Compliance Operations: la disciplina che sta rivoluzionando la conformità normativa

Qualche anno fa abbiamo iniziato a parlare di DevOps. Poi sono arrivati SecOps, FinOps e DataOps.

Tutte queste discipline sono giunte alla stessa conclusione: gestire un processo complesso non significa avere degli strumenti validi, ma costruire un sistema in grado di funzionare in modo continuo, automatizzato e misurabile.

C’è però un settore dell’azienda che non ha ancora vissuto questa trasformazione. In troppe organizzazioni, la compliance rimane uno degli ultimi grandi processi gestiti tramite e-mail, fogli di calcolo e promemoria personali.

Paradossalmente, non ci sono mai stati così tanti obblighi normativi… né così tanti strumenti per gestirli. Eppure, molti dipartimenti di compliance continuano a dedicare gran parte del loro tempo a cercare documenti, ricostruire prove e ricordarsi dei compiti da sbrigare.

Il motivo non è che manchino gli strumenti. È che la maggior parte di essi è stata progettata per risolvere obblighi specifici, non per gestire la conformità in modo globale. Uno per il canale di segnalazione, un altro per la gestione dei terzi, un altro ancora per i rischi… ma nessuno che copra il quadro completo.

Il problema non è più la mancanza di software. È la mancanza di un sistema operativo per la conformità.

Forse il problema non è mai stato la normativa.

Il problema non sono mai state le regole

Quando chiedi a un responsabile della compliance qual è la sua maggiore difficoltà, quasi mai risponde che è interpretare una legge.

I problemi di solito sono molto più banali.

• Chi doveva controllare questa politica?
• Quale fornitore deve ancora essere valutato?
• Dove sono le prove di questo controllo?
• Chi ha dato l’ultima approvazione?
• Quali dipendenti non hanno ancora completato la formazione obbligatoria?
• Quali rischi non vengono controllati da sei mesi?

Il lavoro di compliance al giorno d’oggi non consiste solo nel conoscere la normativa.

Si tratta di fare in modo che centinaia di piccoli processi avvengano quando devono avvenire. E, soprattutto, che ne rimanga traccia.

La conformità non è più solo una questione di documentazione

Per anni abbiamo associato la conformità normativa ai documenti: politiche, procedure, matrici di rischio, rapporti o registri.

Ma la realtà è ben diversa. Oggi il compliance è un’attività continua. Ogni giorno succedono cose:

• Si assume un dipendente.
• Si firma un contratto con un fornitore.
• Si modifica una politica.
• Si verifica un incidente.
• È stato individuato un nuovo rischio.
• Una certificazione sta per scadere.
• Viene eseguito un controllo.

Ognuno di questi eventi comporta un obbligo. E ogni obbligo richiede un responsabile, una scadenza, una prova e una tracciabilità. Il vero oggetto della compliance non sono più i documenti, ma i processi che generano quei documenti. In altre parole: non ci occupiamo più solo di gestire la documentazione.

Stiamo gestendo alcune operazioni.

Operazioni di conformità

Sempre più organizzazioni stanno capendo che la conformità normativa deve essere un processo continuo, non un progetto che si riattiva ogni volta che si avvicina un audit.

Non basta prepararsi per un’ispezione. Bisogna essere pronti per qualsiasi ispezione, in qualsiasi momento.

Non basta conservare le prove. Bisogna generarle in modo naturale mentre l’organizzazione lavora.

Non basta reagire quando si presenta un problema. Bisogna individuare quali attività sono in sospeso prima ancora che il problema si presenti.

Noi chiamiamo questo modo di lavorare “Compliance Operations” (ComplianceOps): una gestione della conformità basata su processi continui, automazione, collaborazione e tracciabilità.

Le operazioni di compliance in azione

Invece di affidarsi a e-mail, fogli Excel e alla memoria di qualcuno, questi processi diventano parte integrante del normale funzionamento dell’organizzazione.

Quando entra un nuovo dipendente, riceve automaticamente le politiche che deve accettare, gli vengono assegnati i corsi di formazione obbligatori, gli vengono richiesti i moduli necessari e ogni accettazione viene registrata. (People Compliance).

