Valutazione del rischio informatico
Una società di consulenza, parte di un grande gruppo internazionale, conduce per conto delle banche le valutazioni del rischio informatico. GRIT è la piattaforma che abbiamo realizzato per governarle, e che affida al sistema ciò che una macchina fa meglio di una persona: inseguire le scadenze, ricordare, ricomporre, confrontare. Oggi una campagna si prepara in due giorni invece di una settimana, i report escono con un clic e i consulenti passano il loro tempo a ragionare sul rischio, non a rincorrerlo.
La Richiesta
Una campagna attraversa cinque fasi: definizione del contesto, identificazione dei rischi, analisi tramite questionari, valutazione e trattamento. Coinvolge decine di referenti in banche diverse, ciascuno con il proprio ruolo e uno o più delegati, e ogni sessione conta circa 40.000 domande a cui rispondere.
Quelle domande si compilavano a mano su fogli Excel, spediti, raccolti e ricomposti uno per uno. Ne derivavano errori di trascrizione, versioni diverse dello stesso file in giro per email, risposte perse o sovrascritte e nessuna certezza su quale fosse il dato definitivo, con un coordinamento affidato a telefonate e solleciti.
Il cliente ci ha chiesto una piattaforma che:
- raccogliesse i questionari in un unico posto, senza file da inviare e ricomporre;
- gestisse da sola scadenze, solleciti e passaggi di consegne;
- facesse vedere a ciascun ruolo solo ciò che lo riguarda;
- adottasse gli standard di accesso e sicurezza interni;
- confrontasse gli esiti di campagne diverse con indicatori pensati per la compliance.
Su tutto, un vincolo: ogni passaggio doveva rispettare la normativa DORA sulla resilienza operativa digitale, con processi tracciabili, ruoli definiti e dati verificabili.
Analisi del problema
Il cuore del problema era il coordinamento. Ogni banca ha i suoi referenti, che votano i dati di sintesi, compilano i questionari e commentano i report, spesso delegando. Qualcuno doveva sapere in ogni momento chi dovesse fare cosa, entro quando, e che cosa fare se non succedeva. Noi abbiamo deciso che quel qualcuno sarebbe stato il sistema.
Con il cliente abbiamo ripercorso il processo passo per passo, distinguendo ciò che richiede il giudizio di una persona da ciò che si può affidare all’automazione. Più della metà del lavoro quotidiano finiva nella seconda categoria.
La progettazione
Abbiamo progettato un’applicazione web accessibile da qualsiasi dispositivo, con dati, regole di business e interfaccia ben separati, così che ogni parte si possa aggiornare senza toccare le altre.
Ogni campagna è una sessione che attraversa stati successivi, da “creata” a “completata”, e ogni passaggio viene registrato: pubblicazione delle soglie, apertura del voto, consegna dei documenti finali. È la tracciabilità che la normativa DORA richiede, costruita nel processo invece che aggiunta dopo. Manager, supervisori, responsabili e delegati vedono solo ciò che li riguarda. La sicurezza segue le indicazioni del cliente, e gli utenti arrivano direttamente dai suoi sistemi.
La realizzazione
Dopo l’analisi abbiamo costruito i moduli uno alla volta (contesto, identificazione, questionari, valutazione, trattamento, indicatori di confronto) e li abbiamo fatti provare agli utenti prima del rilascio completo, così ogni passo è stato verificato con chi lo usa davvero.
Il vero salto lo hanno fatto gli automatismi. Un servizio in background sorveglia scadenze di voti, deleghe, questionari e piani di lavoro, invia i promemoria con testi che l’amministrazione modifica da sola e blocca ciò che non può più avanzare. Un secondo automatismo aggiorna l’elenco degli utenti leggendolo dai sistemi del cliente, senza inserimenti manuali.
La sezione degli indicatori mette a confronto la sessione in corso con una precedente su soglie, dati di sintesi, esposizione degli scenari e rischio residuo. I livelli di criticità li regola direttamente il responsabile del rischio informatico.
I risultati
- Da una settimana a due giorni per preparare una campagna: la configurazione che richiedeva giorni di lavoro è ora guidata dal sistema.
- Addio ai fogli Excel: i questionari si compilano direttamente nell’applicazione. Esiste una sola versione di ogni risposta, e nulla si perde o si sovrascrive.
- Nessun errore di trascrizione nei report: i dati non si ricopiano più da un foglio all’altro, e le banche non hanno più correzioni da segnalare.
- Zero scadenze inseguite a mano: promemoria e blocchi automatici si occupano di chi ritarda, senza telefonate.
- Conformità DORA di serie: processo tracciato in ogni passaggio, ruoli separati e dati verificabili, senza lavoro di documentazione a posteriori.
- Da una giornata a pochi minuti per confrontare due campagne, con indicatori pronti per la compliance.
Il risultato più importante è un altro. I consulenti non fanno più i controllori di un processo: leggono i risultati, discutono con le banche e propongono azioni, che è il lavoro per cui sono stati scelti. Il responsabile del rischio vede a colpo d’occhio dove la situazione è migliorata o peggiorata, e decide con dati già pronti che cosa condividere.
