Le condizioni organizzative necessarie a preservare la qualità del processo di formazione del giudizio nell’interazione tra persone e sistemi di AI richiedono lo sviluppo dei concetti di resilienza cognitiva organizzativa e Cognitive Governance.
Ecco il rapporto con la Decision Assurance e l’Integrated Assurance, sotto il profilo le implicazioni sotto il profilo dell’Internal Audit alla luce dei Global Internal Audit Standards e dei più recenti Statements of Position dell’Institute of Internal Auditors.
Indice degli argomenti
La qualità del giudizio nell’interazione tra persone ed AI
Dopo aver analizzato il rischio epistemico organizzativo quale possibile vulnerabilità emergente ed introdotto la Decision Assurance come prospettiva di evoluzione dell’oggetto dell’assurance, ora affrontiamo una questione ulteriore: quali condizioni organizzative consentono di preservare nel tempo la qualità del giudizio nell’interazione tra persone e sistemi intelligenti.
Per rispondere a tale interrogativo vengono sviluppati i concetti di resilienza cognitiva organizzativa e Cognitive Governance, analizzandone il rapporto con la Decision Assurance e con l’Integrated Assurance nell’ambito di un modello teorico coerente con i Global Internal Audit Standards.
La resilienza cognitiva organizzativa e la Cognitive Governance
Se il rischio epistemico organizzativo descrive una vulnerabilità emergente, la resilienza cognitiva organizzativa identifica la capacità che l’organizzazione è chiamata a preservare.
Nell’ambito della governance e dei controlli, la resilienza è frequentemente associata alla capacità dell’organizzazione di assicurare continuità operativa e perseguimento degli obiettivi in presenza di eventi avversi.
L’integrazione dell’intelligenza artificiale rende rilevante anche una dimensione complementare: preservare nel tempo la capacità di comprendere le informazioni, formulare giudizi e assumere decisioni responsabili quando una parte crescente delle attività cognitive è supportata da sistemi intelligenti.
In questa prospettiva, si può definire la resilienza cognitiva organizzativa come la capacità dell’organizzazione di mantenere autonomia di giudizio, memoria istituzionale, competenze professionali e capacità critica nell’interazione tra persone e intelligenza artificiale.
L’obiettivo non consiste nel limitare il ricorso all’intelligenza artificiale, ma nel favorire un’integrazione equilibrata tra capacità umane e algoritmiche, evitando che il supporto tecnologico si traduca in una progressiva delega cognitiva.
La prospettiva trasversale della Cognitive Governance
Su queste basi qui si propone, quale categoria teorica, il concetto di Cognitive Governance, inteso come l’insieme delle condizioni organizzative che consentono di preservare la qualità del processo di formazione del giudizio nell’interazione tra persone e sistemi intelligenti.
La Cognitive Governance non rappresenta una nuova disciplina di governance né sostituisce i modelli di AI Governance, Data Governance o Risk Governance.
Essa propone piuttosto una prospettiva trasversale che integra tali modelli concentrando l’attenzione sulle condizioni organizzative che rendono possibile un giudizio autonomo e responsabile.
In questa prospettiva, la Cognitive Governance non si sovrappone agli obblighi organizzativi introdotti dal Regolamento (UE) 2024/1689 (AI Act), né ai modelli di AI Governance sviluppati per assicurarne l’attuazione.
Essa opera su un piano differente, ponendo l’attenzione sulle condizioni organizzative che consentono di preservare la qualità del processo di formazione del giudizio anche in presenza di sistemi conformi ai requisiti normativi.
Le 4 dimensioni della Cognitive Governance
Nel modello qui proposto, tali condizioni possono essere sinteticamente ricondotte a quattro dimensioni fondamentali che rappresentano i principi fondamentali della Cognitive Governance (esse possono trovare concreta espressione attraverso ulteriori condizioni organizzative, quali il mantenimento delle competenze, della supervisione umana, della memoria organizzativa e della capacità di apprendimento):
- comprensibilità, ossia la possibilità per i decisori di comprendere il contributo fornito dall’intelligenza artificiale, le informazioni utilizzate e le principali logiche che orientano l’output;
- contestabilità, intesa come capacità di sottoporre a verifica critica gli output algoritmici;
- tracciabilità, quale possibilità di ricostruire il percorso informativo e argomentativo che conduce alla decisione;
- responsabilità, intesa come permanenza di una chiara attribuzione delle responsabilità decisionali.
