Di Emanuela Gotta – Head of Marketing, Presales & Communication | Privacy Manager presso Compet-e
“Caro amico ti scrivo, così mi distraggo un po’…”
Ogni anno ci convinciamo che il passaggio dal 31 dicembre al 1° gennaio rappresenti una specie di confine, una linea invisibile oltre la quale tutto possa ricominciare.
Facciamo bilanci, formuliamo buoni propositi, promettiamo a noi stessi che il prossimo anno saremo più organizzati, più attenti, più capaci di affrontare ciò che ci aspetta. Poi, naturalmente, arriva gennaio e scopriamo che molti dei problemi che avevamo lasciato a dicembre sono ancora lì, ad aspettarci pazientemente.
È forse per questo che L’anno che verrà di Lucio Dalla, pubblicata nel 1979, continua a essere una delle canzoni più belle e intelligenti dedicate al futuro.
Una canzone che, a prima vista, sembrerebbe avere poco a che fare con il rock e ancora meno con la governance aziendale.
Ma siamo davvero sicuri che Lucio Dalla non fosse rock? Perché, a pensarci bene, il rock non si misura soltanto in decibel, chitarre distorte e assoli interminabili. Il rock è anche un modo di guardare il mondo, di mettere in discussione le certezze, di raccontare le contraddizioni della società con intelligenza, ironia e una buona dose di anticonformismo.
E in questo, Dalla era straordinariamente rock: sapeva affrontare temi profondi e talvolta scomodi senza rinunciare alla poesia, riuscendo a farci sorridere proprio mentre ci costringeva a riflettere. In fondo, la ribellione più interessante non è sempre quella che fa più rumore, quella sottovoce fa decisamente più effetto.
In questa canzone, Dalla scrive a un amico lontano e gli racconta un mondo pieno di contraddizioni, nel quale il desiderio di cambiamento convive con la paura, le difficoltà quotidiane e la speranza che il futuro possa finalmente portare qualcosa di buono.
Riascoltandola alla fine del 2026, mi è venuto da pensare che potremmo scrivere una lettera molto simile anche noi che ci occupiamo di governance, rischio e compliance.
Perché, a pensarci bene, anche nel nostro mondo ogni anno arriva accompagnato dalla promessa che qualcosa cambierà.
Caro amico, ti scrivo…
Caro amico, ti scrivo dalla fine del 2026.
È stato un anno impegnativo per chi si occupa di compliance.
Abbiamo parlato di cybersecurity, intelligenza artificiale, resilienza operativa, responsabilità degli organi di amministrazione, gestione dei fornitori e sicurezza dei prodotti digitali.
Abbiamo imparato nuove sigle, aggiornato procedure, rivisto valutazioni dei rischi e cercato di capire come far convivere obblighi normativi che sembrano moltiplicarsi a ogni stagione.
La NIS2 ha continuato a richiamare le organizzazioni a una gestione più strutturata della sicurezza informatica. DORA ha consolidato l’attenzione sulla resilienza operativa digitale nel settore finanziario. L’AI Act ha portato la governance dell’intelligenza artificiale nelle discussioni aziendali, mentre il Cyber Resilience Act ha cominciato a rendere sempre più concreta la responsabilità di chi sviluppa e commercializza prodotti con elementi digitali.
Nel frattempo, il GDPR, il Modello 231 e gli standard ISO hanno continuato a ricordarci che le responsabilità già esistenti non scompaiono semplicemente perché ne arrivano di nuove.
Insomma, caro amico, abbiamo avuto parecchio da fare.
Ma se dovessi raccontarti che cosa abbiamo davvero imparato nel 2026, non comincerei dall’elenco delle normative: ti parlerei piuttosto di una consapevolezza che, lentamente, sta diventando sempre più difficile ignorare: le organizzazioni sono una sola, anche quando le normative continuano a osservarle da prospettive differenti.
