Oggi proverò ad aprirmi in una confessione: mi capita spesso di riflettere sul mio lavoro, su cosa rappresenti davvero il valore aggiunto del mio contributo come professionista e consulente e, soprattutto, su ciò che mi ha spinto – e continua a spingermi – a dedicarmi alle tematiche della data protection (e, di tanto in tanto, a scrivere qualcosa sul tema).
Sono sempre stato molto critico nei confronti di me stesso e lo spirito con il quale mi rivolgo a un nuovo cliente o a una nuova sfida è quasi maniacale: comprendere l’organizzazione, entrare nei processi, ascoltare le persone, settare gli strumenti a misura di contesto e poi partire.
Ho sempre pensato – e continuo a pensare – che il modo migliore per provare a vincere le sfide della compliance sia quello di mantenere una logica sartoriale, sostanziale e non meramente formale.
Ho cercato di non perderlo di vista nemmeno quando, con l’esperienza, ho perfezionato strumenti, questionari, checklist, documenti, e il modo di tenere alta l’attenzione durante gli approfondimenti formativi.
Questo approccio, però, non è neutro, né “facile” da far digerire.
Indice degli argomenti
Compliance e data protection “sartoriali”: i tre ostacoli reali
Porta con sé almeno tre ostacoli molto concreti, che incontro quasi ogni volta che entro in un’organizzazione.
Il primo ostacolo è il tempo.
Un approccio sartoriale ha bisogno di tempo per essere compreso, assorbito, metabolizzato.
Richiede momenti di ascolto, analisi, confronto, aggiustamenti progressivi.
Più l’organizzazione è complessa, più questa fase iniziale è delicata: bisogna guadagnarsi fiducia, aprire varchi nelle agende, farsi spazio tra urgenze e priorità che sembrano sempre più importanti della compliance.
Il secondo ostacolo è la difficoltà di innesto su strutture già esistenti.
Questo modo di lavorare è molto più “digeribile” quando si parte da zero: non ci sono sovrastrutture da smontare, abitudini da scardinare, totem da toccare.
Quando invece bisogna innestarsi su qualcosa di già ampiamente strutturato – procedure storiche, modelli precotti, tool già acquistati – il lavoro sartoriale può apparire quasi come un corpo estraneo: “Ma noi abbiamo già tutto… perché dobbiamo rimettere mano a ciò che funziona?”.
Il terzo ostacolo è forse il più insidioso: non sempre questo approccio viene percepito come valore aggiunto, ma come perdita di tempo e di risorse.
Entrare nel merito dei processi, fare domande scomode, rifiutarsi di applicare la stessa checklist a tutti, chiedere incontri con funzioni diverse… è faticoso per chi lo fa, ma anche per chi lo subisce.
Nella percezione di molti, tutto ciò rallenta, complica, introduce frizioni dove invece si vorrebbe “andare lisci” e chiudere rapidamente il capitolo compliance con una risposta affermativa alla domanda posta dal management: “siamo a posto adesso?”.
Ed è qui che si innesta il problema più grande.
La scorciatoia: soluzioni preconfezionate e conformità “scaricabile”
Perché questi tre ostacoli – il tempo, la difficoltà di innesto, la percezione di perdita di tempo e risorse – sono esattamente il terreno su cui prospera un’altra risposta: quella delle soluzioni preconfezionate.
Di fronte a percorsi che richiedono ascolto, adattamento e confronto, il mercato si è strutturato per offrire scorciatoie rassicuranti: pacchetti documentali pronti all’uso, template di policy da compilare, checklist standardizzate applicabili a qualsiasi contesto, piattaforme che promettono di “rendere compliant” l’organizzazione in pochi clic, magari con soluzioni AI integrate e canoni annuali.
Il messaggio implicito è seducente: la conformità non richiede più tempo, profondità, conflitto organizzativo.
Può essere acquistata, scaricata, implementata come un software e magari anche certificata.
Basta seguire i semafori, compilare i moduli, caricare i documenti nel sistema, e la compliance è – apparentemente – garantita.
Il falso mito della conformità “sulla carta” ha creato così un circolo vizioso:
- più le organizzazioni inseguono la sicurezza attraverso strumenti preconfezionati e standardizzati, più si allontanano dalla comprensione reale dei propri rischi specifici;
- più accumulano documentazione formale, meno investono nella sostanza della protezione;
- più si affidano a checklist universali, meno sviluppano la capacità di giudizio critico necessaria per affrontare situazioni impreviste che nessuna checklist potrà mai contemplare.
