GRC, rischio, compliance e legale

Scopo e mappa dell’area

Quest’area copre governance, rischio, conformità e aspetti legali. È composta da quattro hub collegati: GRC (policy, controlli, audit, finding), Compliance (adempimenti, evidenze, attestazioni), Risk (registro rischi con metodologie strutturate) e Legal (pratiche legali e documenti). Copre i tipi GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING e le entità legali.

GRC

A cosa serve. È la plancia GRC (Governance, Risk & Compliance): governo di policy, controlli, audit e finding mappati sui framework normativi.

Quando usarla. Per la vista d’insieme del programma GRC e l’accesso ai suoi oggetti.

Come aprirla. Dalla Home / Security Hub (riquadro GRC).

Cosa mostra e come si usa. Il cruscotto GRC con gli oggetti GRC-POLICY (ciclo di vita: bozza→revisione→approvazione→pubblicazione→aggiornamento→ritiro, con attestazione), GRC-CONTROL (controlli mappati sui framework: stato, evidenze, test), GRC-AUDIT (planning, esecuzione, finding review, report) e GRC-FINDING (severità, owner di remediation, tracking fino a chiusura/accettazione del rischio).

Cosa succede dopo. Le policy pubblicate richiedono attestazione; i finding aperti guidano la remediation.

Note. I framework supportati includono ISO 27001, NIS2, SOC2, GDPR.

Compliance & Governance

A cosa serve. Gestisce i controlli di compliance mappati sui framework, con stato di conformità, evidenze e test periodici.

Quando usarla. Per gestire l’impianto dei controlli e verificarne la conformità.

Come aprirla. Dall’area GRC / Legal Hub.

Cosa mostra e come si usa. L’elenco dei controlli per framework con stato, evidenze e date di test.

Cosa succede dopo. I controlli non conformi generano finding/azioni.

Note. Complementare al Compliance Workspace (Compliance Workspace).

Compliance Hub

A cosa serve. È l’ingresso al modulo di conformità aziendale, che riusa il motore delle campagne HR (con tag module) per adempimenti, controlli, evidenze e attestazioni.

Quando usarla. Per scegliere l’area di lavoro della conformità.

Come aprirla. Dalla Home / Security Hub (riquadro Compliance).

Cosa mostra e come si usa. I riquadri verso le viste del Compliance Workspace (Compliance Workspace).

Cosa succede dopo. Si apre la vista scelta.

Note. Modulo Core che condivide il motore campagne con l’HR.

Compliance Workspace

A cosa serve. È la console di lavoro della conformità, organizzata in viste.

Quando usarla. Per gestire adempimenti, controlli, evidenze, audit, privacy e attestazioni.

Come aprirla. Dal Compliance Hub (riquadri).

Cosa mostra. Le viste disponibili:

Vista	Contenuto
board	Cruscotto di sintesi compliance
adempimenti	Adempimenti e scadenze
controls	Controlli di conformità
ccm	Continuous Controls Monitoring
evidence	Evidenze raccolte
gap	Gap analysis
audit	Audit di compliance
incidents	Incidenti di compliance
risk	Rischi di conformità
privacy	Privacy / GDPR
m231	Modello 231
cra	Cyber Resilience Act
esg	ESG (sostenibilità)
regwatch	Monitoraggio normativo
suppliers	Conformità fornitori
training	Formazione compliance
catalog	Catalogo obblighi/requisiti
aigov / aiasst	AI Governance e assistente IA

Come si usa. Si seleziona la vista; ogni vista offre liste, dettagli e azioni proprie (creazione adempimenti, raccolta evidenze, avvio campagne di attestazione, gap analysis). Le campagne di attestazione richiedono la firma per presa visione.

Cosa succede dopo. Adempimenti ed evidenze alimentano lo stato di conformità; le campagne generano le richieste di firma.

Note. Il motore delle campagne è condiviso con l’Hub HR.

Risk Management Hub

A cosa serve. È l’ingresso alla gestione del rischio.

Quando usarla. Per accedere a registro, cockpit e strumenti di analisi del rischio.

Come aprirla. Dalla Home / Security Hub (riquadro Risk).

Cosa mostra e come si usa. I riquadri verso Risk Cockpit e Risk Register (e gli strumenti bowtie/FAIR/entity/crosswalk).

Cosa succede dopo. Si apre lo strumento scelto.

Note. Copre IT-RISK e i rischi GRC.

Enterprise Risk Register

A cosa serve. È il registro rischi aziendale: catalogo dei rischi con valutazione e trattamento.

Quando usarla. Per registrare, valutare e monitorare i rischi.

Come aprirla. Dal Risk Hub, riquadro Register.

Cosa mostra. L’elenco dei rischi con likelihood, impact, score calcolato e piano di trattamento (Accept/Mitigate/Transfer/Avoid), owner e data di review; una heat map (probabilità × impatto) e l’esposizione per categoria.

Come si usa. Si crea/valuta un rischio, si assegna il trattamento e l’owner, si pianifica la review.

Cosa succede dopo. I rischi alti guidano le azioni di mitigazione e le decisioni di direzione (Risk Cockpit).

Note. Lo score è calcolato da likelihood × impact.

Risk Cockpit

A cosa serve. È la vista direzionale del rischio: sintesi per la direzione.

Quando usarla. Per il monitoraggio strategico del profilo di rischio.

