Potere decisionale nei processi di governance
Nei processi di governance, spesso non si pone solo la questione di quali organismi debbano essere coinvolti. È invece fondamentale stabilire chi sia autorizzato a prendere una decisione, su quale base ciò avvenga, quali responsabilità ne derivino e quali prove siano necessarie per una successiva verifica.
Questa questione è fondamentale nella pratica. Essa evidenzia se la governance aziendale sia effettivamente gestibile o consista semplicemente in singoli coordinamenti. In molte organizzazioni, le prospettive tecniche rilevanti sono sostanzialmente presenti. Il CIO presta attenzione alla velocità, a un’architettura pulita, alla capacità di integrazione, alla sicurezza delle informazioni e alla limitazione del debito tecnico. Il responsabile della protezione dei dati si occupa di legittimità, tracciabilità e tutela degli interessati. L’ufficio legale valuta gli obblighi contrattuali, le questioni di responsabilità, gli impegni dei fornitori e i requisiti normativi. I reparti specialistici perseguono obiettivi operativi, poiché clienti, progetti, budget e processi interni richiedono regolarmente un’attuazione tempestiva.
Ciascuna di queste prospettive è legittima. Proprio per questo è necessario un processo che traduca questi punti di vista in una decisione condivisa. In assenza di un tale percorso decisionale, spesso si crea un panorama di coordinamento fatto di e-mail, riunioni, verifiche individuali, richieste di chiarimenti a posteriori e approvazioni informali. La decisione viene poi presa prima o poi, ma non è sempre documentata in modo attendibile.
Se in seguito revisori, clienti, autorità di vigilanza, la revisione interna o la direzione dovessero chiedere perché è stata presa una determinata decisione, occorrerà ricostruire le motivazioni, le responsabilità, le basi decisionali e le prove attingendo a diverse fonti. Spesso emerge che il problema non risiedeva nelle singole funzioni specialistiche, bensì nella mancanza di un collegamento organizzativo tra di esse.
Il problema, quindi, non risiede solitamente in una governance troppo rigida, bensì in una struttura decisionale non sufficientemente organizzata.
La governance va oltre le competenze dei singoli reparti
Nelle aziende, il concetto di governance viene spesso inteso in senso organizzativo. Esistono Protezione dei dati, Legale, Conformità, la sicurezza informatica e, se del caso, un comitato di governance dell'IA. Ciò non significa tuttavia che le decisioni possano essere prese in modo strutturato.
Un dipartimento può fornire una prospettiva. Può fornire consulenza, verificare, segnalare, stabilire le priorità e documentare. Tuttavia, un dipartimento da solo non basta a garantire la capacità decisionale dell’organizzazione. La governance nasce quando diverse prospettive specialistiche vengono integrate in modo tale che un’organizzazione possa prendere decisioni ripetibili e solide.
Ciò risulta evidente, ad esempio, in un caso d’uso dell’IA. Un dipartimento desidera implementare uno strumento che classifichi automaticamente le richieste dei clienti. Dal punto di vista tecnico, l’attenzione è rivolta a un’elaborazione più rapida, a una migliore qualità del servizio e a un alleggerimento dei processi operativi. Dal punto di vista del CIO, occorre valutare l’integrazione, i flussi di dati, la dipendenza dal fornitore, la sicurezza operativa, le interfacce e la gestibilità tecnica a lungo termine. Dal punto di vista della normativa sulla protezione dei dati, Dati personali, Stanziamento di fondi, Trasparenza, i possibili rischi per le parti interessate e gli obblighi di prova. Legal valuta il contratto, Responsabilità civile, impegni degli operatori, inquadramento normativo ed eventuali obblighi nei confronti dei clienti o dei partner commerciali.
Il fatto che ogni ruolo esprima la propria valutazione separatamente non significa ancora che si tratti di governance. Inizialmente si ottiene solo un insieme di valutazioni tecniche. La governance ha inizio solo quando queste valutazioni vengono tradotte in una decisione: se il caso d’uso possa essere implementato, a quali condizioni ciò sia ammissibile, quali controlli siano necessari, chi ne sia responsabile, quali documenti giustificativi debbano essere redatti e quando la decisione debba essere riesaminata.
In questo contesto, la governance non va intesa come un singolo reparto. La governance è la capacità organizzativa di tradurre diverse esigenze tecniche in decisioni comprensibili. Richiede competenze, procedure, soglie, punti decisionali e documentazione. È solo da questa interazione che nasce la capacità decisionale che consente alle aziende, in materia di protezione dei dati, Conformità, la sicurezza delle informazioni e la governance dell'IA.
La governance va quindi intesa come un’architettura decisionale.
Concetto e funzione dell'architettura decisionale
Per “architettura decisionale” si intende il percorso pratico che porta da una richiesta a una decisione solida. Una richiesta può riguardare un nuovo strumento SaaS, un nuovo Elaborazione, un cambio di fornitore di servizi, un caso d’uso dell’IA, una trasmissione di dati, una campagna di marketing, un nuovo sistema HR o una modifica dei processi esistenti. Per tali processi è necessario stabilire come vengono registrati, quali informazioni sono necessarie, quali ruoli devono essere coinvolti, quando è necessario un passaggio a un livello superiore, come vengono prese le decisioni e dove si trova la relativa documentazione.
Un’architettura di questo tipo è costituita da ruoli, soglie, flussi di lavoro, punti decisionali, verifiche e revisioni. Non si limita a rispondere alla domanda su chi sia coinvolto; ciò che conta è come dalla partecipazione nasca una decisione trasparente.
