La segregation of duties, o in italiano separazione o segregazione dei compiti, è il principio secondo il quale nessuno dovrebbe governare da solo un’intera operazione, gestendo ogni fase dall’autorizzazione fino alla verifica. L’idea è dunque quella di dividere un processo critico tra più persone, così che un errore o un abuso debba passare da almeno due mani prima di produrre effetti.
Questo principio nasce nel controllo interno e nella sicurezza informatica, ma vale per ogni decisione che, presa da una persona sola, espone l’organizzazione: un pagamento, un accesso, un messaggio pubblico, un fornitore. In questo articolo ne approfondiremo meglio i dettagli insieme.
Segregation of duties in 4 punti chiave
Chi autorizza, chi esegue e chi verifica non possono essere la stessa persona
- 1
La separazione dei compiti impedisce che la stessa persona autorizzi, esegua e verifichi la stessa operazione.
- 2
Si realizza separando ruoli incompatibili, e dove non è possibile con controlli compensativi.
- 3
Contro le frodi pesa quanto i controlli stessi: secondo l’ACFE più della metà dei casi analizzati nasce da controlli assenti o aggirati.
- 4
Il principio non è solo contabile: vale per budget, messaggi, fornitori e contenuti.
Segregation of duties: significato e definizione
Il significato di questo enigmatico concetto si trova nella parola stessa segregare, che vuol dire tenere distinte. La definizione tecnica più netta viene dalla sicurezza informatica: nessun utente deve avere privilegi sufficienti per abusare da solo del sistema; chi autorizza un pagamento non deve essere anche chi lo prepara (NIST, SP 800-192). La ragione è semplice: un controllo svolto dalla stessa persona che ha eseguito l’operazione controlla sé stessa, e un errore o un abuso resta così invisibile finché lei non lo segnala.
Nella pratica si distinguono quattro funzioni, che nello stesso processo dovrebbero fare capo a persone diverse: autorizzare, eseguire, registrare, verificare. Nella tabella che segue, le spieghiamo più approfonditamente.
Le quattro funzioni da separare
Nello stesso processo, persone diverse.
| Funzione | Domanda a cui risponde | Se coincide con un’altra |
|---|---|---|
| Autorizzare | L’operazione può essere fatta? | Chi decide si approva da solo: nessuno lo ferma |
| Eseguire | Chi la compie? | Chi esegue si autorizza da solo: l’abuso passa senza un secondo sguardo |
| Registrare | Chi ne tiene traccia? | Chi esegue cancella o altera la traccia: l’operazione diventa invisibile |
| Verificare | Chi controlla che sia andata come doveva? | Chi esegue controlla sé stesso: il controllo diventa una formalità |
Come funziona la segregation of duties
Il NIST distingue due modi di imporla. Quello statico definisce a monte i ruoli in conflitto, cioè quelli che la stessa persona non può svolgere. Quello dinamico verifica il vincolo al momento dell’operazione: l’esempio classico è la regola delle due persone, in cui la seconda firma deve essere di un utente diverso dalla prima (NIST, SP 800-192, che cita Sandhu e Samarati, 1994).
Separazione statica e dinamica
Due modi di imporre lo stesso principio.
| Statica | Dinamica | |
|---|---|---|
| Quando agisce | A monte: si definiscono i ruoli in conflitto | Nell’atto: il vincolo si verifica quando l’operazione viene eseguita |
| Come funziona | Ruoli che la stessa persona non può svolgere | Il secondo passaggio deve essere di una persona diversa dal primo |
| Esempio (NIST) | Chi autorizza un pagamento non è chi lo prepara | Regola delle due persone |
| Rischio a cui risponde | Accumulo di ruoli incompatibili | Approvazione di un’operazione avviata dalla stessa persona |
Fonte: NIST, SP 800-192 (glossario CSRC, Separation of Duty), che cita Sandhu e Samarati, 1994. Sintesi di Bliss.
La scelta tra i due dipende dall’operazione. I ruoli in conflitto si definiscono una volta e valgono sempre. Il controllo dinamico serve dove il conflitto emerge solo nell’atto, per esempio quando la stessa persona potrebbe approvare un’operazione che ha avviato lei.
Perché serve: i dati sulle frodi
L’ACFE (Association of Certified Fraud Examiners) ha analizzato 2.402 casi di frode occupazionale in 143 Paesi e rileva una perdita mediana di 104.000 dollari per caso. Nel 33% dei casi la debolezza principale è stata l’assenza di controlli interni; in un altro 19% i controlli esistevano ma sono stati aggirati. Insieme sono più della metà dei casi (ACFE, Occupational Fraud 2026: A Report to the Nations).
Dove cedono i controlli
Debolezza principale del controllo interno nei casi di frode analizzati dall’ACFE (quota dei casi).
Fonte: ACFE, Occupational Fraud 2026: A Report to the Nations (fig. 37). Il rapporto non nomina la segregation of duties. La scala delle barre va da 0 a 40%.
la separazione serve contro entrambe le debolezze, perché mancano i controlli quando una persona sola copre tutto il processo e il controllo si aggira più facilmente quando chi controlla coincide con chi esegue.
La segregation of duties è obbligatoria?
Dipende dal contesto. Il D.Lgs. 231/2001 non usa l’espressione, ma l’art. 6, comma 2, chiede ai modelli organizzativi di prevedere protocolli per programmare la formazione e l’attuazione delle decisioni dell’ente in relazione ai reati da prevenire, e modalità di gestione delle risorse finanziarie idonee a impedirli. In pratica, ed è una lettura nostra, la separazione dei compiti è uno degli strumenti con cui questi protocolli si realizzano. Nelle norme di sicurezza delle informazioni compare con il suo nome, per esempio nel controllo 5.3 della ISO/IEC 27001:2022.
L’angolo Bliss: la segregation of duties vale oltre la contabilità
La segregation of duties si racconta quasi sempre come un controllo contabile o informatico. Noi la leggiamo come un principio di governance: una decisione importante regge quando chi la propone, chi la approva, chi la esegue e chi la verifica sono ruoli distinti e qualcuno ne risponde. Per un’impresa i punti di rischio non sono solo i pagamenti. Sono il budget di una campagna, un messaggio che impegna la marca, la scelta di un fornitore, la pubblicazione di un contenuto, il risultato di un sistema di intelligenza artificiale.
La separazione oltre la contabilità
Cinque ambiti in cui chi propone, chi approva e chi verifica dovrebbero essere ruoli distinti.
| Ambito | Chi propone | Chi approva | Chi verifica | Se i ruoli coincidono |
|---|---|---|---|---|
| Budget di una campagna | Chi guida la campagna | Chi risponde del budget | Chi non ha gestito la spesa | Spesa non coerente con gli obiettivi e non rilevata |
| Messaggi che impegnano la marca | Chi scrive | Chi risponde della marca | Chi controlla le affermazioni | Promesse che l’azienda non può mantenere |
| Scelta dei fornitori | Chi ne ha bisogno | Chi risponde del budget | Chi non ha rapporti con il fornitore | Scelta legata a relazioni, non a criteri |
| Pubblicazione di un contenuto | Chi lo produce | L’approvatore | Il revisore specialistico | Contenuti online non controllati |
| Contenuti generati con AI | Chi usa lo strumento | Chi risponde dell’uso | Chi rivede il risultato | Errori che nessuno rileva prima della pubblicazione |
Classificazione di Bliss: i ruoli indicati sono generici e vanno adattati all’organizzazione.
Nessuna di queste righe richiede una funzione in più. Richiede che i ruoli siano scritti, che le eccezioni abbiano un livello di approvazione e che la verifica stia in capo a qualcuno che non ha eseguito. È il lavoro che facciamo con la Brand Governance: quando le quattro posizioni coincidono in una persona sola, la marca non ha più un controllo, ha una fiducia.
Come si applica la segregation of duties: la matrice dei conflitti
Lo strumento con cui si applica il principio è la matrice dei conflitti, in inglese SoD matrix: una tabella che incrocia attività e ruoli per segnalare le combinazioni che la stessa persona non dovrebbe avere. Un ordine in sei passi, sintesi nostra:
- Si elencano i processi critici, quelli in cui un errore o un abuso costerebbe di più.
- Si scompone ogni processo nelle attività che lo compongono, ciascuna riconducibile a una delle quattro funzioni.
- Si assegnano le attività alle persone come sono oggi, non come dice l’organigramma: contano i permessi e le abitudini reali.
- Si individuano le coppie di funzioni in conflitto assegnate alla stessa persona.
- Si separano i ruoli o, se non è possibile, si introduce un controllo compensativo.
- Si rivede la matrice a scadenze fisse e a ogni cambio di ruolo, perché i permessi si accumulano.
Il passo che si salta più spesso è il terzo. Un’organizzazione che ragiona sull’organigramma vede i ruoli come dovrebbero essere, e non vede la persona che nel tempo ha ricevuto accessi e deleghe in più.
Piccole organizzazioni e limiti del principio
Nelle strutture piccole la stessa persona copre spesso più funzioni. Non è una ragione per rinunciare: bisogna rendere esplicita la responsabilità, perché non dipenda dalla memoria del gruppo, e introdurre un controllo compensativo, come l’approvazione da parte di un’altra persona o una revisione periodica a campione. Lo stesso vale per i contenuti, e la guida alla content governance ricorda che una persona sola può ricoprire più ruoli purché la responsabilità sia scritta.
I limiti del principio sono due. Il primo è la collusione: due persone che si accordano possono aggirare la separazione, per cui il principio riduce il rischio senza eliminarlo. Il secondo è il costo: ogni passaggio in più rallenta, e un’organizzazione che separa tutto finisce per aggirare le regole. Conviene separare dove il danno potenziale è alto e adottare un workflow più leggero dove è basso.
