I team IT di Endeavor stanno lavorando con requisiti di audit sempre più rigorosi a fronte di un footprint funzionale in crescita.

L’implementazione dell’installazione SAP risale originariamente a metà degli anni 90, cui è seguito, nel tempo, un vero e proprio effetto “valanga” degli accessi utente. Gli utenti richiedevano tipicamente accessi con profili creati sulla falsa riga di altri utenti. Ad aggravare il problema è sopraggiunta la prassi degli utenti di lunga data di ottenere nuovi accessi nel corso del tempo, senza però eliminare gli accessi ormai inutili perché non più compatibili con i ruoli aziendali effettivamente ricoperti.

Il team conduceva periodicamente revisioni degli accessi utente adottando tuttavia un processo incentrato sull’IT, basato su estratti Excel compilati manualmente o sulle e-mail. Oltre a causare enormi dispendi di tempo, il processo era difficilmente ripetibile. Trattandosi di un processo manuale, era inoltre fortemente suscettibile di errore. I problemi relativi a tracciabilità, consolidamento delle risposte e dei risultati degli audit erano evidenti. Proprio il fatto di partire da un processo evidentemente problematico ha reso più difficile il coinvolgimento dell’azienda. Le revisioni degli accessi utente erano di fatto prerogativa di un ristretto gruppo di persone, per la maggior parte appartenenti al reparto finanziario. Ciò significa che, normalmente, era un team formato da non più di 25 persone a dover esaminare gli accessi di circa 2.000 utenti.

Quali erano gli obiettivi principali di Endeavor?

L’obiettivo principale di Endeavor è stato quello di implementare una metodologia centralizzata e facilmente ripetibile per condurre le revisioni degli accessi utente, regolamentata da norme definite, stabili e incentrate sul sistema.

Era necessario:

• ridurre gli sforzi preparatori manuali;
• eliminare il rischio di errori umani;
• esplicitare e rendere trasparenti i rischi classificandoli per tipo e gravità;
• migliorare l’efficienza del processo end-to-end per le revisioni degli accessi utente;
• favorire il coinvolgimento e la responsabilizzazione dell’azienda a livello di gestione dei rischi.

L’obiettivo secondario era quello di migliorare l’efficienza, la trasparenza e la rendicontabilità dei processi aziendali di fornitura degli accessi.