Circolare FINMA Attività di audit
I Scopo
La presente circolare concretizza la prassi di vigilanza della FINMA relativamente:
alla scelta e al cambiamento della società di audit;
alle verifiche supplementari;
agli obblighi di notifica in caso di frequenza ridotta della verifica;
all’incompatibilità con un mandato di verifica (art. 7 dell’Ordinanza del 5 novembre 2014 sugli audit dei mercati finanziari [OA-FINMA; RS 956.161]);
all’informazione e al coinvolgimento della BNS nella sorveglianza delle infrastrutture del mercato finanziario di rilevanza sistemica.
II Campo di applicazione
La presente circolare è destinata: • alle banche secondo l’art. 1a della Legge dell’8 novembre 1934 sulle banche (LBCR;
RS 952.0), alle società di intermediazione mobiliare secondo l’art. 2 lett. e e l’art. della Legge del 15 giugno 2018 sugli istituti finanziari (LIsFi; RS 954.1) e alle centrali di emissione di obbligazioni fondiarie ai sensi della Legge del 25 giugno 1930 sulle obbligazioni fondiarie (LOF; RS 211.423.4);
alle infrastrutture del mercato finanziario secondo l’art. 2 lett. a della Legge del giugno 2015 sull’infrastruttura finanziaria (LInFi; RS 958.1);
agli assoggettati secondo l’art. 2 cpv. 1 lett. c–e LIsFi o secondo l’art. 13 cpv. 2 della Legge del 23 giugno 2006 sugli investimenti collettivi (LICol; RS 951.31);
alle imprese di assicurazione secondo l’art. 2 cpv. 1 della Legge del 17 dicembre 2004 sulla sorveglianza degli assicuratori (LSA; RS 961.01);
alle persone secondo l’art. 1b LBCR.
III Scelta e cambiamento della società di audit
Gli assoggettati devono comunicare senza indugio alla FINMA la scelta e il cambiamento della società di audit secondo l’art. 28a della Legge del 22 giugno 2007 sulla vigilanza dei mercati finanziari (LFINMA; RS 956.1), tuttavia al più tardi tre mesi prima del termine per l’inoltro dell’analisi dei rischi relativa al periodo di audit in corso. Gli assoggettati devono disporre in ogni momento di una società di audit prudenziale.
IV Verifiche supplementari
Le verifiche supplementari secondo l’art. 4 OA-FINMA sono parte integrante dell’audit prudenziale. Se i rischi o il modello aziendale di un assoggettato alla vigilanza richiedono una verifica supplementare, la FINMA può ordinarla in qualsiasi momento. Le disposizioni
dell’Ordinanza del 31 ottobre 2024 della FINMA sull’audit prudenziale si applicano per analogia.
V Obblighi di notifica in caso di frequenza ridotta della verifica
Gli obblighi di notifica legali delle società di audit devono essere rispettati in qualsiasi momento e anche nel caso in cui la verifica venga effettuata con una frequenza ridotta secondo il nm. 30 o 40.
VI Risultato della revisione (nm. 7 della Circolare 1/2009 ASR)
Se, nel quadro della verifica del conto annuale, la società di audit formula modifiche al giudizio nella relazione del revisore indipendente secondo l’ISA-CH 705 oppure formula un capoverso nella nota stilata dal revisore per evidenziare un fatto o altre questioni secondo l’ISA-CH 706 deve informare immediatamente la FINMA, tuttavia in ogni caso prima di consegnare il rapporto di conferma.
Le conferme concernenti la verifica del conto annuale per gli investimenti collettivi di capitale devono essere riportate nel rapporto sintetico (cfr. art. 113 nonché artt. 115 e OICol-FINMA). Se la società di audit formula modifiche al giudizio nella relazione del revisore indipendente secondo l’ISA-CH 705 oppure formula un capoverso nella nota stilata dal revisore per evidenziare un fatto o altre questioni secondo l’ISA-CH 706 deve informare immediatamente la FINMA, tuttavia in ogni caso prima di consegnare il rapporto di conferma.
VII Incompatibilità con un mandato di verifica
Le società di audit e gli auditor degli assoggettati sono tenuti a rispettare le prescrizioni in materia di indipendenza ai sensi dell’art. 11l dell’Ordinanza del 22 agosto 2007 sui revisori (OSRev; RS 221.302.3) e dell’art. 7 dell’OA-FINMA. Occorre tenere conto di tali disposizioni come pure delle seguenti disposizioni in materia di incompatibilità con un mandato di verifica anche nel caso in cui la verifica venga effettuata con una frequenza ridotta (nm. 30, 40 dell’Ordinanza della FINMA sull’audit prudenziale). Per le attività di consulenza generali non vi sono restrizioni temporali fino alla decorrenza del primo periodo di verifica per un nuovo mandato di verifica ai sensi del diritto in materia di vigilanza. I mandati preliminari di verifica e di consulenza devono tuttavia essere comunicati alla FINMA all’atto della notifica concernente la scelta della società di audit. Il concetto di mandato di verifica secondo l’art. 8 cpv. 1 OA-FINMA comprende unicamente il servizio fornito dall’auditor responsabile. Il concetto di mandato comprende tutti servizi che la società di audit ha fornito o dovrà fornire, indipendentemente che si tratti di verifiche o servizi prudenziali o di altro tipo.
