Audit interno TISAX®: a cosa serve e come si svolge

Politiche, procedure ed evidenze risultano pronte, la valutazione interna sul VDA ISA è compilata e l'assessment TISAX® si avvicina.

È il momento giusto per un audit interno TISAX: una verifica condotta con l'approccio dell'audit provider, ma in una fase in cui resta il tempo per correggere ciò che non funziona.

Cos'è l'audit interno TISAX

L'audit interno è una verifica indipendente del sistema di gestione della sicurezza delle informazioni, condotta sui requisiti del catalogo VDA ISA applicabile all'assessment (la versione 6 per gli assessment ordinati entro il 2026, il catalogo VDA ISA2027 per quelli ordinati dal 1° gennaio 2027).

Non va confuso con la valutazione interna (self-assessment), che è la dichiarazione dell'azienda sul livello di maturità raggiunto per ogni domanda del catalogo. L'audit interno mette alla prova quella dichiarazione: verifica che quanto riportato sia vero, applicato e dimostrabile.

L'impostazione più efficace è quella di una simulazione completa di terza parte: stesso approccio, stesso rigore e stesse domande che l'azienda incontrerà durante l'assessment.

A cosa serve

Ridurre i rilievi

Ogni carenza individuata in anticipo è un rilievo in meno durante l'assessment, e quindi meno azioni correttive da gestire sotto scadenza, con il cliente in attesa del label.

Verificare l'applicazione effettiva delle misure

Una procedura ben scritta non basta. Se la procedura prevede il riesame semestrale degli accessi, l'auditor chiederà l'evidenza dell'ultimo riesame. L'audit interno misura proprio lo scarto tra documenti e realtà.

Preparare le persone

Le interviste mettono a disagio chi non le ha mai affrontate. Con un audit interno, Responsabile IT, Responsabile qualità e responsabili di processo arrivano all'assessment sapendo cosa aspettarsi.

Rispondere a un requisito

Il VDA ISA richiede che la conformità del sistema di gestione venga verificata con regolarità e che l'ISMS sia sottoposto a revisione indipendente. L'audit interno è lo strumento naturale per farlo, come previsto anche dalla ISO/IEC 27001 al punto 9.2.

Come si svolge

L'audit segue un metodo strutturato, articolato nelle fasi principali:

• Pianificazione. Ambito, label di riferimento, sedi, processi e calendario delle interviste. L'ambito deve coincidere con quello dell'assessment, altrimenti la simulazione perde valore.
• Analisi della documentazione. Valutazione interna, politiche, procedure e registri: aggiornamento, approvazione, coerenza reciproca e coerenza con il self-assessment.
• Verifica dei controlli VDA ISA. Per ogni controllo applicabile si valuta se il requisito è soddisfatto e con quale livello di maturità, compresi i requisiti aggiuntivi legati ai label richiesti.
• Interviste ai responsabili di processo. IT, eventuale fornitore IT esterno, qualità, risorse umane, acquisti, produzione: come viene svolta l'attività, chi la autorizza, dove ne resta traccia.
• Revisione delle evidenze tecniche e organizzative. Riesami degli accessi, backup e prove di ripristino, registri degli incidenti, accordi con i fornitori, attestati di formazione, controlli sugli accessi fisici. Con AL3 è previsto anche un sopralluogo.
• Classificazione dei risultati. Non conformità, osservazioni e rischi residui.
• Rapporto e riunione di chiusura. Un rapporto scritto, pensato per essere direttamente utilizzabile in vista dell'assessment, con priorità ed evidenze da produrre.

Quando svolgerlo

Il momento ideale è alcune settimane prima dell'assessment, quando il sistema è completo ma resta il margine per intervenire. Troppo presto si verifica un sistema ancora in costruzione; troppo tardi si scoprono problemi senza poterli risolvere.

Dopo l'assessment l'audit interno resta utile con cadenza almeno annuale: il label vale tre anni, ma il sistema va mantenuto per l'intero periodo.

Chi può svolgerlo

Chi conduce l'audit deve essere obiettivo e imparziale e non deve verificare il proprio operato. Per questo molte PMI, prive di una funzione di audit interna, si affidano a un auditor esterno.

Serve inoltre competenza specifica: conoscenza del VDA ISA, del funzionamento di un assessment TISAX e delle tecniche di audit. Un audit svolto con una checklist generica rischia di produrre un falso senso di sicurezza.

L'audit interno di General Tech di Rosario Zappalà

L'audit interno TISAX è condotto da Rosario Zappalà, consulente indipendente, auditor interno ISO/IEC 27001:2022, con formazione specifica TISAX. L'attività si svolge da remoto in tutta Italia, con verifiche in presenza quando l'ambito lo richiede.

L'impostazione è quella di una simulazione completa di terza parte: verifica dei controlli VDA ISA, analisi dell'effettiva applicazione delle misure, revisione delle evidenze, interviste ai responsabili di processo, identificazione di non conformità, osservazioni e rischi residui, con un risultato direttamente utilizzabile per l'assessment. Il percorso parte da una call gratuita di 30 minuti, seguita da una proposta scritta personalizzata con attività e tempi.

Domande frequenti

L'audit interno sostituisce l'assessment TISAX?

No. Il label si ottiene solo con l'assessment di un audit provider accreditato da ENX. L'audit interno prepara a quella verifica, ma non rilascia label né certificati.

Che differenza esiste tra audit interno e valutazione interna?

La valutazione interna è l'autovalutazione dell'azienda sul VDA ISA. L'audit interno verifica che quell'autovalutazione sia corretta e supportata da evidenze.

Quanto dura un audit interno?

Dipende dall'ambito, dal numero di sedi e dai label richiesti. La durata viene definita nella proposta.

Ha senso anche per un'azienda che dispone già del label?

Sì. Un audit interno periodico aiuta a mantenere il sistema e ad arrivare preparati al rinnovo triennale.