In assenza di questa struttura, ogni tema di governance deve essere riorganizzato da zero. Ogni progetto deve stabilire autonomamente a chi rivolgersi. I reparti specialistici formulano le proprie richieste in modi diversi. L’ufficio legale riceve la documentazione, se del caso, troppo tardi. Il reparto Protezione dei dati non riceve sempre il contesto necessario. La sicurezza informatica viene talvolta coinvolta solo quando sono già state prese decisioni tecniche fondamentali. La direzione riceve documenti decisionali in cui i conflitti di obiettivi non sono indicati con sufficiente chiarezza.
Il risultato è un processo che, nella pratica, spesso procede più lentamente di quanto dovrebbe. Si verificano ripetute richieste di chiarimenti. Le competenze vengono definite a posteriori. Le decisioni subiscono ritardi perché mancano informazioni o perché queste non sono disponibili in una visione d’insieme condivisa. In questi casi, la governance non richiede molto tempo perché è troppo approfondita, ma perché il processo decisionale non è sufficientemente regolamentato.
In questo contesto, un’architettura decisionale non costituisce un fine a sé stante. Essa definisce come classificare le richieste, quali verifiche sono necessarie, quali funzioni specialistiche sono coinvolte, quali condizioni possono essere associate a un’approvazione e come vengono effettuate le verifiche successive. In questo modo, la governance passa dall’essere una sequenza di singole coordinazioni a un processo gestibile.
Requisiti dal punto di vista del CIO
Nelle discussioni sulla governance, il ruolo del CIO viene talvolta associato soprattutto all’attenzione alla velocità. Questa visione è riduttiva. Dal punto di vista dell’IT, la velocità è sostenibile solo se non comporta debiti tecnici, rischi per la sicurezza, shadow IT o correzioni successive.
Per il CIO è quindi fondamentale che la governance intervenga tempestivamente e in modo strutturato. Se i nuovi strumenti, le funzionalità di IA o i processi di elaborazione dei dati vengono valutati solo dopo che il dipartimento specialistico ha già preso decisioni sostanziali, all’IT spesso non resta che scegliere tra una correzione a posteriori e il blocco del progetto. Entrambe le opzioni sono sfavorevoli dal punto di vista organizzativo. Le correzioni a posteriori comportano un dispendio di risorse, ritardano i progetti e possono portare a compromessi tecnici. Un blocco totale, invece, spesso aggrava il conflitto tra IT, dipartimento specialistico e dirigenza.
È necessario un flusso di lavoro che consenta di individuare tempestivamente i nuovi progetti. Occorre chiarire, in particolare, cosa si intende implementare, quali sistemi sono interessati, quali dati vengono trasferiti e dove, quali interfacce vengono create, quali fornitori vengono coinvolti, quali requisiti operativi e di sicurezza si applicano e quando è necessaria un’approvazione a livello di architettura o di sicurezza.
Se queste informazioni sono disponibili in modo strutturato all’interno del processo, il reparto IT può prendere decisioni in modo più rapido e attendibile. La valutazione tecnica non viene quindi considerata isolatamente rispetto ai requisiti funzionali, di protezione dei dati o legali, ma viene piuttosto inserita nel contesto complessivo del progetto. In questo modo, il CIO è in grado di valutare meglio se un progetto sia tecnicamente fattibile, quali rischi comporti, quali condizioni siano necessarie e se sia opportuno prevedere una verifica successiva.
Una buona governance non supporta quindi il CIO introducendo ulteriori punti di controllo fine a se stessi, ma lo sostiene riducendo l’improvvisazione, evitando i processi “ombra” e inserendo le decisioni tecniche nel contesto organizzativo complessivo. Ciò riveste un’importanza notevole nella pratica aziendale, poiché molti rischi non derivano da una singola debolezza tecnica, bensì da competenze poco chiare, da un coinvolgimento tardivo e da decisioni non documentate.
Requisiti dal punto di vista del responsabile della protezione dei dati
Il responsabile della protezione dei dati necessita di un coinvolgimento tempestivo e di un contesto informativo adeguato. Il Regolamento generale sulla protezione dei dati prevede che il responsabile della protezione dei dati sia coinvolto in modo corretto e tempestivo in tutte le questioni relative alla protezione dei dati personali. Inoltre, egli riferisce direttamente al vertice aziendale. Queste disposizioni non sono solo di natura formale, ma descrivono la posizione organizzativa della protezione dei dati nei processi decisionali. (EUR-Lex)
Dal punto di vista pratico, ciò significa che la protezione dei dati non deve essere l’ultima tappa prima del lancio. Se il responsabile della protezione dei dati viene coinvolto solo quando i fornitori, l’architettura, i flussi di dati e la progettazione dei processi sono già in gran parte definiti, la sua verifica spesso può avere solo un effetto correttivo. Ciò comporta ritardi, rielaborazioni e conflitti evitabili tra i reparti specialistici, l’IT, l’ufficio legale e la protezione dei dati.
Il responsabile della protezione dei dati non ha bisogno di controllare ogni singolo dettaglio operativo. Ha tuttavia bisogno di un chiaro accesso alle decisioni relative alla protezione dei dati. Deve essere in grado di individuare quali dati personali sono interessati, quale finalità si persegue, quale base giuridica si applica, se Diritti degli interessati occorre valutare se sussistano rischi particolari, se vi sia una Valutazione dell'impatto sulla protezione dei dati potrebbe essere necessario e quali documenti dovranno essere conservati in seguito.
