Controllo e controllo interni

1) Assegnazione e ambito

Obiettivo: raggiungere gli obiettivi aziendali in modo sicuro e legale, riducendo i rischi operativi, finanziari, complessi e di reputazione.
Copertura: controlli processuali e IT in tutti i domini: pagamenti/cassauti, KYC/AML/sanzioni, antifrode, RG, marketing/esportazione dati, DevOps/SRE, DWH/BI, privacy/GDPR, TPRM.

2) Principi e modello di protezione

Tre linee di protezione: 1) proprietari di processi (operazioni/prodotto), 2) rischio/compliance/sicurezza (metodologia, monitoraggio), 3) controllo interno indipendente.
Risk-based - I controlli sono allineati in base alla priorità del rischio residuo.
Evidence-driven: ogni controllo ha criteri misurabili, sorgenti di dati e manufatti di prova.
Automate-first: Controllori automatici e continuativi (CCM), se possibile, anziché manuali.

3) Mappa dei rischi e degli obiettivi di controllo

1. Registro dei rischi: identificare cause/eventi/conseguenze (finanza, giocatori, licenze).
2. Gli obiettivi del controllo sono quelli di prevenire/individuare/correggere (ad esempio, «prelievo illegale», «accesso non autorizzato al PII»).
3. Attività di controllo: selezione di specifiche regole/procedure/automazione per raggiungere l'obiettivo.

• Preventivi: RBAC/ABAC, SoD (4-eyes), limiti e scorrimento, convalida dei dati, WebAuthn, mTLS.
• Detective: SIEM/alert, riconcilioni, dashboard SLA/SLO, controllo-logi (WORM), controllo delle anomalie.
• Regolatori: blocchi automatici, reimpostazioni, rotazione delle chiavi, scambi manuali e restituzioni.
• Compensanti: se il controllo di base non è possibile, misure di rafforzamento (monitoraggio supplementare, doppio compressione).

4) Catalogo controlli (Control Library)

• ID/Nome, obiettivo, rischio, tipo, frequenza, proprietario (control owner), esecutore, metodo di esecuzione (manuale/auto/guid), fonti di prova, KPI/KRI, relazione con regole/procedure, sistemi dipendenti.
• Stati: Draft → Active → Monitored → Retired. Versioning e registro delle modifiche.

• «CTRL-PAY-004» - 4-eyes approve per i pagamenti> X (preventivo, giornaliero, Owner: Head of Payments, Evidence: richieste/login, KPI: 100% copertura).
• «CTRL-DWH-012» - maschera PII nelle vetrine (preventiva, permanente, Owner: Head of Data, Evidence: test-query, KPI: ≥95% masked reads).
• «CTRL-SEC-021» - MFA per console admine (preventiva; Evidence: report IDP KPI: 100% adoption).

5) RACI e proprietari

6) Pianificazione di verifiche e test

Il piano annuale si forma in modo orientato al rischio (alto rischio residuo, requisiti regolatori, incidenti, nuovi sistemi).

• Design Efficieness (DE) - Se il controllo è stato progettato correttamente per ridurre i rischi.
• Operating Efficieness (OE) - Se funziona stabilmente e nella frequenza specificata.
• Controllo dominio completo (ad esempio KYC/AML o cassauti)
• Follow-up/Verification - Conferma la chiusura di CAPE.

Approccio: Walkthrough (tracciamento), interviste, rivisitazione di manufatti/logi, analisi, riproperformazione (ripetizione).

7) Prove e campionamenti

Viste evidence: scaricamento di logi (firma/hash), rapporti di IdP/SSO, ticket e registri di approvazioni, confighi, screenshot con timestamp, xls/csv da vetrine, registrazioni di sessioni PAM.
Integrità: copie WORM, catene hash/firme, specifica «ts _ utc».
Campione statistico/destinato; la dimensione dipende dalla frequenza di controllo e dal livello di sicurezza.
Criteri: pass/fail; sono ammesse de minimis soglie per operazioni manuali.

8) Valutazione e classificazione delle incongruenze

Gradi: Critical/High/Medium/Low.
Criteri: impatto (denaro/PII/licenze), probabilità, durata, ripetitività, controllo compensativo.
Report: scheda di ritrovamento (risk, descrizione, esempi, root cause, impatto, azioni richieste, scadenze, proprietario), stato di tracking.

9) CAPO e gestione delle modifiche

Corrective and Preventive Action - Eliminazione della causa principale, non solo dei sintomi.
S.M.A.R.Tavamisure specifiche, misurabili, datate; responsabilità e punti di controllo.
Change Advisory Board - I cambiamenti ad alto rischio vengono eseguiti dal CAV; aggiornamento di regole/procedure/ruoli.
Verifica dell'efficacia: nuovo controllo in N settimane/mesi.

