Ordinanza della FINMA del 31 ottobre 2024 sull’audit prudenziale (Ordinanza FINMA sull’audit prudenziale)

La presente ordinanza disciplina l’audit prudenziale delle società di audit secondo l’articolo 24 capoverso 1 lettera a della legge del 22 giugno 2007¹ sulla vigilanza dei mercati finanziari (LFINMA). A questo scopo essa disciplina:

1. a.

   per ogni ambito di vigilanza gli ambiti da sottoporre ad audit nel quadro della verifica di base;

2. b.

   l’identificazione dei rischi che derivano dall’attività dell’assoggettato;

3. c.

   per gli ambiti da sottoporre ad audit la periodicità e l’ampiezza della verifica;

4. d.

   i dettagli dei principi della verifica;

5. e.

   le esigenze poste al rapporto di verifica e i termini per l’inoltro.

 La FINMA indica per ogni ambito di vigilanza in quali dei seguenti ambiti di verifica deve essere svolto l’audit prudenziale:

1. a.

   organizzazione interna e corporate governance;

2. b.

   esigenze in materia di capitale e di fondi propri;

3. c.

   gestione e concentrazione dei rischi;

4. d.

   esigenze in materia di liquidità;

5. e.

   norme di comportamento.

 Essa indica inoltre in quali campi di verifica all’interno di un ambito di verifica deve essere svolto l’audit prudenziale.

 All’inizio di ogni audit prudenziale, la società di audit deve effettuare un’analisi dei rischi.

 A tale scopo determina i rischi che derivano dall’attività dell’assoggettato (rischi inerenti).

 Determina i rischi di controllo.

 Sulla base dei rischi inerenti e dei rischi di controllo, determina il rischio netto.

 Opera una classificazione dei rischi inerenti e dei rischi netti.

 Alle imprese di assicurazione di cui all’articolo 47 si applica esclusivamente il capoverso 1.

 Nell’elaborazione dell’analisi dei rischi, la società di audit considera in particolare sviluppi o novità significative presso l’assoggettato e nel relativo contesto.

 Può anche basarsi sui lavori della revisione interna dell’assoggettato.

 L’analisi dei rischi deve essere inoltrata alla FINMA e portata a conoscenza dell’assoggettato.

 I termini per l’inoltro sono fissati nel terzo capitolo.

 Il livello del rischio inerente è determinato secondo l’allegato 1; esso viene determinato in funzione:

1. a.

   dell’entità del danno che si verificherà se l’evento di rischio si concretizza; e

2. b.

   della probabilità che l’evento di rischio si concretizzi.

 Il livello del rischio di controllo è determinato secondo l’allegato 2; esso viene determinato a seconda che l’assoggettato abbia o meno adottato misure per contenere il rischio inerente, in caso affermativo, in funzione dell’efficacia di tali misure.

 Il livello del rischio netto è determinato secondo l’allegato 3.

 Alle imprese di assicurazione di cui all’articolo 47 non si applicano i capoversi 2 e 3.

 In caso di cambiamento del mandato di verifica, per determinare il rischio di controllo la nuova società di audit può basarsi sui risultati della verifica svolta dalla società di audit precedente, purché reputi che tali risultati siano critici.

 Alle imprese di assicurazione di cui all’articolo 47 non si applica il capoverso 1.

 Per l’analisi dei rischi devono essere utilizzati i modelli della FINMA.

 Se la FINMA apporta adeguamenti significativi ai modelli, consulta preventivamente gli interessati.

Le attività di verifica devono essere svolte sulla base di una strategia di audit specifica all’istituto. La sua elaborazione è fissata nel terzo capitolo.

 La periodicità e l’ampiezza della verifica sono fissate nel terzo capitolo.

 Se l’ampiezza della verifica è «audit», l’audit prudenziale deve essere svolto in modo tale da disporre di una chiara attestazione di audit sul rispetto delle disposizioni del diritto in materia di vigilanza («positive assurance»).