Tra i suoi compiti rientra, secondo la GDPR tra l’altro, monitorare il rispetto del regolamento e delle linee guida interne in materia di protezione dei dati, comprese le responsabilità, la sensibilizzazione, la formazione e gli audit. (EUR-Lex) Questi compiti possono essere svolti solo in misura limitata se le informazioni sono sparse tra e-mail, presentazioni di progetto e conversazioni informali. La protezione dei dati richiede una visione chiara del processo decisionale e non solo singoli documenti.
Soprattutto quando si tratta di nuovi strumenti, applicazioni di intelligenza artificiale, Nuvola-servizi, cambi di fornitore o nuovi flussi di dati, il contesto è determinante. Le valutazioni in materia di protezione dei dati dipendono regolarmente dallo scopo perseguito, dalle categorie di dati interessate, dalle persone che potrebbero essere coinvolte, dall’eventuale trasmissione dei dati, dai destinatari coinvolti e dal fatto che la Elaborazione necessaria per lo scopo previsto. Se queste informazioni non vengono raccolte in modo strutturato, la verifica della protezione dei dati risulterà inevitabilmente tardiva, incompleta o comporti un elevato dispendio di tempo per le richieste di chiarimenti.
Un’architettura decisionale solida garantisce quindi che il responsabile della protezione dei dati non venga coinvolto nei processi rilevanti in modo casuale, ma sistematico. Ciò alleggerisce anche il carico di lavoro dei reparti specialistici, poiché si riducono le richieste di chiarimenti e le esigenze emergono con maggiore anticipo.
Requisiti dal punto di vista dell'ufficio legale
L'ufficio legale valuta le questioni relative alla governance da una prospettiva diversa rispetto al responsabile della protezione dei dati. Questa distinzione è fondamentale, poiché i rischi giuridici non sono esclusivamente di natura relativa alla protezione dei dati.
L'ufficio legale verifica in particolare quali obblighi contrattuali ne derivano, quali aspetti relativi alla responsabilità devono essere presi in considerazione, quali impegni assumono i fornitori, quali garanzie mancano, quali ruoli normativi sussistono, se sono interessate le assicurazioni fornite ai clienti e quali condizioni devono essere disciplinate a livello contrattuale o organizzativo prima del go-live.
Soprattutto nel campo dell'intelligenza artificiale, Nuvola-servizi, outsourcing, approvvigionamenti da paesi terzi o modelli di business ad alta intensità di dati, questa prospettiva può rivelarsi determinante. L’ufficio legale non è tenuto a esaminare in modo approfondito ogni singolo progetto. È tuttavia necessario individuare tempestivamente se una questione che a prima vista sembra di natura operativa abbia implicazioni giuridiche.
Se l’ufficio legale viene coinvolto solo poco prima della conclusione del contratto, il margine di manovra è spesso limitato. Il dipartimento competente vuole procedere, il fornitore attende la firma, il reparto IT ha già effettuato le verifiche e l’ufficio acquisti desidera concludere la procedura. Non è raro che la definizione giuridica si trasformi quindi in una limitazione a posteriori dei rischi.
Un’architettura decisionale solida non coinvolge quindi il reparto legale in ogni pratica con lo stesso livello di approfondimento. Definisce piuttosto delle soglie oltre le quali il contratto, Responsabilità civile, il ruolo normativo o gli obblighi esterni assumono un’importanza tale da rendere necessario il coinvolgimento dell’ufficio legale nel processo decisionale. Ciò che conta, quindi, non è un coinvolgimento il più ampio possibile in ogni singola procedura, bensì un coinvolgimento mirato nei casi in cui sia necessario definire gli aspetti giuridici o limitare i rischi.
Dal punto di vista pratico, ciò è importante anche perché i requisiti giuridici sono spesso legati a questioni tecniche e relative alla protezione dei dati. Un fornitore può sembrare idoneo dal punto di vista tecnico, mentre gli impegni contrattuali risultano insufficienti. Un processo può essere sensato dal punto di vista tecnico, ma occorre tenere conto delle questioni relative alla responsabilità o agli obblighi nei confronti dei clienti. Un caso d’uso dell’IA può essere verificabile dal punto di vista della protezione dei dati, ma allo stesso tempo sollevare questioni relative al ruolo normativo, al contesto di utilizzo o alla copertura contrattuale.
Il settore legale non necessita quindi di una visione isolata della verifica, bensì del contesto dell'operazione. Solo quando sono riconoscibili la finalità, il riferimento al sistema, i flussi di dati, i fornitori, le responsabilità e l'utilizzo previsto, è possibile effettuare una corretta classificazione giuridica.
Requisiti dal punto di vista dei dipartimenti
Il dipartimento non è solo il proponente nei processi di governance. È spesso il referente per il contesto tecnico. Il reparto IT conosce i sistemi e l’architettura. Il reparto Protezione dei dati conosce i requisiti normativi in materia. Il reparto Legale conosce i rischi giuridici. Il reparto di competenza, tuttavia, sa perché un progetto debba essere realizzato, quale problema venga risolto, quale processo debba essere migliorato, quale situazione del cliente sia interessata, quali dati vengano effettivamente utilizzati e quale decisione venga influenzata nell’attività lavorativa quotidiana.
Senza queste informazioni, le altre funzioni spesso effettuano le verifiche sulla base di dati incompleti. Un errore comune nei processi di governance consiste quindi nel considerare il reparto specialistico semplicemente come un compilatore di moduli. Esso trasmette la documentazione e attende eventuali richieste di chiarimenti. Se tali richieste arrivano in ritardo o più volte da fonti diverse, ne deriva un onere di lavoro evitabile.
