Controlli incrociati

1) Che cos'è un controllo incrociato

La verifica a livello di dipartimento è una verifica congiunta dei processi e dei controlli che attraversano più funzioni (ad esempio Product Engineering Legale/DPO Payments Support Marketing). L'obiettivo è quello di confermare che lo script completo viene eseguito correttamente, che i criteri sono stati rispettati e che le prove di audit-ready.

• Rilevamento dei rischi di accoppiamento e dei conflitti SoD
• interpretazione unificata dei requisiti e eliminazione delle «zone grigie» di responsabilità;
• accelerazione del CAPE e prevenzione delle ripetizioni.

2) Quando eseguire (trigger)

Nuovi o modificati requisiti regolatori o giurisdizioni.
Release e migrazioni sostanziali (architettura, pagamenti, dati).
Incidenti (IB/privacy/pagamenti) e post mortem.
Preparazione del controllo/certificazione esterno.
Calendario regolare (trimestre/semestre) per dominio high-risk.

3) Script (end-to-end) - Cosa controllare

• Privacy/DSAR - Richiesta di un soggetto di esportazione/rimozione, notifica e registrazione.
• Gestione della disponibilità: richiesta di accesso all'apruzzo del providining il registro delle azioni di ammine del re-cert.
• Rimborso/chargeback: il trigger la raccolta delle prove e la risposta al fornitore di CAPA per il frodo.
• La campagna pubblicitaria, la negoziazione dei materiali, il targeting, il tracking dei fallimenti e dei consensi, l'archivio delle prove.
• L'incidente di sicurezza è il rilevamento dell'isolamento della Hold.
• Ritenzione/rimozione dati: l'avvio di TTL conferma che i sottoprocessori sono stati distrutti.

4) Ruoli e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Metodologia: come eseguire

Walkthrough - Mostra la valigetta completa «dalla politica ai loghi».
ToD (Test of Design) - Verifica la presenza e la qualità delle affermazioni di controllo, dei ruoli, delle procedure, delle metriche.
ToE (Test of Operating Efficieness) - Verifica della stabilità del controllo in un periodo di 30-90 giorni.
Reperform: ripetizione indipendente dell'operazione (ad esempio esportazione DSAR, revoca dell'accesso, apps di pagamento).
Negative testing - Tentare di aggirare il controllo (SoD, limiti, segreto-scan).

6) Campionamenti e strati

Risk-based: più n per giurisdizioni, ruoli e metodi di pagamento critici.
Strazione per regione, tipo di client, canale (web/app), orari/carichi di lavoro.
Combinazioni casuali + target (limite delle soglie, edge-valigie).

• Critical: n 25 per dominio + reperimento dei passaggi chiave.
• High: n ≥ 15; Medium: n ≥ 8; Low: n ≥ 5.

7) Gestione delle dipendenze e delle dipendenze

Matrice di dipendenze: servizi, venditori, chiavi, dati, ruoli.
Regola di separazione dei compiti (SoD): impedisce l'allineamento di un apruvo e l'esecuzione di azioni critiche in una singola persona.
Change freeze per i test su tracciati critici o versioning chiaro.

8) Prove e immutabilità

Tutti i manufatti (caricamenti, configi, screening, report) vengono salvati in WORM/Object Lock con ricevute hash.
Chain of Custody: chi/quando/perché ha raccolto/letto l'evidence.
Sincronizzazione temporale e identificatori di traccia (trace _ id, sollest _ id).
Aggancia ogni passo al Controllo Statement e alla metrica.

9) Integrazione con CAPE e re-audit

Per ogni finding - CAPA (Corrente/Preventive, scadenze, owner, misure compensative).
E-auditing obbligatorio tra 30-90 giorni per le valigette critiche.
Aggiornamento policy-/assicurance-as-code: regole CCM, gate CI/CD, soglie di metriche.

10) Metriche e KRI

Coverage Rate:% dei principali script end testati nel trimestre.
First-Pass Class: percentuale di controlli senza findings critici.
Cape on-time:% di esecuzione entro la data di scadenza (severity).
Repeat Findings (12 ms): trend di ripetizioni per dominio/giurisdizione.
Controlls Pass Rate - La quota di regole CCM green associate allo script.
Evidence Completeness: completezza dei pacchetti (obiettivo 100% per Critical/High).
SoD Violations: conflitti di responsabilità identificati/risolti.
Vendor Mirror SLA: conferma di mirroring nei provider critici.

