Controlli e revisione contabile dell'informativa finanziaria

Una voce di stato patrimoniale che riporta «Attività digitali: 250 milioni di dollari» vale tanto quanto le evidenze che la supportano. Le criptovalute cambiano il problema della revisione contabile: il registro è pubblico, ma la titolarità si dimostra controllando le chiavi, le attività possono spostarsi in pochi minuti e i prezzi variano da una piattaforma all'altra. I team finanziari, i revisori interni e i revisori esterni devono sapere quali controlli producono dati affidabili, che cosa verificano i revisori e perché un rapporto di proof of reserves non è una revisione contabile.

Le asserzioni più importanti

I revisori verificano le asserzioni formulate dalla direzione nel bilancio. Per le criptovalute, cinque comportano la maggior parte del rischio:

Esistenza e diritti: dimostrare il controllo

Un block explorer può mostrare che un indirizzo detiene 1.000 BTC. Non può mostrare chi controlla quell'indirizzo. Chiunque può copiare in un foglio di calcolo l'indirizzo di un cold wallet di un exchange famoso e dichiararlo come proprio. Per questo i revisori cercano evidenze del controllo delle chiavi private:

• Messaggi firmati: l'entità firma un messaggio scelto dal revisore (con una data o un nonce) con la chiave di ciascun indirizzo, e il revisore verifica la firma.
• Transazioni di prova: un importo esiguo, specificato dal revisore, viene trasferito dall'indirizzo a un'ora concordata.
• Osservazione delle cerimonie di gestione delle chiavi e dei controlli sull'archiviazione, sul quorum e sulla firma, trattati nella lezione Livelli dei wallet, criteri per le transazioni e flussi di firma.

Il controllo delle chiavi non equivale comunque ai diritti. Le monete possono essere date in garanzia, prestate, bloccate nello staking o detenute per conto dei clienti. Chi detiene una chiave può essere il custode per conto di qualcun altro. I revisori leggono gli accordi di prestito, staking e custodia e chiedono direttamente informazioni sui vincoli, poiché questi incidono sia sullo stato patrimoniale sia sull'informativa. Quando le attività sono detenute da un custode qualificato, i revisori ottengono una conferma dal custode e ne valutano i controlli tramite un rapporto sui controlli di un'organizzazione di servizi.

Riconciliazione on-chain e completezza

Una procedura di chiusura efficace parte da un registro degli indirizzi aggiornato: ogni indirizzo controllato dall'entità, la blockchain, il livello del wallet, il custode e chi ne ha approvato la creazione. Alla fine di ogni periodo, il team finanziario riconcilia il libro mastro interno con i saldi on-chain di ogni indirizzo, esamina le differenze e documenta il risultato.

Le buone pratiche includono:

• Leggere i saldi da una fonte indipendente, idealmente dal nodo dell'entità o da più di un explorer, anziché dallo stesso strumento che genera il libro mastro.
• Includere i token che non compaiono come semplici saldi: posizioni in staking, quote di pool di liquidità, token wrapped e attività trasferite tramite bridge su altre blockchain.
• Per exchange e custodi con wallet omnibus, riconciliare il sottoconto clienti con le disponibilità on-chain, in modo che le passività verso i clienti siano interamente coperte.

La completezza è l'asserzione più difficile da verificare. Un revisore può confermare che gli indirizzi elencati detengono monete, ma non può dimostrare che non esistano altri indirizzi appartenenti all'entità o che non manchi qualche obbligo. Le procedure includono il tracciamento dei flussi dagli indirizzi noti per individuare quelli non elencati, l'esame dei verbali del consiglio di amministrazione e dei contratti, e l'analisi degli estratti conto degli exchange.

Cut-off e prezzi

Le criptovalute vengono scambiate 24 ore al giorno, quindi occorre definire l'ora di cut-off: per esempio, le 23:59:59 UTC dell'ultimo giorno del periodo, applicate in modo coerente sia ai saldi sia ai prezzi. Per una transazione trasmessa alle 23:58 ma inclusa in un blocco alle 00:03, serve un criterio per stabilire a quale periodo appartiene, normalmente basato sul momento in cui viene trasferito il controllo. In una giornata volatile, la differenza di prezzo tra la mezzanotte UTC e la mezzanotte a New York può raggiungere diversi punti percentuali: per 1.000 BTC, una differenza di 1.500 $ modifica il valore riportato di 1,5 milioni di dollari.

L'IFRS 13 e il suo equivalente statunitense, l'ASC 820, richiedono entrambi il fair value al prezzo del mercato principale: il mercato con il volume e il livello di attività più elevati per l'attività in questione, a cui l'entità può accedere. Una piattaforma sulla quale l'entità non ha un conto non è idonea. Se non è possibile individuare un mercato principale, si utilizza il mercato più vantaggioso. Aspetti pratici:

• Documentare l'analisi delle piattaforme in base ai volumi e riesaminarla periodicamente.
• Utilizzare una fonte di prezzo coerente e indipendente e verificarla rispetto al mercato principale.
• Un indice aggregato non è di per sé un mercato; è accettabile soltanto se riflette i prezzi dei mercati a cui l'entità può accedere.
• Per i token scambiati poco, il prezzo può rientrare nel Livello 2 o nel Livello 3 della gerarchia del fair value, il che richiede maggiore giudizio e informativa.

