Se chiedete a un IT manager di una PMI manifatturiera quante ore ha dedicato all'ultimo audit di sicurezza, quasi sempre risponde "una settimana, forse dieci giorni". Se poi provate a ricostruire con lui l'intera timeline — le mail con il compliance manager, i file recuperati dalle cartelle condivise, gli screenshot dei sistemi, le riunioni con l'auditor, i chiarimenti post-audit — il numero raddoppia. E se dentro l'anno gli audit sono più di uno (ISO 27001, cliente A, cliente B, NIS2, CRA da inizio 2027), il totale che emerge è quello che i report di settore chiamano ormai "una seconda occupazione a tempo pieno". Non è un'esagerazione narrativa: sono i numeri del 2024–2026 pubblicati da chi misura il fenomeno da anni.
I numeri, prima delle opinioni
Le cifre che circolano nei report internazionali di compliance sono coerenti tra loro:
- Nel benchmark IT Compliance 2024 di Hyperproof, l'81% dei professionisti compliance ha dichiarato di essere sovraccarico di attività amministrative e di spendere in media il 30% o più del proprio tempo lavorativo in processi manuali. La revisione di metà 2026 di Hyperproof conferma il dato: 76% dei GRC professional spende ancora il 30% o più delle ore su attività amministrative ripetitive, nonostante la diffusione di framework unificati e strumenti di monitoraggio continuo.
- Secondo l'Audit Fatigue Report di Telos, un professionista IT di sicurezza gestisce in media oltre 17 richieste di evidenze per trimestre, spendendo circa tre giorni lavorativi per ognuna — un totale di circa 58 giorni lavorativi annui dedicati solo a rispondere alle richieste di evidenze, con un costo medio stimato in 3,5 milioni di dollari annui in attività di compliance per le organizzazioni maggiori.
- Il 2026 Security Leaders Peer Report di Panaseer riporta che il 44% dei team di cybersecurity risponde a richieste di audit interni ogni mese, che sale al 53% nelle grandi aziende; il 49% dei responsabili enterprise dichiara che anche gli audit esterni sono ormai una routine mensile. In media, otto giorni lavorativi vengono spesi per prepararsi a ogni singola richiesta di audit.
- Lo studio Swimlane sul GRC ha rilevato che il 92% delle organizzazioni usa tre o più strumenti separati per raccogliere le evidenze e che solo il 39% del processo di evidenza è automatizzato; oltre metà dei team spende più di cinque ore alla settimana in attività manuali di compliance.
Il quadro è chiaro: la preparazione di un audit non è un progetto di due settimane, è una funzione operativa continuativa che occupa una porzione strutturale del tempo di chi gestisce IT e sicurezza. E la direzione, per effetto di NIS2 e CRA, è di crescita — non di riduzione.
Perché costa così tanto (e non è la parte tecnica)
La percezione comune è che l'audit sia costoso per la parte tecnica: implementare controlli, chiudere gap, aggiornare configurazioni. In realtà, per una PMI che i controlli li ha già in essere, il costo reale è distribuito su quattro attività che non compaiono nei preventivi:
- Ricerca delle evidenze. Un auditor chiede "mostrami la registrazione degli accessi privilegiati degli ultimi sei mesi". Se la risposta richiede di aprire tre sistemi diversi, esportare log, filtrarli e formattarli, quella singola richiesta vale mezza giornata di un sistemista senior. Moltiplicata per venti richieste analoghe, è la settimana di lavoro.
- Ricostruzione della storia di ogni controllo. Non basta produrre il documento della policy: bisogna dimostrare quando è stata approvata, chi l'ha revisionata, come è applicata in pratica. Se la governance vive in email e cartelle condivise, ricostruire questa storia richiede più tempo di quanto ne sia servito a scriverla.
- Duplicazione tra framework. La stessa evidenza (per esempio la policy di gestione degli accessi) viene richiesta da ISO 27001, dal questionario NIS2 del cliente, dall'auditor interno e — a inizio 2027 — dalla documentazione CRA. Senza una mappatura tra framework, la stessa evidenza viene raccolta e riformattata più volte. Ricerche di settore stimano che fino al 67% delle attività di evidence collection tocchino informazioni analoghe richieste da framework diversi.
- Coordinamento con l'auditor. Ogni richiesta di chiarimento arriva via mail, viene inoltrata a chi possiede l'informazione, torna indietro, viene rispedita. Un ciclo che, moltiplicato per decine di richieste, satura le agende di persone che dovrebbero fare altro.
Il totale di queste quattro voci è il vero costo dell'audit — ed è il costo che non viene mai stimato prima di iniziare.