Lo stesso processo aziendale può coinvolgere dati personali, sistemi informatici critici, fornitori esterni e rischi rilevanti ai fini della responsabilità amministrativa degli enti. Eppure, troppo spesso, continuiamo a descriverlo e valutarlo attraverso strumenti separati, come se ogni normativa riguardasse un’azienda diversa.
Forse è proprio questa una delle contraddizioni più interessanti del nostro tempo: abbiamo imparato a gestire una quantità impressionante di informazioni, ma non sempre siamo diventati altrettanto bravi a collegarle.
L’anno che verrà porterà qualche trasformazione
Lucio Dalla immaginava un futuro nel quale sarebbero accadute cose straordinarie, alcune meravigliose, altre decisamente improbabili. Era un modo poetico e ironico per raccontare quella fiducia quasi infantile che riponiamo nel domani, come se il semplice trascorrere del tempo fosse sufficiente a risolvere i problemi di oggi.
Anche nella compliance, a volte, ragioniamo così.
Aspettiamo la nuova normativa, il nuovo framework, il nuovo software, la prossima certificazione.
“Ma la televisione ha detto che il nuovo anno porterà una trasformazione e tutti quanti stiamo già aspettando!”
Ci convinciamo che sarà finalmente quello lo strumento capace di mettere ordine in un’organizzazione complessa, di eliminare le inefficienze e di risolvere difficoltà che ci accompagnano da anni.
Eppure, se osserviamo con attenzione ciò che continua a non funzionare, scopriamo che molti problemi sono sorprendentemente familiari.
Le informazioni vengono duplicate, i controlli sono distribuiti tra uffici differenti, le scadenze rimangono affidate alla memoria delle persone e i documenti si accumulano in cartelle che, con il passare del tempo, diventano sempre più difficili da interpretare.
A volte abbiamo un registro per la privacy, uno per i rischi informatici, un altro per i fornitori e magari qualche foglio Excel per tenere traccia delle azioni correttive. Ognuno svolge il proprio lavoro, spesso con grande impegno, ma ricostruire una visione complessiva dell’organizzazione richiede uno sforzo enorme.
Il 2027 porterà certamente nuove sfide, ma sarebbe ingenuo pensare che basti cambiare calendario per superare queste difficoltà.
La vera trasformazione richiederà di rivedere il modo in cui organizziamo le informazioni, distribuiamo le responsabilità e utilizziamo i risultati delle nostre valutazioni per prendere decisioni.
In fondo, la governance ha proprio questo compito: aiutare le organizzazioni a capire dove stanno andando, prima ancora di stabilire quali documenti debbano compilare lungo il percorso.
Il futuro ha una memoria
C’è un aspetto della canzone di Dalla che mi ha sempre affascinato: il futuro viene raccontato attraverso una lettera che nasce dal presente. Le speranze per ciò che verrà sono inseparabili dall’esperienza di ciò che stiamo vivendo.
Anche le organizzazioni dovrebbero imparare a guardare al futuro in questo modo.
Ogni audit, ogni incidente informatico, ogni non conformità e ogni valutazione dei rischi dovrebbe lasciare qualcosa di più di un documento archiviato. Dovrebbe contribuire a costruire una memoria organizzativa, capace di orientare le decisioni successive e di impedire che gli stessi errori si ripetano.
Pensiamo, per esempio, a un fornitore che viene valutato separatamente per la privacy, la cybersecurity e la continuità operativa. Le tre verifiche possono essere corrette e complete, ma se le informazioni raccolte non dialogano tra loro rischiamo di perdere proprio ciò che conta di più: la comprensione del ruolo che quel fornitore svolge nell’organizzazione e delle conseguenze che un suo eventuale problema potrebbe produrre.
Lo stesso accade quando una vulnerabilità viene individuata, una misura correttiva viene pianificata e poi, qualche mese dopo, nessuno è più in grado di ricostruire con precisione chi avrebbe dovuto intervenire e con quali tempi.