“Compliance of illusion”: regole perfette per un mondo che non esiste
Compliance of illusion: un sistema di regole apparentemente perfette ma progettate per un mondo che non esiste.
Ho voluto dare un nome a questo fenomeno: “Compliance of illusion”, e cioè un sistema di regole apparentemente perfette ma progettate per un mondo che non esiste.
Non è solo una formula ad effetto, ma la descrizione di come si vive la conformità nelle organizzazioni: un set documentale preimpostato da prendere in caso di richiesta, controllo (sempre se ci si ricordi la cartella dove è archiviato).
È inutile dire che questo modo di fare lascia scoperti proprio i punti dove il rischio si manifesta davvero, creando cortocircuiti che sempre più frequentemente leggiamo sui giornali e/o nei provvedimenti del Garante.
Nel mondo di oggi rischiamo di essere più bravi a produrre prove di sicurezza che a fare davvero sicurezza.
Questa non è una provocazione retorica, ma la fotografia di una realtà che chi lavora in ambito compliance, cybersecurity e data protection conosce fin troppo bene.
Viviamo in un’epoca paradossale, dove le nostre organizzazioni sono sommerse da piattaforme di compliance, checklist, fogli di calcolo chilometrici, questionari ai fornitori, matrici e cruscotti a semaforo.
Tutto a posto, tutto archiviato, tutto formalmente corretto.
Eppure, ogni volta che si verifica un incidente reale, scopriamo una verità scomoda: eravamo perfettamente compliant solo sulla carta, mentre nel mondo concreto di sistemi, persone e fornitori il livello di sicurezza era molto meno rassicurante.
La macchina della compliance: sentirsi sicuri non significa essere sicuri
Questo ecosistema della compliance produce soltanto documenti che si moltiplicano esponenzialmente, sottoposti alla cura di funzionari solerti, DPO interni e/o stagisti dell’ufficio compliance.
Alla fine il sistema restituisce un quadro rassicurante: tutto verde, tutto conforme, tutto sotto controllo.
E così ci sentiamo più sicuri.
Ma sentirsi sicuri non è la stessa cosa che essere sicuri.
Troppo spesso usiamo checklist e piattaforme proprio per questo scopo psicologico: non per governare davvero il rischio, ma per rassicurare l’organizzazione, per avere qualcosa da mostrare a un revisore, a un’autorità di controllo, a un consiglio di amministrazione, a un cliente importante che richiede garanzie formali.
Il problema nasce quando nessuno va fino in fondo a verificare se ciò che stiamo diligentemente flaggando come “conforme” corrisponde davvero alla realtà operativa quotidiana.
Le domande scomode che raramente ci poniamo sono queste:
- quei processi descritti nelle procedure sono effettivamente applicati nella pratica?
- quelle persone hanno davvero compreso cosa devono fare e perché?
- quei fornitori lavorano davvero come ce li stiamo descrivendo nei documenti contrattuali e nelle valutazioni di rischio?
In molti casi la risposta è no, oppure è un timido “dipende”.
È esattamente qui che la compliance si stacca dalla realtà e diventa un mondo parallelo: coerente, ordinato, formalmente ineccepibile, ma drammaticamente scollegato dalla vita quotidiana di sistemi e persone.
Questa non è una critica alla compliance in sé, ma al modo meccanicistico e superficiale con cui troppo spesso la perseguiamo.
Il modello tradizionale che abbiamo ereditato si basa su un’illusione pericolosa: l’idea che la conformità sia un obiettivo raggiungibile attraverso l’accumulo di procedure, la moltiplicazione di checklist e la certificazione formale del rispetto di requisiti predefiniti.
Questo approccio riduce la compliance a un esercizio burocratico, dove l’attenzione si concentra sulla produzione di documenti e sull’ottenimento di attestazioni che servono principalmente a dimostrare, in caso di problemi, che “abbiamo fatto tutto il necessario”.
Ma questa non è compliance autentica: è solo la sua rappresentazione teatrale.
Il paradosso della supply chain digitale nella compliance e data protection
Tutto questo diventa ancora più evidente e problematico se guardiamo alla supply chain dei servizi IT, che rappresenta oggi uno dei punti di maggiore vulnerabilità per qualsiasi organizzazione.