10) Monitoraggio continuo (CCM) e analisi

Candidati CCM: controlli ad alta frequenza e formalizzazione - conflitti SoD, rilascio JIT, esportazioni anomale, MFA-coverage, limiti di pagamento, successi sanzionatori.
Strumenti: regole SIEM/UEBA, dashboard Data/BI, convalidatori di schemi/maschera, test di accesso (policy-as-code).
Segnali/alert: soglia/comportamento; ticetti SOAR; blocchi auto in caso di anomalie critiche.
I vantaggi sono la velocità di rilevamento, la riduzione del carico manuale, la migliore dimostrabilità.

11) Metriche (KPI/KRI)

• Coverage con controlli dei processi critici al 95%
• Controllo manuale on-time ≥ 98%
• CAPE closed a (High/Critical) a 95%
• Percentuale di controllori automatizzati

• Violazioni SoD = 0
• Accesso al PII senza «purpose» = 0
• Perdite/incidenti notificati 72 ore - 100%
• Controllo operativo Fail-rate <2% (trend in diminuzione)

12) Frequenza e calendario

Ogni giorno/continuo: CCM, antifrode, limiti di pagamento, occultamento.
Ogni settimana: controlli dei pagamenti/registri, controllo delle esportazioni, analisi degli alert.
Mensilmente: report MFA/SSO, registro delle disponibilità, monitoraggio vendor, trend KRI.
Trimestrale: certificazione dei diritti, recensioni tematiche, test di stress BCP/DR.
Piano di revisione completo e aggiornamento della mappa dei rischi ogni anno.

13) Integrazioni con regole esistenti

RBAC/ABAC/Least Privilege, Criteri di accesso e segmentazione sono una fonte di controllo preventivo.
Le regole di password e MFA sono requisiti obbligatori per gli ammiragli e le operazioni critiche.
I registri di revisione/la politica dei reparti sono controlli investigativi e probatori.
TPRM e contratti terzi - Controlli esterni: SLA, DPA/SCCS, diritti di verifica.

14) Assegno fogli

14. 1 Design del nuovo controllo

• Obiettivo descritto e rischio associato
• Tipo definito (preventivo/investigativo/correttivo)
• Assegnati proprietario/esecutore e frequenza
• Origini dati definite e formato evidence
• Metriche incorporate (KPI/KRI) e alert
• Collegamenti con regole/procedure
• Pianificazione di test di DE/OE definita

14. 2 Esecuzione del controllo

• Scope e criteri DE/OE concordati
• Elenco degli artefatti e delle disponibilità ricevuti
• Campionamento concordato e registrato
• Risultati e scoperte classificati
• CAPE, scadenze e proprietari approvati
• Report rilasciato e segnalato agli stakeholder

14. 3 Monitoraggio e reporting (mensile)

• KPI/KRI per tutti i controlli critici
• Trend di guasti/falsi funzionamenti
• Stato CAPA e ritardo
• Proposte di automazione/SSM

15) Errori tipici e come evitarli

Controllo senza target/metriche - Formalizza oggettiva e KPI/KRI.
Controlli manuali senza prove: standardizzare forme/script e memorizzare manufatti in WORM.
Espansione eccezioni: registro delle eccezioni con data di scadenza e misure di compensazione.
«Su carta» funziona - in realtà no - test OE regolari e CCM.
Le CAPE non aperte includono l'escalation automatica e lo stato del comitato mensile sui rischi.

16) Road map di implementazione

Settimane 1-2: aggiornare la mappa dei rischi, catalogare i controlli, assegnare i proprietari, approvare i modelli di evidence.
Settimane 3-4: avvia il monitoraggio KPI/KRI, seleziona 5-10 controller per l'automazione (CCM), approva il piano annuale di revisione.
Mese 2: eseguire 1-2 verifiche tematiche (ad alto rischio), implementare gli alert SOAR, generare report borghi.
Mese 3 +: espandere il CCM, eseguire revisioni trimestrali, ridurre i controlli manuali, aumentare la quota di copertura DE/OE e la velocità di chiusura del CAPA.

TL; DR

Controllori interni efficaci = Risk Card → Obiettivo → attività chiare con il proprietario e le prove, oltre a prove di DE/OE regolari, CAPA e automazione CCM. Ciò rende la gestione del rischio misurabile, l'ispezione prevedibile e la conformità dimostrabile.