Quando si aggiunge un fornitore, si avvia la sua omologazione, si raccoglie la documentazione richiesta, si calcola il suo grado di criticità e si programma automaticamente la sua futura rivalutazione. (Third Party Manager).

Quando si verifica un incidente, viene documentato nel momento stesso in cui si verifica, vengono assegnati i responsabili e le scadenze, vengono generate le attività di risoluzione, vengono conservate le prove e viene registrata l’intera cronologia, dall’individuazione alla chiusura. (Incident Manager).

Quando una politica cambia, si segue l’iter di approvazione, si pubblica la nuova versione, si richiede nuovamente l’approvazione a chi di dovere e si conserva la cronologia completa delle versioni e delle firme. (Policy Manager).

Quando un rischio non viene rivisto da mesi, il sistema non si limita a ricordarti che esiste. Ti mostra tutta la sua evoluzione: chi l’ha identificato, come è cambiata la sua criticità, quali controlli sono stati implementati, quali prove ci sono e quando va rivalutato. (Responsabile della gestione dei rischi).

Non dipende affatto dal fatto che qualcuno se ne ricordi.

Il sistema ti accompagna lungo tutto il processo.

L’audit non è più solo un progetto

Molte organizzazioni affrontano l’audit come una corsa contro il tempo.

• Sono settimane che cerco dei documenti.
• Rivedere le decisioni.
• Alla ricerca di prove.
• Il problema quasi mai è la revisione contabile.
• Il fatto è che le prove non sono mai state raccolte correttamente fin dall’inizio.

Le organizzazioni più mature funzionano esattamente al contrario. Raccolgono le prove giorno dopo giorno. Quando arriva la verifica, si limitano a mostrare ciò che già c’è.

Perché la migliore revisione contabile è quella che praticamente si prepara da sola.

La vera risorsa è la fiducia

La maggior parte delle organizzazioni non verrà messa in discussione solo perché non ha una politica.

Verranno messe in discussione perché non riescono a dimostrare che quella politica fosse in vigore, fosse stata approvata, comunicata, accettata e rivista. Sempre più clienti, investitori, amministrazioni pubbliche, enti di certificazione e organismi di regolamentazione cercano esattamente la stessa cosa.

Non vogliono promesse. –> Vogliono prove.

E questa differenza cambia completamente il modo di intendere la compliance.

Il futuro della compliance sarà operativo

Proprio come il DevOps ha cambiato il modo di sviluppare il software e il SecOps ha trasformato la sicurezza, tutto lascia pensare che la conformità normativa si evolverà verso modelli molto più operativi.

• Meno documenti sparsi qua e là.
• Meno operazioni manuali.
• Meno fogli di calcolo.
• Più automazione.
• Più integrazione.
• Più monitoraggio.
• Altre prove.

Perché l’obiettivo della compliance non è più solo quello di rispettare una norma. Si tratta piuttosto di far sì che la conformità diventi parte integrante del funzionamento naturale dell’organizzazione. Le aziende che capiranno questo cambiamento non solo dedicheranno meno tempo alla preparazione degli audit, ma prenderanno anche decisioni migliori, reagiranno più rapidamente ai rischi e potranno dimostrare la propria conformità in qualsiasi momento.

Ecco cos’è il Compliance Operations.

E probabilmente sarà la prossima grande evoluzione del compliance.

Il compliance del futuro non si misurerà in base al numero di politiche adottate da un’organizzazione. Si misurerà invece in base alla sua capacità di dimostrare, in qualsiasi momento, che quelle politiche funzionano davvero e vengono rispettate.

Il Compliance non è più un reparto a sé stante.

Sta cominciando a diventare il sistema operativo dell’organizzazione.

Su Ithikios stiamo lavorando da tempo a questa visione: una piattaforma in cui persone, politiche, rischi, incidenti, terze parti, controlli e prove fanno parte di un unico sistema operativo di compliance.

Perché crediamo che il futuro non stia nell’avere sempre più strumenti isolati, ma nel disporre di una piattaforma in grado di gestire la conformità in modo continuo.

Come cambierebbe il lavoro del tuo team se la compliance smettesse di dipendere da Excel, e-mail e promemoria per diventare un processo dinamico, automatizzato e sempre pronto a fornire prove?

Se vuoi vedere come funziona nella tua organizzazione, richiedi una demo.