Nel regime di adempimento collaborativo, il Tax Control Framework non riguarda più soltanto la gestione del rischio fiscale in senso stretto. Il presidio deve coprire anche i rischi fiscali che derivano dall’applicazione dei principi contabili e dall’affidabilità del dato contabile.

La circolare 6/E del 6 agosto 2026 dell’Agenzia delle Entrate conferma questo passaggio: il sistema di controllo del rischio fiscale deve dialogare con i controlli contabili, soprattutto nelle imprese che adottano modelli 262 o Sox.

Il chiarimento è importante perché molte società strutturate hanno già presidi di controllo sull’informativa finanziaria. In questi casi, il Tax Risk Officer può utilizzare le risultanze dei controlli contabili già svolti nell’ambito del modello 262 o del modello Sox, evitando duplicazioni inutili.

Dove questi modelli non esistono, invece, l’impresa deve costruire presidi contabili ad hoc, coerenti con le logiche del Tax Control Framework.

Risposta breve

Nel regime di adempimento collaborativo, il Tax Risk Officer deve considerare anche la variabile contabile quando questa incide sul rischio fiscale.

Se la società adotta un modello 262 o Sox, il presidio contabile può essere considerato adeguato attraverso le verifiche già svolte dal Dirigente preposto o dal responsabile Sox.

Se questi modelli non sono presenti, l’impresa deve dotarsi di controlli contabili specifici, misurati sia in termini di disegno del controllo sia di effettiva operatività.

Adempimento collaborativo: il passaggio al modello standardizzato

Il regime di adempimento collaborativo è disciplinato dal Dlgs 128/2015 ed è stato potenziato dal Dlgs 221/2023, attuativo della riforma fiscale.

La logica è quella della cooperative compliance: instaurare un rapporto preventivo e trasparente tra grandi contribuenti e Agenzia delle Entrate, anticipando il confronto sui rischi fiscali prima della presentazione delle dichiarazioni.

La riforma ha ampliato progressivamente la platea dei soggetti ammessi. Dal 2024 la soglia è fissata a 750 milioni di euro di volume d’affari o ricavi, dal 2026 scende a 500 milioni e dal 2028 arriverà a 100 milioni.

Questo significa che il regime, nato per un numero ristretto di grandi gruppi, diventerà progressivamente rilevante per una platea molto più ampia di imprese.

Il passaggio non è solo dimensionale. Si passa da un modello più aperto e adattabile a un sistema più standardizzato, nel quale Tax Control Framework, mappa dei rischi, certificazione e interlocuzione preventiva assumono un ruolo strutturale.

Il ruolo del Tax Risk Officer

Il Tax Risk Officer è la figura che presidia il sistema di rilevazione, misurazione, gestione e controllo del rischio fiscale.

Il suo compito non è limitato alla lettura delle norme tributarie. Deve verificare che l’impresa disponga di processi, controlli, responsabilità e flussi informativi idonei a intercettare i rischi fiscali prima che si trasformino in errori dichiarativi, violazioni o contenzioso.

La circolare 6/E del 2026 conferma che il Tax Risk Officer deve considerare anche la componente contabile del rischio.

Il motivo è semplice: molte scelte fiscali nascono da dati contabili. Se il dato contabile non è affidabile, anche la posizione fiscale può diventare fragile.

Si pensi a fondi rischi, ricavi, costi pluriennali, impairment, leasing, strumenti finanziari, operazioni straordinarie, stock option, crediti, rimanenze, cambi di principio contabile o valutazioni estimative. In tutti questi casi, il rischio fiscale nasce spesso dal modo in cui il fatto economico viene rilevato e rappresentato in bilancio.

Modello 262 e Sox: quando il presidio è già adeguato

Uno dei chiarimenti più utili riguarda le imprese che adottano un modello 262 o un modello Sox.

Il modello 262 richiama i presidi previsti dalla legge 262/2005 sulla tutela del risparmio e sul ruolo del dirigente preposto alla redazione dei documenti contabili societari. Il modello Sox si riferisce invece ai controlli richiesti dal Sarbanes-Oxley Act, rilevanti soprattutto per gruppi quotati o appartenenti a gruppi internazionali.

Secondo l’Agenzia delle Entrate, in presenza di questi modelli il presidio contabile può considerarsi rispettato quando la relazione del Dirigente preposto o del responsabile Sox garantisce l’affidabilità del dato contabile.

Il controllo deve coprire sia il test of design, cioè la verifica che il controllo sia correttamente disegnato, sia il test of effectiveness, cioè la verifica che il controllo funzioni effettivamente nel tempo.

Per le imprese già strutturate, questo evita la sovrapposizione di controlli duplicati.

Il Tax Risk Officer può recepire le risultanze dei controlli contabili già svolti, purché siano adeguatamente documentate e coerenti con la mappatura dei rischi fiscali.

