COBIT 2019: Guida Completa al Framework di Governance IT (Edizione 2026)
Tutto su COBIT 2019: principi, processi, design factors e novità rispetto a COBIT 5
COBIT 2019 rappresenta l'evoluzione più significativa del framework di governance IT di ISACA. Come trainer certificato COBIT con oltre 10 anni di esperienza, in questa guida ti spiego cos'è COBIT 2019, come funziona, quali sono le differenze con COBIT 5, e come implementarlo con successo nella tua organizzazione.
📌 Navigazione rapida
✅ COBIT 2019 è raccomandato per nuove implementazioni nel 2026 – È più flessibile, aggiornato agli standard attuali (GDPR, NIS2, cloud, AI) e progettato per la trasformazione digitale. COBIT 5 resta valido ma COBIT 2019 è il futuro della governance IT.
I Fondamenti di COBIT 2019: 6+3 Principi
COBIT 2019 è costruito su due serie di principi complementari: 6 principi per il sistema di governance (cosa serve all'organizzazione) e 3 principi per il framework di governance (come deve essere costruito il framework stesso). Questa doppia architettura rende COBIT 2019 sia robusto che flessibile.
🏛️ I 6 Principi del Sistema di Governance
Questi principi descrivono cosa serve a ogni organizzazione per avere un sistema di governance IT efficace:
1️⃣ Ogni impresa ha bisogno di un sistema di governance
Principio: Le organizzazioni devono soddisfare le esigenze degli stakeholder e generare valore dall'uso di I&T (Information & Technology).
Cosa significa: Il valore deriva da un equilibrio tra benefici realizzati, rischi ottimizzati e risorse utilizzate. Non puoi massimizzare tutto: devi bilanciare.
Esempio pratico: Una banca vuole digitalizzare i servizi (beneficio) ma deve gestire il rischio cyber (rischio) e ottimizzare gli investimenti cloud (risorse). COBIT 2019 fornisce il framework per trovare il giusto equilibrio.
2️⃣ Il sistema di governance è olistico
Principio: Un sistema di governance è costituito da componenti di diversi tipi che lavorano insieme in modo integrato.
Cosa significa: Non puoi governare solo con processi o solo con metriche. Servono 7 componenti che interagiscono: processi, strutture organizzative, principi/politiche, informazioni, cultura, persone/competenze, servizi/infrastrutture.
Errore comune: Molte organizzazioni implementano solo i processi COBIT (40 processi) e ignorano cultura, competenze e strutture. Risultato: governance "sulla carta" ma inefficace.
3️⃣ Il sistema di governance è dinamico
Principio: Il sistema di governance deve adattarsi continuamente ai cambiamenti interni ed esterni.
Cosa significa: Quando cambiano strategia, tecnologia, rischi, normative (i Design Factors), il sistema di governance deve evolversi. COBIT 2019 non è "implementato una volta per sempre".
Esempio pratico: Se la tua azienda adotta una strategia cloud-first, i processi APO03 (Manage Enterprise Architecture) e BAI09 (Manage Assets) devono essere ricalibrati. Il sistema governance è vivo e dinamico.
4️⃣ Governance e management sono distinti
Principio: La governance (responsabilità del board) e il management (responsabilità degli executive) devono essere chiaramente separati.
Cosa significa: Il board valuta, dirige e monitora (dominio EDM). Il management pianifica, costruisce, esegue e monitora (domini APO, BAI, DSS, MEA). Sono ruoli complementari, non sovrapponibili.
Nel mio corso sottolineo: Il CIO non fa governance, fa management. La governance è compito dell'IT Steering Committee o del board. Questa distinzione è fondamentale e spesso fraintesa.
5️⃣ Il sistema di governance è personalizzato
Principio: Ogni organizzazione deve adattare COBIT alle proprie esigenze specifiche usando i Design Factors.
Cosa significa: Non esiste un'implementazione COBIT "standard". Una startup fintech avrà priorità diverse da una PA o da una banca tradizionale. I 11 Design Factors (strategia, rischio, compliance, tecnologia, ecc.) guidano la personalizzazione.
Novità rispetto a COBIT 5: COBIT 5 era più rigido. COBIT 2019 introduce i Design Factors proprio per rendere il framework adattabile a qualsiasi contesto.
6️⃣ Il sistema di governance copre l'intera organizzazione
Principio: La governance IT non riguarda solo il dipartimento IT, ma tutta l'informazione e la tecnologia dell'organizzazione (Enterprise I&T).
Cosa significa: Business units con propri sistemi, cloud pubblici, SaaS, fornitori IT esterni, IoT, AI: tutto rientra nel perimetro della governance COBIT 2019.
Esempio pratico: Il marketing usa HubSpot (SaaS), le vendite Salesforce, l'HR Workday. Anche se non gestiti dall'IT centrale, devono essere governati: sicurezza dati, conformità GDPR, integrazione, costi. COBIT 2019 copre tutto questo perimetro "end-to-end".
