Il significato di due diligence: una guida per CISO e professionisti della compliance

Chiedete alla maggior parte delle persone cosa significhi "due diligence" e vi descriveranno un controllo dei precedenti o una formalità legale prima di una fusione. Non hanno torto, ma la loro visione è incompleta.

La due diligence non è un compito che si svolge; è una disciplina che si pratica. È l'indagine strutturata, basata su evidenze, condotta prima di un impegno significativo—che si tratti di un'acquisizione, di una migrazione di piattaforma di rilievo o dell'onboarding di un nuovo fornitore critico.

La pratica consiste nell'andare oltre la fiducia e le supposizioni. Si tratta di pretendere prove verificabili.

Definire la due diligence oltre il dizionario

Per i professionisti della compliance, della sicurezza o delle operations, questa distinzione è fondamentale. La due diligence non è esclusivamente una funzione legale; è una componente centrale della governance, della gestione del rischio e dell'ingegneria.

Il suo scopo è verificare che i fatti presentati siano accurati e comprendere i rischi che un'organizzazione sta assumendo. Risponde a una domanda fondamentale: "Abbiamo svolto il lavoro necessario per comprendere davvero le implicazioni di questo impegno?"

Consideratela meno come un esercizio da spunta e più come un elemento fondante della resilienza operativa.

Una disciplina di governance proattiva

Quando la due diligence viene trattata come parte proattiva della governance, il suo ruolo cambia. Smette di essere un controllo reattivo e diventa un'attività strutturale che costruisce accountability. Questo perché crea un registro tracciabile e verificabile dell'indagine. Nei settori altamente regolamentati, questo non è solo un buon approccio; è una necessità legale e di compliance. Fornisce la prova che un'organizzazione ha esercitato un livello di cura "ragionevole".

Un approccio disciplinato alla due diligence raggiunge quattro obiettivi chiave:

• Identificazione del rischio: Fa emergere i rischi finanziari, legali, operativi e di sicurezza che non vengono dichiarati nelle proposte iniziali o nelle presentazioni commerciali.
• Verifica dei fatti: Sostanzia le affermazioni. I bilanci sono accurati? Le attestazioni di sicurezza resistono a un esame approfondito?
• Decisioni informate: Fornisce alla leadership i dati verificati necessari per approvare, respingere o rinegoziare un accordo.
• Costruzione di una posizione difendibile: Crea una traccia di audit che dimostra a regolatori, partner e clienti che le operazioni sono condotte in modo responsabile.

Un processo di due diligence eseguito bene fornisce le evidenze necessarie per dimostrare che una decisione non è stata solo presa, ma presa con la dovuta attenzione e il giusto livello di scrutinio. Sposta la base degli impegni strategici dalla fiducia al fatto verificato, una distinzione cruciale in contesti ad alto rischio.

In definitiva, comprendere il significato di due diligence significa capire il suo ruolo nella costruzione di un solido framework operativo. L'intero processo è progettato per generare evidenze. È qui che strumenti come un strutturato questionario di due diligence diventano fondamentali. Richiedendo evidenze ed eseguendo un'analisi sistematica, le organizzazioni assicurano che le loro decisioni strategiche si basino su fondamenta solide e verificabili.

Le basi legali della due diligence

Per comprendere la due diligence in un contesto moderno, guidato dai sistemi, è necessario esaminarne le origini. Il termine non è nato in una sala del consiglio; è stato forgiato in sede giudiziaria. Per un periodo considerevole, significava semplicemente applicare il "necessario impegno". Tuttavia, il suo significato moderno—una prassi aziendale formale e giuridicamente vincolante—è il risultato diretto di fallimenti di mercato e dei successivi standard legali.

Dal best practice alla difesa legale

Il concetto di due diligence come lo conosciamo oggi ha preso forma negli anni '30. Prima di allora, le indagini aziendali erano incoerenti, lasciando gli investitori esposti a rischi significativi e non dichiarati.

