Dai requisiti ai processi reali
Governance, risk management e compliance spesso vivono in funzioni diverse. La direzione approva obiettivi, il legale interpreta obblighi, il DPO presidia la protezione dei dati, l’IT gestisce sistemi e sicurezza, gli acquisti selezionano fornitori. Se ciascuno mantiene un elenco separato, la stessa criticità può apparire sotto nomi diversi oppure non arrivare mai a chi deve decidere.
Un’impostazione GRC integrata crea un collegamento verificabile fra obiettivi, attività, obblighi applicabili, rischi, controlli e responsabilità. Non introduce un’unica norma né sostituisce le valutazioni specialistiche. Serve a rendere leggibile come l’organizzazione governa i propri impegni e dove restano lacune.
Costruire una vista comune
Il punto di partenza è delimitare organizzazione e servizi: sedi, processi clinici o amministrativi, sistemi, categorie di dati e soggetti esterni. Per ogni obbligo rilevante si indica la fonte, il processo interessato, il referente interno, la prova attesa e la frequenza di riesame. Un requisito GDPR sulla sicurezza, una misura ISO/IEC 27001 e un impegno contrattuale possono convergere sullo stesso controllo operativo, pur mantenendo origine e criteri distinti.
La mappa dei rischi deve descrivere eventi concreti: indisponibilità della cartella clinica, accesso non autorizzato, errore nella gestione delle richieste, dipendenza da un fornitore o perdita di tracciabilità. Valutare impatto e probabilità aiuta a ordinare il lavoro; punteggi e colori, da soli, non dimostrano che il rischio sia gestito.
Assegnare decisioni e prove
Per ogni controllo occorre distinguere chi lo esegue, chi ne risponde, chi lo verifica e chi accetta l’eventuale rischio residuo. In sanità, ad esempio, una misura tecnica può dipendere dall’IT, mentre la valutazione delle conseguenze sul percorso assistenziale richiede il contributo delle funzioni cliniche e della direzione. Il DPO va coinvolto sulle questioni di protezione dei dati senza trasferirgli le responsabilità del titolare.
La prova può essere una procedura approvata, un verbale decisionale, un registro aggiornato, un esito di controllo o un piano correttivo con responsabile e scadenza definita dall’organizzazione. Conservare la prova vicino al controllo evita di ricostruire a posteriori chi abbia fatto cosa.
Riesaminare e migliorare
La vista comune serve quando cambia un servizio, entra un nuovo fornitore, si introduce un sistema di intelligenza artificiale o un incidente mostra che una misura non funziona. Un riesame periodico della direzione può confrontare rischi aperti, verifiche, incidenti, azioni correttive e risorse disponibili. Per un ente pubblico o una struttura sanitaria, il risultato utile non è un cruscotto pieno: è una decisione documentata, assegnata e seguita fino alla verifica.