Governance, Risk & Compliance è un motore multi-framework. Gestisce in parallelo un numero qualsiasi di framework normativi e di standard, tra cui SOX, ISO 27001, DORA, GDPR e PCI-DSS, ciascuno conservato come un insieme di requisiti versionato, in modo che un controllo testato oggi rimanga tracciabile fino al testo esatto del requisito che ha soddisfatto. Al suo centro si trova una libreria di controlli riutilizzabile: un singolo controllo viene definito una volta sola e poi mappato su ogni framework i cui requisiti soddisfa, così che l'evidenza raccolta per un obbligo venga attribuita automaticamente a tutti gli altri che supporta.

Attorno a questo nucleo il modulo copre l'intero ciclo di vita dell'assurance. Un calendario normativo tiene traccia delle scadenze di deposito, dei rinnovi delle certificazioni e dei piani di audit. Le valutazioni basate su questionari guidano il testing periodico e la raccolta di evidenze rispetto agli obiettivi di controllo. La gestione degli audit interni ed esterni registra i rilievi, assegna le azioni correttive e segue ciascun elemento fino alla chiusura. Un registro dei rischi documenta l'esposizione inerente e residua con la pianificazione delle mitigazioni. La gestione delle policy governa l'intero ciclo di vita delle policy con versionamento e tracciamento delle prese in carico, e un archivio delle evidenze collega documenti, screenshot e risultati dei test direttamente ai controlli che comprovano. Le dashboard di compliance evidenziano punteggi di readiness, analisi dei gap e viste di andamento su tutti i framework contemporaneamente.

Il modello concettuale è volutamente semplice, ed è proprio questo a consentirgli di scalare su molti framework senza duplicazioni. Un framework è un corpo esterno di obblighi, come una normativa o uno standard, espresso come un insieme strutturato di requisiti dotati di versioni, così che il modulo sappia sempre quale edizione di una regola era in vigore in un determinato momento. Un controllo è una salvaguardia interna che l'organizzazione mette in atto: una revisione degli accessi, un'approvazione di una modifica, una riconciliazione. La relazione tra i due è di tipo molti a molti. Un requisito è spesso soddisfatto da più controlli, e un controllo ben progettato soddisfa frequentemente requisiti appartenenti a più framework. Questa mappatura è il perno dell'intero dominio, perché trasforma una massa di normative sovrapposte in un insieme gestibile e deduplicato di cose che l'organizzazione effettivamente fa.

Tutto il resto si aggancia a questi due concetti. Le valutazioni verificano se i controlli sono progettati e operano in modo efficace, e i risultati che producono diventano evidenza. Ogni elemento di evidenza è ancorato allo specifico controllo che supporta e riporta una marca temporale, così che un valutatore possa risalire da qualsiasi affermazione di assurance fino all'artefatto di origine. Un rischio rappresenta un'esposizione che l'organizzazione porta con sé, valutata prima e dopo i controlli che la trattano, il che collega il registro dei rischi alla stessa trama di controlli su cui si fonda il testing di compliance. Le policy si affiancano come l'intento documentato dietro ai controlli, versionate e recepite dalle persone che vincolano. Il risultato si legge come un quadro coerente: gli obblighi, le salvaguardie che li soddisfano, la prova che le salvaguardie funzionano e il rischio residuo che permane.

Il lavoro di compliance all'interno del modulo segue un numero ridotto di cicli ripetibili. Nel ciclo di valutazione, un responsabile avvia un questionario rispetto a un insieme di controlli, i rispondenti forniscono le risposte e caricano gli artefatti a supporto, e ogni risposta viene esaminata e poi accettata oppure rinviata per ulteriori evidenze. Le valutazioni completate aggiornano lo stato di efficacia del controllo e alimentano il punteggio di readiness per ogni framework a cui il controllo è mappato.

Il ciclo di audit governa sia le revisioni interne sia gli esami esterni. Un audit viene definito nell'ambito rispetto a framework e controlli, l'attività sul campo registra i rilievi con severità e causa radice, e ogni rilievo genera un'azione correttiva con un responsabile e una data di scadenza tracciata fino alla chiusura. Il ciclo del rischio si svolge in modo continuo: i rischi vengono identificati, valutati per l'esposizione inerente, trattati con controlli di mitigazione, quindi rivalutati per l'esposizione residua, con una revisione periodica che mantiene aggiornato il registro. Il ciclo delle policy accompagna un documento dalla bozza attraverso la revisione e l'approvazione fino alla pubblicazione, poi lo distribuisce per la presa in carico e registra chi ha attestato e chi risulta ancora inadempiente. Il calendario normativo attraversa tutti questi cicli, portando in evidenza gli obblighi in anticipo rispetto alle loro scadenze, così che depositi, rinnovi e test pianificati vengano avviati per tempo anziché scoperti in ritardo.