Il Securities Act statunitense del 1933 fu uno sviluppo decisivo. La Sezione 11(b)(3) di questo atto creò una difesa per le persone accusate di aver fatto dichiarazioni non veritiere: potevano evitare la responsabilità se, "after reasonable investigation, reasonable ground to believe" la loro dichiarazione fosse vera. Per ulteriori approfondimenti su questa evoluzione, vedere la storia riportata su perkbox.com.

Questa singola disposizione stabilì lo standard di "reasonable investigation". Diede alle aziende un forte incentivo a creare un processo sistematico e dimostrabile per verificare i fatti.

La due diligence non era più solo una buona idea; divenne un processo strutturato e difendibile. La legge stabilì che non indagare sui rischi era negligente quanto ignorarli, creando il fondamento della moderna accountability.

Dai mercati finanziari alla compliance moderna

Quel principio giuridico—secondo cui l'accountability richiede uno sforzo di indagine dimostrabile—è l'antenato diretto del lavoro svolto oggi da CISO e team di compliance. Lo spirito della legge del 1933 oggi si estende ben oltre la finanza, arrivando alla privacy dei dati, alla cybersecurity e alla gestione del rischio di terze parti.

Quando un regolatore che applica il GDPR o DORA richiede evidenze di due diligence su un fornitore, sta chiedendo la prova di una reasonable investigation. Questa storia spiega perché la due diligence è, e sia sempre stata, una disciplina basata sulle evidenze. È nata come metodo per creare un registro difendibile e auditabile. Per i leader tecnici di oggi, l'obiettivo resta lo stesso: costruire un sistema tracciabile di verifica che possa resistere all'esame di auditor, regolatori o contestazioni legali.

I principali tipi di due diligence nel business

La due diligence non è un processo unico e uniforme. È un insieme di indagini specializzate, ciascuna con obiettivi, metodi e tipi di evidenza distinti. Per i leader della tecnologia o della compliance, comprendere questi diversi filoni è essenziale per allocare efficacemente le risorse e garantire che i rischi critici non vengano trascurati, in particolare quando si valuta un nuovo partner o fornitore. Sebbene esistano numerosi sottotipi, la pratica si concentra oggi su tre pilastri fondamentali negli ambienti regolamentati e guidati dalla tecnologia.

Due diligence legale

La due diligence legale va oltre la semplice conferma dell'esistenza giuridica di un'azienda. È un esame approfondito della salute legale di un'azienda per individuare passività o obblighi nascosti che potrebbero diventare responsabilità della vostra organizzazione. L'obiettivo principale è scoprire i rischi prima che si concretizzino. Si può considerare come un rilievo strutturale delle fondamenta legali di un'azienda. Gli investigatori cercano risposte a diverse domande chiave:

• Struttura societaria: La proprietà è chiara e non contestata? I documenti societari, come statuti e patti parasociali, sono in ordine?
• Contratti e accordi: Quali sono i termini dei contratti chiave con clienti, fornitori e dipendenti? Esistono clausole di change of control nascoste o penali di recesso insolite?
• Contenzioso: L'azienda è coinvolta in cause attuali o passate? Una storia di controversie frequenti e irrisolte è un forte indicatore di rischio.
• Proprietà intellettuale: Chi detiene la proprietà della PI critica? Marchi e brevetti sono correttamente registrati e tutelati?

Le evidenze richieste sono concrete: contratti, atti giudiziari e verbali del consiglio. Questo fornisce un tracciato verificabile per valutare il rischio legale e operativo.

Due diligence finanziaria

La due diligence finanziaria è il processo di verifica della narrativa finanziaria di un'azienda. Conferma che i numeri presentati siano accurati, sostenibili e non nascondano problemi come debito occulto o pratiche contabili aggressive. Questa analisi sostiene la valutazione di qualsiasi operazione e conferma la stabilità economica del target.

