Un fornitore comunica nuove coordinate bancarie. Una persona inserisce la modifica in anagrafica, prepara il pagamento e lo autorizza. Se qualcosa va storto, l’azienda deve capire se si è trattato di un errore, di una comunicazione falsa o di un abuso. Ma la verifica arriva tardi: tutti i passaggi sono stati svolti dalla stessa persona.
Questo è uno dei casi in cui serve separare le responsabilità. Non significa costruire un percorso pieno di firme. Significa evitare che un’unica persona possa avviare, completare e confermare senza confronto un’operazione che può produrre un danno economico, bloccare un servizio o esporre dati aziendali.
Nel percorso verso la ISO/IEC 27001:2022, questa logica aiuta a trasformare un rischio generico in regole di lavoro verificabili. La domanda da porsi non è “quante approvazioni servono?”, ma “quale passaggio deve essere controllato da una persona diversa da chi lo esegue?”.
Che cosa significa separare le responsabilità
La segregazione delle responsabilità assegna compiti diversi a persone diverse quando un’attività è delicata. In pratica, chi chiede un’operazione, chi la esegue e chi ne controlla l’esito non dovrebbero coincidere automaticamente.
Prendiamo un acquisto urgente. Un responsabile può segnalare la necessità; l’ufficio acquisti può inserire l’ordine; chi ha la delega prevista può approvarlo; l’amministrazione può controllare la corrispondenza tra ordine, consegna e fattura. Non tutte queste fasi richiedono sempre quattro persone. Il punto è che una persona sola non possa aggirare indisturbata le regole stabilite dall’azienda.
Lo stesso criterio vale per le attività digitali. Chi assegna privilegi amministrativi a un sistema non dovrebbe essere l’unico soggetto che decide se quei privilegi sono necessari e se sono ancora attivi dopo alcuni mesi.
Da quali operazioni conviene iniziare
Non ogni attività richiede una doppia verifica. Se si applica lo stesso livello di controllo a una richiesta di cancelleria e a un pagamento, il processo rallenta senza aumentare davvero la sicurezza.
Conviene iniziare dalle operazioni che possono generare conseguenze importanti, ad esempio:
- modifica delle coordinate bancarie di clienti o fornitori;
- disposizioni di pagamento e rimborsi fuori procedura;
- creazione o modifica di anagrafiche fornitori;
- concessione di privilegi elevati sui sistemi aziendali;
- esportazione di elenchi clienti, dati del personale o informazioni riservate;
- modifica delle condizioni commerciali o dei listini;
- disattivazione di controlli tecnici o registri di sistema.
Per ogni attività, la direzione e i responsabili di processo possono indicare cosa renderebbe grave un errore: importo, tipo di dato, effetto su un servizio, vincolo contrattuale o possibilità di frode. Da qui si decide quale passaggio deve essere svolto o verificato da un soggetto diverso.
Tre ruoli semplici: richiedere, eseguire, verificare
Una regola chiara deve indicare chi fa cosa. Un modello essenziale può distinguere tre ruoli:
- Chi richiede: segnala il bisogno e fornisce le informazioni necessarie.
- Chi esegue: registra, configura o realizza l’operazione nel sistema.
- Chi verifica o autorizza: controlla che la richiesta sia legittima, completa e coerente con le regole interne.
Non è necessario che siano sempre tre persone fisiche diverse. In una PMI, la stessa persona può svolgere due ruoli in processi a basso impatto. Quando però l’operazione supera una soglia o riguarda dati e privilegi rilevanti, la verifica deve passare a un’altra funzione o al responsabile previsto.
Il criterio va scritto in modo operativo. Invece di “le attività critiche sono controllate”, è più utile stabilire: “la modifica delle coordinate di un fornitore viene inserita dall’amministrazione e confermata dal responsabile acquisti attraverso un canale di contatto già noto, prima di effettuare pagamenti”.
Quando non ci sono abbastanza persone
Nelle piccole imprese la separazione completa può essere impossibile. L’amministratore unico può autorizzare pagamenti, il responsabile amministrativo può gestire l’operatività e l’IT può essere affidato a un solo tecnico interno o a un fornitore.
In questi casi non serve fingere che i ruoli siano separati: serve introdurre un controllo compensativo. È un controllo aggiuntivo che rende più difficile commettere un errore o nascondere un’operazione.
Alcuni esempi pratici:
- un report mensile delle modifiche alle coordinate bancarie viene rivisto dall’amministratore o dal responsabile finanziario;
- le nuove utenze amministrative vengono riepilogate e controllate a cadenza definita;
- le operazioni sopra una soglia richiedono una conferma attraverso un canale diverso dall’email ricevuta;
- un consulente o un fornitore IT non può approvare da solo la propria richiesta di accesso remoto;
- le eccezioni vengono registrate con motivo, durata e persona che le ha autorizzate.
Il controllo compensativo non elimina ogni rischio. Dimostra però che l’azienda ha riconosciuto il limite organizzativo e ha scelto una verifica concreta invece di lasciare il processo senza presidio.
Le evidenze che permettono di ricostruire un’operazione
Separare i ruoli non basta se, dopo qualche mese, nessuno può capire chi ha fatto cosa. L’azienda deve poter ricostruire almeno richiesta, autorizzazione, esecuzione e verifica.
Le evidenze possono essere semplici: una richiesta nel gestionale, un’approvazione tracciata, un verbale breve, un log di sistema, un report mensile firmato digitalmente o una lista di controlli eseguiti. Il formato conta meno della coerenza: deve essere chiaro a quale operazione si riferisce, chi è intervenuto e quando è avvenuto il controllo.
Per esempio, per una modifica alle coordinate bancarie non è sufficiente conservare l’email che ha chiesto il cambiamento. Serve anche una traccia della verifica svolta attraverso il contatto conosciuto del fornitore e dell’approvazione prima del pagamento.
Queste evidenze aiutano durante una verifica interna, ma soprattutto riducono le discussioni quando emerge un’anomalia: non si parte da ricordi diversi, si parte dai passaggi registrati.
Come verificare che la regola funzioni nel lavoro reale
Una procedura può essere chiara e restare inutilizzata. Per questo la segregazione delle responsabilità va controllata su casi reali, non solo approvata in un documento.
Una verifica periodica può partire da un piccolo campione: cinque nuovi fornitori, cinque pagamenti sopra soglia, cinque nuovi accessi amministrativi o cinque modifiche a dati riservati. Per ciascun caso, chi controlla verifica se la richiesta era completa, se l’autorizzazione era prevista, se la persona che ha eseguito l’operazione era abilitata e se la prova del controllo è disponibile.
Se emergono passaggi saltati, non basta richiamare le persone. Occorre capire perché: la regola è troppo lenta? Il sistema non permette la separazione? Le soglie sono sbagliate? Manca una delega? Solo così la correzione migliora il processo invece di aggiungere un nuovo promemoria destinato a essere ignorato.
Conclusione
La segregazione delle responsabilità non è un esercizio formale. Serve a rendere più difficile che un errore, una frode o una modifica non autorizzata attraversino tutto il processo senza essere notati.
Per iniziare, basta scegliere una o due operazioni critiche e rispondere con precisione a quattro domande: chi può richiederle, chi può eseguirle, chi deve verificarle e quale traccia resta della verifica. Una risposta concreta a queste domande vale più di una lunga procedura che nessuno riesce ad applicare.