[FEAT] ISO-readiness: Audit interni (§9.2) + Riesame Direzione (§9.3) + Calendario scadenze (mig.055-056, v1.22.0)

Rilascio unico (3 moduli) costruito in flotta parallela + verifica avversariale.

MODULO A — Audit interni (ISO 27001 §9.2, mig.055): internal_audits + internal_audit_items;
codice AUD-NNN; checklist pre-popolata (clausole 4-10 + Annex A applicabili dal SoA);
esiti per riga; apertura non conformità collegata a NCR/CAPA (source polimorfico);
report HTML stampabile. InternalAuditController + internal-audits.html.

MODULO B — Riesame di Direzione (ISO 27001 §9.3, mig.056): management_reviews +
management_review_decisions; codice RD-AAAA-NN; INPUT aggregati automaticamente dai
moduli (gather: NC/CAPA, audit interni, rischi+trattamenti, KPI/score, obiettivi, formazione,
stakeholder, normative, scadenze), congelati nello snapshot all'approvazione; decisioni;
verbale stampabile. ManagementReviewController + management-review.html.

MODULO C — Calendario unico scadenze: aggregatore SOLA LETTURA (nessuna migrazione) di tutte
le scadenze (incidenti/policy/rischi/NC-CAPA/formazione/stakeholder/audit/riesame/review_schedule),
griglia mensile + lista + filtri + deep-link. CalendarController + calendario.html.

Integrazione: router (3 controller+actionMap), api.js, sidebar V2+legacy, help.js (3 sezioni),
i18n (IT+EN), review_schedule ENUM += internal_audit. v1.22.0 + sw cache + cache-buster 20260630.

Verifica flotta (28 agenti, 4 dim + avversariale): 9 finding confermati, TUTTI corretti —
MAJOR gatherRisks (risk_treatments.organization_id inesistente → JOIN risks); nextCode numerico
(no dup >99/anno); footer report audit con etichetta "ISO buona prassi, non obbligo"; help 24→25
clausole; ARIA tab/calendario; focus modali; tasti su celle calendario; rimossi helper api morti.

Smoke prod OK (calendario 18 eventi, audit AUD-001 25 item + report + audit→NCR + audit→calendario,
riesame gather/decisione/approve/report, gatherRisks ora available); org 151 ripulita. Additivo.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

public/index.php

@@ -94,6 +94,9 @@ $controllerMap = [
     'stakeholders'  => 'StakeholderController',         // Epic C / C5 — Registro stakeholder + matrice di Mendelow
     'stakeholder-activities' => 'StakeholderActivityController', // Epic C / C5.2 — Attività stakeholder (questionari/azioni + calendario)
     'stakeholder-portal'     => 'StakeholderPortalController',   // Epic C / C5.2b — Portale esterno stakeholder (token magic-link, NO JWT)
+    'internal-audits' => 'InternalAuditController', // Modulo A — Audit interni ISO 27001 §9.2
+    'management-reviews' => 'ManagementReviewController', // Modulo B — Riesame di Direzione ISO 27001 §9.3
+    'calendar' => 'CalendarController',         // Modulo C — