La maggior parte dei team addetti alla conformità dispone già delle informazioni necessarie. Il registro, il registro dei rischi, le evidenze, i contratti con i fornitori: è tutto archiviato da qualche parte. Ciò che la maggior parte dei sistemi non è in grado di fare è rispondere a una domanda diretta a riguardo. Qualcuno deve comunque andare a cercare la risposta manualmente, per poi verificarla in altri tre posti per sicurezza. Ciò richiede tempo anche quando non c’è effettivamente nulla di sbagliato, e ne richiede molto di più quando invece emerge un problema. È proprio di questa lacuna che tratterà il resto di questo articolo, e la sua risoluzione è più vicina di quanto la maggior parte dei team di conformità creda.

Perché i team addetti alla conformità esportano i dati in Excel solo per porre una domanda?

È una prassi familiare e ben più documentata di quanto la maggior parte dei team si renda conto. Qualcuno esporta un registro in Excel, lo incolla in Copilot e poi pone la domanda a cui il proprio sistema non è stato in grado di rispondere direttamente. Un responsabile della conformità l’ha detto chiaramente: «Esporto i dati in Excel e li elaboro con Copilot perché il mio strumento GRC non è in grado di rispondere alle domande». Altri team automatizzano manualmente parti del lavoro sul proprio registro DORA, al di fuori del processo esistente, per la stessa identica ragione. Altri ancora esportano direttamente i dati in un agente AI esterno, perché è più veloce rispetto all’alternativa di cui già dispongono.

Gli strumenti differiscono. La soluzione alternativa è la stessa. Che si parta da una piattaforma poco utilizzata o dalla totale assenza di una piattaforma, il problema di fondo è identico. Le informazioni esistono, ma non è possibile rivolgere alcuna domanda diretta al sistema che le ospita. Di conseguenza, il lavoro viene spostato altrove e la traccia di audit diventa ogni volta sempre più lunga e sempre più difficile da seguire.

Che cosa significa in concreto porre domande al tuo programma di conformità?

Significa utilizzare una chat, ed è inutile far finta che sia diversamente. Ciò che conta è dove risiede tale chat: vive all'interno dello stesso sistema in cui gestisci la tua attività di conformità, non è uno strumento separato aggiunto al suo fianco. Ogni risposta si basa direttamente sul tuo account: i framework che sono stati configurati, le evidenze attribuite e i dati effettivi in proprio possesso.

Si tratta di un punto di partenza significativamente diverso rispetto a uno strumento di IA generico che cerca di indovinare il contesto in base a ciò che viene incollato. E comporta anche un altro aspetto: la risposta può essere valida e aggiornata solo quanto il lavoro di conformità è già presente nell'account. Si tratta di un valore aggiunto, non di un limite. È la ragione per cui la risposta si dimostrerà solida in seguito, davanti a un auditor, e non solo in quel momento, in una chat.

Un esempio concreto rende la dinamica più facile da comprendere. Se chiedi a uno strumento di IA generico "quali dei nostri fornitori hanno accesso ai dati dei clienti?", questo potrà rispondere solo basandosi su ciò che decidi di incollare in quel preciso momento, sempre che riesca a fornire una risposta. Se poni la stessa domanda a Formalize IQ, il sistema analizzerà i fornitori che hai effettivamente valutato, i registri dei rischi già collegati e le evidenze presenti in archivio, per poi formulare la risposta a partire da tali elementi. Non c'è alcun bisogno di incollare nulla, perché l'account possiede già tutte le informazioni.

Cosa succede se due persone con ruoli o diritti di accesso diversi pongono la stessa domanda?

Vale la pena chiarirlo in modo esplicito, perché è il dettaglio su cui la maggior parte delle persone non si sofferma a riflettere. Senza la limitazione dei permessi, una chat integrata nei registri di conformità diventa qualcosa di completamente diverso: un modo per aggirare i controlli di accesso. Basta porre la domanda giusta per ottenere informazioni che non si era autorizzati a visualizzare, a prescindere dal proprio ruolo effettivo nel sistema.

Formalize IQ non funziona in questo modo. Se due utenti diversi pongono la stessa domanda, le risposte saranno differenti. Ciascuna risposta è circoscritta esclusivamente a ciò che quella specifica persona è autorizzata a visualizzare. Questo aspetto è più importante nel GRC che nella maggior parte delle categorie di software. I registri in questione includono incidenti, indagini interne, contratti con i fornitori e risultati di audit. Non si tratta di dati aziendali generici. Una domanda su un’indagine in corso non dovrebbe fornire la stessa risposta a chi non ne fa parte, indipendentemente da come venga formulata la domanda.

Come funziona concretamente Formalize IQ?

Sono due gli elementi che rendono la risposta affidabile, e non solo conveniente.

In primo luogo, tutto si basa direttamente sui dati e sulle autorizzazioni del cliente. Questo vale ogni volta che viene posta una domanda, non soltanto una volta in fase di configurazione quando è ancora tutto in ordine. In secondo luogo, Formalize IQ considera una risoluzione valida solo dopo che è stata completata e approvata. L'esplorazione e l'uso della chat non comportano alcun costo. Ciò rafforza un concetto che vale la pena sottolineare esplicitamente, senza lasciarlo sottinteso: questo strumento è progettato per proporre, non per agire autonomamente. Nulla viene salvato negli archivi senza un'approvazione esplicita, ogni singola volta.

Non intendiamo quantificare il tempo che questo fa risparmiare. Ogni cliente con cui abbiamo parlato ha descritto il cambiamento in modo diverso. Nessuno di loro ci ha fornito una cifra sufficientemente precisa da poterla riportare con sicurezza, e un numero inventato finirebbe per minare la credibilità del resto dell'articolo più di quanto non lo aiuterebbe. Ciò che possiamo dire, invece, è quello che accade realmente, senza fare stime approssimative. Viene posta una domanda. Il sistema risponde, attingendo direttamente dagli archivi dell'account. Nessuna fase di esportazione intermedia. Nessuno strumento separato in cui incollare dati. Sulla carta si tratta di un piccolo cambiamento, ma nella pratica rappresenta un modo di lavorare diverso.

Se la tua attività si basa nello specifico sulla norma ISO 27001, c’è un secondo aspetto che vale la pena approfondire: Come Formalize IQ ragiona sulla base dello standard ufficiale stesso, non solo del tuo account.