Audit trail: significato, requisiti e come deve essere fatto

Audit trail, nel significato più semplice, è la traccia cronologica e non modificabile di tutto ciò che è successo a un dato, a un documento o a un processo: chi ha fatto un'operazione, quando, su quale oggetto e con quale esito. In italiano si traduce spesso con «registro di controllo» o «pista di verifica». In questo articolo vediamo cosa distingue un audit trail da un semplice elenco di log, perché lo richiedono normative come il GDPR e l'AI Act e quali caratteristiche deve avere per valere davvero come prova.

Audit trail: significato e definizione

Il termine viene dalla revisione contabile: la «traccia» che permette a un revisore di risalire da un numero in bilancio fino al documento che lo ha generato. Oggi si usa soprattutto per i sistemi informatici, ma l'idea è la stessa: poter ricostruire una catena di eventi senza doversi fidare della memoria di qualcuno.

Ogni voce di un audit trail risponde, in genere, a cinque domande:

• chi: l'utente o il sistema che ha compiuto l'azione, identificato in modo univoco;
• cosa: il tipo di operazione (creazione, modifica, approvazione, invio, cancellazione, accesso);
• quando: data e ora, con un riferimento temporale affidabile;
• su cosa: l'oggetto coinvolto, per esempio un contratto e la sua versione;
• con quale esito: riuscita, rifiutata, annullata.

La differenza con un log è di scopo più che di tecnica. Un log è la singola registrazione che un software produce, spesso per finalità di diagnostica. Un audit trail è l'insieme ordinato e conservato di quelle registrazioni, organizzato per rispondere a una domanda di controllo: «come si è arrivati a questo stato?».

Perché è richiesto da normative e certificazioni

Nessuna norma generale impone a tutte le imprese di tenere un audit trail. Diverse regole però chiedono di poter dimostrare chi ha fatto cosa, e l'audit trail è lo strumento con cui lo si fa.

Il principio di responsabilizzazione del GDPR

Il Regolamento (UE) 2016/679 chiede al titolare non solo di rispettare i principi sul trattamento dei dati, ma di essere in grado di comprovarlo (art. 5, par. 2). Sapere chi ha consultato o modificato un dato personale, e quando, è una parte concreta di questa prova. Lo stesso vale per il registro dei trattamenti, che descrive i trattamenti sulla carta: l'audit trail mostra cosa è successo davvero.

Gli amministratori di sistema e il Garante privacy

In Italia il riferimento più preciso è il provvedimento del Garante sugli amministratori di sistema del 27 novembre 2008, poi modificato nel 2009. Chiede di registrare gli accessi logici degli amministratori di sistema con caratteristiche di completezza, inalterabilità e possibilità di verificarne l'integrità, e di conservare queste registrazioni per un periodo non inferiore a sei mesi.

Il Garante ha anche chiarito cosa non basta. In un'ordinanza di ingiunzione del 2014 ha ritenuto che la sola registrazione in locale, sul sistema stesso, non garantisca integrità e inalterabilità, perché chi ha privilegi di amministratore può modificare o cancellare i log. È un principio che vale per qualunque audit trail: se chi è controllato può riscrivere il controllo, il controllo non c'è.

L'AI Act e i sistemi ad alto rischio

Il Regolamento (UE) 2024/1689, l'AI Act, all'art. 12 chiede che i sistemi di AI ad alto rischio consentano tecnicamente la registrazione automatica degli eventi per tutto il loro ciclo di vita, per garantirne la tracciabilità. L'art. 26 chiede poi a chi li utilizza di conservare i log sotto il proprio controllo per un periodo adeguato alla finalità e comunque di almeno sei mesi, salvo diverse disposizioni. Per un quadro generale del regolamento c'è la nostra pagina sull'AI Act per le imprese.

Firme, contratti e certificazioni

Fuori dalle norme specifiche, l'audit trail serve ogni volta che bisogna dimostrare un fatto: che un documento è stato approvato da chi aveva il potere di farlo, che una versione è quella firmata, che una comunicazione è partita prima di una scadenza. Nella firma elettronica semplice, per esempio, le evidenze raccolte durante il processo di firma sono spesso ciò che dà peso al documento in caso di contestazione. Anche gli audit di certificazione sulla sicurezza delle informazioni guardano a questo: non basta dichiarare una procedura, bisogna mostrare le tracce che la procedura è stata seguita.