Mai come oggi le aziende e gli enti pubblici esternalizzano servizi critici, delegano pezzi sostanziali della propria infrastruttura, appoggiano funzioni di business essenziali su fornitori esterni, subfornitori, piattaforme cloud, servizi SaaS, API integrate ovunque, microservizi che comunicano costantemente tra loro attraverso confini organizzativi e geografici.
Da un lato, quindi, abbiamo un ecosistema tecnico sempre più complesso, dinamico e opaco.
Dall’altro, per reagire a questa complessità crescente, moltiplichiamo strumenti di controllo che sono spesso preconfezionati, standardizzati e drammaticamente astratti rispetto alla realtà che dovrebbero governare.
È qui che esplode il paradosso in tutta la sua evidenza:
più esternalizziamo servizi IT critici, più ci affidiamo a stack tecnologici complessi e stratificati, più ci raccontiamo di essere “compliant” grazie a strumenti preconfezionati che ci danno l’illusione del controllo.
Nel frattempo, i dati e i processi fanno tutt’altra strada.
I flussi informativi si spostano in modo dinamico attraverso:
- ambienti multi-cloud;
- API aperte verso terze parti;
- microservizi che evolvono continuamente con ogni nuovo rilascio software;
- subfornitori che entrano ed escono dalla catena di fornitura nel giro di pochi mesi, spesso senza che nessuno aggiorni davvero le mappe delle dipendenze.
E la nostra governance, invece?
Rimane tragicamente statica, spesso eccessivamente burocratica e burocratizzata, incapace di stare al passo con la velocità del cambiamento tecnologico.
Compiliamo checklist generiche, identiche per tutti i fornitori, dalla piccola software house locale al grande vendor internazionale, senza distinguere realmente i livelli di criticità e complessità.
Utilizziamo piattaforme informatiche come semplici parcheggi di PDF, dove accumuliamo certificazioni e dichiarazioni senza verificare sostanzialmente cosa significhino nella pratica.
Definiamo ruoli interni di compliance in cui, alla fine, l’obiettivo pratico diventa “avere il file aggiornato nella piattaforma”, non “capire effettivamente il rischio e gestirlo consapevolmente”.
Sulla carta (o, meglio, sulla dashboard) è tutto perfetto.
Ma se andassimo realmente a vedere:
- i log dei sistemi;
- le configurazioni effettive dei servizi in produzione;
- la reale catena dei subfornitori con tutte le sue ramificazioni;
scopriremmo spesso un’altra storia completamente diversa.
Una storia dove la visibilità è parziale nel migliore dei casi, le dipendenze tecniche non sono chiare nemmeno ai tecnici, e la resilienza della catena di fornitura è molto meno solida di quanto il cruscotto verde lasci intendere.
Quando l’illusione si rompe: anatomia di un incidente annunciato
Se questo fosse solo un gioco di percezioni organizzative, potremmo archiviarlo come una questione di stile gestionale.
Ma purtroppo l’illusione prima o poi si rompe, e quando si rompe le conseguenze possono essere devastanti.
Un esempio tipo, verosimile e riconoscibile in moltissime organizzazioni, è questo: un servizio critico diventa improvvisamente indisponibile perché un fornitore di secondo livello subisce un data breach o un grave incidente tecnico.
Oppure un subfornitore, mai valutato seriamente perché considerato “troppo piccolo” per meritare attenzione, ha una falla di sicurezza che espone dati sensibili o interrompe completamente l’operatività.
È in quei momenti drammatici che qualcuno inizia freneticamente a sfogliare i documenti di compliance archiviati nella piattaforma.
E cosa trova?
- i questionari risultano tutti compilati con risposte rassicuranti;
- le checklist sono complete di ogni spunta;
- le certificazioni di sicurezza del fornitore sono al loro posto;
- la valutazione d’impatto è stata fatta secondo il template standard;
- il contratto contiene tutte le clausole giuste.
Tutto formalmente in ordine, tutto documentato secondo le procedure.
Eppure, dall’analisi approfondita dell’incidente emergono ricorrentemente tre elementi che rivelano la profondità del problema:
- le checklist erano state compilate “per dovere”, con risposte standard copiate da altri questionari, poco approfondite e mai verificate sostanzialmente;
- le dipendenze tecniche non erano davvero comprese da nessuno nell’organizzazione: nessuno aveva messo a fuoco cosa sarebbe successo se un particolare subfornitore fosse andato offline;
- i rapporti con la catena di fornitura erano stati vissuti prevalentemente in chiave commerciale piuttosto che di risk management: prezzo, funzionalità, velocità di attivazione, molto più che sicurezza e continuità.