Una buona governance non trasforma il dipartimento in un giurista, in un esperto di protezione dei dati o in un architetto della sicurezza. Tuttavia, pone le domande necessarie in modo tale che il dipartimento possa fornire il contesto in modo strutturato. In particolare, occorre chiarire cosa debba accadere, chi utilizzerà il risultato, quali dati verranno utilizzati, quali persone saranno interessate, quali fornitori saranno coinvolti, quale decisione dovrà essere possibile alla fine e quali conseguenze si verificheranno se il progetto non verrà attuato.
Se il dipartimento di competenza fornisce queste informazioni tempestivamente e in modo strutturato, i reparti preposti alla protezione dei dati, agli aspetti legali, all’IT e alla sicurezza possono svolgere le proprie verifiche in modo più rapido e accurato. Il dipartimento di competenza ottiene in cambio una visione più chiara del processo, delle verifiche necessarie, delle questioni in sospeso e delle possibili condizioni per l’approvazione.
Questo è fondamentale per l’accettazione della governance. I reparti specialistici percepiscono la governance come un ostacolo soprattutto quando il processo non è chiaro, le richieste di chiarimenti arrivano in ritardo o i tempi decisionali non sono comprensibili. Un’architettura decisionale strutturata può modificare questa percezione, poiché rende visibili le esigenze in una fase precoce e regola in modo trasparente il percorso che porta alla decisione.
Un approccio decisionale condiviso anziché un ulteriore coordinamento
Molte aziende reagiscono ai problemi di governance organizzando ulteriori riunioni. Le riunioni possono aiutare a chiarire eventuali ambiguità, ma non sostituiscono una visione condivisa del processo decisionale.
Una visione decisionale condivisa significa che tutte le parti coinvolte valutano lo stesso processo, ma ciascuna dal proprio punto di vista. Il dipartimento di competenza si occupa degli obiettivi e dell’attuazione. Il CIO e il reparto IT si occupano dei sistemi, dell’architettura e delle operazioni. Il reparto sulla protezione dei dati si occupa dei dati, della base giuridica e dei rischi per gli interessati. L’ufficio legale si occupa del contratto, Responsabilità civile e gli impegni. Il management visualizza lo stato, il rischio, la necessità di intervenire e la proposta decisionale.
Il processo rimane lo stesso. Le prospettive tecniche differiscono. La decisione, tuttavia, viene concordata e documentata. È proprio in questo che risiede la differenza tra la semplice partecipazione e una governance controllabile.
Questa visione condivisa è fondamentale per l'efficienza dei processi di governance. Impedisce che ogni settore gestisca autonomamente le proprie informazioni. Riduce le richieste di chiarimenti, migliora la tracciabilità e facilita una successiva verifica dei motivi per cui un'operazione è stata approvata, respinta o autorizzata solo a determinate condizioni.
In assenza di questa visione condivisa, si creano regolarmente stati di avanzamento del lavoro paralleli. Il dipartimento di competenza gestisce la propria documentazione. Il reparto IT documenta le valutazioni tecniche. Il reparto Protezione dei dati integra le note relative alla normativa sulla protezione dei dati. Il reparto Legale lavora con la documentazione contrattuale. La direzione riceve sintesi in cui le valutazioni sottostanti sono visibili solo in parte. In un contesto del genere è difficile determinare l’effettivo stato delle decisioni.
Una visione decisionale condivisa significa invece che le informazioni essenziali relative al processo vengono raccolte in un unico punto. Tra queste figurano lo scopo, le responsabilità, i sistemi coinvolti, i flussi di dati, i fornitori, i rischi, le valutazioni, le condizioni, le approvazioni e le scadenze delle revisioni. Solo in questo modo si crea una base su cui le decisioni possono essere prese in modo tracciabile e successivamente spiegate.
| Situazione in materia di governance | Senza un’architettura decisionale | Con l'architettura decisionale |
|---|---|---|
| Si prevede di introdurre un nuovo strumento | Il dipartimento si rivolge in via informale ai servizi IT, alla protezione dei dati o all’ufficio legale. Le parti coinvolte ricevono informazioni diverse. | Il caso d'uso viene registrato tramite una procedura di acquisizione strutturata. Scopo, dati, fornitori, sistemi e Persone responsabili sono visibili fin dall'inizio. |
| Viene integrata la protezione dei dati | Spesso ci si rivolge al responsabile della protezione dei dati in una fase avanzata del processo e questi è costretto a richiedere ulteriori informazioni per colmare le lacune di contesto. | Il reparto Protezione dei dati esamina la procedura in una fase precoce e la valuta sulla base delle stesse informazioni fornite dai reparti IT e Legale. |
| L'ufficio legale esamina il contratto e Responsabilità civile | Legal riceve la documentazione poco prima della conclusione dell'operazione e può solo segnalare i rischi. | Il reparto legale viene coinvolto al raggiungimento di determinate soglie e può presentare tempestivamente condizioni, clausole contrattuali o proposte decisionali. |
| Il CIO e il reparto IT valutano l'attuazione | Il reparto IT si occupa degli aspetti tecnici, mentre gli obiettivi specifici, la protezione dei dati e i rischi contrattuali vengono valutati separatamente. | Architettura, sicurezza, gestione, flussi di dati e rapporti con i fornitori sono collegati allo scopo specifico. |
| Il dipartimento vive la governance | La governance sembra costituire un ostacolo, con richieste di chiarimenti poco chiare. | Il dipartimento conosce il processo, fornisce un contesto strutturato e ottiene più rapidamente una decisione attendibile. |
| Viene presa una decisione | La decisione viene presa dopo diverse votazioni. Le motivazioni sono sparse tra e-mail, verbali o promemoria. | La decisione, i ruoli, i principi fondamentali, le condizioni, la documentazione di supporto e le scadenze per la revisione vengono documentati nell'attività. |
| Il management vuole una visione d'insieme | È necessario raccogliere informazioni sullo stato e sui rischi da diverse fonti. | Il management visualizza le pratiche in sospeso, i rischi, le escalation, le decisioni e la documentazione sulla base di dati strutturati. |
| Audit o in caso di richiesta da parte dei clienti | Il team ricostruisce a posteriori il motivo per cui è stata presa una determinata decisione. | Il percorso decisionale è tracciabile e può essere illustrato o esportato. |
La differenza è significativa dal punto di vista pratico aziendale. È proprio questa a determinare se la governance comporti un carico di lavoro aggiuntivo nella quotidianità o se, al contrario, alleggerisca i processi decisionali. L’assenza di un’architettura decisionale porta spesso a porre ripetutamente le stesse domande fondamentali in progetti diversi. Un’architettura decisionale ben definita, al contrario, garantisce comparabilità, ripetibilità e una base solida per verifiche successive.