Controlli interni che producono dati affidabili

I revisori fanno affidamento sui controlli dell'entità tanto quanto sulle verifiche dirette, e controlli deboli li costringono a svolgere molte più procedure sostanziali. I controlli più importanti per l'informativa finanziaria sulle criptovalute sono:

• Separazione dei compiti tra chi può firmare le transazioni, chi le registra nel libro mastro e chi effettua le riconciliazioni. Un tesoriere che può sia trasferire monete sia registrare scritture contabili è un classico punto debole.
• Autorizzazione delle transazioni tramite il motore delle politiche e le regole di quorum, conservando le evidenze per ogni prelievo.
• Riconciliazione giornaliera o almeno mensile del libro mastro con la blockchain, con indagine sulle differenze e approvazione da parte di una persona indipendente.
• Governance delle fonti di prezzo: analisi documentata del mercato principale, feed di prezzo approvati e verifica di eventuali modifiche manuali ai prezzi.
• Controlli generali IT sul sottoconto delle criptovalute o sul software contabile: gestione degli accessi, gestione delle modifiche e completezza dei dati importati da wallet ed exchange.
• Dati sul costo fiscale e sui lotti mantenuti al livello richiesto dalle norme fiscali e contabili, in modo che le plusvalenze realizzate indicate nell'informativa di rollforward possano essere ricondotte alle singole cessioni.

In genere, i revisori verificano questi controlli e poi svolgono procedure sostanziali, come la conferma indipendente dei saldi, la verifica dei prezzi e il ricalcolo delle plusvalenze. Quando la direzione utilizza strumenti specialistici o servizi di determinazione dei prezzi, il revisore ne valuta l'affidabilità invece di accettarne semplicemente i risultati.

Parti correlate e organizzazioni di servizi

Gli indirizzi pseudonimi rendono più difficile identificare le parti correlate. Il collasso di FTX nel 2022 ha mostrato come una società di trading sotto controllo comune, Alameda Research, potesse detenere attività dei clienti e ricevere prestiti non dichiarati. I revisori combinano le procedure standard sulle parti correlate (richieste di informazioni, verbali del consiglio di amministrazione, registri di proprietà) con l'analisi on-chain dei flussi tra gli indirizzi dell'entità e quelli di insider, affiliate ed emittenti di token.

Molte entità si affidano a custodi, exchange e fornitori di prezzi. I revisori utilizzano rapporti sulle organizzazioni di servizi per valutare tali controlli ai sensi dell'ISA 402 o delle norme nazionali equivalenti. Ai fini dell'informativa finanziaria, è rilevante un rapporto di Tipo II sui controlli pertinenti all'informativa finanziaria, verificati nel corso di un periodo: a livello internazionale, un rapporto ISAE 3402; oppure un rapporto SOC 1 Type II secondo lo standard AICPA di origine statunitense utilizzato da molti fornitori di servizi crypto. Il SOC 2 riguarda sicurezza e disponibilità ed è trattato nella lezione Attestazioni, resilienza e assicurazione. I revisori verificano che il periodo coperto dal rapporto includa l'anno, ottengono una lettera di raccordo per eventuali periodi scoperti e confermano che l'entità esegua i controlli complementari a carico dell'entità utilizzatrice presupposti dal rapporto, come la verifica delle approvazioni dei prelievi.

Proof of reserves e revisione contabile del bilancio

La proof of reserves (PoR), i cui meccanismi sono trattati nella lezione Rischio di controparte e proof of reserves, viene spesso presentata come se fosse una revisione contabile. Non lo è.

Dopo il collasso di FTX, diverse società di revisione hanno smesso di fornire incarichi PoR agli exchange e, nel marzo 2023, l'autorità statunitense di vigilanza sulla revisione contabile, la PCAOB, ha avvertito gli investitori che tali rapporti non sono revisioni contabili. Una PoR utile può integrare il bilancio sottoposto a revisione, ma non può sostituirlo.

Focus sull'esame: le asserzioni chiave per le criptovalute (esistenza, diritti e obblighi, completezza, valutazione, informativa); perché i saldi on-chain dimostrano l'esistenza ma non il controllo o i diritti, e in che modo i messaggi firmati e le transazioni di prova sono d'aiuto; i registri degli indirizzi e la riconciliazione con una fonte indipendente della blockchain, incluse le attività in staking e trasferite tramite bridge; l'ora di cut-off definita e la regola del mercato principale ai sensi dell'IFRS 13 (e dell'ASC 820); il rischio relativo alle parti correlate in presenza di indirizzi pseudonimi (FTX/Alameda); i rapporti ISAE 3402 e SOC 1 Type II, le lettere di raccordo e i controlli complementari a carico dell'entità utilizzatrice; perché la proof of reserves non è una revisione contabile del bilancio.