Questo processo richiede competenza. Professionisti qualificati come Financial Analysts sono essenziali per analizzare dati finanziari complessi e distinguere i fatti dalle distorsioni. L'indagine si concentra su aree chiave:

• Quality of Earnings: Gli utili derivano dalle attività principali o sono gonfiati da guadagni una tantum?
• Solidità dello stato patrimoniale: Le attività sono sopravvalutate o le passività sottostimate? Esistono rischi fuori bilancio?
• Cash flow: Come l'azienda genera e impiega cassa? L'attività si autofinanzia o sta consumando liquidità a un ritmo insostenibile?
• Proiezioni finanziarie: Le previsioni future si basano su ipotesi realistiche o eccessivamente ottimistiche?

Alla base, la due diligence finanziaria non consiste solo nel controllare i numeri; consiste nel comprendere i sistemi e i controlli che li producono. L'obiettivo è costruire un modello ad alta affidabilità del motore economico dell'azienda e identificarne i punti deboli.

Due diligence su cybersecurity e privacy

In qualsiasi transazione moderna, la due diligence su cybersecurity e privacy non è più opzionale; è diventata critica quanto le valutazioni legali e finanziarie. Questo filone valuta la maturità di sicurezza di un'azienda, le pratiche di protezione dei dati e la resilienza agli attacchi informatici. La sua importanza è amplificata da normative come GDPR, DORA e NIS2, che comportano significativi obblighi di compliance e sanzioni.

L'obiettivo è quantificare il rischio tecnico e di compliance. Gli investigatori esaminano sistemi, controlli e capacità di risposta agli incidenti, cercando evidenze di un programma di sicurezza funzionante.

• Architettura di sicurezza: Sono implementati e operativi controlli tecnici adeguati—come gestione degli accessi, crittografia e segmentazione di rete?
• Incident response: Esiste un piano di risposta agli incidenti testato? Come sono stati gestiti i precedenti incidenti di sicurezza?
• Data governance: Come vengono classificati, archiviati e protetti i dati sensibili? L'azienda è realmente conforme alle leggi sulla protezione dei dati?
• Rischio della supply chain: Come l'organizzazione gestisce il rischio proveniente dai propri fornitori e dalle dipendenze software?

Questa indagine fornisce una visione chiara delle potenziali passività ereditate, dai sistemi non aggiornati e dalla scarsa gestione dei dati fino alle future sanzioni regolatorie.

La tabella seguente illustra le aree di attenzione chiave per ciascuno di questi filoni essenziali di due diligence, offrendo un riepilogo di ciò che gli investigatori cercano.

Aree di attenzione chiave nei diversi tipi di due diligence

In definitiva, ciascuno di questi pilastri offre una lente diversa attraverso cui osservare il rischio. Pur essendo discipline distinte, i loro risultati spesso si sovrappongono, creando un quadro completo e difendibile di un'organizzazione.

La due diligence nel contesto regolatorio moderno

Un tempo la due diligence era principalmente un termine associato alle transazioni commerciali. Oggi è un requisito imposto e integrato in normative importanti come DORA, NIS2 e GDPR. Per i professionisti della compliance, comprendere il significato contemporaneo di due diligence è imprescindibile. Non si tratta più di un controllo una tantum, ma di un obbligo continuo, basato sulle evidenze, soprattutto per quanto riguarda fornitori e rischio di terze parti.

I regolatori considerano ormai la due diligence come uno standard fondamentale di condotta aziendale. Si aspettano che le organizzazioni dimostrino di aver indagato, verificato e gestito sistematicamente i rischi introdotti dai loro vendor. Un contratto firmato non è sufficiente; i regolatori richiedono la traccia di audit.

Il mandato regolatorio della verifica continua

Le normative moderne non si limitano a suggerire questa pratica; la impongono. Stabiliscano che le organizzazioni sono responsabili dei rischi introdotti dalla loro supply chain.

Il Digital Operational Resilience Act (DORA), per esempio, richiede agli enti finanziari di svolgere una due diligence approfondita e continua sui propri fornitori terzi ICT. Questo non si limita all'onboarding; è un'attività che copre l'intero ciclo di vita:

• Valutare le misure di sicurezza e protezione dei dati di un fornitore prima di firmare un accordo.
• Monitorare continuamente le loro prestazioni e la loro postura di rischio.
• Includere nei contratti chiari diritti di audit e strategie di uscita definite.

