Definire che cosa si vuole verificare
Un audit efficace ha un perimetro chiaro. Può riguardare l’accessibilità del canale, il funzionamento tecnico, l’adeguatezza delle autorizzazioni o l’applicazione della procedura. Questi aspetti si collegano, ma non sono intercambiabili: un sito raggiungibile non dimostra che le segnalazioni siano gestite nei termini.
È utile distinguere le verifiche senza dati reali dalle eventuali verifiche sui fascicoli. Queste ultime richiedono una base organizzativa e autorizzazioni appropriate, nel rispetto della riservatezza. Il controllo non deve diventare un motivo per distribuire copie integrali a tutti i partecipanti.
Cinque aree da inserire nel programma
Il programma può essere breve, purché produca risultati osservabili e azioni assegnate. Per ciascuna area si può individuare una prova, la relativa evidenza e il soggetto che dovrà intervenire se emerge un problema.
- Accesso: collegamento dal sito, istruzioni, utilizzo da dispositivi diversi.
- Destinatari: account attivi, incarichi, sostituzioni e autenticazione.
- Operatività: avvisi, dialogo, richieste di integrazione e scadenze.
- Protezione: copie esportate, documenti, log e cancellazioni.
- Organizzazione: formazione, conflitti, aggiornamento della procedura.
Eseguire un test senza creare un falso caso reale
Concorda la prova con il gestore e usa un’etichetta inequivocabile, dati inventati e documenti privi di riferimenti personali. Verifica che il destinatario previsto possa aprire il fascicolo, rispondere e consentire al segnalante di ritrovare la comunicazione. Se è configurato un canale orale, includilo.
Alla fine registra esito, data e anomalie. Stabilisci come eliminare o classificare il caso di prova secondo la procedura, evitando che venga contato come una segnalazione effettiva nei report. Un test improvvisato con dati di un dipendente reale può introdurre proprio i rischi che si vogliono prevenire.
Che cosa conservare come evidenza
Il verbale dovrebbe contenere oggetto, metodo, ruoli coinvolti, risultato e interventi richiesti. Gli screenshot vanno limitati alle schermate necessarie e ripuliti da informazioni identificative. Non occorre allegare una copia completa dei fascicoli per dimostrare che un controllo è stato svolto.
Esempio ipotetico: il test riesce, ma uno dei riceventi ha cessato l’incarico e risulta ancora abilitato. L’esito complessivo non è semplicemente «tutto funzionante»: il verbale deve riportare la revoca da eseguire e la verifica successiva.
Chiudere le anomalie, non soltanto il verbale
Ogni rilievo dovrebbe avere un responsabile e un termine realistico. Dopo la correzione serve una conferma proporzionata: ripetizione del test, elenco aggiornato delle autorizzazioni o istruzione modificata. Questo passaggio rende l’audit uno strumento di miglioramento e non un adempimento isolato.
Segnalailleciti.it può essere coinvolto nelle verifiche che riguardano il servizio tecnologico, secondo gli accordi di assistenza. L’OdV e l’azienda mantengono le valutazioni organizzative e i rispettivi compiti: una collaborazione ordinata consente di individuare più rapidamente dove intervenire.
Domande frequenti
L’assenza di segnalazioni dimostra che il canale funziona?
No. Può dipendere da molte ragioni e non sostituisce un controllo tecnico e organizzativo.
L’audit richiede sempre di leggere segnalazioni reali?
No. Molte verifiche possono essere svolte con configurazioni, documentazione e casi di prova non identificativi.