11) Dashboard (minimo)

Scenario Pipeline: Planned → In Progress → Findings → CAPA → Re-audit.
Cross-Domain Heatmap: rischi/scoperte per funzionalità (IAM, Privacy, Payments, Marketing, Support).
Dipendency Map: nodi/venditori/controllori, zone «rosse».
La presenza di WORM/hashtag/screencast sulla valigetta.
CAPE & Drift: stato delle misure, osservazione della deriva 30-90 giorni.

12) SOP (procedure standard)

SOP-1 Pianificazione

Definire gli argomenti high-risk, selezionare 2-4 script completi per trimestre, assegnare i proprietari al proprietario e allineare il calendario e le finestre freeze.

SOP-2: esecuzione

Kick-off walkthrough reperform negative testing colleziona evidence su sync-update quotidiani.

Report e soluzioni SOP-3

La struttura del «criterio è un fattore di influenza», la raccomandazione «Close/Extend/Escalate» (Close/Extend/Escalate) è la pubblicazione del rapporto e delle metriche.

SOP-4: CAPE e controllo di esecuzione

Inserire la CAPA nella GRC per le misure di compensazione (se necessario) per i tempi e RACI per l'esecuzione.

SOP-5: Re-auditing e sorveglianza

Dopo 30-90 giorni, ricontrolla e sanity-check, aggiorna le regole CMI/regole per chiudere il ciclo.

13) Modelli di manufatti

13. 1 Piano di convalida (one-pager)

Script, obiettivi, giurisdizioni

Controlli/criteri di convalida

Campionamenti e metodologie

Rischi/dipendenze/SoD

Timeline, ruoli, canali di comunicazione

13. 2 Scheda finding

Criterio (policy/control) → Fatto → Impatto → Raccomandazione

Severity, rischio residuo

Prove (link/hashtag)

CAPA: misure, owner, due, KPI, controlli compensativi

13. 3 Evidence pack (sommario)

1. Criteri/standard/SOP (versioni, diffusioni)

2. Campionamenti di fogli/configli (CSV/JSON, ricevute hash)

3. Schermate/screenshot con timestamp

4. Report SM/metriche e test

5. Resoconto e decisioni del Comitato

14) Comunicazione e cultura

Un unico canale (portale/GRC) con la numerazione delle richieste e la risposta SLA.
«One voice» nelle sessioni/verifiche esterne, script di domande complesse.
Niente accuse, concentrarsi sui processi e sulla prevenzione delle ripetizioni.
Shering delle migliori pratiche e pattern, libreria interna delle valigette.

15) Antipattern

Verifica «all'interno del dipartimento» senza traccia completa.
Prove cartacee senza loghi/hashtag/WORM.
Nessun riferimento a control statents/metriche (incalcolabile).
Ignorare la dipendenza da una persona.
CAPE senza misure preventive/compensative, senza re-auditing.
Verifiche singole senza calendario e priorità di rischio.

16) Modello di maturità (M0-M4)

M0 Ad-hoc: controlli occasionali, nessuna metodologia/metrica.
M1 Pianificato: calendario trimestrale, modelli di base e ruoli.
M2 Gestito: risk-based di campionamento, WORM-evidence, dashboard, CAPA.
M3 Integrato: policy-/assicuration-as-code, ICI/CD-gate, rapporti automatici.
KRI predittivi, script di raccomandazione, sanity-checks continui e monitoraggio della deriva.

17) Articoli wiki collegati

Verifiche ripetute e controllo dell'esecuzione

Piani di risoluzione delle violazioni (CAPA)

Monitoraggio continuo della conformità (CCM)

Repository di regole e regolamenti

Monitoraggio degli aggiornamenti legali/Alert delle modifiche regolatorie

Registrazione e AuditTrail

Controlli esterni da parte di revisori di terze parti

Guida alla compilazione per i partner

Totale

I controlli cross-dipartimentali trasformano le «connessioni» tra le funzioni da una zona a rischio a una zona di controllo: script passanti, controlli misurabili, prove invariate e un ciclo di CAPA chiuso. Questo approccio rende la conformità prevedibile, accelera le verifiche esterne e riduce la possibilità di ripetersi.