Software DORA vs GRC tradizionale: differenze

Per adeguarsi al regolamento DORA, molte istituzioni finanziarie partono dagli strumenti che già possiedono: una piattaforma GRC (Governance, Risk & Compliance) affiancata da fogli di calcolo, repository documentali e workflow manuali. Funzionano, ma fino a un certo punto. DORA non è un nuovo registro da compilare: è un presidio continuo da mantenere — e qui i GRC tradizionali mostrano i loro limiti.

Questa guida spiega che cos'è un software GRC tradizionale, perché fatica con DORA, cosa richiede DORA in più, cosa cambia con un software dedicato e qual è il ruolo dell'AI agentica nel rendere la conformità sostenibile nel tempo.

Che cos'è un software GRC tradizionale

I sistemi GRC nascono per organizzare e archiviare: censiscono rischi, controlli, policy ed evidenze, li collegano a un framework di riferimento e li rendono ritrovabili a fronte di un audit. Sono ottimi contenitori e ottimi registri statici. La logica di fondo è quella del repository: qualcuno carica un documento, lo tagga, lo associa a un controllo, e il sistema lo conserva fino alla prossima verifica.

Questo modello ha funzionato per decenni con normative che cambiano lentamente e che si misurano una o due volte l'anno. Il problema nasce quando la normativa chiede di dimostrare uno stato continuo di resilienza, non una fotografia periodica.

Perché i GRC tradizionali faticano con DORA

DORA sposta il baricentro dalla documentazione alla dimostrazione. Non basta avere le policy giuste in archivio: bisogna poter provare, in ogni momento, che il presidio è attivo, aggiornato e tracciabile fino alla fonte. È qui che gli strumenti classici iniziano a scricchiolare:

• Evidenze frammentate. Documenti, controlli e prove restano sparsi tra cartelle, email e fogli di calcolo. A ogni richiesta dell'autorità, la ricostruzione ricomincia quasi da zero.
• Tracciabilità debole. Una risposta in un report GRC raramente è collegata in modo verificabile alla riga del documento da cui deriva. La catena tra affermazione e fonte si spezza.
• Aggiornamento normativo manuale. Quando cambiano RTS, ITS o linee guida delle autorità, qualcuno deve leggere, interpretare e riversare a mano le modifiche nei controlli. Il sistema non "sa" cosa è cambiato.
• Registro dei fornitori statico. Il registro delle informazioni sui fornitori ICT (art. 28) va tenuto aggiornato e coerente: in un foglio di calcolo diventa rapidamente disallineato rispetto ai contratti reali.
• Segnalazioni lente. La notifica degli incidenti gravi in più fasi richiede di raccogliere informazioni distribuite sotto pressione di tempo. Un archivio non aiuta a comporre la segnalazione.

Il GRC tradizionale, in sintesi, è progettato per conservare, non per produrre evidenze su richiesta alla velocità che DORA pretende.

Cosa richiede DORA in più

Rispetto a un impianto GRC classico, DORA introduce esigenze operative che non si risolvono solo con un archivio meglio ordinato:

• un registro dei fornitori ICT vivo e coerente con i contratti, base anche per l'analisi del rischio di concentrazione;
• la capacità di segnalare incidenti gravi in fasi successive (notifica iniziale, relazione intermedia, relazione finale) con tempi stretti;
• un programma di test di resilienza le cui evidenze siano pronte e rintracciabili, fino al TLPT per le entità più significative;
• evidenze sempre disponibili, non ricostruite a posteriori, perché il presidio è continuo e l'organo di gestione ne risponde;
• tracciabilità end-to-end: ogni risposta deve poter citare la fonte esatta da cui deriva.

Sono requisiti di flusso, non di fotografia. Ed è la differenza che separa un buon archivio da uno strumento pensato per DORA.

Software DORA dedicato: cosa cambia

Un software costruito attorno a DORA non sostituisce la governance: cambia il modo in cui le evidenze vengono prodotte e tenute insieme. Invece di limitarsi a conservare, collega normativa, controlli, contratti ed evidenze in un unico flusso verificabile. Il registro dei fornitori resta allineato alle fonti contrattuali; le segnalazioni si compongono a partire da dati già strutturati; gli aggiornamenti normativi diventano interrogabili invece di richiedere una revisione manuale capillare. L'obiettivo non è archiviare meglio, ma arrivare all'audit già pronti.

Il ruolo dell'AI agentica

È qui che un approccio agentico — come quello della piattaforma SinergIA — fa la differenza. Un agente non si limita a cercare un documento: consulta le fonti, verifica le evidenze, analizza i dati reali dell'istituzione e genera la risposta o il report, citando la fonte fino al documento e alla riga. La conoscenza resta nella tua knowledge base isolata (RAG privato), con dati trattati in UE e conformi al GDPR, così la tracciabilità non è un'aggiunta successiva ma una proprietà nativa di ogni risposta.

Il risultato, per i team Compliance, è il passaggio dalla rincorsa all'audit al presidio continuo: le evidenze sono pronte, le segnalazioni si compongono più rapidamente e ogni affermazione è verificabile.

Domande frequenti

Un software DORA sostituisce il mio sistema GRC?

Non necessariamente. Spesso lo completa: il GRC continua a gestire il quadro di governance, mentre lo strato agentico produce evidenze tracciabili, mantiene coerente il registro dei fornitori e accelera segnalazioni e reporting. L'obiettivo è colmare il divario tra archiviare e dimostrare.

Perché un foglio di calcolo non basta per il registro dei fornitori ICT?

Perché il registro va tenuto coerente con i contratti reali e usato per l'analisi del rischio di concentrazione. In un foglio manuale si disallinea rapidamente e diventa difficile dimostrarne l'aggiornamento all'autorità.

L'AI agentica è affidabile per la conformità?

L'affidabilità dipende dalla tracciabilità. In un approccio agentico ogni risposta cita la fonte esatta da cui deriva, così un revisore umano può sempre verificarla. L'AI accelera il lavoro; la decisione e la responsabilità restano delle funzioni di controllo.

I miei dati restano al sicuro?

Con il RAG privato la conoscenza resta nella tua knowledge base isolata, con dati trattati in UE e conformi al GDPR. Le informazioni non escono dal perimetro dell'istituzione.

Come scegliere lo strumento giusto per DORA

La domanda non è "archivio o niente archivio", ma se lo strumento ti aiuta a dimostrare la conformità invece di limitarsi a conservarla. Per DORA conta la capacità di mantenere il registro dei fornitori coerente, comporre rapidamente le segnalazioni, tenere le evidenze sempre pronte e citare la fonte di ogni risposta.

È esattamente il lavoro che la piattaforma SinergIA automatizza con agenti AI che consultano le fonti, verificano le evidenze e generano i report di conformità, con risposte tracciabili fino al documento e alla riga. Il cuore di questo approccio è il RAG privato: conoscenza isolata, dati in UE e conformi al GDPR, presidio continuo invece della rincorsa all'audit.

Approfondisci: regolamento DORA · direttiva NIS2 · normativa antiriciclaggio.

Per il quadro d'insieme sull'AI agentica applicata alla compliance bancaria, vedi Cos'è l'AI agentica.

---

Questa guida ha scopo informativo e non costituisce consulenza legale. Per l'applicazione del regolamento DORA alla tua organizzazione, fai riferimento al testo ufficiale del Regolamento (UE) 2022/2554 e alle indicazioni delle autorità competenti.