Il modulo tratta ciascun framework con il rigore che la sua specifica disciplina richiede. Per SOX modella direttamente l'ambiente di controllo del financial reporting: controlli a livello di entità e a livello di processo, control owner e tester tenuti separati per preservare l'indipendenza, risultati del campionamento e del test di efficacia operativa, e valutazione delle carenze che classifica un'eccezione come deficiency, significant deficiency o material weakness in base alla sua probabilità e alla sua entità. Poiché quei controlli presidiano le asserzioni del bilancio, il loro stato confluisce nel più ampio giudizio sul controllo interno che l'organizzazione deve saper difendere.

Per i framework di sicurezza delle informazioni e di resilienza operativa la profondità è altrettanto specifica. ISO 27001 è gestito come un insieme di controlli governato con la logica dello statement of applicability. DORA è modellato attorno al rischio ICT, ai test di resilienza e alla dipendenza da terze parti, riflettendo gli obblighi di resilienza operativa posti sulle entità regolamentate. GDPR e PCI-DSS introducono controlli sulla protezione dei dati e sui dati dei titolari di carta con le loro specifiche aspettative in materia di evidenze. In tutto questo, il modulo impone i controlli che rendono l'assurance credibile: la separazione tra chi predispone e chi verifica, evidenze immutabili con una traccia di audit completa di chi ha testato che cosa e quando, requisiti versionati affinché i risultati storici non vengano mai silenziosamente invalidati dal cambiamento di uno standard, e punteggi di readiness e analisi dei gap calcolati a partire dallo stato reale dei controlli anziché asseriti manualmente. L'effetto è una postura che regge di fronte a un'autorità di vigilanza o a un revisore esterno, perché ogni affermazione si risolve in evidenze datate e attribuibili.

Governance, Risk & Compliance è un livello di assurance sovrapposto alla suite, e conquista questa posizione attraverso l'integrazione diretta anziché la reimmissione manuale dei dati. Si connette ad Accounting & Control per SOX e i controlli finanziari interni, così che le riconciliazioni, le approvazioni e i controlli sulle scritture contabili che operano all'interno del modulo di finanza siano proprio i controlli che questo modulo testa, e le loro evidenze siano attinte dal punto in cui il lavoro è realmente avvenuto. Si integra con Document Management come sede dei documenti di policy e degli artefatti di evidenza, offrendo versionamento delle policy, retention e accesso controllato senza un secondo archivio documentale da governare.

Si integra con Flow Management per ogni approvazione che il modulo genera: l'approvazione di una policy, l'accettazione di un'azione correttiva, l'approvazione del trattamento di un rischio e la revisione di una valutazione si svolgono tutte come workflow governati, con instradamento, escalation e una registrazione durevole di ogni decisione. Poiché la suite condivide un unico modello di identità e di permessi, i control owner, i tester, i risk owner e gli approvatori sono le stesse persone che il resto della piattaforma già conosce, e le regole di segregazione dei compiti da cui il modulo dipende vengono applicate in modo coerente su ogni modulo che toccano.

La suite è AI-native, e gli AI Worker agiscono come partecipanti a pieno titolo nella funzione di compliance anziché come un assistente aggiunto. Un responsabile della compliance può interrogare i dati del modulo in modo conversazionale, chiedendo quali controlli stiano fallendo tra DORA e ISO 27001, quali azioni correttive siano in ritardo, oppure come si sia mosso il rischio residuo in questo trimestre, e ricevere una risposta fondata sullo stato reale dei controlli e delle evidenze. I Worker eseguono azioni in modo diretto: aprono azioni correttive a partire da un rilievo, pianificano una valutazione, aggiornano il punteggio di un rischio o inviano una policy per la presa in carico.

Vigilano in modo continuo su anomalie ed eccezioni, segnalando un controllo la cui evidenza è diventata obsoleta, una campagna di prese in carico che si arena al di sotto della soglia, o una scadenza di deposito che si avvicina senza che la preparazione sia iniziata. Eseguono l'estrazione di documenti e dati, leggendo un rapporto di audit caricato o un'attestazione di un fornitore e proponendo i rilievi, le mappature dei controlli e i collegamenti alle evidenze che ne derivano, il che trasforma artefatti non strutturati in record strutturati e testabili. Come supporto decisionale, mettono in evidenza l'esposizione residua e la copertura dei controlli dietro una scelta prima che venga compiuta. E un AI Worker partecipa come nodo di approvazione o revisione nei workflow del modulo, filtrando una presentazione di evidenza o un trattamento del rischio proposto rispetto alle policy e trasmettendolo con una raccomandazione, così che l'assurance di routine continui a scorrere mentre il giudizio autentico raggiunge la persona giusta al momento giusto.