Verifiche ripetute e controllo dell'esecuzione

1) Scopo e ruolo delle revisioni ripetute

• Conferma la chiusura delle violazioni e la riduzione del rischio residuo a livello Appetite;
• protegge dalle ripetizioni (repeat findings) attraverso misure preventive;
• crea una base di prova giuridicamente rilevante («audit-ready»).

2) Quando assegnare re-auditing (trigger)

Chiudi CAPA per Critical/High (obbligatorio), Medium per campionamento/rischio.
Un incidente ad alta gravità o una prescrizione regolatoria.
La deriva dei controlli di dati CCM/osservabilità.
Modifiche all'architettura/processo (release, migrazioni, provider).
Finestre di calendario trimestrali/semestrali per i domini high-risk.

3) Volume e metodi (scope & methods)

Test di progettazione: criteri/standard/SOP aggiornati, controllo formalizzato.
Test di efficienza operativa: il controllo funziona stabilmente in un periodo di tempo (un campione di 30-90 giorni).
Il campione è risk-based (ingrandire n per high/critical), mix di valigette casuali e target.
Reperform: se possibile, ripeti la procedura/richiesta per confermare il risultato.
Prove: loghi, confighi, scarichi, schermate, rapporti utensili - con ricevute hash e WORM.

4) Ruoli e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Ciclo di vita re-audit (SOP)

1. Iniziazione: scheda re-auditing (findings, CAPE, rischio, periodo di campionamento, deadline).
2. Preparazione: foglio di prova, criteri di accettazione, elenco degli artefatti, disponibile per la valigetta.
3. Raccolta dati: caricamento automatico, campionamento, fissaggio hash, inserimento in WORM.
4. Test: progettazione (disponibilità/correttezza) efficienza (campionamento, riperform).
5. La valutazione è rischio residuo, resistenza, deriva.
6. Soluzione Close/Extend CAPA/Escalate (comitato, regolatore).
7. Fissazione: protocollo, aggiornamento dei dashboard, «auditpack» re-audit.
8. Sorveglianza: osservazione 30-90 giorni; alla deriva - re-open con nuova CAPA.

6) Criteri di accettazione (Definition of Done)

Le misure corrective sono state implementate e confermate.
Misure preventive riducono il rischio di ripetizione (apprendimento, gate, rilevamento).
Evidence è pieno e costante (WORM, ricevute hash).
Le regole CCM sono state aggiornate, gli alert sono normali, nessuna deriva.
I criteri/SOP/diagrammi sono sincronizzati con le modifiche effettive.
I venditori hanno eseguito azioni mirroring (retenza/rimozione/certificati).

7) Raccordo re-audit ↔ CAPA

In CAPA memorizzare il piano Re-auditing (periodo, metrica di successo, owner).
Con «successo parziale», è possibile estendere la CAPA con controlli di compensazione e data di scadenza.
I problemi di sistema sono epici di prevenzione (modifica dell'architettura, revisione dei processi).

8) Metriche e KRI

Re-audit On-time:% trascorso in tempo (obiettivo 95%).
First-Pass Class:% di chiusure senza rinnovo di CAPE (più alto è meglio è).
Repeat Findings (12 ms): percentuale di ripetizioni per dominio/proprietario (trend).
Residual Risk Livello: riduzione del rischio-scansione dopo re-auditing.
Evidence Completeness:% re-audit con un insieme completo di manufatti (obiettivo 100%).
Draft After Fix: casi di controllo alla deriva tra 30 e 90 giorni (obiettivo 0 critico).
Vendor Mirror SLA: conferma da parte degli appaltatori (obiettivo 100% per i critici).

9) Dashboard (minimo)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Heatmap ripetizioni per dominio (IAM, dati, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: stato dei legamenti, scadenze, zone vulnerabili.
La presenza di WORM/hashtag, la freschezza delle selezioni.
Drift & CCM: disturbi post-fix, frequenza degli alert.
Vendor Assurance - Retensione/rimozione mirroring, certificati, SLA.