 Se l’ampiezza della verifica è «valutazione critica», l’audit prudenziale deve essere svolto in modo tale da determinare se nel quadro delle attività di verifica svolte siano emerse fattispecie da cui si può desumere il mancato rispetto delle disposizioni del diritto in materia di vigilanza («negative assurance»).

 La società di audit deve preparare e svolgere l’audit prudenziale adottando un atteggiamento critico. Al riguardo deve garantire che le valutazioni siano oggettive.

 Essa deve considerare le possibili ripercussioni degli attuali sviluppi rilevanti sotto il profilo prudenziale sugli assoggettati nonché sul relativo contesto, in particolare per quanto riguarda il futuro rispetto delle disposizioni del diritto in materia di vigilanza.

 Se durante l’audit prudenziale viene constatata una violazione delle prescrizioni legali o di altro tipo, degli statuti, dei regolamenti e delle direttive, occorre valutare se ciò mette in discussione l’integrità della direzione dell’impresa o dei collaboratori.

 La società di audit deve stabilire principi tesi a garantire la qualità dell’audit prudenziale e assicurarne il rispetto costante.

 Per ogni audit prudenziale essa deve adottare le misure necessarie per garantire il rispetto di tali principi.

 Se essa considera che l’audit prudenziale lo richieda, si avvale di specialisti del settore.

 Nel quadro dell’audit prudenziale devono essere apportati elementi probatori sufficienti e adeguati. Le conclusioni che ne vengono tratte costituiscono la base per le conferme di audit e il rendiconto.

 Gli elementi probatori della verifica vengono ottenuti mediante verifiche funzionali, verifiche di casi specifici (verifiche a campione) e procedure di verifica analitiche significative.

 Se come elementi probatori vengono utilizzati documenti allestiti dall’assoggettato, questi devono essere esaminati criticamente per garantirne il corretto allestimento.

 Se al termine dell’audit prudenziale e prima della consegna del rapporto di verifica vengono identificati eventi rilevanti per l’audit prudenziale, anche al riguardo occorre svolgere attività di verifica sufficienti e fornire elementi probatori adeguati. Le conclusioni tratte devono essere riportate nel rapporto di verifica.

 Se gli elementi probatori della verifica vengono apportati mediante verifiche a campione, la campionatura deve essere selezionata in modo tale:

1. a.

   da offrire una base sufficiente affinché possano essere tratte conclusioni sulla fattispecie da esaminare; e

2. b.

   da ridurre a un livello accettabilmente basso il rischio che l’interpretazione di un campione porti a trarre conclusioni errate (rischio di campionamento).

 Nella selezione della campionatura occorre considerare lo scopo della verifica, la rilevanza dell’ambito e del campo di verifica e le caratteristiche dell’universo statistico. La selezione deve essere operata in base a un approccio orientato al rischio secondo l’articolo 24 capoverso 2 LFINMA¹.

 Se nella verifica a campione vengono constatate carenze presso l’assoggettato, occorre indicarne la natura e la causa nonché valutare le ripercussioni che potrebbero avere su altri settori. Per quanto possibile, le carenze devono essere estrapolate dall’universo statistico.

Se la società di audit ha impartito alla persona sottoposta a vigilanza un termine per il ripristino della situazione conforme secondo l’articolo 27 capoverso 2 LFINMA¹, essa verifica entro un congruo termine dalla scadenza del termine se ciò è avvenuto (verifica susseguente).

La FINMA può prescrivere attività di verifica (punti di audit).

 La società di audit deve allestire tempestivamente, in modo completo e approfondito la documentazione dell’audit prudenziale.

 La documentazione relativa alla verifica deve essere comprensibile e verificabile per terzi competenti in materia nonché contenere i seguenti elementi:

1. a.

   informazioni sulla pianificazione e lo svolgimento dell’audit prudenziale;

2. b.

   la tipologia, il momento e l’entità delle attività di verifica svolte;

3. c.

   le motivazioni e le conclusioni in merito alle fattispecie verificate; e

4. d.

   le conferme di audit nel rapporto di verifica.

