Preparazione all'assessment TISAX®: le fasi del percorso

Il cliente ha richiesto un label TISAX® e la scadenza è fissata. La domanda ricorrente è sempre la stessa: da dove si comincia?

La preparazione all'assessment non è un esercizio documentale. È un percorso ordinato, in cui ogni fase prepara la successiva. Saltarne una, di solito, si paga durante l'assessment sotto forma di rilievi. Di seguito una panoramica delle fasi principali, utile per comprendere l'impegno richiesto all'azienda.

1. Definizione dell'ambito

Il primo passo consiste nel chiarire cosa viene valutato:

• quali label richiede il cliente (ad esempio Confidential, Strictly Confidential, Proto Parts, Data);
• quali sedi trattano le informazioni del cliente;
• quali processi, persone e sistemi risultano coinvolti.

Il label determina il livello di assessment: AL2, di norma da remoto, oppure AL3, in presenza. Cambiano la profondità della verifica e la preparazione necessaria.

Di norma si adotta l'ambito standard previsto da ENX, quello accettato dai partner. Si consiglia di ottenere dal cliente, per iscritto, l'indicazione di label e sedi: un ambito errato comporta la ripetizione di buona parte delle attività.

2. Gap analysis sul catalogo VDA ISA

Definito l'ambito, la situazione attuale viene confrontata con il catalogo VDA ISA. Per gli assessment ordinati entro il 31 dicembre 2026 il riferimento è la versione 6; per quelli ordinati dal 1° gennaio 2027 si applica il catalogo VDA ISA2027. La data prevista per l'ordine dell'assessment va quindi considerata già in questa fase.

Il VDA ISA adotta una scala di maturità: non basta disporre di una regola, occorre dimostrare che è definita, applicata e verificata. Il risultato della gap analysis è un quadro realistico di ciò che esiste già, di ciò che manca e di ciò che esiste solo "a voce". In molte PMI le misure tecniche risultano presenti, mentre mancano documenti, responsabilità chiare ed evidenze.

3. Piano delle attività

Dalla gap analysis nasce il piano. Per ogni carenza vengono definiti:

• l'azione da svolgere;
• il responsabile;
• la scadenza;
• l'evidenza che ne dimostrerà l'attuazione.

Le priorità dipendono dal rischio e dalla scadenza fissata dal cliente. Le attività con tempi lunghi, come la rinegoziazione di un contratto con il fornitore IT o un intervento sul controllo degli accessi fisici, vanno avviate subito.

4. Politiche, procedure ed evidenze

In questa fase prende forma il sistema di gestione. Politiche e procedure devono risultare poche, chiare e aderenti alla realtà: descrivere come l'azienda opera effettivamente, non come opererebbe in condizioni ideali.

Gli ambiti tipicamente coperti comprendono politica di sicurezza e ruoli, classificazione delle informazioni, gestione del rischio, accessi e identità, incidenti, fornitori, continuità operativa e backup, sicurezza fisica, formazione e consapevolezza.

Accanto ai documenti servono le evidenze: verbali, registri, configurazioni, report dei backup, attestati di formazione, riesami degli accessi. L'audit provider non si limita a leggere un documento firmato: verifica che la regola venga applicata.

5. Valutazione interna e audit interno

Con il sistema operativo si compila la valutazione interna (self-assessment) sul VDA ISA, il documento che l'audit provider utilizzerà come base dell'assessment.

Prima della verifica esterna conviene sottoporre questa valutazione a un audit interno condotto con l'approccio di un auditor di terza parte. L'obiettivo è far emergere le debolezze quando resta ancora il tempo per correggerle.

6. Registrazione ENX e scelta dell'audit provider

La registrazione avviene sul portale ENX, con i dati dell'azienda, i contatti, l'ambito e le sedi, e l'accettazione delle condizioni di partecipazione.

L'assessment è svolto da un audit provider accreditato da ENX, scelto liberamente dall'azienda nell'elenco ufficiale. Nella scelta contano la disponibilità di date compatibili con la scadenza, la lingua degli auditor, l'esperienza nel settore e la chiarezza su tempi e modalità. Le agende degli audit provider si riempiono rapidamente: conviene muoversi per tempo.

7. L'assessment

Nelle giornate previste l'auditor verifica la valutazione interna. Con AL2 l'attività si svolge di norma da remoto, con analisi delle evidenze e interviste; con AL3 l'auditor opera in sede.

In questa fase conta la preparazione delle persone. Chi viene intervistato deve conoscere il proprio ruolo e sapere dove si trovano le evidenze: non servono risposte imparate a memoria.

8. Rilievi e piano correttivo

È normale che l'assessment si chiuda con alcuni rilievi. Non si tratta di una bocciatura: conta la gestione.

• Viene predisposto un piano di azioni correttive, con attività e tempi, concordato con l'audit provider.
• In presenza di sole non conformità minori e di un piano accettato può essere rilasciato un label temporaneo.
• Le non conformità maggiori vanno risolte, e verificate dall'audit provider, entro i tempi massimi previsti da ENX.

Chiusi i rilievi, l'azienda ottiene il label definitivo, valido tre anni e condivisibile con il cliente sul portale ENX.

Il percorso di consulenza

General Tech di Rosario Zappalà, consulente indipendente, segue la preparazione da remoto in tutta Italia, con sopralluoghi e audit in presenza quando necessari. Si parte da una call gratuita di 30 minuti; segue una proposta scritta personalizzata, con attività e tempi costruiti sul punto di partenza dell'azienda, e le attività iniziano dopo l'accettazione.

La consulenza comprende l'impostazione del sistema di gestione sui requisiti del VDA ISA applicabile, la definizione di politiche e procedure, la raccolta delle evidenze, la valutazione interna e l'affiancamento durante l'assessment. È essenziale la collaborazione del Responsabile IT, dell'eventuale fornitore IT esterno e del Responsabile qualità, che conoscono sistemi e processi e che l'auditor intervisterà.

Domande frequenti

Un'azienda può prepararsi senza supporto esterno?

È possibile se all'interno esistono tempo e competenze sulla sicurezza delle informazioni e sul VDA ISA. Il supporto esterno serve soprattutto a evitare errori di ambito e di interpretazione e a non arrivare all'assessment con evidenze deboli.

Quanto tempo richiede la preparazione?

Dipende dal punto di partenza, dai label richiesti e dalla disponibilità delle persone interne. Un'azienda con un ISMS conforme alla ISO/IEC 27001 parte avvantaggiata. Una stima realistica è possibile solo dopo la gap analysis.

L'audit interno è obbligatorio?

Il VDA ISA richiede che la conformità del sistema venga verificata con regolarità. Al di là del requisito, un audit interno prima dell'assessment è lo strumento più efficace per ridurre i rilievi.

Chi sceglie l'audit provider?

L'azienda, tra quelli accreditati da ENX. Il consulente non svolge l'assessment: prepara l'organizzazione e la affianca durante la verifica.