato è più convincente di un foglio disordinato: la forma non è evidenza.
La responsabilità. Il codice deontologico, articolo 21, comma 9, dice che il ricorso all'AI non è mai esimente e che il professionista assume «pienamente la responsabilità e il controllo». La legge 132/2025, articolo 13, ammette l'AI nelle professioni intellettuali solo per attività strumentali, con prevalenza del lavoro intellettuale. Se un errore nasce da un output accettato senza verifica, risponde chi ha firmato.
L'indipendenza. L'articolo 10 del D.Lgs. 39/2010 chiede di valutare anche le relazioni d'affari e i rischi di autoriesame. Se lo studio progetta l'automazione del cliente che poi revisiona, o usa uno strumento fornito dal cliente, la domanda va posta prima dell'incarico.
Il controllo di qualità. L'ISQM (Italia) 1, paragrafo 32, lettera f), chiede allo studio di acquisire, sviluppare, mantenere e usare risorse tecnologiche appropriate per il sistema di gestione della qualità e per gli incarichi. L'uso dell'AI non è una scelta del singolo revisore: va dentro le procedure dello studio, con ruoli e riesame.
Documentare l'uso dell'AI: ISA 230, riservatezza e AI Act
Cosa deve stare nel fascicolo
L'ISA Italia 230, paragrafo 8, chiede una documentazione sufficiente perché un revisore esperto, senza cognizione dell'incarico, comprenda procedure, risultati, evidenze, aspetti significativi e giudizi professionali. Il paragrafo 9 aggiunge tre dati che riguardano direttamente l'AI: le voci verificate, chi ha svolto il lavoro e quando, chi lo ha riesaminato e con quale estensione.
Accanto all'output servono quindi: nome e versione dello strumento, dati caricati e perimetro, parametri e soglie, output prodotto, campione verificato manualmente, esito del controllo, revisore che ha accettato l'output e data. Se l'output non viene accettato, va documentato il motivo: è un giudizio professionale significativo (paragrafo 8, lettera c).
Il fascicolo si chiude entro sessanta giorni dalla sottoscrizione della relazione e i documenti si conservano dieci anni (art. 10-quater, comma 7, D.Lgs. 39/2010). Dopo la chiusura non si cancella nulla (ISA Italia 230, paragrafo 15): un output cancellato è un pezzo di evidenza perso.
Riservatezza e dati personali
Il revisore è tenuto al segreto professionale (art. 5, D.Lgs. 139/2005) e al riserbo dell'articolo 10 del codice deontologico. Chi carica dati del cliente in uno strumento AI tratta dati personali: servono base giuridica, minimizzazione, contratto con il fornitore ex articolo 28 GDPR e verifica dei trasferimenti fuori dall'Unione. I dati particolari restano fuori dai prompt; se il rischio è alto serve una valutazione d'impatto (art. 35). La guida CNDCEC propone di anonimizzare prima del prompt e di tracciare il controllo.
Due scelte pratiche: pseudonimizzare i riferimenti prima del caricamento, oppure usare un modello in locale, dove i file non escono dalla macchina. Il metodo è in AI locale con LM Studio.
AI Act: cosa riguarda uno studio di revisione
L'articolo 4 del Regolamento (UE) 2024/1689 è in vigore dal 2 febbraio 2025 e chiede a fornitori e deployer di sostenere l'alfabetizzazione IA del personale; le autorità di vigilanza applicano la norma dal 2 agosto 2026. La revisione legale non compare tra i settori dell'allegato III, quindi non diventa attività ad alto rischio per il solo fatto di usare l'AI. Restano gli obblighi che pesano in studio: riservatezza, responsabilità, formazione.
Come scegliere un software di revisione con AI
Un software di revisione legale con AI si valuta da come documenta, non da quante funzioni mostra. Le domande da fare in demo:
- Estrazione completa. Legge giornale, partitari, cespiti, magazzino e anagrafiche, oppure solo i PDF che carichi? I totali quadrano con la contabilità?
- Tracciabilità. Restano log di caricamento, versione del modello, parametri e soglie? L'output è esportabile nel fascicolo?
- Separazione dei ruoli. Il sistema distingue chi prepara da chi riesamina, come chiede l'ISA Italia 230, paragrafo 9?
- Conservazione. Puoi esportare tutto in un formato leggibile tra dieci anni, senza dipendere dal fornitore?