E su tutto questo scenario aleggia un grande assente: la formazione effettiva e la consapevolezza reale delle persone.
Chi si preoccupa davvero di sapere qual è il reale grado di sensibilizzazione e preparazione, interna ed esterna, lungo tutta la filiera?
Quante volte ci accontentiamo di:
- un attestato generico di partecipazione a un corso online;
- una dichiarazione standard del fornitore che recita “facciamo formazione periodica al personale”;
- una clausola contrattuale che impegna genericamente il fornitore a “formare adeguatamente il personale sui temi di sicurezza”.
In pratica, stiamo fondando la sicurezza della nostra intera infrastruttura digitale sulle autodichiarazioni dei fornitori.
È come chiedere all’oste com’è il vino, e non solo fidarsi ciecamente della sua risposta entusiastica, ma usarla come base per progettare la nostra intera strategia di approvvigionamento.
La verità scomoda è che la compliance, in questi casi drammatici, funzionava perfettamente.
Funzionava, però, solo nel mondo parallelo del documento, nella realtà virtuale della piattaforma di gestione.
Nel mondo reale, quello concreto in cui un operatore del fornitore clicca su un link di phishing, o un tecnico espone involontariamente una porta di servizio non protetta, persone e fornitori non avevano davvero capito cosa fare, perché farlo, e quali fossero le conseguenze concrete di certi comportamenti apparentemente innocui.
Uscire dalla “Compliance of illusion”: meno spunte, più domande scomode
Arrivati a questo punto, è fondamentale chiarire che tutto questo non significa che dobbiamo buttare via strumenti, checklist e piattaforme di compliance management.
Senza strutture di governance minime, si finisce rapidamente nel caos e nell’improvvisazione pericolosa.
Il punto non è demonizzare gli strumenti in quanto tali, ma rimetterli al loro posto giusto nella catena del valore della compliance.
La chiave sta nel cambiare radicalmente l’approccio culturale e spostare l’attenzione su alcune leve concrete e sostanziali che possono fare davvero la differenza tra compliance formale e protezione reale.
La prima leva fondamentale è trasformare il rapporto con la supply chain da un semplice scambio meccanico di moduli standardizzati a un confronto reale, sostanziale e continuo.
Significa:
- parlare non solo con l’ufficio commerciale del fornitore, ma con chi effettivamente gestisce infrastrutture, sviluppa software, monitora sistemi, risponde agli incidenti;
- entrare nel merito tecnico del modello di servizio: dove risiedono fisicamente e logicamente i dati, chi li tocca e con quali privilegi, quali subfornitori entrano effettivamente in gioco, cosa cambia se il fornitore modifica un pezzo della propria architettura;
- accettare che alcune risposte possano essere scomode o incerte, ma preferire questa onestà alla rassicurazione generica e vuota.
Un questionario di valutazione ha senso se rappresenta l’inizio di una conversazione approfondita, non se diventa l’ennesimo file da archiviare per “mettere la spunta”.
La seconda leva è riconoscere onestamente che non possiamo controllare tutto, ma possiamo controllare meglio.
Invece di accumulare montagne impressionanti di prove documentali per ogni singolo fornitore, può essere molto più efficace concentrare le risorse su pochi controlli mirati ma sostanziali.
Vuol dire:
- scegliere consapevolmente dove investire gli sforzi di verifica;
- concentrarsi sui fornitori o servizi davvero critici;
- andare a vedere elementi tecnici verificabili: log di sistema, configurazioni effettive, procedure applicate, risultati di test indipendenti;
- verificare con un minimo di profondità come vengono gestite credenziali, logging, vulnerabilità, risposta agli incidenti.
Non servono audit totali e permanenti: servono alcune verifiche vere, tecnicamente competenti, che permettano di capire se la narrazione rassicurante del fornitore regge alla prova dei fatti.
La terza leva riguarda la cultura interna dell’organizzazione e il modo in cui definiamo gli obiettivi della funzione compliance.
Molto spesso, l’obiettivo implicito è “dimostrare di essere compliant”, più che governare effettivamente il rischio.
Questo si vede chiaramente da una domanda che ritorna ovunque:
«Siamo compliant?»
È una domanda fuorviante, perché suggerisce una risposta binaria: sì oppure no, verde oppure rosso.