🔧 I 3 Principi del Framework di Governance
Questi principi descrivono come deve essere costruito il framework COBIT stesso per essere efficace:
| Principio | Descrizione | Beneficio |
|---|---|---|
| 1. Basato su modello concettuale | Il framework identifica componenti chiave e loro relazioni in modo coerente | Massima coerenza, possibilità di automazione, linguaggio comune |
| 2. Aperto e flessibile | Permette l'aggiunta di nuovi contenuti e Focus Areas senza rompere il modello | Si adatta a nuove tecnologie (AI, quantum computing) e normative future |
| 3. Allineato a standard globali | Si integra con ISO 27001, ITIL, NIST CSF, TOGAF, GDPR, NIS2 | Un solo framework per soddisfare multipli requisiti normativi e best practices |
💡 Perché questi principi sono importanti? Nelle mie sessioni di consulenza, vedo spesso organizzazioni che "fanno COBIT" senza comprendere questi principi fondamentali. Risultato: un'implementazione rigida, calata dall'alto, che non si adatta al contesto aziendale. I principi di COBIT 2019 sono la bussola per evitare questo errore.
Cosa C'è di Nuovo in COBIT 2019 (rispetto a COBIT 5)
COBIT 2019 non è una semplice "revisione" di COBIT 5, ma una re-architettura del framework per renderlo più adatto alla trasformazione digitale, al cloud, all'Agile e alla complessità normativa del 2026.
🆕 Le 4 Aree di Miglioramento Principali
1. Flessibilità e Apertura
COBIT 5: Framework rigido, "one-size-fits-all"
COBIT 2019: Introduce i 11 Design Factors per personalizzare il sistema di governance al contesto specifico dell'organizzazione
Architettura aperta: Puoi aggiungere nuove Focus Areas (es. AI Governance, Quantum Computing) senza modificare il core model
Nella pratica: Una PMI può implementare 15 processi critici, una multinazionale tutti i 40. Entrambe fanno "COBIT 2019" correttamente.
2. Attualità e Rilevanza
COBIT 5: Allineamento a standard del 2012 (ITIL v3, ISO 27001:2013)
COBIT 2019: Mappato agli standard più recenti: ITIL 4, ISO 27001:2022, NIST CSF 2.0, GDPR, NIS2, CMMI v2
Focus Areas predefinite: Cybersecurity, Cloud Computing, DevOps, Data Governance, GDPR Compliance, Business Continuity
Aggiornamenti continui: ISACA pubblica nuove Focus Areas (es. AI Governance nel 2024) che si integrano senza modificare il core
3. Approccio più Prescrittivo
COBIT 5: Framework descrittivo, lasciava molto all'interpretazione
COBIT 2019: Fornisce linee guida più dettagliate e prescrittive per implementare un sistema di governance "best-fit"
Varianti di componenti: Ogni processo, policy, struttura può avere "varianti" per contesti specifici (es. variante "Agile" del processo BAI03 - Manage Solutions Identification and Build)
Tool e template: COBIT 2019 include più strumenti pratici, checklist, esempi di governance artifacts
4. Gestione delle Prestazioni IT Migliorata
COBIT 5: Modello di maturità 0-5 basato su ISO/IEC 15504
COBIT 2019: Modello di capability ispirato a CMMI, più granulare e più allineato agli approcci di miglioramento continuo
Performance Management integrato: Metriche di governance (EDM), metriche di management, KPIs, KGIs integrati nel modello concettuale
Beneficio pratico: Puoi misurare la maturità di ogni singolo processo (capability assessment) e costruire roadmap di miglioramento basate su dati
Gli 11 Design Factors: La Grande Novità di COBIT 2019
I Design Factors sono probabilmente l'innovazione più importante di COBIT 2019. Permettono di personalizzare il sistema di governance basandosi sul contesto unico della tua organizzazione. Nelle mie implementazioni, uso sempre i Design Factors come punto di partenza dell'assessment.
| # | Design Factor | Domande chiave da porsi | Impatto sulla governance |
|---|---|---|---|
| 1 | Enterprise Strategy | Qual è la strategia aziendale? Crescita, stabilità, innovazione, efficienza? | Strategia "innovazione digitale" → priorità su APO02, BAI03, focus su agilità |
| 2 | Enterprise Goals | Quali obiettivi concreti nei prossimi 1-3 anni? | Goal "espansione internazionale" → APO03 (Enterprise Architecture) critico |
| 3 | Risk Profile | Qual è la propensione al rischio? Risk-averse o risk-taking? | Risk-averse (es. banca) → EDM03, APO12, DSS05 ad alta capability |
| 4 | IT-related Issues | Quali problemi IT ricorrenti? Incidenti, progetti falliti, sicurezza? | Troppi incidenti → priorità DSS02 (Incidents), DSS03 (Problems) |
| 5 | Threat Landscape | Quali minacce cyber, geopolitiche, operative? | Alto rischio ransomware → Focus Area Cybersecurity, DSS05, BAI06 |
| 6 | Compliance Requirements | Quali normative applicabili? GDPR, NIS2, SOX, settoriali? | GDPR + NIS2 → MEA03 (Compliance), APO12 (Risk), DSS05 (Security) |
| 7 | Role of IT | IT come support, factory, turnaround o strategic? | IT strategico (fintech) → tutto il dominio APO molto maturo |
| 8 | Sourcing Model | In-house, outsourcing, cloud, hybrid? | Multi-cloud → APO09 (Service Agreements), APO10 (Suppliers) critici |
| 9 | IT Implementation Methods | Waterfall, Agile, DevOps, mixed? | DevOps → varianti "Agile" dei processi BAI, integrazione con ITIL 4 |
| 10 | Technology Adoption Strategy | Quali tecnologie adottate/pianificate? Cloud, AI, IoT, blockchain? | Strategia AI → nuova Focus Area "AI Governance", processi EDM, APO12 |
| 11 | Enterprise Size | PMI, mid-size, enterprise, multinazionale? | PMI → versione semplificata: 5 EDM + 10-15 processi management |
💡 Come uso i Design Factors nelle implementazioni
Quando inizio un progetto COBIT 2019, organizzo sempre un workshop di 4 ore con il management per analizzare tutti gli 11 Design Factors. Da questo workshop emerge il "profilo" dell'organizzazione.