Se manca il modello 262 o Sox servono presidi ad hoc

Diverso è il caso delle società che non adottano modelli 262 o Sox.

In assenza di tali presidi, l’impresa deve costruire controlli contabili specifici, in grado di assicurare l’affidabilità dei dati che alimentano la fiscalità.

Anche questi controlli devono essere valutati in termini di disegno e di funzionamento.

Non basta quindi descrivere una procedura. Occorre dimostrare che la procedura esiste, è assegnata a responsabili identificati, viene eseguita, produce evidenze, è soggetta a revisione e consente di intercettare anomalie.

Il Tax Risk Officer può redigere un’unica relazione che includa controlli fiscali e contabili di secondo livello. In alternativa, possono essere predisposte due relazioni distinte: una del soggetto responsabile dei rischi contabili e una del Tax Risk Officer sui rischi fiscali.

La scelta dipende dall’organizzazione dell’impresa, ma il risultato deve essere lo stesso: rendere tracciabile il collegamento tra dato contabile, rischio fiscale e controllo.

RCM e società controllate: il chiarimento per i gruppi

La circolare affronta anche un tema molto pratico per i gruppi societari.

Quando una capogruppo è entrata nel regime di adempimento collaborativo prima delle modifiche introdotte dal Dlgs 221/2023, e quindi con un modello già validato secondo la precedente impostazione, le società del gruppo che chiedono l’ammissione possono continuare a utilizzare la stessa mappa RCM della capogruppo.

La RCM, cioè la Risk Control Matrix, è la mappa che collega rischi fiscali, processi aziendali, controlli e responsabilità.

Il chiarimento è importante perché evita che le controllate siano costrette a ricostruire da zero un impianto già validato a livello di gruppo, purché il modello sia effettivamente applicabile e coerente con le caratteristiche della singola società.

Anche qui, però, occorre attenzione. Utilizzare la RCM di gruppo non significa copiarla in modo meccanico. La controllata deve verificare che processi, rischi, controlli e flussi informativi siano effettivamente presenti nella propria organizzazione.

Certificazione del TCF: possibile riferimento allo standard ISAE 3402

La riforma ha introdotto l’obbligo di certificazione del sistema di controllo del rischio fiscale.

Non essendo previsto un unico standard normativo di riferimento per la certificazione, l’Agenzia delle Entrate chiarisce che il certificatore può fare riferimento allo standard ISAE 3402, relativo agli assurance reports sui controlli presso organizzazioni di servizi.

Il richiamo è significativo perché conferma una impostazione basata non solo sulla descrizione del modello, ma anche sulla verifica dei controlli.

La certificazione ha durata triennale e deve essere aggiornata alla scadenza del triennio.

I test di efficacia operativa devono coprire l’intero arco temporale e riguardare sia i controlli generali di livello aziendale sia i controlli specifici collegati alle singole aree di rischio.

Scadenze per soggetti già ammessi e nuove istanze

Per i soggetti già ammessi al regime o che hanno presentato istanza prima del 18 gennaio 2024, la certificazione dell’efficacia operativa dovrà essere acquisita entro il 31 dicembre 2026, con riferimento ai controlli sulle annualità 2024 e 2025.

La successiva certificazione dovrà essere acquisita entro il 31 dicembre 2029, coprendo i periodi d’imposta 2026, 2027 e 2028.

Per le imprese che hanno presentato istanza nei periodi d’imposta 2024 e 2025, la certificazione dovrà essere aggiornata entro il 31 dicembre 2029, attestando l’efficacia operativa dei controlli per i periodi compresi tra la data di presentazione dell’istanza e il 2028.

Sono scadenze che richiedono organizzazione anticipata. I test di efficacia operativa non si ricostruiscono a posteriori senza evidenze. Vanno pianificati durante l’esercizio.

Rischi interpretativi: significativi e non significativi

La circolare distingue i rischi interpretativi significativi da quelli non significativi.

I rischi significativi sono quelli che superano le soglie di materialità concordate con l’Agenzia delle Entrate. Per questi rischi l’interlocuzione preventiva è obbligatoria se l’impresa vuole beneficiare delle esimenti sanzionatorie.

I rischi non significativi, invece, non superano le soglie concordate. Tuttavia, se vengono inseriti nella mappa dei rischi interpretativi con schede correttamente compilate e preventivamente caricate nel servizio web dell’Agenzia, possono anch’essi dare accesso alle tutele previste dal regime.

Questo passaggio è molto importante.

Una buona mappatura non serve solo a descrivere i rischi maggiori. Serve anche a documentare le scelte interpretative minori che, se trasparenti e preventivamente rappresentate, possono beneficiare della protezione sanzionatoria.