Il processo è un ciclo costante: indagare, verificare e riportare.

Non si tratta di una checklist statica, ma di un ciclo dinamico di raccolta e valutazione delle evidenze.

La Direttiva NIS2 opera in modo simile, ampliando il proprio perimetro e concentrandosi sulla sicurezza della supply chain. Le organizzazioni soggette a NIS2 devono gestire attivamente i rischi posti dai propri fornitori diretti, il che richiede un processo strutturato di due diligence per valutarne la sicurezza e garantire che soddisfino gli standard stabiliti.

Il principio di fondo è che l'accountability non può essere esternalizzata. Se un guasto di sicurezza di un fornitore incide sui vostri servizi, i regolatori esamineranno i vostri registri di due diligence per determinare se avete adempiuto alle vostre responsabilità.

Più di una regola aziendale

Questo concetto non è esclusivo della compliance aziendale. È un principio universale di condotta responsabile con profonde radici nel diritto internazionale, dove definisce come ci si aspetta che si comportino gli Stati. Questo parallelismo è significativo, perché mostra che la due diligence, sia per una nazione sia per un'azienda, riguarda l'impegno verso un'indagine proattiva e la prevenzione del danno.

In un contesto aziendale, ciò significa che le organizzazioni devono raccogliere e documentare evidenze per dimostrare che le loro decisioni erano informate e che i rischi erano gestiti. È una questione di controllo, non di burocrazia. Una parte fondamentale di questo processo riguarda passaggi pratici, come comprendere i report SOC 1, che sono una componente critica di evidenza per verificare i controlli di un fornitore.

In definitiva, le normative moderne hanno trasformato la due diligence da concetto giuridico a disciplina operativa che richiede prove tracciabili di supervisione e accountability.

Un framework pratico per eseguire la due diligence

Passare dalla teoria alla pratica richiede un framework strutturato e ripetibile. Una due diligence efficace non è un'arte; è un processo sistematico progettato per sostituire l'incertezza con fatti verificabili. Il successo dipende da una sequenza chiara di azioni, responsabilità ben definite e un'attenzione costante alle evidenze. Questo modello fornisce una struttura affidabile che può essere adattata a qualsiasi scenario, che si tratti di una grande acquisizione, di una valutazione critica di un fornitore o di una revisione interna. Il principio di base è rendere l'intero processo auditabile dall'inizio alla fine.

Fase 1: definizione del perimetro e costituzione del team

Il primo passo è definire gli obiettivi esatti. Quali domande specifiche devono trovare risposta? Quali sono le soglie di rischio non negoziabili? Un perimetro vago porta a spreco di tempo e rischi mancati. È qui che un approccio risk-based è essenziale, perché aiuta a concentrare tempo e risorse sulle aree con il maggiore impatto potenziale.

Una volta chiarito il perimetro, occorre costituire il team giusto. Si tratta di un'attività cross-function. Un team di due diligence richiede esperti di materia provenienti da legal, finanza, IT, sicurezza e HR in grado di analizzare correttamente le evidenze raccolte.

Fase 2: raccolta e analisi delle informazioni

Con il team al completo, la fase successiva consiste nel creare un elenco dettagliato di richieste informative, spesso chiamato due diligence questionnaire (DDQ). Questo è lo strumento principale per raccogliere evidenze. Le richieste devono essere specifiche, chiedendo documenti di policy, bilanci, report di audit, configurazioni di sistema e altri artefatti concreti—not solo attestazioni.

Man mano che le evidenze vengono ricevute, devono essere organizzate e analizzate con cura meticolosa. È qui che inizia l'indagine. Gli analisti finanziari esaminano i bilanci, gli avvocati rivedono i contratti alla ricerca di clausole nascoste e gli esperti di sicurezza controllano attentamente i risultati dei penetration test. L'obiettivo è corroborare le affermazioni e individuare i divari tra quanto dichiarato e quanto mostrano le evidenze.