In questa prospettiva, tali condizioni possono assumere rilievo nell’ambito della valutazione, da parte dell’Internal Audit, dell’efficacia del sistema di governance, contribuendo ad orientare la Decision Assurance verso un ambito di applicazione più definito.
La governance dei dati usati nei processi decisionali
La crescente diffusione dei sistemi generativi e dell’IA agentica accresce inoltre la rilevanza della governance delle informazioni utilizzate nei processi decisionali.
Ferme restando le competenze delle funzioni specialistiche in materia di protezione dei dati e sicurezza delle informazioni, l’Internal Audit può valutare se il sistema di governance abbia definito responsabilità, regole e controlli adeguati a preservare l’integrità dei flussi informativi, la verificabilità degli output e la consapevolezza del loro utilizzo.
Tali condizioni rilevano non soltanto sotto il profilo della conformità e della sicurezza, ma anche ai fini della qualità della conoscenza organizzativa.
Un percorso unitario del framework teorico
Il framework teorico sviluppato nei due contributi può essere letto come un percorso unitario:
- il rischio epistemico organizzativo individua la vulnerabilità emergente; la resilienza cognitiva organizzativa, la capacità da preservare;
- la Cognitive Governance identifica le condizioni organizzative che la sostengono;
- la Decision Assurance, la prospettiva di assurance attraverso cui tali condizioni possono essere valutate;
- l’Integrated Assurance il contesto in cui le relative evidenze possono essere coordinate.
Decision Assurance e Integrated Assurance
I Global Internal Audit Standards e, più recentemente, gli Statements of Position dedicati al Three Lines Model e all’Enterprise Risk Management esprimono una visione dell’assurance, valorizzando il coordinamento, la collaborazione e l’appropriate reliance tra i diversi soggetti che svolgono attività di assurance e advisory, affinché gli organi di governance possano disporre di una visione quanto più possibile integrata dell’efficacia dei processi di governance, gestione del rischio e controllo interno.
In tale contesto si colloca l’Integrated Assurance, intesa come approccio volto a coordinare e valorizzare le evidenze prodotte dai diversi assurance provider.
La Decision Assurance si inserisce coerentemente in questo quadro, pur operando su un piano distinto.
Essa non introduce nuovi livelli di assurance né nuovi domini di audit, ma propone una chiave interpretativa attraverso cui leggere in modo unitario le evidenze già prodotte dai diversi assurance provider, orientandole verso la valutazione delle condizioni organizzative che concorrono a preservare la qualità del processo di formazione del giudizio.
Data Governance, Privacy e AI Governance: la valutazione del sistema decisionale
Le evidenze prodotte dall’Internal Audit, dal Risk Management, dalla Compliance e, secondo gli assetti adottati, dalle funzioni specialistiche di Information Security, Data Governance, Privacy e AI Governance possono costituire contributi complementari alla valutazione dell’affidabilità del sistema decisionale.
L’Integrated Assurance ne favorisce il coordinamento; la Decision Assurance ne valorizza la lettura, concentrando l’attenzione sulla capacità dell’organizzazione di preservare autonomia di giudizio, comprensibilità, contestabilità, tracciabilità, responsabilità e resilienza cognitiva.
In questa prospettiva, la Decision Assurance non si configura come un ulteriore livello di assurance, ma come una chiave interpretativa che consente di leggere unitariamente le evidenze prodotte dai diversi assurance provider con riferimento alla qualità del processo di formazione del giudizio, offrendo agli organi di governance una lettura più completa delle condizioni che sostengono la capacità dell’organizzazione di creare, proteggere e sostenere valore nell’impiego dell’intelligenza artificiale.
L’Internal Audit alla luce dei Global Internal Audit Standards
Le condizioni organizzative descritte nei paragrafi precedenti assumono rilievo per l’Internal Audit nella misura in cui rientrano nel mandato delineato dai Global Internal Audit Standards.
La Decision Assurance non comporta un ampliamento delle responsabilità della funzione, ma propone una possibile evoluzione dell’oggetto dell’assurance in risposta alle trasformazioni introdotte dall’intelligenza artificiale nei processi di formazione del giudizio.
Tale lettura appare coerente con il compito dell’Internal Audit di fornire assurance indipendente sull’efficacia dei processi di governance, gestione del rischio e controllo interno.
