1. Spiega lo scenario
Collega la lacuna all'asset, al processo, al fornitore o al controllo interessato. Descrivi cosa può accadere, chi è coinvolto e quale evidenza manca.
- Fatto osservato e data
- Asset, servizio o processo interessato
- Controllo ed evidenza attesi
2. Valuta probabilità, impatto ed esposizione
Usa la valutazione suggerita come base e rivedila con il contesto reale. Il punteggio aiuta a stabilire la priorità, ma non sostituisce la discussione sulle conseguenze.
- Probabilità: cosa rende possibile lo scenario
- Impatto: cosa si perde se accade
- Esposizione: quale parte del business è coinvolta
3. Scegli il trattamento e il responsabile
Decidi se il rischio viene mitigato, accettato o trasferito. Specifica misura ed evidenza attesa oppure conserva approvazione e condizioni della decisione.
- Responsabile chiaro e, se serve, reviewer o approvatore
- Date di inizio, scadenza e revisione
- Criterio di completamento verificabile
4. Trasforma il trattamento in lavoro
Crea una task solo se non esiste già una task aperta per la stessa lacuna. Mantieni contesto del controllo, passi, evidenza attesa e collegamenti.
- Evita task duplicate
- Mantieni il collegamento task-lacuna-controllo
- Usa la data di revisione per il prossimo controllo
5. Chiudi con evidenza e reaudit
Completare una task non rende automaticamente conforme il controllo. Rivedi il cambiamento, aggiorna il rischio residuo e decidi con una revisione o un reaudit.
- L'evidenza dimostra il cambiamento
- Il rischio residuo può richiedere accettazione
- La decisione finale resta umana