I flussi di lavoro come base per decisioni trasparenti
Un flusso di lavoro non garantisce automaticamente una buona governance. Un flusso di lavoro mal progettato può anche rendere semplicemente più ripetibili decisioni inadeguate. Tuttavia, un buon flusso di lavoro è necessario per separare le decisioni dalle catene di e-mail e dalle consultazioni informali.
Un flusso di lavoro adeguato guida una richiesta in modo strutturato all’interno dell’organizzazione. Inizia con una fase di raccolta iniziale che acquisisce il contesto necessario. Sulla base di valori soglia, stabilisce quali ruoli debbano essere coinvolti. Assegna i compiti, documenta le verifiche e le decisioni relative alla procedura, registra le versioni, genera prove documentali durante l’elaborazione e consente le approvazioni a determinate condizioni. Inoltre, dovrebbe tenere conto del fatto che le decisioni dovranno essere verificate in un secondo momento.
Ciò vale in particolare per la governance dell’IA. Il quadro di riferimento del NIST per la gestione dei rischi legati all’IA ha lo scopo di aiutare le organizzazioni a integrare gli aspetti relativi all’affidabilità nella progettazione, nello sviluppo, nell’utilizzo e nella valutazione di prodotti, servizi e sistemi di IA. Ne consegue una concezione della governance come attività che si estende per l’intero ciclo di vita e non come un semplice controllo una tantum. (NIST)
La norma ISO/IEC 42001 descrive un sistema di gestione dell'intelligenza artificiale come un insieme di elementi che interagiscono tra loro e che consentono a un'organizzazione di definire politiche, obiettivi e processi per responsabile Sviluppo, messa a disposizione o utilizzo di sistemi di IA: definiti, implementati, mantenuti e migliorati. Inoltre, la norma ISO/IEC 42001 sottolinea l’importanza di una gestione strutturata dei rischi e delle opportunità legati all’IA. (ISO)
Nella pratica, ciò conferma che la governance non si basa su un singolo documento. Essa presuppone processi ripetibili che colleghino tra loro ruoli, informazioni, decisioni e documentazione. Ciò riguarda non solo i sistemi di intelligenza artificiale, ma anche la gestione della protezione dei dati, il controllo dei fornitori di servizi, la sicurezza delle informazioni, la gestione dei rischi e Conformità-Processi.
Un flusso di lavoro svolge una duplice funzione: da un lato supporta l’elaborazione della singola pratica e, dall’altro, crea le basi per la successiva rendicontazione. Durante l’elaborazione è possibile verificare quali dati sono disponibili, quali verifiche sono ancora in sospeso e quali ruoli sono stati coinvolti. Una volta conclusa la procedura, è possibile ricostruire quale decisione sia stata presa, quali condizioni fossero in vigore e su quali basi si sia fondata tale decisione.
È proprio questa funzione di documentazione che riveste un ruolo fondamentale nella protezione dei dati e Conformità di notevole importanza. Le aziende non solo devono soddisfare i requisiti, ma devono anche essere in grado di dimostrarne regolarmente l'attuazione. Un processo di governance che raccolga le prove solo a posteriori da fonti diverse è adatto a questo scopo solo in misura limitata.
La mancanza di una visione d'insieme nel processo decisionale come punto debole ricorrente
Responsabile esterno della protezione dei dati e tenuta della documentazione
Nei processi di approvazione non sempre è presente la stessa prospettiva specialistica. In alcune aziende, la protezione dei dati viene integrata troppo tardi. In altre mancano i reparti legale o di sicurezza informatica. Spesso, tuttavia, manca una visione decisionale trasversale che riunisca le valutazioni esistenti.
In questo caso, tutte le parti coinvolte partecipano in qualche modo, senza che il percorso decisionale sia sufficientemente chiaro. Il dipartimento di competenza persegue il proprio obiettivo. Il reparto IT effettua una verifica tecnica. Il reparto protezione dei dati fornisce una valutazione. L’ufficio legale segnala i rischi. La direzione attende una decisione. Il processo stesso rimane tuttavia poco definito se non viene specificato cosa si debba decidere esattamente, su quali informazioni si basi, quali condizioni si applichino e quale documentazione ne derivi.