La credibilità di qualsiasi indagine di due diligence si fonda sulla qualità delle sue evidenze. Affidarsi a documentazione non verificata o a rassicurazioni verbali è un fallimento critico. Ogni risultato deve essere ricondotto a uno specifico elemento di informazione verificabile.

Fase 3: reporting e prevenzione delle insidie comuni

La fase finale consiste nel sintetizzare tutti i risultati in un report chiaro e conciso. Questo documento presenta i fatti, illustra i rischi identificati e fornisce alla leadership raccomandazioni operative. Costituisce la base per la decisione finale go/no-go o per la negoziazione di misure di mitigazione del rischio.

Durante tutto il processo, i team devono essere vigili rispetto alle insidie comuni che possono compromettere l'intero lavoro.

• Confirmation bias: La tendenza a favorire le informazioni che confermano convinzioni preesistenti su un'operazione o un fornitore. Un processo strutturato impone una revisione oggettiva di tutte le evidenze.
• Scope creep: Lasciare che l'indagine si espanda senza una ragione strategica. La fase iniziale di definizione del perimetro serve a evitarlo stabilendo confini rigorosi.
• Eccessiva dipendenza dall'auto-attestazione: Accettare affermazioni senza richiedere prove. La vera due diligence si basa sulla verifica, non sulla fiducia.

Affrontare con successo queste sfide richiede disciplina e la consapevolezza che la due diligence è, in sostanza, un esercizio di gestione delle evidenze. Per approfondire questo primo passo critico, potete saperne di più sull'applicazione di un approccio risk-based nella nostra guida dettagliata.

Documentare e gestire le evidenze per gli audit

Un'indagine di due diligence senza evidenze è soltanto un'opinione. L'analisi e i risultati non hanno valore se non possono essere sostanziati con prove. Il processo non è completo finché ogni conclusione non è collegata a un elemento di evidenza concreto e tracciabile.

Questo richiede un sistema per gestire tali evidenze. Un drive condiviso disordinato con file denominati in modo casuale è inadeguato, soprattutto in un ambiente regolamentato. Ciò che serve è un sistema di gestione delle evidenze. Non si tratta solo di archiviazione; si tratta di costruire un registro difendibile che dimostri una condotta responsabile a auditor, regolatori e leadership interna.

Dalla semplice archiviazione a un sistema auditabile

La differenza tra una semplice cartella e un sistema auditabile non è la capacità di archiviazione, ma le funzioni che forniscono struttura e accountability. Un sistema robusto tratta le evidenze come un asset gestito con un proprio ciclo di vita e controlli. Deve offrire diverse capacità fondamentali:

• Collegamento diretto: La possibilità di collegare ogni evidenza direttamente a un rischio o controllo specifico. Questo dimostra all'auditor perché un documento è stato raccolto e cosa prova.
• Version control: Tracciare i cambiamenti nel tempo è essenziale. Monitorare gli aggiornamenti di una policy di sicurezza di un fornitore mostra un controllo continuo, non solo un controllo una tantum.
• Invii sicuri: Le terze parti devono avere un metodo sicuro per caricare documenti sensibili senza ottenere accesso completo ai sistemi interni. Il processo deve garantire l'integrità delle evidenze dal momento in cui vengono ricevute.

Un sistema auditabile è costruito per la verifica. È progettato attorno all'immutabilità e alla tracciabilità, dimostrando che l'evidenza presentata a un auditor è esattamente la stessa che è stata raccolta, con una chiara catena di custodia.

Generare output pronti per l'audit

In definitiva, l'intero processo esiste per produrre report chiari e difendibili. Un sistema di gestione delle evidenze deve fare più che esportare una raccolta di documenti. Un pacchetto veramente audit-ready è un registro autonomo che include un indice, log e una narrazione che collega ogni evidenza ai risultati. Questo output strutturato e verificabile è ciò che dimostra che è stata condotta una "reasonable investigation".

