L'auditing dei sistemi informativi con la metodologia CobiT 3. Il caso Olivetti

Con l’enfatizzazione della separazione tra proprietà e controllo dovuta all’incessante sviluppo dei mercati finanziari, nel corso degli anni Novanta si è affermato il concetto di Corporate Governance quale moderno strumento di regole a cui le aziende si devono rifare per garantire trasparenza, correttezza e affidabilità della gestione aziendale verso gli azionisti, e gli stakeholders in genere, in un’ottica di massimizzazione del valore.
Oggi gran parte delle informazioni di business viene prodotta attraverso l'uso di sistemi informatici. L’efficace gestione dell’informazione e dell’information technology (IT) è di fondamentale importanza per la sopravvivenza ed il successo di un’organizzazione. Per realizzare direttive efficaci e garantire adeguati controlli le organizzazioni di successo richiedono una valutazione e una comprensione dei rischi e dei vincoli IT a tutti i livelli dell’azienda. Il management deve pertanto allineare strategie di business con strategie di IT, bilanciare i rischi anche in termini di costi/benefici, usufruire di benchmark sull’efficienza dell’ambiente IT presente e futuro.
Negli ultimi anni si è reso necessario possedere un modello per l’identificazione dei confini e della struttura dei processi di gestione dei sistemi informativi: uno standard generalmente accettato di regole tali da considerare “sotto controllo” l’area informatica dell’azienda. A questo proposito gli auditors, invitati sempre più dai managers per consulenze e raccomandazioni sulla sicurezza e sul controllo IT, hanno guidato gli sforzi internazionali nell’elaborazione di nuovi standard. Ciò ha portato alla definizione del CobiT (Control Objectives for Information and Related Technology), benchmark internazionale per un efficace progresso nel campo dei controlli IT. Gli standard CobiT, pubblicati dall’ISACA (Information Systems Audit and Control Association), forniscono le best practices per supportare il management nella determinazione del livello più adatto di sicurezza e controllo IT delle loro organizzazioni.
Cobit è un approccio alla gestione, al controllo e alla verifica dei sistemi informativi, sviluppato per permettere la comprensione ai manager, all’alta direzione, all’audit interno, dei controlli esistenti, delle performance e delle potenziali criticità.
L’obiettivo della trattazione è stato, innanzitutto, individuare uno standard “aperto”, quindi indipendente dalla piattaforma IT, che permettesse una valutazione dell’area di business riguardante il sistema informativo aziendale. Uno standard tecnico, per il controllo e la sicurezza IT, che fosse anche orientato al business e ai processi aziendali. Attraverso l’analisi della complessa struttura di cui esso è caratterizzato, tali caratteristiche sono state riscontrate nel CobiT, in quanto strumento concepito con l’obiettivo di colmare il ‘gap’ esistente tra i modelli di controllo di business (CoSO) e i più specifici modelli di controllo dell’IT. Con l’applicazione della metodologia CobiT al caso Olivetti Tecnost, ci si è inoltre focalizzati sulla verifica della validità/efficacia implementativa dello strumento, soffermandosi sugli aspetti maggiormente critici in relazione alla realtà oggetto d’analisi e, in particolare, sulla sicurezza informatica.
La trattazione può essere suddivisa in tre parti. Nella prima sono stati trattati gli aspetti generali del governo d’impresa e del Controllo. Nella seconda parte della ricerca sono stati presentati i sistemi informativi integrati ERP, concentrando l’attenzione sull’applicativo SAP R/3, e sull’outsourcing dei sistemi informativi, cui sempre più spesso le aziende ricorrono nell’attuale contesto. Nella terza, ed ultima, parte si è presentata l’Olivetti, descrivendo i sistemi informativi in Olivetti, in particolar modo SAP R/3. Si sono riportate le risultanze e le relative (pubblicabili) raccomandazioni dell’intervento revisionale effettuato, in base alla metodologia Cobit.