AuditReady 2.0: dalla raccolta di evidenze al sistema di compliance operativa
Fino a oggi AuditReady ha fatto bene una cosa: tenere insieme controlli, evidenze e responsabilità, e renderli dimostrabili in sede di audit. Con la versione 2.0 il perimetro cambia. Non basta più documentare ciò che è sotto controllo: servono gli oggetti di dominio che le autorità si aspettano di trovare quando chiedono come gestisci rischio, incidenti, fornitori critici e dati personali.
Questa è un'anteprima. Il rilascio arriva nelle prossime settimane.
Rischio e funzioni critiche
Entrano due registri che finora mancavano.
- Risk register con rischio inerente e residuo, piano di trattamento, accettazione formale (chi, quando, con quale nota di risk appetite) e data di prossima revisione.
- Registro delle funzioni critiche o importanti (CIF), con MTPD, RTO e RPO, collegate a sistemi, asset e fornitori. Da qui si legge subito quali dipendenze reggono ciò che non può fermarsi.
Incidenti reali, non solo esercitazioni
Le simulazioni di incidente restano. Accanto arriva l'incidente operativo vero, con profilo normativo (DORA, NIS2, GDPR, AI Act), classificazione, servizi e utenti impattati, scadenze di notifica e ciclo di vita tracciato: aperto → classificato → in notifica → contenuto → chiuso. Ogni fase produce evidenza, non un allegato in una cartella.
Rilievi e test di resilienza
I findings smettono di essere frammentati tra audit, OdV e simulazioni: diventano un registro unico con owner, severità e remediation. Si aggiungono i test di resilienza pianificati, con esito, rilievi collegati ed evidenze allegate.
Fornitori ICT e catena di fornitura
L'anagrafica fornitori diventa un registro dei rapporti ICT: servizio ICT sì/no, supporto a funzioni critiche, diritti di audit, exit plan documentato, subfornitori, Paese e localizzazione dei dati, meccanismo di trasferimento, DPA e ruolo privacy. Sono i campi chiave che alimentano il Register of Information e la due diligence dei fornitori.
GDPR operativo
Il framework GDPR passa dai controlli ai processi: registro dei trattamenti (RoPA), DPIA, richieste degli interessati (DSAR) con scadenze, e legal hold sulle evidenze, che blocca la cancellazione quando un procedimento lo richiede.
Governance e permessi
- Attestazioni dell'organo di gestione e profilo di conformità dell'entità: chi è il soggetto, a quali obblighi risponde, chi ha attestato cosa e quando.
- Nuovo modello di autorizzazione capability-based: permessi nella forma
capability.azione, ruoli configurabili dal tenant, e ruoli pronti per CRO, CISO e DPO. I permessi seguono i framework attivi: se un modulo non è abilitato, la capability non esiste. - Trail immutabile anche sulle azioni degli amministratori di piattaforma.
Il grafo della compliance
Infine, il Compliance Graph Explorer: un'unica mappa navigabile che collega rischi, funzioni critiche, controlli, policy, incidenti, fornitori, trattamenti ed evidenze. Serve a rispondere in pochi secondi alla domanda che arriva sempre per ultima in un'ispezione: "questo controllo, su cosa incide davvero?".
Cosa cambia, in una riga
AuditReady smette di essere solo il posto dove le evidenze sono al sicuro e diventa il posto dove la compliance succede: rischi valutati, funzioni critiche mappate, incidenti classificati e notificati, rilievi chiusi, fornitori qualificati.
Vuoi vedere l'anteprima applicata al tuo perimetro?
Nota: AuditReady fornisce strumenti per governare, documentare e dimostrare la compliance. Non sostituisce la valutazione legale delle obbligazioni normative applicabili.