Un approccio più maturo sostituirebbe questa domanda con interrogativi molto più scomodi, ma infinitamente più utili:
- quali rischi stiamo consapevolmente accettando in questo momento?
- che cosa non sappiamo della nostra supply chain?
- dove non arriviamo con i nostri controlli, e perché?
- quali compromessi stiamo facendo tra esigenze di business, tempi e sicurezza?
Per fare questo serve definire chiaramente chi, dentro l’organizzazione, ha la responsabilità e l’autorità di decidere fin dove ci si può spingere nell’assunzione di rischio.
Il ruolo di DPO, CISO, responsabili IT e compliance non può ridursi a quello di “custodi diligenti della documentazione formale”: deve evolversi verso quello di facilitatori qualificati di un confronto reale tra esigenze legittime di business e limiti oggettivi di sicurezza e protezione.
La compliance autentica non elimina magicamente il rischio – sarebbe una promessa irrealistica – ma lo rende visibile, discusso e gestibile in modo consapevole.
Verso una compliance più umile, trasparente e adulta
Alla fine di questo percorso, il punto non è mettere in croce le checklist o demonizzare le piattaforme di compliance management.
Questi strumenti hanno un loro valore quando vengono utilizzati con intelligenza e consapevolezza dei loro limiti.
Il vero tema di fondo è il tipo di storia che le nostre organizzazioni scelgono di raccontare a sé stesse sulla propria sicurezza e conformità.
Possiamo continuare a inseguire un’idea illusoria di sicurezza “perfetta”, interamente documentata in modo formale, piena di rassicuranti spunte verdi su dashboard colorate, ma profondamente fragile al primo urto serio con la realtà complessa e imprevedibile.
Oppure possiamo scegliere consapevolmente una strada diversa e più difficile: una compliance più umile, più trasparente, più onestamente ancorata alla realtà delle cose come stanno, non come vorremmo che stessero.
Una compliance matura che:
- ammette che i sistemi tecnologici moderni sono intrinsecamente complessi e parzialmente opachi;
- riconosce che la supply chain digitale è in continua evoluzione ed è impossibile da controllare in modo totale;
- accetta che non sapremo mai tutto e che la certezza assoluta è un’illusione pericolosa;
ma proprio per questo smette di raccontarsi favole rassicuranti e inizia a lavorare seriamente sulla gestione dell’incertezza.
In questa prospettiva, la vera misura della qualità della compliance non è avere documenti formalmente perfetti che descrivono un mondo ideale inesistente.
È avere documenti che non hanno paura di descrivere un mondo imperfetto, pieno di zone grigie e di compromessi difficili, ma che conosciamo bene nelle sue caratteristiche reali, nei suoi limiti e nelle sue vulnerabilità, e che scegliamo di gestire con piena responsabilità e trasparenza.
Questo richiede coraggio:
- il coraggio di mettere in discussione approcci consolidati che danno l’illusione del controllo;
- il coraggio di ammettere che quello che abbiamo fatto finora non è sufficiente;
- il coraggio di investire in trasformazioni profonde che non producono risultati immediati, ma costruiscono resilienza nel tempo.
Per i professionisti della compliance, significa ripensare profondamente il proprio ruolo: non più produttori seriali di documentazione, ma architetti di sistemi organizzativi che integrano la protezione di valori fondamentali nel modo stesso in cui l’organizzazione opera.
Per il management delle organizzazioni pubbliche e private, significa assumere la conformità come elemento strategico, non delegabile superficialmente a funzioni tecniche.
Significa capire che gli investimenti in una compliance riprogettata producono ritorni significativi, ma richiedono visione e pazienza.
Se vogliamo davvero fare cybersecurity efficace e data protection sostanziale nella supply chain complessa dei servizi IT moderni, dobbiamo trovare il coraggio collettivo di smettere di inseguire la perfezione documentale rassicurante ma illusoria.
Dobbiamo iniziare a progettare regole, processi e controlli per il mondo com’è, non per il mondo ideale che abita i nostri file Excel.
Dobbiamo trovare il coraggio di uscire dalla nostra confortevole “Compliance of illusion” e cominciare finalmente a fare i conti seriamente con la realtà, nelle sue contraddizioni e imperfezioni.
È meno elegante, spesso più faticoso.
Ma è l’unico modo per trasformare la sicurezza e la compliance da rituale burocratico sterile a pratica concreta di governo consapevole del rischio.