La partecipazione non deve quindi essere confusa con il controllo. Il semplice fatto che tutte le parti interessate siano state interpellate una volta non significa che sia stata presa una decisione di governance solida. È necessario un nesso che sia integrato nel processo e nel sistema e che non dipenda esclusivamente dalle conoscenze dei singoli individui.
Questa lacuna spesso emerge solo in un secondo momento. Durante lo svolgimento del progetto, il coordinamento sembra essere adeguato. I soggetti coinvolti conoscono il processo, le questioni fondamentali vengono chiarite verbalmente, le decisioni vengono confermate tramite e-mail o fissate in occasione di riunioni. Tuttavia, non appena viene effettuata una verifica successiva, risulta evidente che il percorso decisionale non è documentato in modo completo. In questi casi non è necessariamente il lavoro tecnico a mancare, bensì il collegamento tra fatti, valutazione, decisione e documentazione.
Per le aziende ciò è particolarmente problematico perché le decisioni di governance devono essere sempre più giustificabili nei confronti di diversi destinatari. Il management, i clienti, i revisori, le autorità di vigilanza o le funzioni di controllo interno pongono domande diverse, ma in genere richiedono tutte le stesse informazioni fondamentali: cosa è stato deciso, perché è stata presa quella decisione, chi è stato coinvolto, quali condizioni erano in vigore e quali prove sono disponibili?
Un’architettura decisionale getta le basi affinché non sia necessario ricostruire queste domande ogni volta da capo.
Supporto fornito da Ailance
Ailance risponde proprio a questa esigenza. La piattaforma non va intesa semplicemente come un archivio o uno strumento di workflow isolato per singole operazioni. Al centro dell’attenzione vi è l’interconnessione tra oggetti di governance che, nella pratica, sono spesso correlati tra loro.
Uno Elaborazione può comportare rischi, misure, approvazioni, misure tecniche e organizzative, fornitori di servizi, valutazioni del responsabile della protezione dei dati e documentazione di supporto. Un caso d’uso dell’IA può essere collegato a fonti di dati, Model Card, classificazione dei rischi, verifica della protezione dei dati, revisione legale, valutazione della sicurezza, autorizzazione e monitoraggio. Un fornitore di servizi può essere associato a contratti, accordi sul trattamento dei dati, misure tecniche e organizzative, trasferimenti, trattamenti e verifiche.
In questo modo si crea una visione comune del processo decisionale. Il CIO può individuare quali sistemi sono interessati. Il reparto responsabile della protezione dei dati può tracciare il collegamento con le attività di trattamento e i rischi. L’ufficio legale può colpiti Classificare le decisioni e lo stato dei contratti. Il reparto competente visualizza lo stato e le richieste in sospeso. La direzione può valutare rischi, pratiche in sospeso, escalation, decisioni e documentazione sulla base di dati strutturati.
Ailance può aiutare le aziende a tradurre i requisiti normativi in ruoli, flussi di lavoro, processi decisionali e documentazione. Questo è un compito fondamentale dei moderni software di governance, a condizione che non si limitino a Documentazione non solo riproduce, ma rende comprensibili i processi decisionali.
L'utilità pratica non risiede in un'ulteriore interfaccia tecnica. Ciò che conta è che le informazioni correlate non vadano disperse. Le attività di trattamento, i rischi, le misure, i fornitori di servizi, le approvazioni e la documentazione di verifica sono spesso collegati tra loro dal punto di vista tecnico nei processi di governance. Se questo nesso viene rappresentato in modo sistematico, è possibile preparare, documentare e verificare meglio le decisioni.
Per i responsabili della protezione dei dati, ciò può significare che le operazioni rilevanti ai fini della protezione dei dati diventino visibili prima e che non sia necessario raccogliere le prove solo a posteriori. Per l’ufficio legale, può significare che le questioni contrattuali e di responsabilità vengano valutate nel contesto del progetto specifico. Per il CIO, ciò può significare che i sistemi, i flussi di dati e i requisiti di sicurezza non vengano considerati in modo isolato. Per i reparti specialistici, ciò può significare che lo stato di avanzamento del lavoro sia tracciabile e che le esigenze in sospeso risultino più chiaramente identificabili.
L'architettura decisionale come fattore di accelerazione
I dipartimenti spesso percepiscono la governance come un freno. Ciò è comprensibile quando i processi di approvazione non sono chiari, le richieste di chiarimenti arrivano in ritardo, le responsabilità cambiano e non è chiaro quando verrà presa una decisione. La causa, tuttavia, non è la governance in sé, bensì una governance strutturata in modo inadeguato.
Una buona architettura decisionale può accelerare i processi. Chiarisce fin dall’inizio quali informazioni sono necessarie. Assicura che i reparti di protezione dei dati, affari legali, IT e sicurezza non debbano improvvisare uno dopo l’altro. Definisce delle soglie affinché le operazioni semplici non vengano trattate in modo inutilmente complesso e quelle critiche non vengano sottovalutate. Rende le decisioni riutilizzabili ed evita che le stesse questioni fondamentali debbano essere chiarite nuovamente in ogni progetto.
La governance viene quindi intesa non tanto come un apparato di controllo, quanto piuttosto come un’infrastruttura organizzativa che consente di prendere decisioni solide. Un’infrastruttura di questo tipo non ostacola l’attuazione, ma crea i presupposti affinché essa possa avvenire in modo pianificato. Ciò vale in particolare nelle aziende in cui è necessario valutare parallelamente numerosi progetti e in cui il numero di nuovi strumenti, flussi di dati, fornitori di servizi o applicazioni di intelligenza artificiale è in aumento.
L'accelerazione non deriva dalla rinuncia alle verifiche, ma da una classificazione tempestiva, da competenze chiare, da informazioni strutturate e da punti decisionali tracciabili. Se già all’inizio di un’operazione è chiaro se debbano essere coinvolti i reparti della protezione dei dati, dell’ufficio legale, della sicurezza informatica o della direzione, il processo può essere gestito in modo più mirato. Se allo stesso tempo è chiaro quali informazioni mancano, le richieste di chiarimenti possono essere raggruppate e formulate tempestivamente.
Una struttura di questo tipo è rilevante anche per le funzioni di gestione e controllo. Essa crea Trasparenza sulle pratiche in sospeso, sui rischi, sulle escalation e sulle decisioni prese. In questo modo, la governance non solo può essere gestita a livello operativo, ma anche controllata a livello organizzativo.
Domande di verifica relative ai processi di approvazione esistenti
Le aziende possono valutare il livello di maturità della propria governance sulla base dei processi di approvazione esistenti. Può trattarsi di un nuovo strumento, di un caso d’uso dell’intelligenza artificiale, di un fornitore di servizi, di una nuova Elaborazione, un trasferimento di dati o una campagna di marketing.
Occorre verificare in particolare se ogni soggetto coinvolto abbia la stessa visione del processo. Il CIO ha lo stesso contesto del responsabile della protezione dei dati? L’ufficio legale valuta la stessa situazione decisionale del dipartimento di riferimento? È chiaro per il management quali siano le condizioni applicabili? È documentato chi ha preso la decisione e su quale base? È prevista una fase di revisione? Sarà possibile spiegare in seguito perché è stata scelta una determinata linea d’azione?
Se non è possibile rispondere a queste domande in modo attendibile, spesso non basta nemmeno un’altra riunione. Manca una struttura decisionale.
Tale verifica può riferirsi anche a caratteristiche concrete del processo. Le aziende dovrebbero verificare se per i nuovi progetti esista una procedura di valutazione strutturata, se siano stati fissati dei valori soglia per il coinvolgimento dei reparti di protezione dei dati, affari legali, sicurezza informatica e direzione, se le decisioni relative al processo siano documentate, se siano state stabilite le condizioni per l’approvazione e se sia prevista una verifica successiva.
Occorre inoltre verificare se le prove vengono prodotte durante lo svolgimento del processo o se devono essere raccolte solo in un secondo momento. Per i processi di governance questa è una differenza sostanziale. Le prove che emergono durante il processo sono generalmente più attendibili, poiché rimangono collegate al contesto decisionale. Le prove che vengono ricostruite solo in un secondo momento sono più soggette a lacune, ambiguità e differenze nei ricordi delle parti coinvolte.
Le aziende dovrebbero inoltre verificare se le operazioni semplici possano essere gestite in modo adeguatamente snello e se quelle più rischiose vengano individuate in modo affidabile. Un’architettura decisionale non deve comportare che ogni operazione venga gestita con lo stesso dispendio di risorse. Deve invece consentire di adeguare l’entità della verifica al rischio, alla portata giuridica, alla complessità tecnica e all’importanza pratica del progetto.
Importanza per la gestione della protezione dei dati e la conformità
Per la gestione della protezione dei dati e Conformità L'architettura decisionale riveste particolare importanza, poiché entrambi i settori dipendono dalla tracciabilità. Spesso non è sufficiente archiviare un singolo documento al termine di un processo. È necessario stabilire un collegamento tra i fatti alla base del caso, la verifica tecnica, la classificazione giuridica o organizzativa, la decisione e le misure che ne derivano.
In materia di protezione dei dati, ciò riguarda, ad esempio, le operazioni di trattamento, Base giuridica, Diritti degli interessati, Elaborazione dell'ordine, Misure tecniche e organizzative, trasferimenti verso paesi terzi, valutazioni d’impatto sulla protezione dei dati e prove relative alla responsabilità. In Conformità-Tali processi possono riguardare autorizzazioni, valutazioni dei rischi, controlli, formazione, segnalazioni e competenze interne. Nella governance dell’IA si aggiungono ulteriori requisiti, quali le classificazioni dei rischi, le informazioni sui modelli, le finalità, la supervisione umana, il monitoraggio e Documentazione.
Questi temi non possono essere gestiti in modo sostenibile dal punto di vista organizzativo se vengono trattati singolarmente come compiti di documentazione isolati. Il contesto è fondamentale. Una Elaborazione può essere correlato a un fornitore di servizi, a un rischio, a una misura, a una soluzione tecnica e a un’autorizzazione. Un caso d’uso dell’IA può riguardare contemporaneamente la protezione dei dati, la sicurezza delle informazioni, gli aspetti legali, il settore specialistico e la direzione. Un fornitore di servizi può avere ripercussioni sui contratti, Elaborazione dell'ordine, trasferimenti, TOM e processi operativi.
Quanto più queste interrelazioni sono evidenti all’interno dell’azienda, tanto più la governance può adempiere alla sua vera funzione: preparare le decisioni, chiarire le responsabilità, classificare i rischi, definire le misure da adottare e fornire la documentazione necessaria.
Conclusione
La governance non è un dipartimento. Un dipartimento può fornire consulenza, verificare, segnalare e documentare. L’effetto concreto, tuttavia, si manifesta solo quando le diverse prospettive vengono tradotte in una decisione solida.
Il CIO, il reparto per la protezione dei dati, l’ufficio legale e i reparti specialistici perseguono obiettivi diversi. Non si tratta di una lacuna, bensì della situazione normale in organizzazioni basate sulla divisione dei compiti. Una buona governance rende visibili queste differenze e le riunisce in un flusso di lavoro che consente di prendere decisioni, produrre documentazione e permettere verifiche successive.