Se l’impiego dell’intelligenza artificiale incide sulle modalità attraverso cui l’organizzazione costruisce conoscenza, valuta alternative e assume decisioni, anche le condizioni che assicurano l’affidabilità di tali processi possono costituire oggetto di assurance.
Le evidenze di partenza
L’attenzione non si concentra quindi sul singolo algoritmo né esclusivamente sulla conformità tecnica dei sistemi, ma sul sistema decisionale in cui essi sono integrati.
Ne consegue che la verifica dell’efficacia della governance non coincide con l’accertamento della conformità ai requisiti dell’AI Act, ma può estendersi alla valutazione di come tali requisiti risultino concretamente integrati nei processi decisionali e contribuiscano a preservarne affidabilità, autonomia e verificabilità.
Ciò non significa che le caratteristiche dei sistemi di intelligenza artificiale restino estranee all’assurance.
Al contrario, elementi quali la qualità dei dati, la robustezza del modello, l’explainability e gli altri presidi di AI Governance possono costituire importanti evidenze di partenza.
La Decision Assurance, tuttavia, non ne valuta autonomamente gli aspetti tecnici, ma li considera nel più ampio contesto organizzativo, verificando in che modo essi incidano sulla qualità del processo di formazione del giudizio, sulla possibilità di esercitare una supervisione effettiva e sull’affidabilità complessiva del sistema decisionale.
La Decision Assurance e il processo di formazione del giudizio
Grazie alla propria indipendenza e alla visione trasversale dell’organizzazione, l’Internal Audit può valutare se la governance preservi le quattro dimensioni della Cognitive Governance – comprensibilità, contestabilità, tracciabilità e responsabilità decisionale – nonché le ulteriori condizioni organizzative che ne consentono l’effettivo esercizio, quali la supervisione umana, il mantenimento delle competenze, la memoria organizzativa e la capacità di apprendimento.
Questa prospettiva risulta coerente anche con lo Statement of Position dell’Institute of Internal Auditors dedicato al Three Lines Model (2026), che conferma e sviluppa il superamento del precedente paradigma delle “Three Lines of Defense”, ponendo l’accento non sulle linee di difesa, ma sul coordinamento tra i diversi ruoli organizzativi coinvolti nella governance, nella gestione del rischio, nel controllo e nell’assurance.
In tale contesto, l’Internal Audit mantiene il proprio ruolo di assurance indipendente, contribuendo a fornire agli organi di governance una visione integrata dell’efficacia del sistema di governance, gestione del rischio e controllo.
Lo Standard 9.5
In questo contesto assume particolare rilievo lo Standard 9.5 – Coordination and Reliance, che richiede al Chief Audit Executive di coordinarsi con gli altri soggetti che forniscono servizi di assurance e di valutare, quando appropriato, la possibilità di fare affidamento sul loro lavoro.
Tale coordinamento può ampliare la copertura dei rischi, ridurre duplicazioni e migliorare il supporto agli organi di governance.
La Decision Assurance offre una possibile chiave di lettura unitaria delle
evidenze disponibili, orientata alla qualità del processo di formazione del giudizio.
Sul piano operativo, tale prospettiva può tradursi nell’osservazione delle modalità attraverso cui l’organizzazione comprende, verifica e documenta le decisioni supportate dall’intelligenza artificiale, preserva le competenze necessarie alla supervisione e apprende dagli esiti prodotti.
Una diversa chiave di lettura dell’assurance
In questa prospettiva, la Decision Assurance non propone un nuovo dominio di audit né un ampliamento del mandato dell’Internal Audit, ma una diversa chiave di lettura dell’assurance, orientata a valutare se l’organizzazione conservi la capacità di esercitare un giudizio autonomo, responsabile e verificabile anche quando una parte crescente dei processi decisionali è supportata dall’intelligenza artificiale.
L’appendice metodologica propone, a titolo esplorativo, alcune possibili evidenze e linee diapprofondimento.
Riferimenti a supporto della Decision Assurance
Le corrispondenze proposte costituiscono una lettura interpretativa dei Global Internal Audit Standards sviluppata nell’ambito del presente contributo, finalizzata a evidenziare possibili punti di raccordo tra il modello teorico della Decision Assurance e il mandato dell’Internal Audit.
