La prova di una piattaforma GRC dovrebbe includere i casi in cui il processo incontra un errore. Una dimostrazione con dati completi, proprietari disponibili e integrazioni funzionanti mostra soltanto una parte dell’uso reale. Il valore del collaudo emerge quando un operatore deve capire che cosa non funziona, chi deve intervenire e quale decisione resta valida.
Questa guida propone un quaderno di prova con quattro scenari: evidenza non più attuale, integrazione interrotta, cambio del titolare e esportazione incompleta. È una metodologia di acquisto indipendente dai marchi. Non attribuisce funzionalità a prodotti specifici e non presenta risultati di test effettuati sui fornitori.
Preparare un ambiente e un insieme di dati controllati
Usare un ambiente di prova autorizzato con dati sintetici o opportunamente anonimizzati. Definire il perimetro commerciale proposto: moduli, entità, utenti, integrazioni e configurazioni. Una funzione dimostrata in un pacchetto diverso non può essere considerata disponibile nella proposta senza una conferma scritta.
Scegliere gli operatori che useranno realmente il sistema. Il venditore può assistere, ma registrare ogni intervento necessario. Una procedura eseguita da uno specialista del fornitore può avere un costo operativo diverso dalla stessa procedura eseguita dal responsabile interno.
La guida alla scelta del software NIS2 offre il contesto di selezione. Il quaderno serve a produrre evidenze più precise: risultato atteso, comportamento osservato, limite, tempo impiegato e decisione di accettazione per ciascun caso.
Definire il quaderno prima della dimostrazione
| Campo | Contenuto da concordare |
|---|---|
| Identificativo | Caso stabile, collegato al requisito di acquisto |
| Prerequisiti | Configurazione, ruoli, dati e autorizzazioni |
| Evento introdotto | Errore o cambiamento controllato |
| Risultato atteso | Comportamento osservabile, senza formule generiche |
| Evidenza | Registro, esportazione, schermata o risultato operativo |
| Operatore | Persona che esegue e assistenza ricevuta |
| Esito | Superato, con riserva, non superato o non verificato |
| Conseguenza | Correzione, procedura esterna o decisione commerciale |
Stabilire quali requisiti sono bloccanti. La capacità di mantenere una storia leggibile, separare accessi o esportare prove può essere essenziale nel vostro contesto. Non consentire che un punteggio medio elevato compensi automaticamente il mancato rispetto di un requisito dichiarato indispensabile.
Conservare la versione del prodotto e la configurazione utilizzata. Se il fornitore corregge un problema durante il collaudo, ripetere il caso interessato e mantenere il risultato precedente. La correzione è utile, ma non deve cancellare la traccia del comportamento osservato inizialmente.
Caso uno: una prova autentica ma non più attuale
Caricare un rapporto relativo al periodo precedente e associarlo a un controllo corrente. La prova è autentica e pertinente al servizio, ma non copre l’intervallo richiesto. Chiedere all’operatore di individuare la limitazione e registrare una conclusione senza alterare la data originale del documento.
Il risultato atteso può includere la distinzione tra documento ricevuto, documento esaminato e prova sufficiente. La piattaforma non deve necessariamente decidere da sola se il controllo è efficace; deve consentire all’organizzazione di rendere visibile la valutazione e impedire che una semplice presenza di file venga interpretata senza controllo.
Le metodologie di NIST SP 800-53A aiutano a distinguere esame delle prove e verifica del controllo. Fonte consultata il 26 settembre 2026. Il criterio di collaudo resta quello definito dall’acquirente per il proprio processo.
In un esempio ipotetico, il sistema segnala una scadenza ma continua a mostrare il controllo come completato nel rapporto direzionale. Il team deve chiarire il significato di quel risultato, correggere la configurazione oppure adottare una procedura di revisione esplicita. Il caso non è superato soltanto perché è arrivata una notifica.
Caso due: l’integrazione smette di raccogliere
Interrompere una connessione in modo controllato nell’ambiente di prova, per esempio revocando un permesso limitato concordato. Registrare l’ultima raccolta riuscita e il momento dell’interruzione. Verificare come il problema viene rilevato e a chi viene assegnato.
La documentazione di AWS Audit Manager, consultata il 26 settembre 2026, illustra come evidenze e controlli siano oggetti distinti all’interno di un servizio. È un esempio utile per formulare domande, non una descrizione universale delle piattaforme GRC.
Chiedere se le prove precedenti restano visibili e come vengono indicate le lacune. Un’interruzione di raccolta non equivale necessariamente a un fallimento del controllo sottostante; allo stesso tempo, non consente di affermare che il controllo continua a funzionare senza altre evidenze.
Ripristinare la connessione e osservare il recupero. Controllare duplicati, periodi mancanti e attribuzione all’entità corretta. Misurare il lavoro manuale richiesto. La valutazione della responsabilità condivisa cloud aiuta a capire quali passaggi restano al cliente e quali dipendono dal servizio esterno.
Caso tre: il titolare lascia l’organizzazione
Assegnare un controllo e due azioni a un utente di prova. Una delle azioni è in ritardo e l’altra richiede una decisione sensibile. Disattivare l’utente secondo il procedimento concordato e chiedere al responsabile di trasferire il lavoro a un sostituto.