Il concetto di consulenza in materia di vigilanza secondo l’art. 7 cpv. 1 lett. a OA-FINMA comprende in linea di principio tutti i servizi rilevanti secondo il diritto in materia di vigilanza su incarico degli organi e dei collaboratori dell’assoggettato alla vigilanza, segnatamente
lo sviluppo e l’introduzione di strumenti informatici e di gestione delle informazioni come pure lo sviluppo di misure volte ad eliminare lacune e carenze negli attuali sistemi;
lo sviluppo e l’introduzione di strumenti specifici per il cliente in materia di compliance e controllo/gestione dei rischi;
lo sviluppo di processi operativi;
l’elaborazione di documenti di riferimento (p. es. direttive);
il coaching;
i corsi di formazione specifici per i clienti;
il trasferimento del know-how specifico per i clienti;
i servizi di affiancamento e supporto. Per contro, previa divulgazione integrale nei confronti della FINMA, sono ammesse le valutazioni preventive (p. es. attività di pre-audit) senza servizi di consulenza e di affiancamento. Tali valutazioni non costituiscono un ostacolo alla formulazione di un giudizio di audit indipendente per un ambito o un campo di audit predefinito al di fuori della verifica. A tale riguardo, l’oggetto della verifica deve essere sviluppato integralmente e pronto per l’implementazione. Sono altresì ammesse analisi generiche (valutazioni non specifiche all’istituto) e analisi comparative (raffronto del mercato, benchmarking di indicatori) in cui le società di audit riportano semplicemente i fatti e non formulano raccomandazioni. Le consulenze in materia di vigilanza fornite nel quadro di una procedura di autorizzazione sono escluse qualora dopo l’autorizzazione venga assunto il mandato di verifica. Tutti i servizi in relazione con attività di due diligence (buy-side e sell-side, a prescindere da un eventuale obbligo di autorizzazione da parte della FINMA) che riguardano un assoggettato alla vigilanza in Svizzera e che non vertono esclusivamente sull’allestimento di factbooks o sulla creazione di data room sono considerati come consulenza in materia di vigilanza e di conseguenza non sono ammessi. Sono fatte salve le verifiche secondo la Legge del 3 ottobre 2003 sulla fusione (LFus; RS 221.301) e le verifiche nel quadro dell’audit prudenziale secondo l’art. 24 cpv. 1 lett. a LFINMA.
Alla fornitura di servizi a favore di società del gruppo nazionali ed estere che sono oggetto della vigilanza su base consolidata della FINMA si applicano i nm. 8–19. Al riguardo non è decisivo se la prestazione viene fornita dalla società di audit oppure da un’altra società appartenente alla stessa rete. La decisione in merito all’ammissione di una consulenza in materia di vigilanza presso una società del gruppo svizzera o estera non assoggettata alla vigilanza su base consolidata della FINMA dipende in particolare dalla rilevanza della società del gruppo presso la quale è prevista la consulenza come pure dal tipo e dalla portata di quest’ultima.
Il distacco (secondment) di un collaboratore della società di audit addetto alla revisione interna dell’assoggettato alla vigilanza è consentito a condizione che il collaboratore non abbia potere decisionale e che il distacco abbia una durata non superiore ai sei mesi. Il distacco (secondment) di collaboratori preposti alla revisione interna presso società di audit è consentito a condizione che avvenga una sola volta per persona e abbia una durata massima limitata a sei mesi. Sono consentiti ulteriori periodi di distacco se la persona distaccata (secondee) svolge un’attività ammessa ai sensi del diritto in materia di vigilanza nel quadro del rapporto di lavoro e non ha potere decisionale. Una messa a disposizione di personale che eccede tale limite massimo non è ammessa.
VIII Informazione e coinvolgimento della BNS nella sorveglianza
delle infrastrutture del mercato finanziario di rilevanza sistemica
Per quanto concerne le infrastrutture del mercato finanziario di rilevanza sistemica:
l’analisi dei rischi deve essere inoltrata anche alla BNS;
nell’allestimento della strategia di audit occorre coinvolgere la BNS;
il rendiconto deve essere inoltrato anche alla BNS.