Criptovalute e Asset Digitali in Bilancio: Come Cambia la Verifica per il Revisore Legale

La progressiva integrazione della tecnologia blockchain nel tessuto aziendale tradizionale ha trasformato gli asset digitali da fenomeno di nicchia a componenti rilevanti del patrimonio d’impresa. L'entrata in vigore del Regolamento UE 2023/1114 relativo ai mercati dei cripto-asset (MiCA - Markets in Crypto-Assets), unitamente al rafforzamento dei presidi antiriciclaggio, ha segnato l’inizio di un’era di piena legittimazione e regolamentazione.

Tuttavia, per il revisore legale la presenza di criptovalute, token di utilità, stablecoin o token di governance nei bilanci di esercizio rappresenta una sfida metodologica e tecnica di prim’ordine. L'assenza di confini fisici, la natura pseudonima delle transazioni e la dipendenza da infrastrutture crittografiche impongono un'evoluzione dell'approccio di audit tradizionale, richiedendo l'integrazione di competenze multidisciplinari tra contabilità, diritto e IT forensics.

1. Inquadramento Normativo e Contabile: Tra Assenza di OIC e Standard IFRS

Una delle prime criticità che il revisore deve affrontare riguarda la corretta rilevazione e classificazione contabile degli asset digitali. Ad oggi, il panorama normativo si presenta disomogeneo.

Il Vuoto del Principio Contabile Nazionale (OIC)

Nell'ordinamento italiano non esiste ancora un principio OIC appositamente dedicato alle criptovalute. Gli amministratori, nel redigere il bilancio ai sensi del Codice Civile, devono ricorrere all'analogia con i principi esistenti, applicando la clausola generale di rappresentazione veritiera e corretta prescritta dall'articolo 2423 del Codice Civile.

In primo luogo, si considerano le Rimanenze di Magazzino (OIC 11 e OIC 13). Qualora la società svolga attività di trading abituale di cripto-asset, questi vengono classificati nell'attivo circolante e valutati al minore tra il costo di acquisto e il valore di realizzazione desumibile dal mercato.

In secondo luogo, si valutano le Immobilizzazioni Immateriali (OIC 24). Se le criptovalute sono detenute a titolo di investimento a lungo termine, la prassi prevalente tende ad assimilarle a beni immateriali a vita utile indefinita. In questo caso, non sono soggette ad ammortamento sistematico, ma devono essere sottomesse a impairment test ad ogni chiusura di esercizio per rilevare eventuali perdite durevoli di valore.

Infine, per quanto riguarda le Immobilizzazioni Finanziarie o le Attività Finanziarie che non costituiscono immobilizzazioni (OIC 20), tale classificazione è generalmente riservata a strumenti che incorporano un diritto di credito o una partecipazione, fattispecie rara nelle criptovalute native come Bitcoin o Ethereum, ma riscontrabile in taluni token strutturati.

L'Orientamento dell'IFRIC sui Principi IFRS

In ambito internazionale, l'IFRIC (International Financial Reporting Standards Interpretations Committee) si è espresso con una decisione di agenda relativa alle disponibilità di criptovalute.

L'organismo ha chiarito che le criptovalute non soddisfano la definizione di disponibilità liquide o equivalenti ai sensi dello IAS 7, a meno che non siano legalmente riconosciute come moneta avente corso legale. Inoltre, non costituiscono strumenti finanziari ai sensi dello IAS 32 poiché non conferiscono un diritto contrattuale a ricevere denaro o altre attività finanziarie.

Di conseguenza, rientrano generalmente nell'ambito dello IAS 38 per le Attività Immateriali. In alternativa, se detenute per la vendita nel normale svolgimento dell'attività d'impresa, si applica lo IAS 2 per le Rimanenze, con la possibilità per i broker-trader di valutarle al fair value al netto dei costi di vendita.

Il revisore deve dunque verificare con estremo rigore la coerenza delle accounting policy adottate dall'impresa, accertando che i criteri di valutazione scelti riflettano l'effettiva sostanza economica delle operazioni.

2. Le Sfide Fondamentali dell'Audit degli Asset Digitali

Il processo di revisione di un bilancio contenente asset digitali richiede la riprogettazione delle classiche procedure di verifica per coprire le principali asserzioni di bilancio.

Esistenza e Proprietà

A differenza di un conto corrente bancario, dove la conferma esterna inviata all'istituto di credito attesta la titolarità del saldo, nel mondo blockchain il concetto di proprietà è legato al controllo esclusivo delle chiavi private.

L'indirizzo pubblico mostra che i fondi esistono sulla blockchain, ma non dimostra chi ne sia il legittimo proprietario o chi abbia il potere di movimentarli. Se un terzo o un amministratore infedele possiede la chiave privata, il controllo dell'azienda è compromesso.

Valutazione e Impairment

La volatilità estrema dei mercati crypto rende critica la verifica del fair value e delle perdite durevoli di valore alla data di bilancio. Non tutti i token sono scambiati su mercati regolamentati o con volumi sufficienti. Il revisore deve valutare l'affidabilità dell'exchange di riferimento, verificando se si tratta di un Crypto-Asset Service Provider (CASP) autorizzato MiCA, e determinare se la quotazione utilizzata rappresenti un prezzo attivo ed effettivo.

