L’IT governance, o governo dei sistemi informativi, è un ambito della governance d’impresa. L’espressione ICT governance ne esplicita anche la componente delle comunicazioni. Per applicarla occorre distinguere le decisioni riservate al vertice da quelle delegate, stabilire chi ne segue l’attuazione e quali informazioni permettono di controllarne gli esiti.
IT governance: cos’è e a cosa serve
L’IT governance collega investimenti, servizi e rischi tecnologici alle priorità dell’impresa. Serve a valutare le proposte prima dell’approvazione, assegnare le responsabilità e verificare se i risultati giustificano risorse e rischi assunti.
Cinque risultati da perseguire con l’IT governance
Continuità dell’attività
Responsabilità finanziaria
Conformità normativa
Gestione del rischio
Allineamento tra obiettivi IT e obiettivi aziendali
Un’interruzione può causare perdite operative, economiche e reputazionali. L’assenza di responsabilità definite può aggravare il danno, ritardando decisioni e interventi. Per questo occorre stabilire chi approva le scelte, quali condizioni richiedono il coinvolgimento del vertice e chi riferisce sull’attuazione.
IT governance e IT management: differenze e responsabilità
Mentre l’IT governance valuta le esigenze dell’impresa, definisce l’indirizzo e sorveglia i risultati, l’IT management pianifica e realizza le attività necessarie: progetti, servizi, infrastrutture, supporto e gestione dei fornitori.
La distinzione riguarda le responsabilità, non soltanto i titoli professionali. L’organo di governo mantiene l’indirizzo e la supervisione; il management esecutivo opera entro il mandato ricevuto. Il CIO contribuisce alla strategia tecnologica, propone investimenti e coordina l’attuazione secondo le deleghe assegnate. I responsabili operativi gestiscono sistemi e servizi.
COBIT 2019 distingue gli obiettivi di governance da quelli di management. Anche nell’organizzazione aziendale questa separazione deve essere esplicita: per ogni decisione vanno indicati chi propone, chi approva, chi attua e chi verifica.
Framework e standard di IT governance
Framework e standard aiutano a strutturare decisioni, processi e controlli. I riferimenti seguenti hanno scopi differenti: alcuni riguardano il governo dell’IT, altri la gestione dei servizi o della sicurezza. La scelta dipende dalle responsabilità e dai processi da presidiare.
| Riferimento | Che cos’è | A chi si rivolge |
|---|---|---|
| COBIT 2019 | Framework di ISACA con 40 obiettivi di governance e management dell’informazione e della tecnologia. | Organi di governo, management e funzioni di controllo. |
| ISO/IEC 38500:2024 | Standard che fornisce principi per il governo dell’uso dell’IT nell’organizzazione. | Membri degli organi di governo e figure che li supportano. |
| ITIL | Framework per la gestione di prodotti e servizi digitali. È in corso l’introduzione graduale di Version 5; ITIL 4 rimane disponibile durante la transizione. | Responsabili e team coinvolti nella gestione di prodotti e servizi digitali. |
| ISO/IEC 27001:2022 | Standard che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. | Direzione e ruoli coinvolti nel sistema di gestione della sicurezza delle informazioni. |
Questi riferimenti possono essere coordinati in base alle esigenze dell’impresa. ITIL e ISO/IEC 27001 approfondiscono ambiti specifici e non sostituiscono la definizione complessiva di autorità, deleghe e supervisione sull’IT.
Come impostare l’IT governance in azienda
Per impostare l’IT governance partiamo dalle decisioni che l’impresa deve prendere e dai controlli necessari per seguirne gli effetti.
Riesaminare il sistema. Utilizzare incidenti, scostamenti e risultati dei progetti per aggiornare deleghe, priorità e controlli. Framework e standard supportano questo lavoro in funzione delle esigenze emerse.
Definire il perimetro. Individuare sistemi, servizi e investimenti rilevanti per gli obiettivi aziendali, considerando anche le dipendenze dai fornitori.
Stabilire deleghe e approvazioni. Documentare quali decisioni restano al vertice e quali vengono delegate. I criteri possono riguardare importo, criticità del servizio, rischi e impatto sui dati.
Assegnare le responsabilità. Per ogni decisione indicare chi propone, chi approva, chi attua e chi verifica. Una matrice RACI può rendere esplicita questa distribuzione.
Definire risultati e controlli. Collegare ogni investimento a benefici attesi e indicatori: costi, avanzamento, disponibilità dei servizi e criticità aperte. Stabilire frequenza dei report e condizioni che richiedono un intervento del vertice.
Un esempio: approvare un nuovo CRM
In un caso ipotetico, la direzione commerciale propone un nuovo CRM per rendere più tracciabile la gestione delle opportunità. Il responsabile commerciale definisce il risultato atteso; l’IT valuta integrazioni, continuità e dipendenze dal fornitore; la funzione finanziaria verifica costi complessivi e sostenibilità. Le funzioni competenti esaminano sicurezza e protezione dei dati.
La proposta viene approvata dal soggetto autorizzato secondo le deleghe aziendali. Se supera i limiti di spesa o rischio previsti, arriva al vertice. La decisione documenta motivazioni, condizioni e responsabilità.
Il responsabile del progetto coordina l’attuazione. Il vertice riceve, con la periodicità concordata, un report su spesa, avanzamento, rischi aperti e benefici ottenuti. Scostamenti rilevanti richiedono una nuova decisione.
Strumenti, software e adozioni fuori processo
Un inventario aggiornato rende visibili sistemi e fornitori; un registro raccoglie i rischi; i flussi di approvazione documentano le decisioni; le dashboard mostrano risultati e scostamenti. La scelta del software deve seguire le responsabilità e i processi da supportare.