Poi uso il COBIT Design Toolkit di ISACA (software incluso con la licenza COBIT) che, inserendo i valori dei Design Factors, genera automaticamente:
- I processi prioritari per la tua organizzazione
- Il livello di capability target per ogni processo
- Le Focus Areas rilevanti
- Una roadmap di implementazione suggerita
Questo approccio data-driven riduce drasticamente il rischio di implementare "COBIT generico" che poi non funziona.
I 40 Processi di COBIT 2019 (da 37 di COBIT 5)
COBIT 2019 espande i processi da 37 a 40, con alcuni processi divisi per maggiore granularità e altri rinominati per chiarezza. I processi sono organizzati in 5 domini: 1 di governance (EDM) + 4 di management (APO, BAI, DSS, MEA).
🏛️ Dominio EDM – Evaluate, Direct and Monitor (5 processi)
Il dominio di governance (responsabilità del board/CDA). Questi 5 processi assicurano che la strategia IT sia allineata agli obiettivi aziendali e che rischi, benefici e risorse siano ottimizzati.
| Processo | Nome e Obiettivo |
|---|---|
| EDM01 | Ensure Governance Framework Setting and Maintenance – Stabilire e mantenere il framework di governance |
| EDM02 | Ensure Benefits Delivery – Assicurare che l'IT generi valore e benefici per il business |
| EDM03 | Ensure Risk Optimisation – Ottimizzare il profilo di rischio IT dell'organizzazione |
| EDM04 | Ensure Resource Optimisation – Ottimizzare l'uso delle risorse IT (persone, budget, asset) |
| EDM05 | Ensure Stakeholder Engagement – Coinvolgere gli stakeholder nella governance IT |
📋 Dominio APO – Align, Plan and Organise (14 processi)
Il dominio che allinea l'IT al business. Copre strategia IT, architettura, portfolio, budget, fornitori, rischio, competenze, innovazione.
Processi chiave APO in COBIT 2019: APO01 (IT Management Framework), APO02 (Strategy), APO03 (Enterprise Architecture), APO05 (Portfolio), APO07 (Human Resources), APO09 (Service Agreements), APO10 (Suppliers), APO12 (Risk), APO13 (Security)
🔨 Dominio BAI – Build, Acquire and Implement (11 processi)
Il dominio dello sviluppo e implementazione. Copre programmi, progetti, soluzioni, disponibilità, change management, acceptance, knowledge management.
🆕 Novità COBIT 2019: Il processo "Manage Programmes and Projects" di COBIT 5 è stato diviso in BAI01 (Manage Programmes) e processi separati per i progetti, per maggiore granularità. Inoltre, "Manage Knowledge" è ora un processo autonomo (BAI08).
Processi chiave BAI: BAI01 (Programmes), BAI02 (Requirements), BAI03 (Solutions Identification and Build), BAI04 (Availability and Capacity), BAI06 (IT Changes), BAI07 (IT Change Acceptance), BAI08 (Knowledge), BAI09 (Assets), BAI10 (Configuration), BAI11 (Projects)
⚙️ Dominio DSS – Deliver, Service and Support (6 processi)
Il dominio operativo che mantiene l'IT funzionante. Copre operations, service desk, incident, problem, continuità, security operations.
| DSS01 | Manage Operations – Gestione delle operazioni IT quotidiane |
| DSS02 | Manage Service Requests and Incidents – Service desk, incident management |
| DSS03 | Manage Problems – Problem management, root cause analysis |
| DSS04 | Manage Continuity – Business continuity e disaster recovery |
| DSS05 | Manage Security Services – Security operations, monitoring, response |
| DSS06 | Manage Business Process Controls – Controlli IT sui processi di business |
📊 Dominio MEA – Monitor, Evaluate and Assess (4 processi)
Il dominio del monitoraggio e valutazione. Chiude il ciclo di governance verificando performance, conformità e controllo interno.
🆕 Novità COBIT 2019: Il processo "Monitor, Evaluate and Assess the System of Internal Control" di COBIT 5 è stato diviso in MEA02 (System of Internal Control) e MEA04 (Managed Assurance), per separare controllo interno da assurance/audit.
Processi MEA: MEA01 (Performance and Conformance), MEA02 (System of Internal Control), MEA03 (Compliance with External Requirements), MEA04 (Assurance)
COBIT 2019 vs COBIT 5: Tabella Comparativa Completa
Questa tabella riassume tutte le differenze chiave tra le due versioni. Usala come guida per decidere se migrare da COBIT 5 a COBIT 2019 o per comprendere quale versione studiare.