Verificare che le decisioni storiche conservino l’attribuzione originale. Il nuovo titolare deve ottenere gli accessi necessari alle attività correnti, senza essere presentato come autore di valutazioni precedenti. Le notifiche devono raggiungere persone attive e i documenti riservati devono mantenere le autorizzazioni appropriate.
Introdurre anche un’assenza temporanea. Un sostituto può dover agire per un periodo limitato senza assumere definitivamente ogni responsabilità. Il quaderno registra come questa delega viene configurata, revocata e ricostruita nell’audit trail.
Un esito insufficiente può rivelare un problema di processo interno, non soltanto del software. Se nessuno è autorizzato a nominare un sostituto, acquistare una funzione di riassegnazione non risolve il vuoto organizzativo. La prova deve attribuire l’azione alla parte che può effettivamente correggerla.
Caso quattro: esportare e ricostruire una decisione
Preparare un fascicolo con rischio, controllo, due versioni di prova, un’azione correttiva e un’eccezione aperta. Esportarlo con gli strumenti inclusi nell’offerta. Consegnare il risultato a un collega che non abbia seguito la dimostrazione e chiedergli di spiegare la decisione.
La verifica riguarda documenti, relazioni, identificativi, date, autori, stati e limiti. Un file con i soli titoli non equivale a un fascicolo completo. Se le prove rimangono raggiungibili soltanto attraverso collegamenti al prodotto, verificare che cosa succede dopo la chiusura dell’account.
La scelta del software DORA rende particolarmente evidente l’importanza di relazioni e informazioni coerenti. Il collaudo deve comunque essere adattato al vostro processo, senza attribuire al software una capacità di trasmissione o conformità che non sia stata dimostrata.
Registrare eventuali formati proprietari e trasformazioni necessarie. Una conversione può essere accettabile se esistono documentazione, responsabilità e costi chiari. Diventa una dipendenza nascosta quando il contratto parla di esportazione ma nessuno sa ricostruire i collegamenti.
Valutare tempi, assistenza e accessi
Per ciascun caso annotare tempo operativo, attese, numero di passaggi e interventi del fornitore. Non confondere una pausa per la disponibilità dell’esperto con il lavoro manuale dell’operatore. Entrambe le misure incidono sull’organizzazione, ma spiegano problemi diversi.
Verificare inoltre quali privilegi sono necessari. Un’operazione ordinaria che richiede sempre un amministratore globale può creare un collo di bottiglia e una concentrazione di accessi. Chiedere se un ruolo più limitato è disponibile nella configurazione proposta e provarlo.
La comparazione dei software GDPR offre altre domande commerciali. Nel quaderno, collegare ogni costo a un fatto osservato: servizio professionale necessario, configurazione aggiuntiva, attività interna o limite del pacchetto. Evitare stime di risparmio non sostenute dai tempi del pilota.
Gestire le riserve senza trasformarle in promesse
Un requisito può essere soddisfatto con una procedura esterna al prodotto. In tal caso descrivere l’intero percorso e verificarlo, compresi proprietario, accessi, continuità e prova finale. Non classificare la funzione come nativa se il risultato dipende da un foglio o da un servizio separato.
Per le funzioni future, conservare l’impegno commerciale e il rischio di indisponibilità. Una data indicativa nella presentazione non equivale a una capacità attuale. Se il requisito è bloccante, l’accettazione deve dipendere dalla sua verifica o da una decisione consapevole sul cambiamento del perimetro.
Il dossier di approvazione del rischio residuo può raccogliere queste decisioni. Specificare chi può accettare la riserva e quali conseguenze comporta per acquisto, avvio o estensione del servizio.
Chiudere la prova con un verbale ripetibile
Il verbale elenca casi eseguiti, risultati, configurazione, prove e azioni aperte. Include anche i casi non verificati e il motivo, così che l’assenza di un test non diventi una conferma implicita. Il team acquisti riceve un quadro confrontabile tra fornitori, mentre gli operatori ricevono le condizioni per mantenere il processo.
Ripetere i soli casi interessati dopo modifiche significative e conservare il confronto. La piattaforma è accettabile quando i requisiti essenziali risultano dimostrati o quando le riserve sono state consapevolmente gestite. Il quaderno rende questa decisione verificabile anche da chi non era presente alla dimostrazione.
Ripetere una prova con un operatore diverso
Prima della decisione finale, far ripetere un caso essenziale a un secondo operatore usando soltanto le istruzioni disponibili. Scegliere, per esempio, la gestione della prova scaduta e la ricostruzione della decisione dopo l’esportazione. La prima esecuzione può aver beneficiato di suggerimenti informali non riportati nel quaderno.
Registrare dove il secondo operatore si blocca e quale informazione gli manca. Se il problema dipende da una configurazione incompleta, assegnarlo all’implementazione; se dipende da una responsabilità non definita, risolverlo nel processo interno. Questo passaggio verifica la trasferibilità del lavoro e fornisce un’indicazione concreta sulla formazione necessaria. Non richiede di ripetere ogni dimostrazione: serve a confermare che il percorso essenziale possa continuare quando la persona che ha condotto il pilota non è disponibile.