Cosa richiede in più la NIS2 della ISO 27001

Marco Cortinovis è Lead Auditor specializzato in sistemi di gestione ISO.
Con una vasta esperienza nell’accompagnare piccole e medie imprese nei processi di certificazione, Marco racconta cosa significa davvero essere un auditor e quali sono le lezioni più importanti apprese sul campo.

Cosa significa essere un Lead Auditor?

Essere un Lead Auditor significa essere la parte di supporto per l’azienda su tutti i temi legati alla compliance.

In termini pratici, il Lead Auditor deve avere una visione d’insieme dell’organizzazione. Deve saper tradurre ciò che è una norma rigida — come una ISO 9001 o una ISO 27001 — nella realtà quotidiana di un’azienda che deve portare avanti il proprio business ogni giorno.

Serve quindi un approccio business-driven.

L’azienda vede la compliance come uno strumento che la abilita a siglare contratti e superare qualifiche fornitori, ma non deve mai diventare il fine ultimo.

Oltre alla “traduzione”, quali caratteristiche deve avere un Lead Auditor efficace?

Il secondo concetto chiave è l’ascolto attivo.

Circa il 70% del lavoro di un Lead Auditor consiste nel fare le domande giuste e nel mettere a proprio agio l’interlocutore.
Non bisogna essere il “poliziotto cattivo”, ma aiutare le persone ad aprirsi e a raccontare l’azienda per quello che è davvero.

Infine, sono fondamentali empatia e diplomazia.
Il Lead Auditor entra in una realtà che non è la sua, e le persone intervistate devono potersi fidare.

Le tre caratteristiche chiave di un Lead Auditor

In sintesi, un Lead Auditor efficace deve:

Tradurre ciò che la norma richiede in qualcosa di semplice e calzante
Essere un ascoltatore attivo
Avere un approccio empatico e diplomatico

Le lezioni più importanti apprese sul campo

In questi anni di esperienza come Lead Auditor, Marco ha maturato tre lezioni fondamentali.

Lezione 1 — La perfezione non esiste

Nessuna azienda è perfetta.

La conformità a uno standard può essere raggiunta anche al primo anno, ma la certificazione è un percorso, non un punto di arrivo.

È normale che emergano problemi ed errori. L’importante è avere una struttura che permetta di identificarli, analizzarli, gestirli e risolverli in modo sistematico.

Il principio guida è il Plan-Do-Check-Act (PDCA), molto diverso dall’idea comune di certificazione come “perfezione raggiunta”.

Lezione 2 — Il problema non è la procedura, ma l’operatività

Spesso le difficoltà non nascono da procedure sbagliate.
Sulla carta, tutto torna.

Il vero problema emerge nell’operatività quotidiana.

Il lavoro dell’auditor è capire cosa succede davvero dietro un documento: quali attività vengono svolte, come vengono svolte e con quali evidenze. È ciò che si definisce conformità de facto, ovvero la conformità reale, vissuta ogni giorno.

Il divario è spesso tra ciò che è scritto e ciò che viene fatto.
E questo divario passa quasi sempre dalle persone.

Lezione 3 — La burocrazia analogica è un freno a mano

La burocrazia analogica è uno dei principali ostacoli alla compliance efficace.

Documenti archiviati in faldoni cartacei, file Excel o Word non sincronizzati e non collegati tra loro creano confusione, rendono difficile reperire le informazioni e impediscono un monitoraggio reale.

La digitalizzazione non è una questione di modernità, ma di efficacia operativa.

Senza strumenti digitali adeguati non c’è visibilità, non c’è controllo e non c’è miglioramento continuo.

Cosa significa essere un Lead Auditor?

Essere un Lead Auditor significa essere la parte di supporto per l’azienda su tutti i temi legati alla compliance.

In termini pratici, il Lead Auditor deve avere una visione d’insieme dell’organizzazione. Deve saper tradurre ciò che è una norma rigida — come una ISO 9001 o una ISO 27001 — nella realtà quotidiana di un’azienda che deve portare avanti il proprio business ogni giorno.

Serve quindi un approccio business-driven.

L’azienda vede la compliance come uno strumento che la abilita a siglare contratti e superare qualifiche fornitori, ma non deve mai diventare il fine ultimo.

Oltre alla “traduzione”, quali caratteristiche deve avere un Lead Auditor efficace?

Il secondo concetto chiave è l’ascolto attivo.

