Linkedin
Facebook
Email
moreLa compliance può diventare obsoleta anche quando la normativa non cambia. Persone, tecnologie e fornitori evolvono: mantenere adeguati i presidi richiede una governance capace di riconoscere questi cambiamenti e intervenire.
La resilienza è un tema trasversale alla normativa europea sul digitale. Dal GDPR a NIS2 e DORA, emerge la necessità di mantenere efficaci le tutele nel tempo, anche quando cambiano le condizioni in cui l’organizzazione opera.
Questa prospettiva impone di considerare un rischio spesso meno visibile rispetto alla previsione di nuovi obblighi: l’obsolescenza della compliance.
Quando un presidio perde aderenza alla realtà
Un piano di gestione degli incidenti può essere adeguato al momento della sua approvazione: responsabilità definite, contatti corretti, procedure coerenti con i sistemi utilizzati. Tuttavia, in una fase successiva, un responsabile può cambiare ruolo, una funzione venire esternalizzata o una nuova applicazione diventare essenziale. Il piano resta invariato, mentre l’organizzazione evolve. Si crea così una distanza fra le condizioni sulle quali il presidio è stato costruito e quelle nelle quali deve continuare a funzionare.
Anche un intervento inizialmente efficace può quindi perdere adeguatezza. La presenza di documenti approvati e procedure formalizzate rischia di rassicurare senza offrire indicazioni sufficienti sulla capacità concreta dell’organizzazione di affrontare un problema, per sua natura dinamico.
Progettare la manutenzione
Ogni progetto di adeguamento dovrebbe definire come saranno mantenuti i suoi risultati. Occorre individuare:
- i responsabili dei presidi e i flussi informativi che ne supportano le decisioni;
- i cambiamenti organizzativi e tecnologici che richiedono un riesame;
- le prove con cui verificare l’efficacia delle misure;
- le responsabilità, i tempi e le verifiche degli interventi correttivi.
Le revisioni periodiche devono essere affiancate dalla capacità di reagire agli eventi. L’introduzione di una tecnologia, la sostituzione di un fornitore o una prova fallita possono richiedere una valutazione anche prima della successiva scadenza programmata.
Dalle verifiche al miglioramento
Il GDPR offre un esempio concreto. L’articolo 32 collega la resilienza dei sistemi alla capacità di ripristinare la disponibilità dei dati e alla regolare verifica dell’efficacia delle misure. Un backup deve quindi essere accompagnato da prove di recupero e da persone in grado di eseguirle.
DORA valorizza ulteriormente questo approccio attraverso l’apprendimento derivante da incidenti e test. Le carenze emerse devono tradursi in interventi e verifiche della loro risoluzione. Per imprese e pubbliche amministrazioni, la conseguenza è organizzativa: competenze legali, tecnologiche e di gestione del rischio devono collaborare lungo l’intero ciclo di vita dei presidi. La documentazione rende verificabile questo lavoro, registrando decisioni, attività ed esiti.
Un progetto di adeguamento può avere una data di chiusura. La responsabilità di mantenerne adeguati i risultati prosegue nel tempo.
Ce ne parlano Emanuele Petrilli e Giacomo Azzolini nel loro nuovo approfondimento per Agenda Digitale di cui al seguente link: https://www.agendadigitale.eu/documenti/dalla-carta-alla-prova-come-evitare-una-compliance-obsoleta/