Domande frequenti
Che cos’è la segregation of duties?
È il principio per cui nessuna persona controlla da sola un’intera operazione critica. Le funzioni di autorizzazione, esecuzione, registrazione e verifica si assegnano a persone diverse, così che un errore o un abuso debba passare da più mani. Nasce nel controllo interno e nella sicurezza informatica, e si estende a ogni decisione ad alto rischio.
Come si traduce segregation of duties in italiano?
Le traduzioni usate sono separazione dei compiti, segregazione dei compiti e segregazione delle funzioni, spesso in modo intercambiabile. Nei testi professionali compare anche l’espressione inglese o la sigla SoD. Il senso è lo stesso: tenere distinte le funzioni che, riunite nella stessa persona, permetterebbero di abusare di un processo senza essere visti.
A cosa serve la separazione dei compiti?
Serve a ridurre il rischio di errori e di abusi: se autorizza, esegue e verifica la stessa persona, nessuno può accorgersi di un problema. Dividere le funzioni obbliga a un secondo sguardo, rende la responsabilità visibile e riduce il danno possibile di una sola persona. Contro le frodi non basta da sola, ma è uno dei controlli più semplici.
Quali funzioni vanno separate?
Dipende dal processo. Noi indichiamo quattro funzioni: autorizzare, eseguire, registrare e verificare. Le fonti usano elenchi diversi, spesso con tre funzioni, ma il criterio è lo stesso: la persona che compie un’operazione non deve essere quella che l’autorizza né quella che la controlla. Si parte dai processi in cui l’errore costerebbe di più.
Che cos’è una matrice SoD?
È una tabella che incrocia attività e ruoli per individuare le combinazioni incompatibili, cioè attività che la stessa persona non dovrebbe svolgere insieme. Si costruisce sui permessi e sulle abitudini reali, non sull’organigramma. Per ogni conflitto si decide se separare i ruoli o introdurre un controllo compensativo, e la matrice si rivede a ogni cambio di ruolo.
La segregation of duties è obbligatoria?
Non esiste una regola unica che la imponga con questo nome in ogni contesto. Il D.Lgs. 231/2001 chiede modelli organizzativi con protocolli sulle decisioni e sulla gestione delle risorse finanziarie, e il principio è uno strumento abituale per realizzarli. Compare con il suo nome nelle norme di sicurezza delle informazioni come la ISO/IEC 27001, controllo 5.3.
Cosa viola la segregation of duties?
La viola ogni assetto in cui la stessa persona può autorizzare ed eseguire, o eseguire e verificare, la stessa operazione: chi approva i pagamenti ed è anche chi li prepara, chi gestisce un accesso ed è anche chi ne controlla l’uso. Spesso la violazione non è decisa da nessuno: nasce dall’accumulo di permessi e deleghe nel tempo.
Cos’è la segregation of duties in ambito IT e SAP?
Nei sistemi informativi la separazione riguarda i permessi: si impedisce che lo stesso utente abbia profili in conflitto, per esempio creare un fornitore e approvarne i pagamenti. Nei sistemi di gestione aziendale come SAP i conflitti si cercano tra i profili di autorizzazione, e nella gestione delle identità e degli accessi (IAM) si applicano regole statiche e dinamiche.
Che differenza c’è con il controllo interno?
Il controllo interno è il sistema complessivo con cui un’organizzazione presidia i propri rischi: regole, ruoli, verifiche, flussi di informazione. La separazione dei compiti è una delle sue attività di controllo, tra le più elementari. Un sistema può avere la separazione e non essere efficace, se mancano ruoli scritti, verifiche periodiche e qualcuno che risponda dei risultati.
Come si applica in una piccola azienda?
Quando una persona deve coprire più funzioni, si rende esplicita la responsabilità e si introduce un controllo compensativo: un’approvazione da parte di un’altra persona, una revisione periodica a campione, un registro delle decisioni. Almeno la verifica va tenuta distinta dall’esecuzione. Si separano per primi i processi dove il danno potenziale è più alto.
Chi è responsabile della separazione dei compiti?
Chi governa l’organizzazione: l’organo di amministrazione e la direzione definiscono i ruoli e i livelli di approvazione. La funzione di controllo verifica che funzionino, ma non può sostituirsi a chi decide. Se nessuno risponde dell’assetto dei ruoli, la separazione diventa un documento che non governa i comportamenti.
Fonti e riferimenti
- NIST, Computer Security Resource Center, Glossary: Separation of Duty (SOD), da NIST SP 800-192
- ACFE, Occupational Fraud 2026: A Report to the Nations
- D.Lgs. 8 giugno 2001, n. 231, art. 6
- ISO/IEC, ISO/IEC 27001:2022, Information security management systems
- Bliss, Content governance: come governare i contenuti aziendali
- Bliss, Key person risk: cos’è e cosa causa
- Bliss, Brand Governance (pagina servizio)