Circa il 70% del lavoro di un Lead Auditor consiste nel fare le domande giuste e nel mettere a proprio agio l’interlocutore.
Non bisogna essere il “poliziotto cattivo”, ma aiutare le persone ad aprirsi e a raccontare l’azienda per quello che è davvero.

Infine, sono fondamentali empatia e diplomazia.
Il Lead Auditor entra in una realtà che non è la sua, e le persone intervistate devono potersi fidare.

Le tre caratteristiche chiave di un Lead Auditor

In sintesi, un Lead Auditor efficace deve:

Tradurre ciò che la norma richiede in qualcosa di semplice e calzante
Essere un ascoltatore attivo
Avere un approccio empatico e diplomatico

Le lezioni più importanti apprese sul campo

In questi anni di esperienza come Lead Auditor, Marco ha maturato tre lezioni fondamentali.

Lezione 1 — La perfezione non esiste

Nessuna azienda è perfetta.

La conformità a uno standard può essere raggiunta anche al primo anno, ma la certificazione è un percorso, non un punto di arrivo.

È normale che emergano problemi ed errori. L’importante è avere una struttura che permetta di identificarli, analizzarli, gestirli e risolverli in modo sistematico.

Il principio guida è il Plan-Do-Check-Act (PDCA), molto diverso dall’idea comune di certificazione come “perfezione raggiunta”.

Lezione 2 — Il problema non è la procedura, ma l’operatività

Spesso le difficoltà non nascono da procedure sbagliate.
Sulla carta, tutto torna.

Il vero problema emerge nell’operatività quotidiana.

Il lavoro dell’auditor è capire cosa succede davvero dietro un documento: quali attività vengono svolte, come vengono svolte e con quali evidenze. È ciò che si definisce conformità de facto, ovvero la conformità reale, vissuta ogni giorno.

Il divario è spesso tra ciò che è scritto e ciò che viene fatto.
E questo divario passa quasi sempre dalle persone.

Lezione 3 — La burocrazia analogica è un freno a mano

La burocrazia analogica è uno dei principali ostacoli alla compliance efficace.

Documenti archiviati in faldoni cartacei, file Excel o Word non sincronizzati e non collegati tra loro creano confusione, rendono difficile reperire le informazioni e impediscono un monitoraggio reale.

La digitalizzazione non è una questione di modernità, ma di efficacia operativa.

Senza strumenti digitali adeguati non c’è visibilità, non c’è controllo e non c’è miglioramento continuo.

Cosa significa essere un Lead Auditor?

Essere un Lead Auditor significa essere la parte di supporto per l’azienda su tutti i temi legati alla compliance.

In termini pratici, il Lead Auditor deve avere una visione d’insieme dell’organizzazione. Deve saper tradurre ciò che è una norma rigida — come una ISO 9001 o una ISO 27001 — nella realtà quotidiana di un’azienda che deve portare avanti il proprio business ogni giorno.

Serve quindi un approccio business-driven.

L’azienda vede la compliance come uno strumento che la abilita a siglare contratti e superare qualifiche fornitori, ma non deve mai diventare il fine ultimo.

Oltre alla “traduzione”, quali caratteristiche deve avere un Lead Auditor efficace?

Il secondo concetto chiave è l’ascolto attivo.

Circa il 70% del lavoro di un Lead Auditor consiste nel fare le domande giuste e nel mettere a proprio agio l’interlocutore.
Non bisogna essere il “poliziotto cattivo”, ma aiutare le persone ad aprirsi e a raccontare l’azienda per quello che è davvero.

Infine, sono fondamentali empatia e diplomazia.
Il Lead Auditor entra in una realtà che non è la sua, e le persone intervistate devono potersi fidare.

Le tre caratteristiche chiave di un Lead Auditor

In sintesi, un Lead Auditor efficace deve:

Tradurre ciò che la norma richiede in qualcosa di semplice e calzante
Essere un ascoltatore attivo
Avere un approccio empatico e diplomatico

Le lezioni più importanti apprese sul campo

In questi anni di esperienza come Lead Auditor, Marco ha maturato tre lezioni fondamentali.

Lezione 1 — La perfezione non esiste

Nessuna azienda è perfetta.

La conformità a uno standard può essere raggiunta anche al primo anno, ma la certificazione è un percorso, non un punto di arrivo.

È normale che emergano problemi ed errori. L’importante è avere una struttura che permetta di identificarli, analizzarli, gestirli e risolverli in modo sistematico.

