Per “richiesta TISAX” si intende una situazione concreta: un cliente automotive, un potenziale cliente o un partner di filiera chiede al fornitore di affrontare un assessment TISAX e, se necessario, di condividere con lui il risultato attraverso il portale ENX.
TISAX è un meccanismo di assessment e scambio di informazioni usato nell’ecosistema automotive. Il portale ENX descrive un percorso che parte dalla definizione del perimetro di assessment — sedi, processi e bisogni di protezione rilevanti — prosegue con la scelta di un audit provider e si conclude con la condivisione controllata dei risultati con i partner selezionati.
La formula “un assessment per questo processo” è però una semplificazione che può trarre in inganno. Nel perimetro standard, l’azienda indica una o più sedi e l’assessment considera tutti i processi, le procedure e le risorse sotto la sua responsabilità che sono rilevanti per gli obiettivi di protezione dichiarati in quelle sedi. Un cliente può quindi chiedere, per esempio, un risultato TISAX con determinati obiettivi di assessment e riferito alle sedi coinvolte nel progetto; il processo interessato aiuta a definire il perimetro, ma non va trattato automaticamente come un perimetro TISAX autonomo.
Non esiste un unico modello organizzativo valido per ogni impresa. Ci sono però segnali concreti che indicano quando serve rendere il percorso più strutturato, prima che questa richiesta commerciale o di filiera diventi una rincorsa a documenti e risposte non coordinate.
1. Nessuno sa chi decide il perimetro
Il primo segnale è una riunione in cui tutti portano pezzi di informazione, ma nessuno può confermare che cosa rientra davvero nel percorso. Un responsabile commerciale conosce la richiesta del cliente; l’IT conosce i sistemi; la produzione conosce i passaggi operativi; un fornitore esterno gestisce una parte dell’infrastruttura. Se queste informazioni non convergono in una decisione esplicita, il perimetro resta implicito.
Strutturare la governance non significa creare un comitato aggiuntivo. Significa nominare chi raccoglie gli elementi, chi decide il perimetro e chi registra le ragioni della scelta. Per ogni sede inserita nel perimetro, l’azienda dovrebbe poter spiegare quali processi, procedure e risorse sono rilevanti per le informazioni da proteggere e chi ha validato quella decisione.
2. Le informazioni importanti sono note, ma non collegate al lavoro reale
Un elenco di file o di sistemi non basta se non chiarisce che cosa accade ogni giorno. Un progetto può includere disegni tecnici, dati di produzione, informazioni di clienti o materiale prototipale; ma occorre anche sapere dove vengono creati, chi li usa, con quali strumenti e quando escono dall’azienda.
Il segnale di debolezza è riconoscibile: alla domanda “chi può accedere a questa informazione?” arrivano risposte diverse da persone diverse. Un inventario utile collega ogni informazione a un processo, a un proprietario interno, ai luoghi o sistemi in cui viene trattata e ai soggetti esterni che possono riceverla. Questa mappa non sostituisce le misure di protezione: permette di scegliere misure coerenti con situazioni reali.
3. I fornitori compaiono soltanto quando serve una risposta urgente
Molte aziende dipendono da fornitori per infrastruttura, sviluppo software, manutenzione, connettività, archiviazione o assistenza su applicazioni. Il problema non è affidare attività all’esterno. Il problema nasce quando non è chiaro quale fornitore accede a quali informazioni, con quale autorizzazione e attraverso quale canale.
Un percorso da strutturare emerge quando, per recuperare una risposta, bisogna cercare nelle email, chiamare più persone o chiedere al fornitore di ricostruire a posteriori chi ha operato. Una gestione più solida parte da un elenco essenziale: servizio affidato, referente interno, dati o sistemi coinvolti, persone autorizzate, modalità di accesso e regole di escalation. Così un cambio di fornitore o un intervento urgente non lascia zone d’ombra.
4. Le decisioni esistono, ma non lasciano una prova utilizzabile
Una decisione può essere corretta e tuttavia difficile da dimostrare se vive solo in una conversazione, in una chat o nella memoria di chi l’ha presa. Per esempio: una sede viene inclusa nel perimetro; un accesso remoto viene autorizzato per assistere il cliente su una specifica applicazione; una misura viene rinviata perché il servizio deve restare operativo. In tutti questi casi conta poter ricostruire chi ha deciso, su quali informazioni e quale azione è stata assegnata.
Non servono verbali lunghi per ogni scelta. Spesso è sufficiente un registro leggibile con data, decisione, motivazione, responsabile e verifica prevista. L’obiettivo non è produrre carta: è evitare che, dopo qualche mese, nessuno sappia se un’azione è stata completata, rinviata o superata da un cambiamento.
5. Le evidenze vengono raccolte solo quando arriva l’assessment
L’ultimo segnale è il più costoso: la documentazione viene cercata quando l’assessment è già vicino. A quel punto persone diverse producono versioni diverse della stessa procedura, screenshot non datati o spiegazioni che non coincidono con il lavoro quotidiano.
Un approccio strutturato separa due attività. La prima è svolgere il lavoro: autorizzare un accesso, aggiornare una procedura, verificare un fornitore, formare una persona. La seconda è conservare una prova semplice e proporzionata che quel passaggio è avvenuto. Le evidenze più credibili nascono nel processo, non nella settimana precedente a una verifica.
Da dove iniziare senza bloccare l’operatività
Quando compaiono due o tre di questi segnali, il primo passo utile non è acquistare subito uno strumento o scrivere un manuale completo. È convocare le persone che conoscono richiesta di filiera, processi, sistemi e fornitori e rispondere a quattro domande:
- Qual è il perimetro da chiarire?
- Quali informazioni richiedono più attenzione?
- Quali decisioni non hanno un responsabile esplicito?
- Quali prove oggi sarebbero difficili da recuperare?
Da qui si può costruire un piano breve, con un responsabile per ogni azione, una scadenza realistica e un momento di verifica. Se cambia un elemento rilevante — per esempio una sede, un servizio o un fornitore che accede alle informazioni — occorre riesaminare le decisioni e le evidenze su cui si basava il piano iniziale.
Conclusione
Prepararsi a TISAX non significa trasformare l’azienda in un ufficio documentale. Significa rendere visibili le decisioni che già influenzano la protezione delle informazioni: che cosa rientra nel perimetro, chi accede, quale fornitore interviene, chi approva le scelte e quale prova resta disponibile. Quando questi elementi sono chiari prima dell’assessment, il confronto con la filiera diventa più ordinato e il lavoro quotidiano resta il punto di partenza.