Cosa cambia il conto: due leve concrete
Chi ha misurato l'impatto dell'automazione sulla preparazione degli audit riporta numeri consistenti. Lo studio 2024 della Cloud Security Alliance sul Continuous Compliance ha rilevato che le organizzazioni che adottano la raccolta continua e automatizzata delle evidenze riducono del 78% il tempo necessario alla preparazione degli audit, migliorando anche la qualità e la coerenza delle stesse. Il State of Cybersecurity 2025 di ISACA rileva che l'adozione di un framework unificato di controlli (un'evidenza mappata a più framework contemporaneamente) riduce il tempo di preparazione degli audit del 62% rispetto ai team che gestiscono ciascun framework in modo separato.
Le due leve, in pratica, sono queste:
- Non "collezionare evidenze all'audit", ma tenerle vive. Se ogni policy, ogni configurazione, ogni log rilevante è già indicizzato, datato, riconducibile al controllo che copre — la preparazione non è più un'attività, è una query.
- Mappare una volta i controlli tra i framework. Se ISO 27001 A.5.15, NIS2 MSB.7 e CRA Allegato I chiedono la stessa evidenza di gestione accessi, quella evidenza va prodotta una volta e collegata ai tre framework — non riorganizzata tre volte.
Su questo terreno, la piattaforma Sherlock Guard tiene insieme:
- Libreria documenti (
/library) — policy e procedure indicizzate per categoria, titolare, retention, versione, con storicizzazione delle modifiche. - Conformità e Conformità guidata (
/compliance,/compliance-guided) — mappa dei framework in adozione (13 framework supportati, dai principali standard di sicurezza alle direttive europee), con percorso passo-passo che collega ogni controllo all'evidenza corrispondente. - Crosswalk (
/crosswalk) — mappa un controllo a più framework contemporaneamente, così che una singola evidenza copra ISO 27001, NIS2 e CRA senza duplicazioni. - Audit readiness (
/audit-readiness,/audit-portal/[token]) — un'area dedicata dove l'auditor lavora con un token di accesso, senza scambio via mail di allegati, con visibilità solo su ciò che gli serve. - Reportistica (
/reporting) — export in CSV, JSON e PDF con lineage dei dati (ogni numero è riconducibile alla sua fonte) e report immutabili al momento della finalizzazione, requisito base di ogni auditor. - Log audit (
/audit) — traccia automatica di chi ha fatto cosa sulla piattaforma, che spesso è essa stessa un'evidenza richiesta.
Glossario
- Evidenza (audit evidence): qualsiasi documento, log, screenshot, configurazione o intervista che dimostra all'auditor che un controllo esiste ed è applicato. Non basta averlo: bisogna poterlo mostrare in modo tracciabile.
- Crosswalk (o mapping): la tabella che collega un singolo controllo di sicurezza a più framework normativi (esempio: la gestione accessi appare in ISO 27001, NIS2, GDPR, CRA con nomi diversi).
- Audit trail: la registrazione automatica di ogni azione compiuta su un sistema, con chi l'ha fatta e quando. Serve sia come evidenza sia come strumento investigativo.
- Continuous compliance: modello in cui le evidenze vengono raccolte automaticamente in modo continuo dai sistemi sorgente, invece che in sprint periodici prima di un audit.
- Statement of Applicability (SoA): nel contesto ISO 27001, il documento che dichiara quali controlli dell'Annex A si applicano all'organizzazione e perché.
- Lineage del dato: la catena documentata che spiega da dove viene un numero riportato in un report — quale sistema lo ha prodotto, quale trasformazione ha subito.
Approccio manuale vs. approccio strumentato
| Attività | Approccio manuale (Excel + cartelle) | Approccio strumentato (piattaforma) |
|---|---|---|
| Raccolta policy | Ricerca nelle cartelle condivise a ogni richiesta | Libreria indicizzata, ricerca per parola chiave o controllo |
| Storico versioni | Ricostruito da file di backup e mail | Storicizzato automaticamente con firma temporale |
| Copertura framework | Foglio Excel con checklist manuali | Mappa dei framework in tempo reale, con % di copertura |
| Evidenza multi-framework | Stesso documento raccolto e riformattato più volte | Un controllo mappato a più framework via crosswalk |
| Accesso auditor | Allegati inviati via mail, scambio di link a Drive | Portale con token dedicato, scadenza, revocabile |
| Report finale | Assemblato a mano, screenshot copiati | Export automatico con lineage e versione immutabile |
| Tempo tipico stimato per singola audit request | 8 giorni per singola richiesta (Panaseer 2026) | Riduzione fino al 62–78% (ISACA 2025, CSA 2024) |
Checklist: come misurate se la vostra preparazione audit è fuori controllo
- Sapete dire, entro dieci minuti, quante ore-persona avete speso sull'ultimo audit — sommando IT, compliance, colleghi coinvolti per singole richieste?
- Se l'auditor vi chiede la stessa policy che avete già fornito sei mesi fa a un altro auditor, siete sicuri di poter fornire la stessa versione?
