Avete ricevuto un questionario di sicurezza? Cosa fare nelle prime 24 ore

Ultimo aggiornamento: 28 luglio 2026 · Dal team di Deal Rescue · Rispondere a questi questionari è il nostro intero servizio; questo è il triage su cui è costruito.

I nostri deliverable e la nostra assistenza sono in inglese — la lingua standard delle security review enterprise. Questa pagina è una traduzione fedele della nostra guida in inglese.

Prima di tutto: è una buona notizia. I questionari di sicurezza arrivano quando un deal raggiunge il procurement o la security review — il buyer vi sta valutando seriamente. Il questionario non è la minaccia. Le minacce sono (a) rispondere in ritardo mentre il deal perde slancio e (b) rispondere con affermazioni che crollano più avanti in due diligence. Le prime 24 ore decidono entrambe le cose.

Ora 1: identificate che cosa avete ricevuto davvero

Apritelo e classificatelo prima che qualcuno inizi a scrivere. Il formato vi dice l'impegno richiesto e il playbook:

• SIG Lite / SIG Core (Shared Assessments): standardizzati; SIG Lite è il livello breve, SIG Core è sostanzialmente più lungo. Frequenti da buyer nei servizi finanziari, nella sanità e nelle assicurazioni. Dalla versione 2026 esiste un dominio IA dedicato — si veda la nostra guida al dominio IA del SIG 2026.
• CAIQ / AI-CAIQ (Cloud Security Alliance): controlli cloud; l'AI-CAIQ (ottobre 2025) si sta affermando come strumento comune per la due diligence sull'IA — si veda la guida all'AI-CAIQ.
• Foglio di calcolo o portale personalizzato (Excel, OneTrust, Whistic, KY3P…): da 20 a centinaia di domande. Verificate se le domande sono davvero formulate come domande — le anomalie di esportazione contano quando stimate l'impegno.
• Sezione IA all'interno di uno qualsiasi dei precedenti: sempre più standard. Se il vostro prodotto include funzionalità di IA, è qui che l'accuratezza conta di più in questo momento — l'articolo 50 del regolamento sull'intelligenza artificiale (Regolamento (UE) 2024/1689, «EU AI Act») si applica dal 2 agosto 2026.

Contate le domande, annotate la scadenza indicata e chi lo ha inviato (il procurement, il security team o il vostro champion che ve lo inoltra — il vostro champion è il vostro alleato per contesto e proroghe).

Ora 2: proteggete la timeline

• Confermate la ricezione lo stesso giorno. Una riga al mittente: lo avete ricevuto, ci state lavorando, e quando riceveranno le risposte. Il silenzio è il modo in cui i deal si arenano.
• Impegnatevi su una data che potete davvero rispettare. Decidete prima il percorso di consegna (sezione successiva), poi promettete la data.
• Se la scadenza è impossibile, chiedete presto, non il giorno della consegna. Una richiesta breve e specifica, motivata dall'accuratezza, è una parte normale delle vendor review. Chiedere il primo giorno trasmette organizzazione; chiedere alla scadenza trasmette affanno.

Ora 3: decidete chi risponde

Tre percorsi percorribili — i criteri di scelta onesti sono nel nostro confronto completo con i prezzi reali del 2026:

• In-house: giusto quando qualcuno del team conosce i framework in questione e il deal può attendere il tempo interno. Il metodo: come rispondere alla sezione IA.
• Un servizio per singolo questionario: giusto quando il questionario è l'eccezione e il deal è bloccato adesso. È ciò che facciamo noi: $490 flat fino a 60 domande, bozze in 48 ore, ogni affermazione legale citata con il suo articolo, pagamento dopo la consegna — giudicate prima l'esempio pubblico.
• Una piattaforma GRC: giusta quando questo è il quinto questionario dell'anno e la compliance sta diventando un programma, non un incidente — si veda piattaforma vs servizio vs fai-da-te.

Qualunque percorso scegliate, una sola persona presidia la coerenza. Le contraddizioni tra sezioni (crittografia «sì» in una scheda, «parzialmente» in un'altra) sono un classico segnale d'allarme in due diligence.

I due errori che affossano davvero i deal

1. Il «sì» ottimista. Rispondere «sì» a un controllo che avete solo in parte sembra innocuo ed è l'errore più costoso del documento. Dichiarate ciò che esiste oggi; mettete ciò che manca in un gap statement con un passo di remediation e una data. I buyer accettano lacune oneste accompagnate da un piano. Non perdonano la scoperta di un sì sovradimensionato.
2. Affermazioni legali senza fonti. Le sezioni IA ora fanno riferimento a un regolamento in vigore. Le parafrasi senza fonte («siamo conformi all'EU AI Act») invitano a domande di follow-up che potreste non volere. Ogni affermazione legale dovrebbe citare il proprio articolo — segnala anche che conoscete il terreno meglio del reviewer.

La checklist delle prime 24 ore

• ☐ Formato classificato (SIG / CAIQ / AI-CAIQ / personalizzato) e domande contate
• ☐ Annotati la scadenza, il mittente e il vostro champion interno
• ☐ Ricezione confermata, con una data di consegna dichiarata
• ☐ Percorso di consegna scelto (in-house / servizio / piattaforma)
• ☐ Nominato un unico responsabile della coerenza
• ☐ Funzionalità di IA passate nel checker dell'articolo 50 (se applicabile)