Le regole devono coprire anche lo shadow IT, cioè gli strumenti adottati dai reparti fuori dai processi di approvazione previsti, e le applicazioni di intelligenza artificiale. Occorre stabilire quali utilizzi siano consentiti, quali dati possano essere inseriti e chi verifichi fornitori e condizioni d’uso. L’AI governance coordina questi aspetti con criteri specifici sui sistemi, sui rischi e sulla supervisione umana.
Responsabilità del vertice: DORA e NIS 2
Gli obblighi sulla governance del rischio tecnologico dipendono dal settore e dall’ambito di applicazione delle norme. DORA e NIS 2 prevedono responsabilità specifiche per i soggetti interessati.
DORA. Per le entità finanziarie comprese nel suo ambito, l’articolo 5 del Regolamento (UE) 2022/2554 attribuisce all’organo di gestione compiti di definizione, approvazione e vigilanza sul quadro di gestione dei rischi informatici, oltre alla responsabilità finale per la loro gestione.
NIS 2 in Italia. L’articolo 23 del D.Lgs. 138/2024 riguarda gli organi di amministrazione e direttivi dei soggetti essenziali e importanti. Prevede compiti di approvazione e supervisione, responsabilità per le violazioni e obblighi formativi in materia di sicurezza informatica.
Per questi soggetti, le deleghe operative devono accompagnarsi ai compiti di supervisione previsti. Più in generale, integrare il rischio tecnologico nel risk management aziendale richiede responsabilità definite, informazioni periodiche e criteri per portare le criticità al livello decisionale competente.
L’angolo Bliss: delegare la tecnologia, mantenere la supervisione
Per noi di Bliss, governare la tecnologia significa rendere leggibili le decisioni anche dopo l’approvazione del budget. Il vertice deve conoscere il risultato atteso, il rischio assunto e le condizioni che richiedono il suo intervento.
Le deleghe permettono ai responsabili di operare. La supervisione verifica che le scelte rimangano coerenti con gli obiettivi.
Chi riceve il mandato
Riferisce sui risultati
Chi lo assegna
Dispone delle informazioni necessarie per confermarlo o modificarlo
Il punto di vista di Bliss Agency
Richiedi un confronto
Responsabilità chiare, decisioni verificabili
Le decisioni tecnologiche possono incidere sulla continuità del servizio, sull’esperienza dei clienti e sulla reputazione. Nel perimetro del brand, definiamo responsabilità, criteri di approvazione e controlli che aiutano a mantenere coerenti le scelte dell’impresa.
Domande frequenti
Che cos’è l’IT governance?
È il sistema con cui un’organizzazione indirizza e controlla l’uso della tecnologia. Definisce responsabilità, deleghe e verifiche per collegare investimenti, servizi e rischi tecnologici agli obiettivi aziendali.
Che differenza c’è tra IT governance e IT management?
La governance definisce l’indirizzo e sorveglia i risultati. Il management pianifica e realizza progetti e attività operative entro il mandato ricevuto. La distinzione riguarda le responsabilità assegnate e non coincide automaticamente con quella tra CIO e IT manager.
Che differenza c’è tra IT governance e ICT governance?
Nell’uso aziendale le espressioni indicano ambiti largamente sovrapposti. IT si riferisce alla tecnologia dell’informazione; ICT esplicita anche le tecnologie della comunicazione. In entrambi i casi occorre definire decisioni, responsabilità e controlli sull’uso della tecnologia.
Chi è responsabile dell’IT governance?
L’organo di governo mantiene l’indirizzo e la supervisione sull’uso dell’IT. Il management esecutivo e il CIO operano secondo le responsabilità e le deleghe ricevute, supportando le decisioni e riferendo sull’attuazione. L’assetto concreto dipende dall’organizzazione e dagli obblighi applicabili.
Quali sono i principali framework di IT governance?
COBIT 2019 riguarda governance e management dell’informazione e della tecnologia. ISO/IEC 38500:2024 fornisce principi rivolti agli organi di governo. ITIL supporta la gestione di prodotti e servizi digitali; ISO/IEC 27001:2022 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Hanno scopi diversi e possono essere coordinati.
L’IT governance è obbligatoria?
Non esiste un obbligo generale, identico per ogni impresa, di adottare un programma con questo nome. Norme specifiche prevedono però responsabilità sul governo dei rischi tecnologici: DORA per le entità finanziarie comprese nel suo ambito e il D.Lgs. 138/2024 per i soggetti essenziali e importanti.
Che differenza c’è tra IT governance e corporate governance?
È una parte della corporate governance: applica alla tecnologia gli stessi principi con cui il vertice dirige e controlla l’impresa, cioè responsabilità definite, soglie di decisione e controlli. Si distingue per l’oggetto, che sono investimenti, sistemi e rischi tecnologici.
Che differenza c’è tra IT governance e data governance?
L’IT governance riguarda le decisioni sull’uso della tecnologia. La data governance stabilisce responsabilità, definizioni e controlli sui dati, anche quando attraversano processi e sistemi differenti. I due ambiti si coordinano su accessi, protezione, disponibilità e utilizzo delle informazioni.
Fonti e riferimenti
- Wikipedia, IT governance
- IBM, Che cos’è la governance IT?
- Sezin Can, IT governance vs. IT management: chi fa cosa? Guida strategica per manager, Bologna Business School, 15 gennaio 2026
- Mark Thomas, A New COBIT Is in Town and I Really Like How It Looks, ISACA, 10 dicembre 2018
- ISO, ISO/IEC 38500:2024 Information technology - Governance of IT for the organization
- Cybersecurity360, Il regolamento DORA si applica da oggi: si apre la partita applicativa, ecco come, 17 gennaio 2025
- Agenda Digitale, NIS 2: guida pratica per la governance e le responsabilità degli amministratori, 2 dicembre 2025