Esse non rappresentano interpretazioni ufficiali dell’Institute of Internal Auditors né introducono nuovi requisiti professionali.
Il framework per Cognitive Governance e Decision Assurance
Dopo aver approfondito le condizioni organizzative necessarie a preservare la qualità del giudizio nell’interazione tra persone e sistemi di intelligenza artificiale, muovendo dal rischio epistemico organizzativo e dalla Decision Assurance, introdotti nel primo capitolo, abbiamo sviluppato i concetti di resilienza cognitiva organizzativa, Cognitive Governance e Integrated Assurance.
Il modello sviluppato collega la capacità dell’organizzazione di preservare autonomia, competenze e capacità critica alle condizioni di governance e alle modalità attraverso cui le relative evidenze possono essere valutate e coordinate.
Il modello non introduce nuovi domini di audit né modifica il mandato dell’Internal Audit.
Suggerisce una lettura evolutiva dell’oggetto dell’assurance che appare compatibile con il mandato delineato dai Global Internal Audit Standards, in un contesto nel quale l’affidabilità del sistema decisionale dipende sempre più dall’integrazione tra capacità umane e sistemi intelligenti.
L’evoluzione degli Statements of Position pubblicati dall’Institute of Internal Auditors nel 2026 rafforza ulteriormente tale prospettiva, valorizzando il coordinamento dell’assurance, l’integrazione delle evidenze e il supporto ai processi decisionali degli organi di governance.
Case studies, applicazioni e analisi comparative
Il framework proposto ha natura teorica e richiede ulteriori verifiche empiriche.
Case studies, applicazioni nell’ambito degli incarichi di Internal Audit e analisi comparative tra differenti contesti organizzativi potranno contribuire a valutarne la rilevanza e l’utilità operativa.
A tale esigenza risponde la seguente appendice, che traduce il modello in una prima proposta di evidenze osservabili e quesiti di assurance.
Gli sviluppi del framework
Future applicazioni potranno contribuire a verificarne l’utilità nell’ambito della pianificazione risk based degli incarichi, della valutazione dei processi di governance e dell’integrazione delle evidenze provenienti dai diversi assurance provider, nel rispetto del mandato delineato dai Global Internal Audit Standards.
Tra i possibili sviluppi del presente framework rientra anche l’approfondimento di criteri osservabili che consentano di valutare, nei diversi contesti organizzativi, gli effetti dell’integrazione dell’intelligenza artificiale sul processo di formazione del giudizio, contribuendo a distinguere le situazioni in cui essa rappresenta un efficace supporto decisionale da quelle nelle quali possono emergere forme di progressiva dipendenza cognitiva.
Il rapporto tra il framework e l’evoluzione del quadro regolatorio europeo
Un ulteriore ambito di sviluppo riguarda il rapporto tra il framework qui proposto e l’evoluzione del quadro regolatorio europeo sull’intelligenza artificiale, verificando in che misura gli assetti organizzativi richiesti dall’AI Act possano concorrere, insieme agli altri presidi di governance, a rafforzare la resilienza cognitiva dell’organizzazione e la qualità del processo di formazione del giudizio.
Appendice metodologica
Il rischio epistemico organizzativo assume rilievo per l’assurance nella misura in cui può essere osservato attraverso manifestazioni organizzative verificabili.
Esso non coincide necessariamente con errori decisionali, anomalie procedurali o malfunzionamenti tecnologici: può emergere anche in presenza di output tecnicamente corretti, quando l’organizzazione perde progressivamente la capacità di comprenderli, verificarli, contestarli o ricostruire il ragionamento che ha condotto alla decisione.
L’attività di assurance non è pertanto chiamata a valutare il merito delle decisioni o le prestazioni tecniche dei sistemi di intelligenza artificiale, ma a verificare se la governance preservi i presidi necessari a un esercizio consapevole del giudizio professionale.
Tale prospettiva può essere considerata nella pianificazione degli incarichi, in particolare nell’ambito della valutazione dei rischi e della definizione degli obiettivi e dell’ambito dell’engagement, secondo quanto previsto dagli Standard 13.2 – Engagement Risk Assessment e 13.3 – Engagement Objectives and Scope.
Le evidenze riportate di seguito non costituiscono criteri prescrittivi o una checklist standardizzata.