| Aspetto | COBIT 5 (2012) | COBIT 2019 (raccomandato) |
|---|---|---|
| Anno rilascio | 2012 | 2018 (aggiornamenti 2019-2026) |
| Principi di governance | 5 principi | 6 principi sistema + 3 principi framework (9 totali) |
| Numero processi | 37 processi | 40 processi (più granulari) |
| Design Factors | ❌ Non presenti | ✅ 11 Design Factors per personalizzazione |
| Focus Areas | ❌ Non presenti | ✅ Cybersecurity, Cloud, DevOps, GDPR, AI, etc. |
| Componenti (ex Enablers) | 7 Enablers con modello generico | 7 Components con varianti per contesti specifici |
| Modello maturità | Scala 0-5 (ISO/IEC 15504) | Capability Model CMMI-inspired (più preciso) |
| Goals Cascade | Enterprise Goals → IT Goals → Enabler Goals | Enterprise Goals → Alignment Goals (più chiaro) |
| Flessibilità | Framework rigido "one-size-fits-all" | Altamente personalizzabile al contesto |
| Allineamento standard | ITIL v3, ISO 27001:2013, PRINCE2 | ITIL 4, ISO 27001:2022, NIST CSF 2.0, GDPR, NIS2 |
| Architettura | Chiusa | Aperta (nuove Focus Areas senza rompere il core) |
| Tool ISACA | COBIT Assessor (basico) | COBIT Design Toolkit (avanzato, AI-assisted) |
| Adatto per | Organizzazioni tradizionali, waterfall | Trasformazione digitale, cloud, Agile, DevOps |
| Certificazione | COBIT 5 Foundation (ancora disponibile) | COBIT 2019 Foundation (raccomandato) |
| Supporto ISACA | ✅ Supportato ma non più aggiornato | ✅ Supporto completo e aggiornamenti continui |
| Quando usare | Se già implementato e funziona bene | Per nuove implementazioni dal 2019 in poi |
✅ Il mio consiglio da trainer certificato
Se stai iniziando oggi, scegli COBIT 2019 senza dubbi. È più flessibile, più attuale, e ti prepara meglio per le sfide del 2026 (cloud, AI, cybersecurity, normative complesse).
Se hai già COBIT 5 implementato, non c'è urgenza di migrare. COBIT 5 continua a essere valido e supportato. Puoi pianificare una migrazione graduale nei prossimi 2-3 anni, partendo dall'adozione dei Design Factors per identificare i gap.
Path di migrazione consigliato: Assessment con Design Factors → Identificazione processi mancanti (da 37 a 40) → Integrazione Focus Areas rilevanti (es. Cybersecurity, Cloud) → Ri-assessment con capability model CMMI
👉 Leggi la guida completa COBIT 5 vs COBIT 2019 con esempi di migrazione dettagliati
Come Implementare COBIT 2019: Roadmap Pratica
Dopo aver seguito decine di implementazioni COBIT 2019, ho consolidato un approccio in 6 fasi che funziona sia per PMI che per grandi organizzazioni. L'errore più comune è partire dai processi: bisogna invece partire dal contesto (Design Factors).
📍 Fase 1: Assessment del Contesto (Design Factors)
Durata: 2-4 settimane | Deliverable: Profilo organizzazione e priorità governance
- Workshop con top management per analizzare gli 11 Design Factors
- Analisi documenti strategici (business plan, risk register, compliance matrix)
- Interviste con key stakeholders (board, CIO, CISO, business leaders)
- Utilizzo COBIT Design Toolkit per generare profilo governance
Output: Lista processi prioritari, capability target per ogni processo, Focus Areas rilevanti
📍 Fase 2: Current State Assessment (AS-IS)
Durata: 4-8 settimane | Deliverable: Gap analysis e maturity heatmap
- Capability assessment sui processi prioritari (non tutti i 40!)
- Valutazione su scala 0-5 per ogni processo
- Identificazione evidenze di processo, documentazione, tool
- Interviste con process owners e team operativi
- Heatmap di maturità per visualizzare gap
Output: Maturity report, gap analysis, priorità di intervento
📍 Fase 3: Target State Design (TO-BE)
Durata: 2-3 settimane | Deliverable: Target governance architecture
- Definizione capability target per ogni processo (basato su Design Factors)
- Design strutture di governance (IT Steering Committee, ruoli RACI)
- Definizione policies, procedures, governance artifacts
- Identificazione KPIs e metriche per ogni processo
- Integrazione con framework esistenti (ITIL, ISO 27001, ecc.)
Output: Target operating model, governance charter, policies framework
📍 Fase 4: Roadmap e Quick Wins
Durata: 1-2 settimane | Deliverable: Roadmap 18-24 mesi con quick wins
- Prioritizzazione interventi: quick wins (3-6 mesi), medium term (6-12 mesi), long term (12-24 mesi)
- Identificazione 3-5 quick wins ad alto impatto (es. EDM03 Risk, APO12 Risk Management)
- Piano di comunicazione e change management
- Budget e allocation risorse
Consiglio: Parti sempre da EDM (governance board-level) + 2-3 processi APO critici. I quick wins creano momentum.
📍 Fase 5: Implementazione Iterativa
Durata: 12-18 mesi | Deliverable: Processi implementati e operativi
- Implementazione a ondate (wave 1: EDM + APO, wave 2: BAI + DSS, wave 3: MEA)
- Per ogni processo: design dettagliato, piloting, rollout, training
- Setup governance bodies (IT Steering Committee, Risk Committee, Architecture Board)
- Implementazione tool di supporto (GRC platform, portfolio management, ITSM)
- Formazione process owners e team
Approccio Agile: Sprint di 6-8 settimane, retrospettive, adattamento continuo
📍 Fase 6: Monitoraggio e Miglioramento Continuo
Durata: Ongoing | Deliverable: Dashboard governance, capability trend
- Monitoraggio KPIs e metriche di governance (dashboard mensili)
- Re-assessment capability ogni 12-18 mesi
- Aggiornamento basato su cambiamenti Design Factors
- Continuous improvement e lessons learned
Best practice: Processi MEA (Monitor, Evaluate, Assess) diventano il motore del miglioramento continuo
⏱️ Quanto tempo serve per implementare COBIT 2019?