Il CIO ha bisogno di rapidità e controllabilità tecnica. Il responsabile della protezione dei dati ha bisogno di essere coinvolto sin dalle prime fasi, di conoscere il contesto e di disporre di prove. L’ufficio legale ha bisogno di poter esaminare tempestivamente il contratto, Responsabilità civile e le implicazioni normative. I dipartimenti specialistici hanno bisogno di un percorso chiaro che porti a decisioni attuabili.
Una governance che riunisca questi requisiti non è solo un controllo organizzativo. È un’architettura decisionale. Definisce le modalità con cui le richieste vengono raccolte, classificate, esaminate, decise, documentate e verificate. In questo modo getta le basi affinché le aziende possano gestire i nuovi progetti non solo più rapidamente, ma anche in modo più trasparente e solido.
Proprio in ambiti quali la gestione della protezione dei dati, la governance dell’IA, i LegalOps, la sicurezza delle informazioni e la gestione dei fornitori, questa capacità acquisirà sempre maggiore importanza. Il numero dei ruoli coinvolti è in aumento, i requisiti tecnici diventano più complessi e crescono le aspettative riguardo alle decisioni documentate. In questo contesto, occorre verificare se i processi di governance esistenti si limitino a organizzare la partecipazione o se riescano effettivamente a creare una visione condivisa del processo decisionale.
In definitiva, ciò che conta non è se un’azienda disponga di numerosi organi, linee guida o moduli. Ciò che conta è che da un’operazione concreta scaturisca una decisione comprensibile, motivata dal punto di vista tecnico, attribuibile a un ambito organizzativo e verificabile in un secondo momento.
Domande e risposte
In che modo il CIO, il responsabile della protezione dei dati, l'ufficio legale e i reparti specialistici collaborano nei processi di governance?
Collaborano in modo adeguato quando valutano un processo comune da diverse prospettive. Il dipartimento specialistico descrive lo scopo e i vantaggi, il CIO valuta l’architettura e il funzionamento, il reparto protezione dei dati verifica i dati e i rischi per gli interessati, l’ufficio legale valuta il contratto e Responsabilità civile. La decisione viene integrata in un flusso di lavoro, documentata e resa verificabile in un secondo momento.
Perché la governance è un’architettura decisionale?
La governance è un’architettura decisionale, poiché definisce il percorso che un’organizzazione compie per passare da una richiesta a una decisione solida. Ciò comprende ruoli, informazioni, soglie, verifiche, approvazioni, documentazioni, escalation e revisioni.
Qual è il ruolo del CIO nei processi di governance?
Il CIO garantisce che si tenga conto dei sistemi, dell’architettura, dell’integrazione, del funzionamento, della sicurezza e della scalabilità. Il suo approccio mira a evitare che le decisioni di business generino rischi tecnici, “shadow IT” o problemi operativi futuri.
Qual è il ruolo del responsabile della protezione dei dati?
Il responsabile della protezione dei dati verifica Dati personali, Base giuridica, rischi per gli interessati, eventuali valutazioni d’impatto sulla protezione dei dati, documentazione e obblighi di rendicontazione. Secondo la GDPR deve essere coinvolto sin dalle prime fasi nelle questioni relative alla protezione dei dati. (EUR-Lex)
Qual è il ruolo dell'ufficio legale?
Legal valuta i rischi contrattuali, Responsabilità civile, ruoli normativi, impegni assunti dai fornitori e obblighi esterni. L’ufficio legale contribuisce a garantire che una soluzione adeguata dal punto di vista specialistico o tecnico sia concepita in modo da essere giuridicamente sostenibile.
Perché un organo di governance non è sufficiente?
Un organo favorisce la partecipazione, ma non garantisce automaticamente la capacità decisionale. Senza un flusso di lavoro strutturato, competenze chiare, punti decisionali documentati e prove concrete, la governance rimane subordinata a riunioni, e-mail e promemoria informali.
Perché i flussi di lavoro accelerano la governance?
I flussi di lavoro possono accelerare i processi di governance, poiché definiscono in anticipo le esigenze informative, i ruoli, le verifiche, le approvazioni e la documentazione di supporto. In questo modo, i team non devono chiarire ogni volta, per ogni progetto, chi deve essere coinvolto, quali documenti mancano e chi è autorizzato a prendere decisioni.
In che modo una piattaforma favorisce una migliore governance?
Una piattaforma collega oggetti di governance quali Elaborazione, rischio, fornitore di servizi, caso d’uso dell’IA, approvazione, misura e prova. In questo modo è possibile creare una visione decisionale condivisa tra il CIO, il responsabile della protezione dei dati, l’ufficio legale, i reparti specialistici e la direzione.
Qual è la differenza tra workflow e piattaforma?
Un flusso di lavoro gestisce un singolo processo. Una piattaforma collega più processi tramite oggetti, ruoli e dati comuni. Si raggiunge un livello di maturità più elevato quando i singoli flussi di lavoro non operano in modo isolato, ma vengono integrati in un’unica struttura di governance.
In che modo Ailance supporta i processi di governance?
Ailance supporta i processi di governance consentendo di tradurre i requisiti normativi in ruoli, flussi di lavoro, percorsi decisionali e documentazione. È possibile integrare e rendere gestibili le attività di trattamento, i casi d’uso dell’intelligenza artificiale, i rischi, i fornitori di servizi, le approvazioni e la documentazione.
German 
English 
Italian 
French