 Se nella documentazione relativa alla verifica vengono utilizzati documenti allestiti dall’assoggettato, occorre contrassegnarli e indicare che ne è stato accertato il corretto allestimento.

 La società di audit deve concludere entro un congruo termine la documentazione relativa alla verifica dopo la consegna del rapporto di verifica. In seguito alla conclusione non è più possibile apportare alcuna modifica alla documentazione relativa alla verifica.

 La società di audit deve garantire che la documentazione relativa alla verifica è conservata in modo sicuro e separatamente dai documenti relativi alla verifica dei conti.

 La documentazione relativa alla verifica deve essere conservata nel rispetto della confidenzialità.

In casi eccezionali la FINMA può esigere che l’audit prudenziale non venga svolto dall’auditor responsabile né dal gruppo di audit che svolge la verifica dei conti.

 Se, nelle sue attività di verifica, la società di audit si basa sui lavori della revisione interna, nel rapporto di verifica occorre indicare:

1. a.

   in quale ambito o campo di verifica e con quale entità la revisione interna ha svolto i lavori su cui si basa la società di audit; e

2. b.

   a quale risultato la revisione interna è giunta nell’ambito dei suoi lavori.

 Se i lavori della revisione interna non soddisfano le esigenze di cui all’articolo 5 capoverso 3 OA‑FINMA, la società di audit può basarsi sui lavori della revisione interna solo se effettua attività di verifica a titolo complementare.

 La società di audit può svolgere autonomamente l’audit prudenziale da effettuare nel quadro dell’audit di gruppo presso le imprese aventi sede all’estero di un gruppo o di un conglomerato finanziario oppure può incaricare a tal fine una società di audit appartenente alla medesima rete.

 Se l’audit prudenziale è svolto da una società di audit associata, la società di audit deve:

1. a.

   istruire la società di audit associata e sorvegliare le sue attività di verifica;

2. b.

   sottoporre periodicamente a un controllo della qualità la documentazione relativa alla verifica allestita dalla società di audit associata;

3. c.

   valutare i lavori svolti dalla società di audit associata.

 Se nel quadro dell’audit prudenziale si constata che le disposizioni del diritto in materia di vigilanza svizzero non possono essere rispettate perché in contrasto con il diritto estero, la società di audit deve fissarlo nel rapporto di verifica.

Alle attività di verifica nel quadro di una procedura di autorizzazione secondo l’articolo 2 capoverso 2 OA‑FINMA, i principi della verifica si applicano per analogia.

 Il rapporto di verifica si concentra sull’esposizione dei punti deboli riscontrati presso l’assoggettato e sul relativo potenziale di miglioramento.

 Nell’allestimento del rapporto, la società di audit considera peraltro il contesto determinante per l’assoggettato come pure gli sviluppi attuali e prevedibili.

 Il rapporto di verifica deve contenere almeno le indicazioni e i documenti seguenti:

1. a.

   visione d’insieme delle condizioni quadro dell’audit prudenziale;

2. b.

   conferma dell’indipendenza della società di audit;

3. c.

   indicazione di eventuali ulteriori mandati della società di audit presso l’assoggettato;

4. d.

   per gli ambiti o i campi di verifica coperti:

   1. 1.

      sintesi delle attività di verifica svolte,

   2. 2.

      conferme di audit;

5. e.

   eventuali irregolarità e raccomandazioni (art. 11 OA-FINMA);

6. f.

   eventuali punti deboli materiali constatati da terzi;

7. g.

   eventuali modifiche significative presso l’assoggettato e indicazioni di future sfide per l’assoggettato;

8. h.

   conferma che l’assoggettato ha rispettato le disposizioni della FINMA;

9. i.

   gli allegati richiesti dalla FINMA nei modelli per l’allestimento del rapporto.

 Il rapporto di verifica per le imprese di assicurazione di cui all’articolo 47 non deve contenere le indicazioni e i documenti di cui al capoverso 1 lettere d e h.