Interpello abbreviato e comunicazione del rischio

La circolare distingue anche tra interpello abbreviato e comunicazione del rischio.

L’interpello abbreviato rientra nell’attività di consulenza dell’Agenzia. Serve a ottenere una risposta preventiva su una questione fiscale concreta.

La comunicazione di rischio ha invece una funzione diversa: è una segnalazione volontaria che si inserisce nell’attività di controllo e nel dialogo preventivo con l’Amministrazione.

I termini non coincidono. Per l’interpello abbreviato, l’istanza deve essere presentata entro 45 giorni dalla scadenza del termine per la presentazione della dichiarazione. Per la comunicazione di rischio è sufficiente l’invio entro il termine ordinario di presentazione della dichiarazione.

Non sono considerate tempestive le comunicazioni effettuate prima di dichiarazioni integrative o sostitutive.

Riduzione delle sanzioni e penalty protection

Il regime di adempimento collaborativo prevede benefici sanzionatori differenziati.

Per i rischi fiscali di adempimento mappati nella RCM, la riduzione delle sanzioni opera a prescindere dal livello di rischio inerente o residuo.

Per i rischi interpretativi, invece, la tutela dipende dalla significatività del rischio e dalla tempestività della rendicontazione.

Se il rischio interpretativo è significativo, l’interlocuzione preventiva è obbligatoria. In caso di corretta rendicontazione ex ante, le sanzioni possono essere disapplicate. Se la rendicontazione è solo ex post, le sanzioni restano piene. L’omessa rendicontazione può incidere negativamente sulla permanenza nel regime.

Per i rischi interpretativi non significativi, la rendicontazione preventiva consente la penalty protection. La rendicontazione ex post comporta sanzioni ridotte, mentre l’omessa rendicontazione espone al rischio di sanzioni piene.

La logica è chiara: il beneficio premiale è proporzionato alla qualità e tempestività della trasparenza.

Esimente penale: attenzione agli elementi passivi inesistenti

La circolare affronta anche il tema dell’esimente penale.

La protezione non opera in presenza di elementi passivi inesistenti, perché si tratta di comportamenti considerati non meritevoli di tutela.

Diverso è il caso dei costi effettivamente esistenti ma fiscalmente indeducibili, in tutto o in parte, oppure delle questioni interpretative che comportano variazioni in diminuzione, come può accadere per Patent Box o participation exemption.

In questi casi, se la questione è fedelmente e preventivamente rappresentata all’Agenzia delle Entrate, la tutela può operare.

Il punto operativo è decisivo: la protezione del regime collaborativo non copre condotte fraudolente o documenti inesistenti, ma può tutelare scelte interpretative trasparenti e correttamente mappate.

Riduzione dei termini di accertamento

Altro chiarimento riguarda i termini di accertamento.

Per i soggetti che hanno presentato istanza di ammissione al regime nel 2023 ma sono stati ammessi dopo il 18 gennaio 2024, la riduzione dei termini di accertamento si applica a partire dal periodo d’imposta in corso al 1° gennaio 2024.

Anche questo punto conferma l’importanza della data di presentazione dell’istanza e dell’effettiva ammissione al regime.

La gestione del calendario diventa parte integrante della compliance: istanza, certificazione, aggiornamento della RCM, rendicontazioni e interlocuzioni preventive devono essere coordinate.

In sintesi

La circolare 6/E del 2026 rafforza il ruolo del Tax Control Framework come sistema integrato di controllo fiscale e contabile.

Il Tax Risk Officer deve considerare anche l’affidabilità del dato contabile quando questo incide sulla posizione fiscale.

Le imprese con modelli 262 o Sox possono utilizzare le risultanze dei controlli già svolti. Le altre devono costruire presidi contabili dedicati.

Le società controllate possono utilizzare la RCM della capogruppo già validata, purché il modello sia concretamente applicabile alla loro realtà.

La certificazione ha durata triennale e deve coprire l’efficacia operativa dei controlli.

Per imprese e gruppi, il messaggio è netto: il TCF non è un fascicolo fiscale. È un sistema organizzativo che deve collegare contabilità, processi, rischi, controlli e dialogo preventivo con l’Agenzia delle Entrate.

Prima di certificare il TCF, conviene verificare contabilità, RCM e controlli

Prima di presentare istanza, aggiornare la RCM o avviare la certificazione del Tax Control Framework, sentiamoci.

È il momento giusto per verificare se i controlli contabili sono già coperti da modello 262 o Sox, se il Tax Risk Officer può recepirne le risultanze, se servono presidi ad hoc e se la mappa dei rischi è coerente con i processi reali dell’impresa.

Dopo l’avvio della certificazione, diventa più difficile correggere controlli che non sono stati disegnati o documentati correttamente durante l’esercizio.