- Contratto. C'è un accordo ex articolo 28 GDPR, con esclusione dell'addestramento sui dati del cliente e indicazione dei trasferimenti?
- Prova su un incarico chiuso. Funziona su un caso in cui conosci già errori ed eccezioni?
Aggiungi una verifica non tecnica: chi risponde se l'output è sbagliato. Nel contratto con il cliente la responsabilità resta del revisore; dal fornitore puoi chiedere assistenza, non una garanzia sul giudizio.
Domande frequenti
L'AI può sostituire il revisore legale?
No. L'articolo 14 del D.Lgs. 39/2010 attribuisce al revisore il giudizio sul bilancio, e il codice deontologico, articolo 21, comma 8, ammette l'AI solo per attività strumentali e di supporto.
L'AI può firmare la relazione di revisione?
No. La relazione è datata e sottoscritta dal responsabile dell'incarico (art. 14, comma 4, D.Lgs. 39/2010). L'AI può preparare una bozza di struttura, ma il giudizio resta del revisore.
Che cosa chiede l'ISA Italia 230 quando uso l'AI?
Che il fascicolo permetta a un revisore esperto di capire procedure, evidenze, conclusioni e giudizi significativi (par. 8), indichi chi ha svolto e chi ha riesaminato il lavoro (par. 9) e si chiuda entro sessanta giorni.
Posso caricare i dati del cliente in un assistente AI?
Solo con base giuridica, minimizzazione, contratto ex articolo 28 GDPR e verifica dei trasferimenti extra UE. Meglio pseudonimizzare o usare un modello locale; se il rischio è alto serve una DPIA.
L'AI Act considera la revisione legale un'attività ad alto rischio?
La revisione legale non è elencata nell'allegato III del Regolamento (UE) 2024/1689. Restano l'articolo 4 sull'alfabetizzazione IA e gli obblighi su dati e responsabilità professionale.
L'analisi dell'intera popolazione sostituisce il campionamento?
No. L'ISA Italia 530 si applica quando verifichi meno del 100% della popolazione: resta il rischio di estrazione incompleta, dati errati e conclusioni tratte da segnalazioni automatiche.
Devo avvisare il cliente che uso l'AI?
Sì. L'articolo 21, comma 10, del codice deontologico e l'articolo 13 della legge 132/2025 chiedono di comunicare i sistemi usati con linguaggio chiaro, anche nella documentazione prodotta.
Come verifico l'output di un software di revisione con AI?
Su un incarico chiuso, con errori noti: confronta le segnalazioni con ciò che avevi trovato, misura falsi positivi e negativi e controlla che l'estrazione quadri con la contabilità. Se il test non chiude, non è pronto.
Fonti
- D.Lgs. 39/2010, testo vigente (artt. 9, 10, 10-quater, 14) — MEF
- ISA Italia 230, documentazione — MEF
- ISA Italia 240, par. 33 — MEF
- ISA Italia 315, note A21, A137, A203 — MEF
- ISA Italia 320, significatività — MEF
- ISA Italia 530, campionamento — MEF
- ISA Italia 200, par. 15, nota A23(I) — MEF
- ISQM (Italia) 1, par. 32 — MEF
- Elenco principi ISA Italia — MEF
- IAASB, Technology Position, 3 ottobre 2024 — iaasb.org
- IAASB, Technology and the Future of Audit — iaasb.org
- CNDCEC, Guida operativa IA #3, 24 ottobre 2025 — PDF
- Codice deontologico, art. 21 — CNDCEC
- Legge 132/2025, art. 13 — Gazzetta Ufficiale
- Regolamento (UE) 2016/679 — EUR-Lex
- Regolamento (UE) 2024/1689, allegato III — AI Act Service Desk
- D.Lgs. 139/2005, art. 5 — Normattiva
Approfondimenti
- AI per commercialisti — cosa si automatizza nello studio.
- Analisi XML fatture elettroniche — i campi da estrarre.
- Riconciliazione bancaria — abbinamenti ed eccezioni.
- Formazione AI Act — cosa chiede l'articolo 4.
- Come scegliere un consulente AI — le domande prima di firmare.
Se vuoi impostare revisione e AI nello studio, la pagina commercialisti descrive il percorso: analisi dei processi, un pilota, formazione del team.