Come deve essere fatto un audit trail per avere valore

Un audit trail vale quanto la fiducia che si può riporre nelle sue registrazioni. Le caratteristiche indicate dal Garante per i log degli amministratori sono un buon punto di partenza anche per gli altri casi.

1. Completezza. Devono essere registrati tutti gli eventi rilevanti per lo scopo, non solo quelli che il sistema registra di default. Un audit trail che salta le cancellazioni o gli accessi in sola lettura lascia proprio i buchi che interessano a un controllo.
2. Inalterabilità. Le registrazioni non devono poter essere modificate o cancellate, nemmeno dagli amministratori. In pratica significa conservarle separate dal sistema che le genera, in un archivio a sola aggiunta o con meccanismi che rendano evidente ogni manomissione.
3. Integrità verificabile. Non basta che il registro sia integro: deve essere possibile dimostrarlo a un terzo, per esempio con impronte crittografiche o con controlli periodici documentati.
4. Riferimento temporale affidabile. L'orario di ogni evento deve venire da una fonte sincronizzata e coerente tra i sistemi, altrimenti la sequenza degli eventi diventa discutibile.
5. Identità univoche. Le utenze condivise svuotano l'audit trail: se cinque persone usano lo stesso accesso, il «chi» non risponde più a nulla.
6. Conservazione definita. Il periodo va deciso in base allo scopo e ai minimi di legge applicabili, e scritto in una policy. Conservare tutto per sempre non è una soluzione: anche i log possono contenere dati personali e il GDPR chiede di non tenerli più del necessario.
7. Leggibilità ed esportabilità. Un registro che solo il fornitore del software sa interpretare serve a poco quando bisogna produrlo a un revisore o in un contenzioso.

Su quanto conservare e su cosa registrare per una specifica attività regolamentata conviene confrontarsi con il proprio consulente: i minimi cambiano da settore a settore.

L'audit trail nei processi contrattuali

Nei contratti l'audit trail risponde a domande molto concrete: chi ha approvato quella deroga sulle condizioni di pagamento? Quale versione è stata mandata in firma? Quando è stata inviata la disdetta? Se le approvazioni passano da email inoltrate e le versioni vivono in cartelle condivise, la risposta esiste solo nella memoria delle persone, e se ne va con loro.

Un buon audit trail contrattuale lega ogni evento al contratto e alla sua versione: caricamento, modifiche, commenti, approvazioni con l'utente responsabile, invio in firma, firma, rinnovi e disdette. Così la storia di un accordo si ricostruisce in pochi minuti, anche anni dopo, e chi entra in azienda trova il percorso decisionale insieme al documento.

Domande frequenti

Che differenza c'è tra audit trail e log? Il log è la singola registrazione di un evento prodotta da un sistema. L'audit trail è la sequenza ordinata e conservata di quelle registrazioni che permette di ricostruire chi ha fatto cosa, quando e su quale oggetto, dall'inizio alla fine di un processo.

Per quanto tempo va conservato un audit trail? Dipende dalla norma e dallo scopo. Alcune regole fissano un minimo: il Garante privacy chiede almeno sei mesi per i log di accesso degli amministratori di sistema e l'AI Act almeno sei mesi per i log dei sistemi ad alto rischio. Oltre i minimi, la durata va scelta e motivata in base a ciò che il registro deve dimostrare.

Un foglio Excel con lo storico delle modifiche è un audit trail? Difficilmente regge come prova: chi può modificare il file può anche modificare lo storico. Un audit trail affidabile viene generato in automatico dal sistema e protetto da modifiche e cancellazioni anche da parte di chi lo amministra.

Un'approvazione che non lascia traccia è un'approvazione che non si può dimostrare: in Accordyx ogni contratto conserva il log delle versioni e delle modifiche, le approvazioni con l'utente responsabile e un audit trail esportabile. → Come Accordyx garantisce la tracciabilità