- Ogni evidenza che avete inviato all'ultimo audit è tracciabile: sistema sorgente, data di estrazione, chi l'ha prodotta?
- Se un cliente vi chiedesse oggi "mostratemi la vostra copertura NIS2 per i controlli di gestione accessi", la risposta arriva in un giorno o richiede una settimana di ricostruzione?
- L'auditor esterno vi ha mai fatto notare contraddizioni tra due documenti che descrivono lo stesso processo? È il segnale che il processo di gestione documentale non regge, non che il controllo non esiste.
Se rispondete "non lo so" a più di una di queste, il costo reale della vostra preparazione audit è probabilmente il doppio di quello che stimate — e cresce ogni volta che si aggiunge un framework alla lista.
Il nodo per un IT manager di PMI
Il problema non è l'audit del prossimo mese. È che il modello "prepariamo tutto la settimana prima" non regge più tre-quattro audit all'anno — che è il carico verso cui si stanno muovendo tutte le PMI fornitrici di aziende NIS2 obbligate. Se la vostra IT function passa dal 10 al 30% del tempo su attività di compliance e nessuno l'ha pianificato, quel tempo viene tolto ai progetti, alla manutenzione e all'incident response. Sherlock Guard o qualsiasi altro strumento: il criterio di valutazione è se riesce a spostarvi dal modello "sprint di preparazione prima di ogni audit" al modello "evidenze sempre pronte, mappate una volta e usate ovunque servano". Se dopo la valutazione il numero di ore-persona per audit non scende in modo misurabile, lo strumento non sta risolvendo il problema che avevate.
FAQ
Quante ore dovrebbe realmente costare un audit ISO 27001 di sorveglianza in una PMI di 50 persone? Non esiste un valore standard, ma i benchmark internazionali (Panaseer, Telos) indicano intorno agli 8 giorni lavorativi per singolo audit request in modello manuale, e riduzioni del 60–78% con evidenze automatizzate e mappate cross-framework. Il primo passo è misurarlo in casa vostra, prima di confrontarlo con un benchmark.
Un tool di compliance sostituisce il compliance manager? No. Sostituisce il tempo che il compliance manager (o l'IT manager, se il ruolo è unito) spende in attività meccaniche di ricerca ed export. Il giudizio sul se un controllo è adeguato, se una policy va aggiornata, se un rischio va accettato, resta umano.
Se ho un solo audit all'anno, ha senso automatizzare la preparazione? La convenienza puramente economica scala col numero di audit e framework. Ma anche con un solo audit ISO 27001 annuale, un fornitore NIS2 nel 2026 sta ricevendo in parallelo questionari cliente che pescano dalle stesse evidenze. La domanda giusta non è "quanti audit ho", ma "quante volte all'anno qualcuno mi chiede la stessa evidenza".
Cosa vuol dire "continuous compliance" in pratica? Vuol dire che i log, le configurazioni e i documenti che serviranno all'auditor vengono raccolti in tempo reale dai sistemi sorgente e associati automaticamente al controllo di riferimento — invece di essere estratti in blocco nelle due settimane prima dell'audit.
Chi paga di più questo lavoro non misurato: l'IT manager o l'azienda? Entrambi, ma in modo diverso. L'IT manager paga con lavoro serale e progetti in ritardo; l'azienda paga con time-to-market più lento, perdita di gare per questionari consegnati tardi e — nel peggior caso — con non-conformità in audit dovute a evidenze irrecuperabili in tempo utile.
Fonti:
- Hyperproof, IT Compliance Benchmark Report 2024 — link
- Hyperproof, Mid-2026 IT Risk and Compliance Review — riferimento riportato nella rassegna Ampcus Cyber, "Why Evidence Management Is the Biggest Bottleneck in Modern Compliance" — link
- Panaseer, 2026 Security Leaders Peer Report — Audit Fatigue — link
- Telos, Audit Fatigue Report — sintesi in Ampcus Cyber (vedi link sopra)
- Swimlane, GRC Chaos Report — sintesi in Ampcus Cyber (vedi link sopra)
- Cloud Security Alliance, Continuous Compliance Study 2024 — riferimento riportato in Kertos, "The True Cost of Audit Fatigue" — link
- ISACA, State of Cybersecurity 2025 — riferimento riportato in Kertos (vedi link sopra)
- Secureframe, "Overcoming Audit Fatigue: Causes & Mitigation Strategies" — link
- Hyperproof, "How to Reduce Audit Fatigue and Compliance Costs" — link
- Manuale utente Sherlock Guard, Reterea s.r.l., versione 2026-09-06 — riferimento interno per le sezioni Audit readiness (
/audit-readiness), Libreria documenti (/library), Conformità e Conformità guidata (/compliance,/compliance-guided), Crosswalk (/crosswalk), Reportistica (/reporting), Log audit (/audit)