Si tratta di possibili segnali che, considerati congiuntamente e alla luce degli obiettivi dell’incarico, possono concorrere alla valutazione professionale dell’Internal Audit.
Indicatori osservabili
Le evidenze osservabili non si limitano alle quattro dimensioni della Cognitive Governance sopra proposte, ma rappresentano possibili manifestazioni organizzative attraverso cui tali dimensioni possono trovare concreta espressione.
| Area di osservazione | Possibile evidenza |
| Comprensibilità | Difficoltà dei decisori nel motivare conclusioni formulate con il supporto dell’intelligenza artificiale. |
| Contestabilità | Assenza o debolezza di meccanismi documentati per sottoporre gli output algoritmici a verifica critica, riesame o motivata contestazione. |
| Supervisione umana | Assenza o debolezza di meccanismi documentati per sottoporre gli output algoritmici a verifica critica, riesame o motivata contestazione. |
| Competenze | Riduzione delle competenze necessarie a comprendere, supervisionare o verificare criticamente attività svolte con il supporto algoritmico. |
| Memoria organizzativa | Difficoltà nel conservare e trasferire conoscenze professionali indipendentemente dagli strumenti utilizzati. |
| Tracciabilità | Impossibilità di ricostruire le fonti, le informazioni e il percorso argomentativo che hanno contribuito alla decisione. |
| Responsabilità | Attribuzione non chiara delle responsabilità decisionali o insufficiente documentazione del contributo umano alla decisione finale. |
| Apprendimento organizzativo | Mancata analisi sistematica degli errori, delle deviazioni o degli esiti inattesi connessi all’impiego dell’intelligenza artificiale. |
Possibili quesiti di assurance
In relazione al contesto e agli obiettivi dell’incarico, le evidenze possono essere approfondite attraverso quesiti quali:
- I decisori sono in grado di comprendere e motivare le conclusioni supportate dall’intelligenza artificiale?
- Gli output vengono sottoposti a un’effettiva verifica critica o sono recepiti prevalentemente in modo automatico?
- L’organizzazione mantiene competenze adeguate a esercitare una supervisione indipendente?
- Sono previsti meccanismi che consentano di contestare o riesaminare le raccomandazioni algoritmiche?
- È possibile ricostruire le informazioni e le argomentazioni che hanno condotto alla decisione?
- Le responsabilità rimangono chiaramente attribuite anche quando il contributo algoritmico è rilevante?
- Gli errori e gli esiti inattesi vengono utilizzati per migliorare processi, competenze e controlli?
I quesiti non definiscono procedure standardizzate, ma possibili linee di approfondimento da adattare alla maturità della governance, alla rilevanza dei sistemi utilizzati e al profilo di rischio dell’organizzazione.
Considerazioni applicative
La presenza di uno o più indicatori non dimostra, isolatamente, l’esistenza di un rischio epistemico organizzativo.
Può tuttavia costituire un segnale da approfondire rispetto alla resilienza cognitiva dell’organizzazione o all’efficacia dei presidi che sostengono autonomia, comprensibilità, contestabilità, tracciabilità e responsabilità del processo decisionale.
La valutazione deve quindi fondarsi sull’insieme delle evidenze, sul contesto nel quale esse emergono e sul giudizio professionale dell’Internal Audit. L’attenzione si sposta dall’esito della singola decisione alle condizioni che ne rendono possibile la qualità e la verificabilità, senza sostituirsi alle responsabilità gestionali.
Un’evoluzione dell’oggetto dell’assurance nell’era dell’AI
In questa visione, la Decision Assurance non prescinde dalle caratteristiche dei sistemi di intelligenza artificiale impiegati.
Gli elementi oggetto delle verifiche tecniche – quali la qualità dei dati, la robustezza dei modelli, l’explainability, la validazione algoritmica e gli altri presidi di AI Governance – costituiscono infatti importanti evidenze di partenza.
Tuttavia, essi si considerano non come fine della valutazione, bensì come fattori che possono incidere sulla qualità del processo di formazione del giudizio, sulla capacità di esercitare una supervisione effettiva e, più in generale, sull’affidabilità del sistema decisionale nel quale tali sistemi sono inseriti.
In questa prospettiva, la Decision Assurance rappresenta non un nuovo dominio professionale, bensì una possibile evoluzione interpretativa dell’oggetto dell’assurance nell’era dell’intelligenza artificiale.
Partecipa alla community