Una governance matura dovrebbe conservare la storia delle decisioni, rendere visibili le responsabilità e permettere di comprendere come i rischi cambiano nel tempo.
Perché il futuro si costruisce anche ricordando ciò che abbiamo imparato dal passato.
E qualcosa ancora qui non va
“Da quando sei partito c’è una grossa novità: l’anno vecchio è finito ormai, ma qualcosa ancora qui non va.”
Se dovessi indicare un’altra lezione importante del 2026, sceglierei questa: la tecnologia può aiutarci moltissimo, ma continua ad avere bisogno di persone capaci di comprenderla e governarla.
L’intelligenza artificiale ne è probabilmente l’esempio più evidente.
Negli ultimi anni abbiamo visto strumenti capaci di generare testi, analizzare documenti, elaborare informazioni e supportare decisioni con una rapidità che fino a poco tempo fa sembrava fantascienza. È un’evoluzione straordinaria, che apre possibilità importanti anche per la governance e il risk management.
Ma insieme alle opportunità arrivano nuove domande.
Chi conosce davvero tutti gli strumenti AI utilizzati all’interno dell’organizzazione? Chi ne valuta i rischi? Chi verifica l’affidabilità dei risultati? E soprattutto, chi mantiene la responsabilità delle decisioni prese con il loro supporto?
Domande che diventeranno sempre più importanti nel 2027, mentre proseguirà l’evoluzione del quadro normativo europeo sull’intelligenza artificiale.
Eppure, ancora una volta, il problema ci riporta a qualcosa di molto antico e profondamente umano: la responsabilità.
Possiamo automatizzare molte attività, collegare sistemi, raccogliere dati e produrre report sempre più sofisticati. Ma nessuna tecnologia potrà sostituire completamente la capacità delle persone di interpretare il contesto, comprendere le conseguenze delle proprie scelte e assumersene la responsabilità.
La compliance del futuro avrà certamente bisogno di strumenti migliori. Avrà però bisogno, soprattutto, di organizzazioni disposte a utilizzarli con consapevolezza.
L’anno che sta arrivando
Caro amico, il 2027 è ormai vicino.
Ci aspettano nuove scadenze, tra cui l’applicazione generale del Cyber Resilience Act prevista per dicembre, ulteriori sviluppi nell’attuazione dell’AI Act e un’attenzione crescente alla cybersecurity, alla resilienza operativa e alla gestione delle terze parti.
Probabilmente continueremo a discutere di responsabilità, controlli, evidenze, valutazioni del rischio e monitoraggio. Arriveranno nuove interpretazioni, nuove tecnologie e forse anche nuove sigle da imparare.
Ma mi piacerebbe che il prossimo anno ci portasse soprattutto un cambiamento nel modo di pensare la compliance.
Mi piacerebbe vedere meno informazioni duplicate e più conoscenza condivisa, meno controlli eseguiti soltanto in prossimità di un audit e più attenzione ai processi quotidiani. Vorrei che le valutazioni dei rischi fossero utilizzate più spesso per orientare le decisioni e che la governance diventasse un linguaggio comune tra chi si occupa di privacy, cybersecurity, qualità, organizzazione e strategia.
Non è facile, lo so.
Dalla, nella sua canzone, ci lascia con una riflessione semplice e bellissima:
“L’anno che sta arrivando tra un anno passerà“
È una frase che contiene tutta la fragilità dei nostri buoni propositi: anche il 2027, prima o poi, diventerà un anno da raccontare al passato. E allora ci ritroveremo nuovamente a fare bilanci, a ricordare ciò che ha funzionato e a chiederci quali occasioni avremmo potuto cogliere meglio.
Forse il modo migliore per salutare il 2026 è proprio questo: smettere di aspettarci che il futuro risolva da solo i problemi del presente e cominciare a costruire oggi le condizioni perché qualcosa cambi davvero.
Perché, caro amico, l’anno che verrà sarà certamente diverso.
Sta a noi fare in modo che sia anche migliore.