Per qualsiasi professionista che affronti queste esigenze, capire come raccogliere e presentare le prove non è negoziabile. È utile approfondire le caratteristiche di un audit evidence di alta qualità nel nostro articolo dedicato. Costruendo il vostro processo attorno a sistemi che garantiscono tracciabilità e immutabilità, potrete dimostrare con sicurezza che gli obblighi di due diligence sono stati soddisfatti.

Domande comuni sulla pratica della due diligence

Comprendere la teoria della due diligence è una cosa; applicarla nella pratica è un'altra. Anche i team esperti incontrano le stesse domande quando il lavoro inizia. Il vero significato di due diligence spesso diventa più chiaro nell'applicazione—o se confrontato con concetti simili ma fondamentalmente diversi. Ecco le risposte alle domande più frequenti.

Qual è la differenza tra audit e due diligence?

Un audit e la due diligence sono entrambi forme di indagine, ma operano su linee temporali diverse e rispondono a domande diverse. Un audit guarda al passato. È una valutazione formale e retrospettiva rispetto a uno standard noto, tipicamente condotta da una parte indipendente. Il suo obiettivo è verificare se i controlli e i sistemi esistenti soddisfano requisiti specifici.

La due diligence guarda al futuro. È un'indagine più ampia condotta prima che venga presa una decisione o che si instauri una nuova relazione commerciale. L'obiettivo non è spuntare una casella, ma scoprire rischi e validare le affermazioni per determinare se procedere sia una decisione corretta. Un audit conferma ciò che è; la due diligence indaga ciò che potrebbe essere.

Quanta due diligence è considerata sufficiente?

Non esiste una risposta unica. La profondità dell'indagine deve sempre essere proporzionata al rischio. L'onboarding di un fornitore software a basso rischio non richiede la stessa indagine esaustiva di una grande acquisizione societaria. Lo standard legale è spesso ciò che una "reasonable person" farebbe nella stessa situazione.

In un contesto regolatorio come DORA, "sufficiente" significa disporre di evidenze auditabili per dimostrare ai regolatori che i rischi di una terza parte sono stati compresi a fondo prima dell'integrazione. Il principio è semplice: maggiore è l'impatto potenziale, più approfondita deve essere l'indagine.

I sistemi AI possono essere utilizzati nel processo di due diligence?

Sì, ma come strumenti, non come decisori. La responsabilità umana resta imprescindibile. I sistemi AI possono essere efficaci in compiti specifici e ad alto volume, come analizzare migliaia di documenti, identificare anomalie in grandi dataset o segnalare clausole rischiose nei contratti per la revisione umana.

Il ruolo di un sistema AI è rendere un'indagine più efficiente e scalabile. Non è un giudice autonomo. La valutazione finale, il giudizio contestuale e la responsabilità delle conclusioni devono sempre appartenere a esperti umani, in grado di cogliere sfumature che un algoritmo non può percepire.

Come si applica la due diligence al software open-source?

La due diligence per il software open-source (OSS) è una parte fondamentale della moderna gestione del rischio in cybersecurity e proprietà intellettuale. Il processo inizia tipicamente creando una Software Bill of Materials (SBOM) per identificare tutti i componenti OSS e le dipendenze all'interno di una codebase. L'indagine ha due obiettivi principali:

• Mitigazione del rischio di sicurezza: Verificare ogni componente rispetto ai database di vulnerabilità note (CVE) per determinare se si sta ereditando una vulnerabilità.
• Conformità alle licenze: Verificare la licenza software di ogni componente per evitare conflitti legali, in particolare con licenze "copyleft" restrittive che possono imporre obblighi sul codice proprietario.

Si tratta di un processo continuo, non di un controllo una tantum, poiché nuove vulnerabilità vengono scoperte ogni giorno.

In AuditReady, sappiamo che la due diligence è una disciplina basata sulle evidenze. Il nostro toolkit operativo per le evidenze è pensato per ambienti regolamentati, aiutandovi a raccogliere, versionare ed esportare le prove necessarie per dimostrare una supervisione responsabile ad auditor e regolatori. Scoprite come aiutiamo i team a prepararsi per audit secondo framework come DORA e NIS2 su https://audit-ready.eu/?lang=en.