Il principio guida è il Plan-Do-Check-Act (PDCA), molto diverso dall’idea comune di certificazione come “perfezione raggiunta”.

Lezione 2 — Il problema non è la procedura, ma l’operatività

Spesso le difficoltà non nascono da procedure sbagliate.
Sulla carta, tutto torna.

Il vero problema emerge nell’operatività quotidiana.

Il lavoro dell’auditor è capire cosa succede davvero dietro un documento: quali attività vengono svolte, come vengono svolte e con quali evidenze. È ciò che si definisce conformità de facto, ovvero la conformità reale, vissuta ogni giorno.

Il divario è spesso tra ciò che è scritto e ciò che viene fatto.
E questo divario passa quasi sempre dalle persone.

Lezione 3 — La burocrazia analogica è un freno a mano

La burocrazia analogica è uno dei principali ostacoli alla compliance efficace.

Documenti archiviati in faldoni cartacei, file Excel o Word non sincronizzati e non collegati tra loro creano confusione, rendono difficile reperire le informazioni e impediscono un monitoraggio reale.

La digitalizzazione non è una questione di modernità, ma di efficacia operativa.

Senza strumenti digitali adeguati non c’è visibilità, non c’è controllo e non c’è miglioramento continuo.

Cosa significa essere un Lead Auditor?

Essere un Lead Auditor significa essere la parte di supporto per l’azienda su tutti i temi legati alla compliance.

In termini pratici, il Lead Auditor deve avere una visione d’insieme dell’organizzazione. Deve saper tradurre ciò che è una norma rigida — come una ISO 9001 o una ISO 27001 — nella realtà quotidiana di un’azienda che deve portare avanti il proprio business ogni giorno.

Serve quindi un approccio business-driven.

L’azienda vede la compliance come uno strumento che la abilita a siglare contratti e superare qualifiche fornitori, ma non deve mai diventare il fine ultimo.

Oltre alla “traduzione”, quali caratteristiche deve avere un Lead Auditor efficace?

Il secondo concetto chiave è l’ascolto attivo.

Circa il 70% del lavoro di un Lead Auditor consiste nel fare le domande giuste e nel mettere a proprio agio l’interlocutore.
Non bisogna essere il “poliziotto cattivo”, ma aiutare le persone ad aprirsi e a raccontare l’azienda per quello che è davvero.

Infine, sono fondamentali empatia e diplomazia.
Il Lead Auditor entra in una realtà che non è la sua, e le persone intervistate devono potersi fidare.

Le tre caratteristiche chiave di un Lead Auditor

In sintesi, un Lead Auditor efficace deve:

Tradurre ciò che la norma richiede in qualcosa di semplice e calzante
Essere un ascoltatore attivo
Avere un approccio empatico e diplomatico

Le lezioni più importanti apprese sul campo

In questi anni di esperienza come Lead Auditor, Marco ha maturato tre lezioni fondamentali.

Lezione 1 — La perfezione non esiste

Nessuna azienda è perfetta.

La conformità a uno standard può essere raggiunta anche al primo anno, ma la certificazione è un percorso, non un punto di arrivo.

È normale che emergano problemi ed errori. L’importante è avere una struttura che permetta di identificarli, analizzarli, gestirli e risolverli in modo sistematico.

Il principio guida è il Plan-Do-Check-Act (PDCA), molto diverso dall’idea comune di certificazione come “perfezione raggiunta”.

Lezione 2 — Il problema non è la procedura, ma l’operatività

Spesso le difficoltà non nascono da procedure sbagliate.
Sulla carta, tutto torna.

Il vero problema emerge nell’operatività quotidiana.

Il lavoro dell’auditor è capire cosa succede davvero dietro un documento: quali attività vengono svolte, come vengono svolte e con quali evidenze. È ciò che si definisce conformità de facto, ovvero la conformità reale, vissuta ogni giorno.

Il divario è spesso tra ciò che è scritto e ciò che viene fatto.
E questo divario passa quasi sempre dalle persone.

Lezione 3 — La burocrazia analogica è un freno a mano

La burocrazia analogica è uno dei principali ostacoli alla compliance efficace.

Documenti archiviati in faldoni cartacei, file Excel o Word non sincronizzati e non collegati tra loro creano confusione, rendono difficile reperire le informazioni e impediscono un monitoraggio reale.

La digitalizzazione non è una questione di modernità, ma di efficacia operativa.

Senza strumenti digitali adeguati non c’è visibilità, non c’è controllo e non c’è miglioramento continuo.