Per anni, il compliance si è basato su norme, politiche, procedure e audit. Le organizzazioni individuavano gli obblighi a cui erano soggette, preparavano la documentazione necessaria e verificavano periodicamente la loro osservanza.
Quel modello è ancora necessario. Ma ormai non basta più.
Le aziende devono far fronte a un numero sempre maggiore di requisiti in materia di sicurezza informatica, privacy, etica, intelligenza artificiale, sostenibilità e gestione dei terzi. Allo stesso tempo, clienti, revisori e altre parti interessate non si limitano più a chiedere se un’organizzazione sia conforme: esigono prove che lo dimostrino.
La sfida non consiste più solo nel definire come dovrebbe agire un’organizzazione. Si tratta piuttosto di far sì che la conformità diventi parte integrante del suo funzionamento quotidiano.
È proprio questo passaggio dal documento all’attuazione che intendiamo con ” Operational Compliance“.
Cos’è la conformità operativa?
Possiamo definire la conformità operativa come la gestione continua della conformità di un’organizzazione, trasformando norme e politiche in processi, responsabili, controlli e prove che permettono di rispettare i requisiti e di dimostrarne il rispetto.
In parole povere, si tratta di riuscire a rispondere in qualsiasi momento a quattro domande:
Cosa dobbiamo fare? Chi deve farlo? Quando va fatto? Possiamo dimostrare che è stato fatto?
Questo non vuol dire sostituire le conoscenze giuridiche né i modelli tradizionali di compliance. Significa aggiungere quel livello operativo che li porta nel funzionamento reale dell’organizzazione.
Una politica può stabilire che i fornitori critici debbano essere valutati periodicamente. L’Operational Compliance è ciò che garantisce che sappiamo quali fornitori sono critici, chi deve valutarli, quando farlo, quali controlli devono essere verificati, quali prove devono essere richieste e cosa succede se il risultato non è soddisfacente.
Insomma:
Passare dall’avere la conformità documentata all’avere la conformità che funziona davvero.
Il compliance sta cambiando
Ci sono due cambiamenti che spiegano perché questo nuovo approccio sia diventato necessario.
Da obbligo legale a obbligo commerciale
Di solito, il motore principale della compliance è stata la normativa: un nuovo obbligo di legge spingeva le organizzazioni a mettere in atto determinate procedure o controlli.
Questo fattore rimane fondamentale, ma ne è emerso un altro altrettanto importante: i clienti.
Le grandi organizzazioni trasferiscono sempre più spesso i propri requisiti in materia di sicurezza informatica, privacy, etica, sostenibilità, continuità operativa o governance dell’intelligenza artificiale alla propria catena di fornitura. Di conseguenza, molte piccole e medie imprese devono adottare determinate misure non perché una norma sia loro direttamente applicabile, ma perché i loro clienti hanno bisogno di verificare che offrano garanzie sufficienti.
Questionari sulla sicurezza, valutazioni dei fornitori, codici etici, politiche sulla privacy, certificazioni, controlli degli accessi, gestione degli incidenti o informazioni sull’uso dell’intelligenza artificiale sono ormai parte integrante di molti rapporti B2B.
La conformità sta smettendo di essere solo un obbligo legale per diventare anche una condizione indispensabile per fare affari.
Per molte aziende, poter dimostrare la propria conformità sta diventando un vantaggio competitivo e, in alcuni casi, una condizione necessaria per accedere a determinati clienti.
Dal documento alle prove
La seconda trasformazione è altrettanto importante.
Avere una politica di sicurezza non significa che gli accessi vengano controllati. Avere una procedura di approvazione dei fornitori non significa che i fornitori critici siano stati valutati. Avere un piano di formazione non significa che le persone l’abbiano completato. E avere una procedura di gestione degli incidenti non significa che si sappia come si è agito durante l’ultimo incidente.
La conformità vera e propria lascia tracce: approvazioni, valutazioni, registrazioni, controlli effettuati, documenti, firme, revisioni, comunicazioni e azioni intraprese.
Ecco perché è sempre più importante che le organizzazioni passino dal dire “abbiamo una procedura per farlo” al poter dimostrare “lo facciamo, ed ecco le prove”.
La compliance sta passando dalla carta alle prove concrete: non basta più definire cosa bisogna fare, bisogna poter dimostrare che lo si sta davvero facendo.
Il problema di gestire la conformità in compartimenti stagni
Man mano che gli obblighi aumentano, emerge un altro problema: la frammentazione.
Da un lato l’ISO 27001. Dall’altro il NIS2. ENS, RGPD, AI Act, conformità penale, requisiti ESG, richieste dei clienti…
Se ogni nuova normativa comporta un nuovo file Excel, un nuovo archivio documentale, un nuovo questionario, nuovi controlli e, a volte, un nuovo strumento, la complessità cresce senza sosta.
