🛡️ Compliance Hub

Governance, Risk & Compliance per l'azienda: policy e attestazioni ai dipendenti, libreria controlli multi-framework (NIS2, ISO 27001, GDPR, DORA, AI Act, 231), evidenze, incidenti e notifiche alle autorità. Un controllo implementato una volta produce evidenze valide per più norme.

Attivo

Compliance Workspace

Campagne documentali di compliance: invio, presa visione, firma e attestazione delle policy. Libreria documenti firmati e audit.

Catalogo Policy 115

115 modelli documentali (12 aree) con placeholder: dalla selezione alla cessazione. Crea una campagna d'invio da ogni modello.

Libreria controlli & mapping M02

Controlli mappati su più framework (ISO 27001, NIS2, GDPR, DORA, AI Act, 231). Un controllo → evidenza per più norme. Statement of Applicability.

Gap analysis & Framework M02

Conformità calcolata per framework e perimetro (società/sede/servizio): coperti, parziali, gap. Export SoA.

Registro obblighi & framework M01

Scoping del perimetro normativo (ACN NIS2, ISO 27001, GDPR, DORA, AI Act, 231) e calendario degli adempimenti ricorrenti con scadenze e responsabili.

Gestione evidenze M03

Prove di conformità con file cifrati at-rest, integrità SHA-256 e scadenza; collegate ai controlli (una evidenza → più norme).

Incidenti & notifiche M04

Timer di notifica paralleli verso le autorità (NIS2 24/72h, GDPR 72h, DORA, CRA) con template precompilati, protocolli e timeline a prova di manomissione.

Cruscotto organi di amministrazione M06

Supervisione ex art. 23 NIS2: registro delibere/approvazioni, postura di conformità per framework, formazione dell'organo e report CdA stampabile.

Audit, rilievi & rimedi M07

Programma di audit (interni/esterni/certificazione), non conformità, piani di rimedio (CAPA) con verifica di efficacia e riesame di direzione ISO.

Fornitori & supply chain M08

Anagrafica fornitori con criticità e non fungibilità (ACN/NIS2), questionari di sicurezza e registro delle informazioni sulle terze parti ICT (DORA art. 28).

Risk management M09

Registro rischi con scoring probabilità × impatto, trattamento e rischio residuo, controlli mitiganti collegati e Business Impact Analysis su asset del CMDB.

Continuous controls monitoring M10

Test ricorrenti dell'efficacia dei controlli (MFA, EDR, backup, patch, endpoint API) con esecuzione automatica schedulata; l'esito aggiorna lo stato dei controlli.

Registro dei trattamenti (RoPA art.30), valutazioni d'impatto (DPIA art.35), registro delle violazioni di dati e richieste degli interessati (DSAR, scadenza automatica 30gg).

Modello 231 & OdV M12

Catalogo dei reati presupposto (D.Lgs. 231/2001), mappatura delle aree di rischio e attività sensibili, flussi informativi verso l'OdV e registro delle attività di vigilanza.

Whistleblowing M13

Canale di segnalazione riservato e anonimo (D.Lgs. 24/2023): contenuti cifrati at-rest, accesso ristretto ai gestori, timer avviso 7gg e riscontro 3 mesi, timeline a prova di manomissione.

Assistente AI compliance M14

Mapping controllo→requisiti suggerito, revisione dell'adeguatezza delle evidenze e bozze di questionari — con explainability e conferma umana obbligatoria prima di applicare.

Formazione & awareness M15

Piani formativi per ruolo (cyber, privacy, 231, AI literacy) con assegnazioni, scadenze e tasso di completamento; i completamenti valgono come evidenza collegata ai controlli.

AI governance M16

Inventario dei sistemi di IA, classificazione del rischio EU AI Act (proibito/alto/limitato/minimo, GPAI) e presidi di governance (sorveglianza umana, trasparenza, FRIA, documentazione).

CRA & sicurezza prodotti M17

Inventario dei prodotti con elementi digitali, SBOM (distinta software) e gestione delle vulnerabilità con collegamento ai timer di notifica CRA (Cyber Resilience Act).

Trasparenza retributiva & ESG M18

Divario retributivo di genere per categoria e periodo (Dir. UE 2023/970) e indicatori di sostenibilità per pilastro E/S/G con valore, target e stato (CSRD/ESRS).

Monitoraggio normativo M19

Registro degli aggiornamenti normativi con valutazione dell'impatto sui framework, date di efficacia e piano di adeguamento con azioni e scadenze.

Trust center M20

Portale pubblico di fiducia: postura di conformità, certificazioni e documenti condivisibili (pubblici, su richiesta o sotto NDA) con URL pubblico dedicato.

Governance, Risk & Compliance · in arrivo