Quick win (governance minima): 3-6 mesi – EDM completo + 5-10 processi management critici
Implementazione standard: 12-18 mesi – EDM + 20-25 processi management
Implementazione enterprise completa: 18-24 mesi – Tutti i 40 processi a capability target
Il mio consiglio: Meglio 15 processi implementati bene che 40 processi "sulla carta". La qualità dell'implementazione conta più della completezza.
Focus Areas di COBIT 2019: Governance per Temi Specifici
Le Focus Areas sono uno dei grandi vantaggi di COBIT 2019. Permettono di applicare COBIT a domini specifici (cybersecurity, cloud, GDPR) senza dover riprogettare tutto il framework. ISACA pubblica regolarmente nuove Focus Areas.
🔐 Focus Area Cybersecurity (la più usata)
Cos'è: Mappatura COBIT 2019 sul NIST Cybersecurity Framework 2.0 (6 funzioni: Govern, Identify, Protect, Detect, Respond, Recover)
Processi COBIT coinvolti: EDM03 (Risk), APO12 (Risk), APO13 (Security), DSS05 (Security Services), BAI06 (Changes), MEA03 (Compliance)
Quando usarla: Conformità NIS2, ISO 27001, settori regolamentati (banche, energia, sanità)
Deliverable: Cybersecurity governance framework completo allineato a NIST CSF + COBIT 2019
☁️ Focus Area Cloud Computing
Cos'è: Governance per ambienti cloud (IaaS, PaaS, SaaS, multi-cloud, hybrid)
Processi COBIT coinvolti: APO03 (Enterprise Architecture), APO09 (Service Agreements), APO10 (Suppliers), BAI09 (Assets), DSS01 (Operations)
Esempio pratico: Ho usato questa Focus Area per governare un ambiente multi-cloud (AWS + Azure + Google Cloud) di una multinazionale. Risultato: visibility completa, costi ridotti 30%, governance centralizzata.
🔒 Focus Area GDPR & Data Privacy
Cos'è: Mappatura COBIT 2019 sui requisiti GDPR (99 articoli) e governance della data privacy
Processi COBIT coinvolti: EDM03 (Risk), APO12 (Risk), APO13 (Security), BAI02 (Requirements), BAI10 (Configuration), DSS05 (Security), MEA03 (Compliance)
Quando usarla: Qualsiasi organizzazione che tratta dati personali in Europa, preparazione audit Garante Privacy
Beneficio: Un framework di governance GDPR-compliant che copre tutti i principi (lawfulness, purpose limitation, data minimization, accuracy, storage limitation, integrity, accountability)
🚀 Focus Area DevOps
Cos'è: Adattamento COBIT 2019 per ambienti DevOps, CI/CD, sviluppo Agile
Processi COBIT coinvolti: BAI01 (Programmes), BAI03 (Solutions Build), BAI06 (Changes), BAI07 (Change Acceptance), DSS01 (Operations)
Novità: Varianti "Agile" dei processi BAI che integrano pratiche DevOps (automated testing, continuous deployment, infrastructure as code)
Compatibilità: Si integra perfettamente con ITIL 4 (che ha un modulo DevOps) e con framework come SAFe, Scrum
🤖 Focus Area AI Governance (nuova 2024)
Cos'è: Governance per sistemi di Intelligenza Artificiale e Machine Learning
Processi COBIT coinvolti: EDM03 (AI Risk), APO12 (AI Risk Management), APO13 (AI Ethics), BAI03 (ML Model Development), MEA03 (AI Compliance con EU AI Act)
Temi coperti: AI ethics, bias mitigation, explainability, model governance, AI risk assessment, EU AI Act compliance
Importante nel 2026: Con l'EU AI Act in vigore, la governance AI diventa obbligatoria per sistemi ad alto rischio. Questa Focus Area fornisce il framework completo.
Altre Focus Areas disponibili: Business Continuity Management, Information Security, IT Assurance, Small and Medium Enterprises (SME), Risk Management
Certificazione COBIT 2019 Foundation
La certificazione COBIT 2019 Foundation è il punto di partenza per professionisti IT che vogliono specializzarsi in governance IT. È riconosciuta a livello internazionale e richiesta per ruoli come IT Auditor, Governance Manager, CISO, Risk Manager, Enterprise Architect.