 Le irregolarità e le raccomandazioni devono essere classificate.

 Se l’assoggettato non è d’accordo con un’irregolarità o una raccomandazione, occorre indicarlo nel rapporto di verifica.

 Se viene constatata ripetutamente un’irregolarità o una raccomandazione, occorre indicarlo nel rapporto di verifica.

 Un’irregolarità deve essere classificata di grado elevato se risponde ad almeno uno dei seguenti criteri:

1. a.

   la violazione delle disposizioni del diritto in materia di vigilanza costituisce un fatto soggetto all’obbligo di notifica ai sensi dell’articolo 27 capoverso 3 LFINMA¹;

2. b.

   gli elementi relativi all’organizzazione, alle funzioni, ai processi o ai controlli in conformità al diritto in materia di vigilanza, agli statuti, ai regolamenti e alle direttive sono prevalentemente non disponibili o la loro efficacia è gravemente compromessa;

3. c.

   la violazione delle disposizioni del diritto in materia di vigilanza comporta un sensibile aumento del rischio inerente o del rischio di controllo (situazione di rischio);

4. d.

   sussiste una violazione sistematica delle disposizioni del diritto in materia di vigilanza.

 Un’irregolarità deve essere classificata di grado medio se risponde ad almeno uno dei seguenti criteri:

1. a.

   gli elementi relativi all’organizzazione, alle funzioni, ai processi o ai controlli in conformità al diritto in materia di vigilanza, agli statuti, ai regolamenti e alle direttive sono parzialmente non disponibili o la loro efficacia è compromessa;

2. b.

   la violazione delle disposizioni del diritto in materia di vigilanza comporta un moderato aumento della situazione di rischio.

 Un’irregolarità deve essere classificata di grado basso se risponde ad almeno uno dei seguenti criteri:

1. a.

   gli elementi relativi all’organizzazione, alle funzioni, ai processi o ai controlli in conformità al diritto in materia di vigilanza, agli statuti, ai regolamenti e alle direttive non sono sufficientemente documentati o non sono formalmente approvati, tuttavia la loro efficacia non è compromessa;

2. b.

   la violazione delle disposizioni del diritto in materia di vigilanza non incide sulla situazione di rischio.

 Una raccomandazione deve essere classificata di grado elevato se risponde ad almeno uno dei seguenti criteri:

1. a.

   sussiste il rischio di un sensibile aumento della situazione di rischio o il pericolo di una grave violazione delle disposizioni del diritto in materia di vigilanza;

2. b.

   la raccomandazione deve essere attuata urgentemente.

 Una raccomandazione deve essere classificata di grado medio se risponde ad almeno uno dei seguenti criteri:

1. a.

   sussiste il rischio di un aumento della situazione di rischio o il pericolo di una violazione delle disposizioni del diritto in materia di vigilanza;

2. b.

   la raccomandazione deve essere attuata nel periodo di audit successivo.

 Una raccomandazione deve essere classificata di grado basso se risponde ad almeno uno dei seguenti criteri:

1. a.

   sussiste la possibilità che le disposizioni del diritto in materia di vigilanza vengano violate nel medio e nel lungo termine e il corrispondente adeguamento non deve essere apportato urgentemente;

2. b.

   sussiste la possibilità che l’organizzazione o i processi vengano migliorati e tale miglioramento non deve essere apportato urgentemente.

Per quanto concerne i gruppi e i conglomerati finanziari assoggettati alla vigilanza su base consolidata ai sensi degli articoli 3b–3g della legge federale dell’8 novembre 1934¹ sulle banche e le casse di risparmio (LBCR) o ai sensi degli articoli 65 e 73 della legge federale del 17 dicembre 2004² sulla sorveglianza degli assicuratori, deve essere allestito un rapporto di verifica per ogni singolo istituto autorizzato dalla FINMA e un rapporto di verifica per il gruppo o il conglomerato finanziario.

 Per il rendiconto devono essere utilizzati i modelli della FINMA.

 Se la FINMA apporta adeguamenti significativi ai modelli, consulta preventivamente gli interessati.

La presente sezione si applica all’audit prudenziale di:

1. a.

   banche;

2. b.

   società di intermediazione mobiliare;

3. c.

   centrali di emissione di obbligazioni fondiarie;

4. d.

   infrastrutture del mercato finanziario;

5. e.

   persone di cui all’articolo 1b LBCR¹.

La periodicità e l’ampiezza della verifica sono determinate nel modo seguente:

 Su richiesta dell’organo preposto all’alta direzione di un assoggettato della categoria di vigilanza 4 o 5, la FINMA può approvare una frequenza ridotta della verifica se presso quest’ultimo non constata una situazione di rischio elevato né considerevoli punti deboli.

 In caso di frequenza ridotta della verifica, le attività di verifica vengono differite:

1. a.

   di due anni per gli assoggettati della categoria di vigilanza 4; e

2. b.

   di tre anni al massimo per gli assoggettati della categoria di vigilanza 5.

 Negli anni intermedi non deve essere elaborata e inoltrata alcuna strategia di audit specifica all’istituto, non viene svolto alcun audit prudenziale e non viene presentato alcun rapporto di verifica. L’audit prudenziale ed eventuali verifiche susseguenti devono essere effettuati nell’anno di audit successivo.

 Per gli assoggettati delle categorie di vigilanza 1 e 2, la strategia di audit specifica all’istituto è elaborata dalla FINMA di concerto con la società di audit.

 Per gli assoggettati delle categorie di vigilanza 3–5, la strategia di audit specifica all’istituto è elaborata dalla società di audit. La FINMA definisce una strategia di audit standard; deve essere utilizzato l’apposito modello.

 Se la società di audit ritiene che la strategia di audit standard non sia sufficiente per la verifica di un assoggettato, propone alla FINMA di discostarsene, fornendo una motivazione.

 Nella strategia di audit standard, per singoli ambiti o campi di verifica la FINMA può stabilire, in base alla sua stima del rischio:

1. a.

   una periodicità o un’ampiezza di audit divergente dall’articolo 30;

2. b.

   la copertura di singoli elementi di un ambito o un campo di audit sull’arco di più anni (copertura graduale).

 Se la FINMA apporta adeguamenti significativi ai modelli, consulta preventivamente gli interessati.

 La strategia di audit specifica all’istituto deve essere inoltrata alla FINMA e portata a conoscenza dell’assoggettato.

 Congiuntamente alla strategia di audit deve essere inoltrata una stima dei costi per le attività di verifica previste.

 Se la società di audit adegua la strategia di audit successivamente all’inoltro, deve inoltrarla nuovamente alla FINMA.

 L’analisi dei rischi deve essere inoltrata alla FINMA entro quattro mesi dall’inizio dell’esercizio.

 La strategia di audit deve essere inoltrata entro le seguenti scadenze:

1. a.

   per gli assoggettati delle categorie di vigilanza 1 e 2: entro sei mesi dall’inizio dell’esercizio;

2. b.

   per gli assoggettati delle categorie di vigilanza 3–5: entro quattro mesi dall’inizio dell’esercizio.

 I rapporti di verifica devono essere inoltrati alla FINMA entro quattro mesi dalla chiusura dell’esercizio.

 La strategia di audit specifica all’istituto per gli assoggettati delle categorie di vigilanza 3–5 deve essere approvata dalla FINMA. È considerata approvata se entro due mesi dall’inoltro la FINMA non richiede adeguamenti.

 La FINMA può esigere un adeguamento della strategia di audit specifica all’istituto approvata.

 Nella verifica dei conti di banche, società di intermediazione mobiliare, centrali di emissione di obbligazioni fondiarie e infrastrutture del mercato finanziario, la società di audit deve rispettare le disposizioni dell’Autorità federale di sorveglianza dei revisori (ASR) sulla relazione completa di revisione secondo l’articolo 728b del Codice delle obbligazioni (CO)¹ e fornire le informazioni complementari richieste dalla FINMA.

 Essa deve inoltrare con frequenza annuale alla FINMA la relazione completa di revisione secondo l’articolo 728b CO anche in caso di frequenza ridotta della verifica.

 La relazione completa di revisione deve essere allestita anche per le seguenti unità:

1. a.

   assoggettati che non sono società anonime;

2. b.

   succursali di unità estere;

3. c.

   gruppi e conglomerati finanziari che, in quanto tali, sono assoggettati alla sorveglianza consolidata della FINMA.

 Nella verifica dei conti di persone di cui all’articolo 1b LBCR¹, la società di audit deve rispettare le disposizioni dell’ASR sulla relazione di revisione secondo il CO² e fornire le informazioni complementari richieste dalla FINMA.

 Essa deve inoltrare con frequenza annuale alla FINMA la relazione di revisione anche in caso di frequenza ridotta della verifica.

 La relazione di revisione deve essere allestita anche per le seguenti unità:

1. a.

   assoggettati che non sono società anonime;

2. b.

   succursali di unità estere;

3. c.

   gruppi e conglomerati finanziari che, in quanto tali, sono assoggettati alla sorveglianza della FINMA.

La presente sezione si applica all’audit prudenziale di:

1. a.

   direzioni dei fondi;

2. b.

   gestori di patrimoni collettivi;

3. c.

   società di investimento a capitale variabile (SICAV);

4. d.

   società in accomandita per investimenti collettivi di capitale (SAcCol);

5. e.

   società di investimento a capitale fisso (SICAF);

6. f.

   banche depositarie;

7. g.

   rappresentanti di investimenti collettivi di capitale esteri.

Nell’identificazione dei rischi nel quadro dell’analisi dei rischi occorre considerare anche gli investimenti collettivi di capitale gestiti dai titolari dell’autorizzazione ai sensi della legge federale del 15 giugno 2018¹ sugli istituti finanziari e della legge federale del 23 giugno 2006² sugli investimenti collettivi di capitale.

La periodicità e l’ampiezza della verifica sono determinate nel modo seguente:

 Su richiesta dell’organo preposto all’alta direzione di un assoggettato della categoria di vigilanza 5, la FINMA può approvare una frequenza ridotta della verifica se presso quest’ultimo non constata una situazione di rischio elevato né considerevoli punti deboli.

 In caso di una frequenza ridotta della verifica, le attività di verifica vengono differite di due anni.

 Negli anni intermedi non viene elaborata e inoltrata alcuna analisi dei rischi e strategia di audit specifica all’istituto, non viene svolto alcun audit prudenziale e non viene presentato alcun rapporto di verifica. L’audit prudenziale ed eventuali verifiche susseguenti devono essere effettuati nell’anno di audit successivo.

 Per gli assoggettati delle categorie di vigilanza 3 e 4, la strategia di audit specifica all’istituto è elaborata dalla FINMA di concerto con la società di audit.

 Per gli assoggettati della categoria di vigilanza 5, la strategia di audit specifica all’istituto è elaborata dalla società di audit. La FINMA definisce una strategia di audit standard; deve essere utilizzato l’apposito modello.

 Se la società di audit ritiene che la strategia di audit standard non sia sufficiente per la verifica di un assoggettato, propone alla FINMA di discostarsene, fornendo una motivazione.

 Nella strategia di audit standard, per singoli ambiti o campi di verifica la FINMA può stabilire, in base alla sua stima del rischio:

1. a.

   una periodicità o un’ampiezza di audit divergente dall’articolo 40;

2. b.

   la copertura di singoli elementi di un ambito o un campo di audit sull’arco di più anni (copertura graduale).

 Se la FINMA apporta adeguamenti significativi ai modelli, consulta preventivamente gli interessati.

 La strategia di audit specifica all’istituto deve essere inoltrata alla FINMA e portata a conoscenza dell’assoggettato.

