Internal audit DORA: ruolo ed evidenze operative

Introduzione

Il ruolo dell'internal audit nel contesto del Digital Operational Resilience Act (DORA) è verificare che l'organizzazione abbia implementato controlli efficaci per la resilienza operativa digitale e che questi siano dimostrabili tramite evidenze. Il regolamento DORA stabilisce obblighi su governance, gestione del rischio ICT, gestione degli incidenti, testing e terze parti: per i dettagli normativi consultare il testo ufficiale su EUR-Lex: https://eur-lex.europa.eu/eli/reg/2022/2554/oj.

Ruolo dell'internal audit DORA

Valutare la progettazione e l'efficacia operativa dei controlli ICT rispetto ai requisiti aziendali e normativi.
Verificare che la governance e i ruoli (es. Risk Owner, ICT Manager) siano definiti e operino come previsto.
Controllare la gestione degli incidenti ICT: rilevamento, escalation, comunicazioni e azioni correttive.
Testare la preparazione ai disastri e la capacità di ripristino (BC/DR) con evidenze documentate.
Esaminare la gestione del rischio di terze parti e i contratti/SLAs relativi ai servizi critici.

Nota: le indicazioni che seguono sono operative e descrivono buone pratiche di audit. Non costituiscono consulenza legale.

Artefatti ed evidenze utili per l'audit

Governance ICT e gestione del rischio

Esempi di evidenze da raccogliere:

Policy e procedure ICT aggiornate con date di approvazione e controllo delle versioni.
Inventory dei sistemi e delle applicazioni critiche con owner, classificazione e dipendenze.
Risk register ICT con rischi, valutazioni (probabilità/impatto), trattamenti e proprietari dei rischi.
Matrice RACI o organigramma che evidenzia ruoli e responsabilità per DORA.
Report di senior management e minutes dei board su temi ICT e resilienza.

Per approfondire la governance e i requisiti di resilienza, vedi guida DORA e DORA audit e resilienza operativa.

Gestione degli incidenti

Evidenze chiave:

Incident log centralizzato con timestamp, severità, impatto, root cause analysis e stato di chiusura.
Runbook e playbook per risposta agli incidenti (inclusi contatti esterni e comunicazioni regolamentari).
Report post-incident (lessons learned) e registrazione delle azioni correttive (CAPA) con owner e deadline.
Prove di notifiche alle autorità competenti o ai clienti quando applicabile.

Collegamento utile: evidenze di audit (per metodi di raccolta e tracciamento delle evidenze).

Testing del disaster recovery e resilienza (test di continuità)

Evidenze richieste per dimostrare la preparazione e l'efficacia dei test:

Piani BCP/DR aggiornati, firmati e versionati.
Programma di test pianificati con obiettivi, criteri di successo e scoping.
Report dei test (esecuzione, risultati, gap identificati e azioni di remediation).
Registrazioni tecniche: backup logs, restore proofs, tempi di recovery misurati.
Valutazioni di scenario (table-top exercises) con partecipanti, esiti e follow-up.

Vedi anche: disaster recovery testing e documentazione disaster recovery.

Gestione delle terze parti e outsourcing

Evidenze da verificare:

Inventory dei fornitori con classificazione critica, servizi forniti e mappatura dei dati coinvolti.
Due diligence e questionari iniziali, report di risk assessment sul fornitore.
Contratti e SLA che specificano obblighi di resilienza, tempi di ripristino e diritti di audit.
Monitoraggio continuo del rischio fornitore (KRI/KPI) e report periodici.
Piani di continuità e test congiunti per fornitori critici.

Per linee guida pratiche: third-party risk management e vendor due diligence.

Tracciabilità e catena delle evidenze

Best practice operative:

Conservare le evidenze in un sistema documentale tracciabile con versioning, metadati e permessi.
Creare audit trail automatizzati per azioni chiave (es. modifiche a policy, esecuzione di test, registrazione incidenti).
Standardizzare naming convention e template per report di test, incident e risk register.

Strumenti e artefatti consigliati per l'audit interno

Template di audit checklist mappate su DORA e sui principali controlli ICT.
Modelli di report post-test e post-incident con campi obbligatori per evidenze.
Dashboard di monitoraggio KRI per comunicare lo stato al management.
Repository centralizzato per evidenze (con log di accesso e firma elettronica ove richiesto).

Esempio di checklist sintetica per internal audit DORA

Esiste una policy ICT aggiornata e approvata? (sì/no) — allegare versione e data.
Inventory sistemi critici disponibile e aggiornato? — collegamento alla lista.
Incident log centralizzato e completo per gli ultimi 12 mesi? — allegare estratto.
Ultimo test DR eseguito e report pubblicato? — allegare report e remediation plan.
Contratti con fornitori critici contengono clausole di resilienza e diritti di audit? — allegare clause.

Come AuditReady può supportare l'internal audit

AuditReady facilita la raccolta, l'organizzazione e la presentazione delle evidenze richieste per DORA, centralizzando:

Inventory degli asset e mappatura dei fornitori.
Tracciamento degli incidenti e dei risultati dei test DR/BCP.
Repository con versioning e audit trail per tutte le evidenze.

Scopri come integrare AuditReady nel tuo programma di audit DORA

Link utili interni (approfondimenti)

Riferimenti normativi

Il testo ufficiale del regolamento DORA è disponibile su EUR-Lex. Qualsiasi interpretazione vincolante o obbligo specifico dovrebbe basarsi sul testo normativo e sul parere di consulenti legali.

Informazione operativa vs consulenza legale

Le indicazioni in questo articolo sono operative: descrivono quali evidenze raccogliere e come organizzarle per un audit interno. Per interpretazioni legali vincolanti del Regolamento DORA o per casi specifici, consultare il team legale aziendale o un avvocato specializzato.

Chiusura

Se vuoi un demo su come costruire un evidence pack strutturato per DORA con AuditReady, visita la landing DORA.

audit-ready evidence pack demo / not legal advice