Ma la realtà dell’organizzazione non è suddivisa in base alle norme.
Un fornitore è sempre lo stesso, che lo si analizzi dal punto di vista della protezione dei dati, della sicurezza informatica o dell’intelligenza artificiale. Un incidente può influire contemporaneamente su diversi obblighi. Una politica può soddisfare più requisiti allo stesso tempo. E lo stesso controllo può mitigare diversi rischi e fungere da prova in diversi contesti normativi.
Il problema, quindi, non è solo gestire un numero sempre maggiore di norme: è gestire correttamente i rapporti che esistono tra di esse.
Dalla conformità documentata alla conformità operativa
La conformità operativa non vuole sostituire il modello tradizionale di conformità. Lo integra, trasferendo gli obblighi, le politiche e i controlli nell’attività quotidiana dell’organizzazione.
| Approccio documentaristico | Approccio operativo |
|---|---|
| Normative | Processi |
| Documenti | Prove |
| Politiche | Implementazione della politica |
| Controlli definiti | Controlli effettuati |
| Controlli periodici | Monitoraggio continuo |
| Informazioni sparse | Informazioni correlate |
| Lavori manuali | Automazione |
| “Ce l’abbiamo fatta” | “Possiamo dimostrarlo” |
Questi due approcci si completano a vicenda.
La normativa stabilisce gli obblighi e gli obiettivi da rispettare; le competenze specialistiche permettono di interpretarli e di applicarli alla realtà di ogni organizzazione.
L’Operational Compliance si occupa di organizzare come far sì che tutto questo avvenga nella quotidianità.
Gli elementi della conformità operativa
Per renderlo possibile, bisogna smettere di pensare solo alle norme e iniziare a concentrarsi sugli elementi concreti che costituiscono un’organizzazione:
Persone · Fornitori · Risorse · Applicazioni · Rischi · Politiche · Controlli · Incidenti · Valutazioni · Prove
Sono tutti collegati tra loro.
Pensiamo a un fornitore di tecnologia critica che archivia le informazioni aziendali, tratta dati personali e utilizza l’intelligenza artificiale per fornire il proprio servizio.
Questa informazione non dovrebbe essere inserita più volte solo perché riguarda diversi obblighi. I dati su quel fornitore dovrebbero bastare per capire quali rischi ci sono, quali controlli servono, quali documenti bisogna richiedere, a quali questionari deve rispondere, con quale frequenza va rivalutato e quali requisiti di conformità potrebbero essere interessati.
Le informazioni dovrebbero esistere una sola volta ed essere riutilizzate dove serve.
L’Operational Compliance deve mettere in contatto:
Rischi → Controlli → Politiche → Persone → Terze parti → Beni → Incidenti → Valutazioni → Prove
Il valore non sta solo nel gestire ciascuno di questi elementi separatamente. Sta nel gestire le relazioni tra di essi.
Un modello di conformità concreto
Quando questi elementi sono collegati tra loro, la compliance smette di essere una semplice istantanea scattata al momento di un audit e può trasformarsi in un sistema vivo.
Se cambi fornitori, si presenta un nuovo rischio, scade un documento, viene assunta una nuova persona, fallisce un controllo o si verifica un incidente, il sistema dovrebbe essere in grado di individuare quali aspetti della conformità potrebbero essere interessati e quali azioni sono necessarie.
Questo permette di passare da un modello basato principalmente su revisioni periodiche a uno in cui determinati cambiamenti nell’organizzazione possono innescare automaticamente revisioni, attività o controlli.
La conformità smette così di essere qualcosa che viene controllata ogni tanto per diventare parte integrante delle attività quotidiane dell’azienda.
Un’unica fonte di informazioni per diversi contesti
Questo modo di lavorare permette di risolvere un altro dei grandi problemi dell’attuale compliance: la duplicazione. Pensiamo a un controllo di autenticazione a più fattori. L’organizzazione non dovrebbe aver bisogno di un controllo MFA per la norma ISO 27001, un altro per la direttiva NIS2 e un altro ancora per l’ENS.
Ha un sistema di autenticazione a più fattori.
Questo controllo può poi essere collegato a diversi rischi, attività e requisiti normativi. Lo stesso vale per una politica, una valutazione dei fornitori, un corso di formazione o una documentazione.
Ecco perché una delle idee centrali dell’Operational Compliance è:
I controlli appartengono all’organizzazione; i vari quadri di conformità li riutilizzano.
È così che si va verso un modello molto più efficiente:
Un’azione → una prova → molteplici requisiti da soddisfare.
Un’unica fonte di informazioni in grado di rispondere alle esigenze di diversi contesti, clienti, audit o processi di valutazione.
Automatizzare senza creare ulteriore burocrazia
Rendere operativa la compliance non dovrebbe significare sommergere l’organizzazione di compiti amministrativi. Dovrebbe succedere proprio il contrario.