Inoltre, ai sensi dell'ISA Italia 560 relativo agli eventi successivi, crolli repentini di prezzo verificatisi tra la data di chiusura del bilancio e la data della relazione di revisione devono essere attentamente valutati per stabilire se richiedano una rettifica dei valori di bilancio o una dettagliata informativa in Nota Integrativa.

3. Approccio Pratico: Test di Firma Crittografica e Controlli sui Custodian

Quando la società gestisce autonomamente i propri wallet tramite self-custody, le tradizionali tecniche d'ispezione visiva o la semplice presa visione delle schermate software non possiedono alcun valore probatorio ai sensi dell'ISA Italia 500. Il revisore deve applicare procedure tecniche avanzate.

Il Message Signing Test

È la procedura primaria per verificare il controllo esclusivo di una chiave privata senza rivelarla. Il revisore genera una stringa casuale di testo, definita nonce, contenente ad esempio la data e un codice univoco dell'audit. Viene chiesto al responsabile della custodia della società di firmare questo messaggio utilizzando la chiave privata associata all'indirizzo pubblico aziendale tramite il software del wallet.

Inserendo l'indirizzo pubblico, il messaggio originale e la firma digitale prodotta in un software di verifica indipendente, il revisore ottiene la conferma matematica che il proprietario del wallet ha firmato il messaggio in quel preciso istante.

La Dust Transaction

Qualora il Message Signing non sia supportato dalla specifica blockchain, si ricorre alla transazione di controllo. Il revisore richiede alla società di inviare un'infima quantità di criptovaluta da un indirizzo aziendale a un indirizzo sotto il controllo del team di revisione ad un orario concordato. La verifica del blocco confermato sulla blockchain pubblica fornisce la prova dell'operatività e della disponibilità dei fondi da parte del cliente.

La Gestione della Custodia affidata a Terzi

Se i digital asset sono depositati presso un intermediario o un exchange, il revisore deve richiedere una conferma esterna diretta ai sensi dell'ISA Italia 505. È indispensabile valutare l'affidabilità dell'infrastruttura del custodian acquisendo i relativi report SOC 1 o SOC 2 Type II, con particolare focus sui controlli di sicurezza informatica, segregazione delle chiavi, uso di moduli HSM e architettura multi-signature.

Con l'entrata a regime della normativa MiCA, il revisore dovrà accertare che il provider sia iscritto negli elenchi ufficiali delle autorità di vigilanza europee e che garantisca la segregazione patrimoniale delle criptovalute dei clienti rispetto agli asset propri.

4. Raccomandazioni Operative per il Revisore Legale

Di fronte alla revisione di bilanci caratterizzati dalla presenza di cripto-asset, si raccomanda all'esperto contabile e al collegio sindacale di adottare specifici presidi operativi.

In primo luogo, per quanto riguarda la valutazione preventiva del rischio e dell'accettazione dell'incarico ai sensi degli ISA Italia 210 e 220, occorre valutare se il team di revisione possiede le necessarie competenze informatiche e metodologiche. Se la componente tecnologica è complessa, è opportuno prevedere l'affiancamento di un esperto IT Audit o Forensics ai sensi dell'ISA Italia 620.

In secondo luogo, per la mappatura del sistema di controllo interno ai sensi dell'ISA Italia 315, occorre esaminare i protocolli di sicurezza aziendali per la gestione delle chiavi private. Bisogna verificare l'esistenza di politiche di disaster recovery, la separazione dei compiti nelle autorizzazioni di spesa e la conservazione fisica delle frasi di recupero in luoghi sicuri.

In terzo luogo, per la verifica della completezza e della due diligence antiriciclaggio, è consigliabile avvalersi di software specializzati di blockchain analytics in grado di analizzare la storia delle transazioni on-chain, identificando se gli indirizzi aziendali abbiano interagito con mercati non regolamentati o entità ad alto rischio frode.

Infine, occorre sollecitare gli amministratori ad inserire in Nota Integrativa un'adeguata descrizione dei rischi connessi agli asset digitali, quali il rischio tecnologico, di custodia, di liquidità e di volatilità di mercato, assicurando che la rappresentazione in bilancio sia conforme al quadro normativo vigente e idonea a non trarre in inganno gli stakeholder.

Conclusioni

L'audit degli asset digitali non richiede la riscrittura dei principi di revisione, bensì la loro rigorosa applicazione adattata al contesto tecnologico. L'evoluzione normativa impressa dal Regolamento MiCA e la progressiva definizione di prassi contabili più uniformi offrono oggi un quadro di maggior certezza. Spetta tuttavia al revisore legale mantenere uno scetticismo professionale accentuato, aggiornare costantemente le proprie metodologie di verifica e trattare i dati registrati su blockchain con la stessa severità analitica riservata a qualsiasi altro elemento patrimoniale di bilancio.