10) Tecniche di campionamento e test

Più valigette per controlli critici/giurisdizioni.
Test combinati: verifica documentale + riperfort effettivo (ad esempio esportazione DSAR, revoca dell'accesso, rimozione TTL).
Script negativi: tentativo di eludere il controllo (ABAC/SoD, rate limits, secret scan).
Test di stabilità: ripetizione dopo 30 giorni sul sottopassaggio (sanity check).

11) Automazione e «assist-as-code»

Valigette di controllo come codice (Rego/SQL/YAML), avvio automatico pianificato.
Generazione automatica «auditpack re-audit» dalla vetrina evidence con ricevuta.
Escalation auto SLA (CAPA/re-auditing scaduto).
Integrazione con CHI/CD: i gate bloccano il rilascio con i controlli «rossi».

12) Venditori e catena di fornitura

I contratti includono il diritto di re-auditing e la data di consegna dei manufatti.
Ritenzione speculare e conferma di distruzione/correzione.
Le violazioni sono crediti/SLA-screaf, piano off-ramp e migrazioni.
Certificati esterni (SOC/ISO/PCI) allo stato fresh; «qualified opinion» - re-audit aumenta.

13) Modelli di manufatti

13. 1 Scheda re-auditit

ID findings/CAPA, rischio/giurisdizione, periodo di campionamento

Test di progettazione/efficienza, criteri di accettazione

Elenco degli artefatti (origine, formato, hash)

Risultati, rischio residuo, raccomandazioni

Soluzione (Close/Extend/Escalate), owner/due, collegamenti all'evidence

13. 2 Report re-audit (sommario)

1. Riepilogo e contesto

2. Metodologia e quantità

3. Risultati dei test (tabelle di campionamento)

4. Rischio residuo e conclusioni

5. Soluzioni e attività (CAPA/waivers)

6. Applicazioni: ricevute hash, screenshot, download

13. 3 Foglio di assegno accettazione

• Criteri/SOP/controlli aggiornati
• Evidence assemblato e WORM/hash confermato
• regole CCM incluse, alert validi
• Formazione/comunicazione completata (LMS, read-receipt)
• Conferma vendemmia ricevuta
• Re-open non è necessario/c'è un piano di espansione

14) Gestione delle eccezioni (waivers)

Consentito solo in caso di vincoli oggettivi; la data di scadenza e i controlli di compensazione sono obbligatori.
Pubblicità nel dashbord, promemoria 14/7/1 giorno, escalation nel Comitato.

15) Antipattern

Chiusura cartacea senza test di efficienza.
Evidence senza WORM/hashtag è un problema di verifica.
Nessun collegamento tra CAPE E-Auditel e CCM - i controlli non vengono fissati.
Scope ristretto (non coperto da giurisdizione/vendor/ruoli critici).
Controlli occasionali senza sorveglianza per 30-90 giorni.
Estendere la CAPA senza un piano di compensazione e deadline.

16) Modello di maturità (M0-M4)

M0 Ad-hoc - Controlli a punti rari, nessun criterio di accettazione.
M1 Pianificato: calendario re-auditing, modelli di base e report.
M2 Guidato: collegamento con CAPA, dashboard/metriche, WORM-evidence.
M3 Integrato: assurance-as-code, ripercorso, «auditpack» automatici.
M4 Continuous Assurance: KRI di previsione, automazione, monitoraggio della stabilità post-fix.

17) Articoli wiki collegati

Piani di risoluzione delle violazioni (CAPA)

Controllo a rischio (RBA)

Monitoraggio continuo della conformità (CCM)

Registrazione e AuditTrail

Archiviazione di prove e documentazione

Gestione delle modifiche al criterio di compilazione

Due Diligence e rischi di outsourcing

Comitato per la gestione del rischio e della compliance

Totale

I controlli ripetuti sono una verifica della stabilità, non una formalità: test di progettazione ed efficienza, una base di prova affidabile, soluzioni trasparenti (Close/Extend/Escalate) e sorveglianza della deriva. Con questo sistema, il rischio non ritorna e la compliance rimane misurabile e prevedibile.