Quando i processi e le informazioni sono ben strutturati, gran parte del lavoro può essere automatizzata.
Se il certificato di un fornitore scade, il sistema può richiederne automaticamente il rinnovo. Se entra a far parte del team una nuova persona, è possibile assegnarle le politiche, i corsi di formazione e le accettazioni del caso. Se un fornitore inizia a usare l’intelligenza artificiale, si possono attivare nuove domande, controlli o valutazioni.
Se si verifica un incidente, si può avviare automaticamente la procedura corrispondente, con le relative attività, i responsabili e le scadenze. E se un controllo smette di funzionare, si può generare un intervento e scalarlo quando serve.
L’obiettivo non è automatizzare solo per il gusto di farlo, ma fare in modo che le persone dedichino il loro tempo alle decisioni in cui apportano davvero valore.
I sistemi devono funzionare per le persone, non le persone per far funzionare i sistemi.
Che ruolo ha l’intelligenza artificiale?
L’intelligenza artificiale offre enormi possibilità nel campo della compliance, ma c’è un passo preliminare che spesso viene trascurato:
Prima bisogna organizzare le informazioni; poi si può applicare l’intelligenza a esse.
Se le informazioni sono sparse tra documenti, e-mail, fogli di calcolo e applicazioni separate, le possibilità di automazione e analisi sono limitate.
Invece, quando si conoscono le relazioni tra fornitori, rischi, controlli, politiche, incidenti e prove, l’IA può diventare un vero e proprio assistente per il professionista della compliance: aiutarlo a revisionare la documentazione, individuare le informazioni mancanti, trovare le prove, preparare le valutazioni, identificare i possibili rischi o proporre azioni concrete.
L’obiettivo non è che sia l’IA a decidere, ma che il professionista arrivi alla decisione con il lavoro preliminare già fatto, garantendo sempre la riservatezza delle informazioni, la protezione dei dati, la sicurezza e un adeguato controllo umano.
Conformità operativa per le piccole e medie imprese
Le grandi aziende gestiscono da anni queste esigenze con piattaforme GRC, reparti specializzati e progetti complessi.
Ma la conformità si sta diffondendo ben oltre le grandi organizzazioni.
Un’azienda con 100 o 200 dipendenti oggi potrebbe dover rispondere ai questionari sulla sicurezza dei propri clienti, valutare i fornitori chiave, gestire le politiche aziendali, formare i propri dipendenti, documentare gli incidenti, analizzare i rischi e fornire prove dei propri controlli.
La risposta non può essere quella di applicare la stessa struttura e complessità che usa una multinazionale.
Le piccole e medie imprese hanno bisogno dello stesso rigore, non della stessa complessità.
Ed è qui che la tecnologia gioca un ruolo decisivo: semplificare i processi, riutilizzare le informazioni, automatizzare le attività e rendere accessibile un modo di gestire la conformità che finora era riservato, soprattutto, alle organizzazioni con molte più risorse.
La visione di ithikios: rendere operativa la compliance
Noi di ithikios stiamo passando da una soluzione nata attorno al canale di segnalazione a una piattaforma di Operational Compliance.
Il canale per le segnalazioni, la gestione delle politiche, i soggetti terzi, i rischi, i controlli, gli incidenti, le valutazioni, il Trust Center e l’automazione fanno parte di questo percorso.
Ma il nostro obiettivo non è quello di riunire tanti strumenti di compliance all’interno di un’unica piattaforma.
Si tratta di far sì che tutte condividano le informazioni e lavorino insieme.
Che un rischio sia collegato ai controlli che lo mitigano. Che quei controlli generino prove. Che un cambio di fornitore possa far scattare una valutazione. Che un incidente abbia ripercussioni su rischi e controlli. Che la stessa prova possa essere utilizzata in diversi contesti.
E che tutte queste informazioni ti permettano di sapere, in ogni momento, non solo cosa dovrebbe fare l’organizzazione, ma anche cosa sta facendo davvero.
Perché il futuro della conformità non sta nell’accumulare più documenti, più strumenti e più burocrazia.
Si tratta di integrare la conformità nelle operazioni aziendali stesse.
Dalla conformità alla fiducia
Il risultato finale della conformità operativa non è solo rispettare le regole. È creare fiducia.
Fiducia per la direzione, che conosce la situazione reale della conformità. Fiducia per il responsabile della conformità, che ha a disposizione tracciabilità e prove. Fiducia per clienti e partner, che possono verificare determinate garanzie. E fiducia per l’organizzazione stessa, che sa che le sue politiche e i suoi controlli non esistono solo sulla carta.
La conformità operativa significa far funzionare la conformità nella quotidianità: trasformare gli obblighi in azioni, le azioni in prove e le prove in fiducia.
ithikios · Conformità operativa
Rendiamo la conformità operativa: facile da gestire, integrata nella routine quotidiana e dimostrabile con prove concrete.