Come aprirla. Dal Risk Hub, riquadro Cockpit.

Cosa mostra e come si usa. I KPI di rischio aggregati, i trend e i rischi principali, con drill-down.

Cosa succede dopo. Guida le decisioni di direzione sul rischio.

Note. Riservato ai ruoli direzionali (vedi Cockpit e viste di direzione).

Risk Bowtie

A cosa serve. Esegue l’analisi bow-tie: cause → evento → conseguenze, con le barriere preventive e reattive.

Quando usarla. Per analizzare un rischio in profondità e progettare le barriere.

Come aprirla. Dal Risk Hub / dal registro.

Cosa mostra e come si usa. Il diagramma bow-tie con cause, evento centrale, conseguenze e barriere; si modellano gli elementi.

Cosa succede dopo. Le barriere diventano controlli/azioni da tracciare.

Note. Metodologia qualitativa strutturata.

Risk FAIR

A cosa serve. Esegue l’analisi quantitativa FAIR (Factor Analysis of Information Risk): stima economica del rischio.

Quando usarla. Per quantificare in termini monetari l’esposizione di un rischio.

Come aprirla. Dal Risk Hub / dal registro.

Cosa mostra e come si usa. I fattori FAIR (frequenza, magnitudo) e la distribuzione di perdita stimata.

Cosa succede dopo. La quantificazione supporta le decisioni di trattamento e assicurazione.

Note. Metodologia quantitativa.

Risk Entity

A cosa serve. Gestisce le entità di rischio (oggetti/asset/processi a cui i rischi si riferiscono).

Quando usarla. Per collegare i rischi alle entità di riferimento.

Come aprirla. Dal Risk Hub.

Cosa mostra e come si usa. Le entità con i rischi associati.

Cosa succede dopo. Migliora la tracciabilità rischio↔entità.

Note. Complementare al registro.

Compliance Crosswalk

A cosa serve. È il crosswalk che mappa i rischi/controlli sui diversi framework di compliance (corrispondenze tra standard).

Quando usarla. Per riusare un controllo su più framework ed evitare duplicazioni.

Come aprirla. Dal Risk Hub / area Compliance.

Cosa mostra e come si usa. La matrice di corrispondenza tra controlli e requisiti dei vari framework.

Cosa succede dopo. Riduce lo sforzo di conformità multi-framework.

Note. Collega Risk e Compliance.

Legal Hub

A cosa serve. È l’ingresso all’area legale: pratiche, contratti, consensi, DSAR, legal hold, firma elettronica.

Quando usarla. Per accedere agli strumenti legali.

Come aprirla. Dalla Home / Security Hub (riquadro Legal).

Cosa mostra e come si usa. I riquadri verso Legal Cockpit, le entità legali (per categoria), i contratti, la KB, il report builder, e i collegamenti a GRC/Risk/PSA.

Cosa succede dopo. Si apre lo strumento scelto.

Legal Entity

A cosa serve. Gestisce, per categoria, le entità legali.

Quando usarla. Per lavorare pratiche, consensi, DSAR, legal hold e buste di firma.

Come aprirla. Dal Legal Hub, riquadri per categoria.

Cosa mostra. Le entità per categoria:

Categoria	Contenuto
matter	Pratica/contenzioso legale
legal_intake	Presa in carico di richieste legali
dsar_request	Richieste DSAR (diritti dell’interessato, GDPR)
consent_record	Registro dei consensi
legal_hold	Blocchi legali (conservazione documenti)
esign_envelope	Buste di firma elettronica

Come si usa. Si seleziona la categoria e si gestiscono le relative entità (creazione, avanzamento, firma).

Cosa succede dopo. Le pratiche seguono il loro iter; le buste di firma attivano la firma elettronica.

Note. La gestione documentale usa le collections legali.

Legal Cockpit

A cosa serve. È la vista direzionale legale: sintesi delle pratiche e degli indicatori.

Quando usarla. Per la supervisione dell’area legale.

Come aprirla. Dal Legal Hub, riquadro Cockpit.

Cosa mostra e come si usa. I KPI legali (pratiche aperte, scadenze, esposizione) con drill-down.

Cosa succede dopo. Guida le priorità dell’area legale.

Note. Riservato ai ruoli legali/direzionali.

Records Management

A cosa serve. Governa la conservazione dei record (documentali e generici) secondo le politiche di retention.

Quando usarla. Per gestire i record soggetti a conservazione e i legal hold.

Come aprirla. Dal Legal Hub / Builder.

Cosa mostra e come si usa. I record con la loro classe di conservazione e stato; i record generici possono essere entità costruite con il Builder (Amministrazione).

Cosa succede dopo. I record sono conservati/eliminati secondo le regole; i legal hold ne bloccano la cancellazione.

Note. Collegato al legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

A cosa serve. Gestiscono le collezioni documentali dei domini Risk e Legal (raccolte di documenti/evidenze).

Quando usarla. Per organizzare e consultare i documenti collegati a rischi e pratiche legali.

Come aprirla. Dalle pagine Risk/Legal.

Cosa mostra e come si usa. Le raccolte con i documenti associati; apertura nel visualizzatore/firma.

Cosa succede dopo. I documenti alimentano evidenze e pratiche.

Note. Riusano il visualizzatore allegati e la firma documenti.