📋 Struttura dell'esame COBIT 2019 Foundation
| Ente certificatore | ISACA (Information Systems Audit and Control Association) |
| Versione esame | COBIT 2019 Foundation (basato su COBIT 2019 framework) |
| Prerequisiti | Nessuno (livello Foundation) |
| Durata corso | 14 ore (2 giorni full-time in aula/virtual classroom) |
| Formato esame | 40 domande a scelta multipla |
| Durata esame | 40 minuti (1 minuto per domanda) |
| Punteggio superamento | 26/40 (65%) |
| Lingua esame | Italiano, Inglese, Spagnolo, Francese, Tedesco, altre lingue |
| Modalità esame | Online proctored (da casa con supervisione) o Test Center |
| Materiale consentito | ❌ Closed book (nessun materiale consentito) |
| Validità certificato | Permanente (no rinnovo richiesto) |
| Costo medio | 1.200€ - 1.800€ (corso + esame + materiali) |
🎯 Syllabus COBIT 2019 Foundation: cosa studierai
Modulo 1: Introduzione
- Cos'è COBIT 2019
- Storia ed evoluzione
- Differenze con COBIT 5
- Governance vs Management
Modulo 2: Principi
- 6 principi sistema governance
- 3 principi framework governance
- Applicazione pratica principi
Modulo 3: Design Factors
- 11 Design Factors
- Come personalizzare COBIT
- COBIT Design Toolkit
- Esercitazioni pratiche
Modulo 4: Core Model
- 5 domini (EDM, APO, BAI, DSS, MEA)
- 40 processi di governance
- Obiettivi processi
- Governance artifacts
Modulo 5: Componenti
- 7 componenti governance system
- Varianti di componenti
- Integrazione componenti
Modulo 6: Focus Areas
- Cybersecurity
- Cloud Computing
- DevOps
- GDPR & Data Privacy
Modulo 7: Implementation
- Roadmap implementazione
- Capability assessment
- Performance management
- Casi pratici
Modulo 8: Exam Prep
- Tipologie domande esame
- Mock exam completo
- Review aree critiche
- Tips & tricks
💡 I Miei 7 Consigli per Superare l'Esame (da Trainer Certificato)
- Comprendi i 6+3 principi di COBIT 2019 – Sono la base concettuale dell'esame. Aspettati 8-10 domande su principi e loro applicazione.
- Memorizza i 5 domini e i loro obiettivi – Non serve conoscere tutti i 40 processi nel dettaglio, ma devi saper riconoscere a quale dominio appartiene un processo e il suo scopo.
- Focus sui Design Factors – Novità di COBIT 2019, domande garantite. Studia bene come si usano per personalizzare la governance.
- Non confondere Governance e Management – Errore frequentissimo: EDM è governance (board), APO/BAI/DSS/MEA sono management (executives). Capire questa distinzione vale 5-6 domande.
- Studia le differenze COBIT 5 vs COBIT 2019 – Domande trabocchetto comuni: "Cosa NON è presente in COBIT 5?", "Quale processo è nuovo in COBIT 2019?"
- Pratica con simulatori d'esame – Il nostro simulatore COBIT ha domande identiche per tipologia e difficoltà all'esame reale. Chi fa almeno 3 simulazioni complete ha success rate 95%.
- Gestisci bene il tempo – 40 domande in 40 minuti = 1 minuto/domanda. Non perdere tempo su domande difficili, segnale e torna dopo. Lascia 5 minuti finali per review.
⚠️ Errori comuni all'esame (e come evitarli)
- ❌ Confondere componenti con processi – Le 7 componenti sono strutture del sistema (es. Policies, Processes, Structures), i 40 processi sono attività specifiche (es. EDM01, APO02)
- ❌ Pensare che COBIT 2019 sostituisca COBIT 5 – COBIT 5 è ancora valido e supportato, COBIT 2019 è un'evoluzione
- ❌ Non capire il ruolo dei Design Factors – Non sono "opzionali", sono il meccanismo centrale per personalizzare COBIT
- ❌ Studiare solo i processi – L'esame testa principalmente principi, concetti, design factors. I 40 processi sono solo 30% delle domande
👉 Vuoi prepararti all'esame COBIT 2019 Foundation? Abbiamo un percorso completo con corso accreditato ISACA, materiali ufficiali e simulatore d'esame. Scopri il corso COBIT Foundation
👉 Testa subito la tua preparazione: Prova il simulatore d'esame COBIT gratuito (10 domande)
Casi Pratici: COBIT 2019 in Azione
Nella mia esperienza di consulente e trainer, ho visto COBIT 2019 applicato con successo in contesti molto diversi. Ecco 3 casi reali (nomi aziende cambiati per privacy).