 Congiuntamente alla strategia di audit deve essere inoltrata una stima dei costi per le attività di verifica previste.

 Se la società di audit adegua la strategia di audit successivamente all’inoltro, deve inoltrarla nuovamente alla FINMA.

 L’analisi dei rischi deve essere inoltrata alla FINMA entro sei mesi dall’inizio dell’esercizio. Per le banche depositarie, deve essere inoltrata entro quattro mesi dall’inizio dell’esercizio della banca. Per i nuovi istituti autorizzati, essa deve essere inoltrata entro tre mesi dall’entrata in vigore della decisione di autorizzazione.

 La strategia di audit deve essere inoltrata alla FINMA entro sei mesi dall’inizio dell’esercizio. Per le banche depositarie, deve essere inoltrata entro quattro mesi dall’inizio dell’esercizio della banca. Per i nuovi istituti autorizzati, essa deve essere inoltrata entro tre mesi dall’entrata in vigore della decisione di autorizzazione.

 I rapporti di verifica devono essere inoltrati alla FINMA entro sei mesi dalla chiusura dell’esercizio. Per le banche depositarie, devono essere inoltrati entro quattro mesi dalla chiusura dell’esercizio della banca.

 La strategia di audit specifica all’istituto per la categoria di vigilanza 5 deve essere approvata dalla FINMA. È considerata approvata se entro tre mesi dall’inoltro la FINMA non richiede adeguamenti.

 La FINMA può esigere un adeguamento della strategia di audit specifica all’istituto.

 Nella verifica dei conti, la società di audit deve rispettare le disposizioni dell’ASR sulla relazione completa di revisione secondo l’articolo 728b CO¹ e fornire le informazioni complementari richieste dalla FINMA.

 Per le SICAV e le SAcCol, la società di audit deve inoltrare con frequenza annuale alla FINMA la relazione completa di revisione secondo l’articolo 728b CO anche in caso di frequenza ridotta della verifica.

 Le direzioni dei fondi e i gestori di patrimoni collettivi devono inoltrare con frequenza annuale alla FINMA la relazione completa di revisione secondo l’articolo 728b CO anche in caso di frequenza ridotta della verifica.

La presente sezione si applica all’audit prudenziale delle imprese di assicurazione secondo la legge federale del 17 dicembre 2004¹ sulla sorveglianza delle imprese di assicurazione.

 Nella preparazione dell’analisi dei rischi, per i rischi individuati la società di audit descrive anche le misure efficaci e volte al contenimento del rischio che sono già state adottate dall’impresa di assicurazione, dal gruppo assicurativo o dal conglomerato assicurativo. Vengono considerate anche le misure che verranno sicuramente adottate nel corso dei prossimi sei mesi.

 Se per i rischi individuati non sono previste misure volte al contenimento del rischio, occorre indicarlo nell’analisi dei rischi.

 La FINMA può esonerare la società di audit dall’obbligo di svolgere l’analisi dei rischi o consentire deroghe, se la stima del rischio della FINMA lo consente.

La strategia di audit specifica all’istituto è allestita dalla FINMA.

 L’analisi dei rischi deve essere inoltrata alla FINMA entro quattro mesi dall’inizio dell’esercizio.

 I rapporti di verifica devono essere inoltrati alla FINMA entro quattro mesi dalla chiusura dell’esercizio.

 Nella verifica dei conti, la società di audit deve rispettare le disposizioni dell’ASR sulla relazione completa di revisione secondo l’articolo 728b CO¹ e fornire le informazioni complementari richieste dalla FINMA.

 Per le succursali di imprese di assicurazione estere assoggettate alla vigilanza della FINMA, la società di audit deve fornire le informazioni complementari richieste dalla FINMA e:

1. a.

   verificare il conto annuale secondo i principi della revisione ordinaria secondo l’articolo 727 CO; e

2. b.

   allestire una relazione riassuntiva per la verifica del conto annuale.

La presente ordinanza entra in vigore il 1° gennaio 2025.