📌 Caso 1: Banca Regionale – Conformità NIS2 + Cybersecurity
Cliente: Banca di credito cooperativo, 800 dipendenti, €2 miliardi asset
Sfida: Conformità NIS2 (scadenza giugno 2025), governance cybersecurity frammentata, nessun framework strutturato
Approccio COBIT 2019:
- Assessment con Design Factors → Profilo: high risk, alta compliance, IT strategico, threat landscape critico
- Implementazione prioritaria: EDM03 (Risk Optimisation) + APO12 (Risk Management) + APO13 (Security) + DSS05 (Security Services)
- Utilizzo Focus Area "Cybersecurity" con mappatura NIST CSF 2.0
- Setup IT Security Committee (governance) + CSIRT operativo (management)
- Integrazione con ISO 27001 già implementato
Risultati dopo 12 mesi:
- ✅ Conformità NIS2 raggiunta e certificata da auditor esterno
- ✅ Capability processi cybersecurity da livello 2 (managed) a livello 4 (predictable)
- ✅ Rischi cyber identificati e mitigati: da 87 rischi high/critical a 12
- ✅ IT Security Committee operativo con reporting trimestrale al board
- ✅ Zero incident critici negli ultimi 9 mesi (vs media 2-3/anno nel passato)
📌 Caso 2: Multinazionale Manufacturing – Cloud Governance
Cliente: Gruppo industriale, 22 plant in 8 paesi, 5.000 dipendenti
Sfida: Esplosione costi cloud (+120% in 2 anni), 17 business unit con provider diversi (AWS, Azure, Google, Alibaba), nessuna governance centrale, shadow IT diffuso
Approccio COBIT 2019:
- Design Factors → Priorità su sourcing model (multi-cloud), technology strategy (cloud-first), enterprise size (large, multinazionale)
- Focus Area "Cloud Computing" come base
- Processi prioritari: APO03 (Enterprise Architecture cloud-native), APO09 (Service Agreements con provider), APO10 (Supplier Management), BAI09 (Asset Management cloud), DSS01 (Cloud Operations)
- Setup Cloud Center of Excellence (governance) + FinOps team (cost optimization)
- Implementazione Cloud Management Platform (CMP) per visibility multi-cloud
Risultati dopo 18 mesi:
- ✅ Costi cloud ridotti del 34% (da €8.2M a €5.4M/anno) con servizi aumentati
- ✅ Visibilità completa su 2.847 servizi cloud attivi (prima: nessun inventario)
- ✅ Standardizzazione: da 17 approcci diversi a 1 framework governance unificato
- ✅ Time-to-market nuovi servizi cloud: da 6-8 settimane a 2 settimane (approval automatico per servizi pre-approvati)
- ✅ Conformità GDPR su tutti gli ambienti cloud (prima: 11 violazioni potenziali identificate)
📌 Caso 3: Startup Fintech – Governance "Lean" per Crescita Rapida
Cliente: Startup fintech (lending platform), 120 persone, crescita 300%/anno, serie B funding
Sfida: Crescita rapidissima con governance zero, richieste compliance da venture capital, preparazione audit per licensing bancario, team 100% DevOps/Agile
Approccio COBIT 2019:
- Design Factors → Enterprise size (small), IT role (strategic), implementation methods (DevOps), threat landscape (high per settore fintech), compliance (PSD2, AML, GDPR)
- Implementazione "lean": solo 5 EDM + 12 processi management critici (no full 40 processi)
- Focus Areas: Cybersecurity + DevOps + GDPR
- Processi: EDM completo (5 processi) + APO02 (Strategy), APO05 (Portfolio), APO12 (Risk), APO13 (Security), BAI03 (DevOps-variant), BAI06 (Changes), DSS02 (Incidents), DSS05 (Security), MEA01 (Performance), MEA03 (Compliance), MEA04 (Assurance)
- Integrazione con toolchain esistente (Jira, GitLab, AWS, Datadog)
Risultati dopo 8 mesi:
- ✅ Audit pre-licensing superato senza major findings
- ✅ Framework governance riconosciuto e apprezzato da venture capital (facilitato serie C)
- ✅ Governance "non invasiva": velocity team di sviluppo mantenuta (anzi, +12% per riduzione rework)
- ✅ Risk register strutturato: da 0 a 94 rischi identificati e gestiti
- ✅ Conformità GDPR, PSD2, AML embedded nei processi (no "compliance teatro")
- ✅ Capability da livello 1 (ad-hoc) a livello 3 (established) in 8 mesi
💡 Lezione chiave da questi casi: COBIT 2019 funziona a qualsiasi scala e in qualsiasi contesto, se personalizzato correttamente con i Design Factors. Non esiste "troppo piccoli per COBIT" o "troppo Agile per COBIT". Esiste solo implementazione ben fatta vs implementazione rigida e burocratica.
Risorse e Prossimi Passi
📚 Approfondisci COBIT
🎓 Formazione e Certificazione
Vuoi Implementare COBIT 2019 nella Tua Organizzazione?
I nostri consulenti certificati ISACA possono supportarti con assessment di maturità, design del sistema di governance personalizzato, implementazione guidata e formazione del team.
Domande Frequenti su COBIT 2019
❓ Devo migrare da COBIT 5 a COBIT 2019?
Non è obbligatorio. COBIT 5 è ancora pienamente supportato da ISACA e valido. Tuttavia, se stai iniziando una nuova implementazione o se la tua organizzazione sta affrontando trasformazione digitale, cloud, AI o ha nuovi requisiti normativi (NIS2, GDPR), COBIT 2019 è la scelta migliore. Per chi ha già COBIT 5, consiglio un assessment con i Design Factors per identificare gap e pianificare migrazione graduale.
❓ Posso implementare COBIT 2019 in ambiente Agile/DevOps?
Assolutamente sì. COBIT 2019 ha la Focus Area "DevOps" e varianti dei processi specifiche per ambienti Agile. La governance COBIT 2019 è complementare (non in conflitto) con Agile/DevOps: COBIT governa cosa deve essere fatto, Agile/DevOps definisce come farlo. Ho implementato COBIT 2019 con successo in startup 100% DevOps: la chiave è non burocratizzare, ma embedded governance nei tool e workflow esistenti.
❓ Quanto costa implementare COBIT 2019?
Dipende da scope e dimensioni. PMI (governance lean, 15 processi): €30.000-€60.000 (assessment, design, implementazione base). Media impresa (20-25 processi): €80.000-€150.000. Enterprise (40 processi completi): €200.000-€500.000+. I costi includono: consulenza, assessment, design, implementazione, training, tool (GRC platform opzionale). ROI tipico: recupero investimento in 12-18 mesi tramite riduzione rischi, ottimizzazione costi IT, conformità normativa.
❓ COBIT 2019 è obbligatorio per conformità NIS2?
COBIT 2019 non è obbligatorio per legge, ma è il framework più completo per soddisfare i requisiti NIS2. La direttiva NIS2 richiede governance della cybersecurity, gestione del rischio, business continuity, gestione fornitori, audit: tutti coperti da COBIT 2019 (processi EDM03, APO12, APO13, DSS04, DSS05, MEA03). Molti auditor NIS2 riconoscono COBIT come "gold standard" e un'implementazione COBIT 2019 ben fatta semplifica molto la dimostrazione di conformità.
❓ Posso usare COBIT 2019 insieme a ITIL 4 e ISO 27001?
Sì, è l'approccio raccomandato. I framework sono complementari: COBIT 2019 fornisce la governance strategica (board-level), ITIL 4 le pratiche operative di service management, ISO 27001 i controlli di information security. Nella pratica: COBIT processi EDM/APO governano, ITIL 4 practices operano (DSS), ISO 27001 controlla (MEA). COBIT 2019 ha mappature ufficiali con entrambi gli standard, quindi l'integrazione è diretta.
❓ Devo certificare tutta l'azienda o solo l'IT?
COBIT 2019 è un framework, non una certificazione aziendale (come ISO 27001). La certificazione COBIT Foundation è individuale (per persone). L'implementazione COBIT 2019 riguarda l'intera organizzazione (Enterprise I&T), non solo il dipartimento IT: business units, finance, HR, legal, tutti usano tecnologia e informazioni, quindi tutti rientrano nel perimetro governance. Il board e il top management sono attori chiave (governance EDM).
Conclusioni: COBIT 2019 è il Futuro della Governance IT
Dopo aver formato centinaia di professionisti e seguito decine di implementazioni COBIT 2019, posso dire con certezza che questo framework rappresenta lo stato dell'arte della governance IT nel 2026.
I 3 vantaggi chiave di COBIT 2019 rispetto a COBIT 5:
- Flessibilità – I Design Factors permettono di adattare COBIT a qualsiasi contesto, da startup a multinazionali
- Attualità – Focus Areas per cloud, AI, cybersecurity, DevOps, GDPR: tutto ciò che serve nel 2026
- Prescrittività – Non più solo "cosa fare" ma anche "come farlo", con varianti, tool, template
COBIT 2019 risponde alle sfide concrete delle organizzazioni moderne:
- ✅ Governance della trasformazione digitale e dell'AI
- ✅ Conformità a normative complesse (NIS2, GDPR, DORA, EU AI Act)
- ✅ Gestione del rischio in ambienti cloud, hybrid e multi-cloud
- ✅ Integrazione con Agile, DevOps, ITIL 4 senza burocratizzare
- ✅ Ottimizzazione investimenti IT con metriche basate sul valore
- ✅ Governance enterprise end-to-end, non solo IT centrale
"COBIT 2019 non è un vincolo burocratico: è un enabler di trasformazione. Le organizzazioni che lo implementano bene ottengono decision-making migliore, rischi sotto controllo, conformità senza fatica, e IT finalmente riconosciuto come asset strategico. La chiave è personalizzare con i Design Factors e implementare in modo pragmatico, non dogmatico."
— Il Team BITIL, Accredited Training Provider ISACA
Inizia il tuo percorso COBIT 2019 oggi:
- 👉 Iscriviti al corso COBIT 2019 Foundation accreditato ISACA
- 👉 Testa la tua preparazione con il simulatore gratuito
- 👉 Richiedi una consulenza per implementare COBIT 2019
- 👉 Vedi il calendario 2026 e le prossime edizioni
📢 Aggiornamenti e Novità COBIT 2019
Ultimo aggiornamento: Febbraio 2026 | Questa guida viene aggiornata regolarmente con le ultime Focus Areas pubblicate da ISACA, aggiornamenti normativi (NIS2, EU AI Act), e best practices emergenti dall'esperienza sul campo. Per rimanere aggiornato, iscriviti alla nostra newsletter o seguici su LinkedIn.
🎯 Prossime Edizioni COBIT 2019 Foundation
Certificati con i nostri trainer esperti ISACA. Corso accreditato, materiali ufficiali, simulatore d'esame incluso. Posti limitati per garantire qualità.
Hai domande su COBIT 2019? Il nostro team di esperti certificati ISACA è a tua disposizione. Contattaci via email, WhatsApp +39 349.6588077 o chiamaci.
📚 Guide Correlate che Potrebbero Interessarti
⚠️ Nota Importante sulla Certificazione e sui Marchi
COBIT® 2019 è un marchio registrato di ISACA (Information Systems Audit and Control Association). BITIL.COM è un Accredited Training Provider ISACA autorizzato all'erogazione di corsi ufficiali COBIT 2019 Foundation e al rilascio di voucher d'esame. Tutti i nostri trainer sono certificati ISACA e hanno esperienza pluriennale in governance IT e implementazioni COBIT. Verifica i nostri accreditamenti ufficiali.
Keywords e Temi Correlati: COBIT 2019, COBIT 2019 Foundation, framework governance IT, ISACA, governance system, design factors COBIT, 40 processi COBIT, domini EDM APO BAI DSS MEA, COBIT vs COBIT 5, differenze COBIT 5 2019, focus area cybersecurity, focus area cloud computing, focus area DevOps, focus area AI governance, certificazione COBIT, esame COBIT 2019, conformità NIS2, governance GDPR, IT risk management, enterprise architecture governance, capability assessment, CMMI, NIST CSF alignment, ISO 27001 integration, ITIL 4 integration, TOGAF COBIT, implementazione COBIT 2019, consulenza governance IT, corso COBIT Italia
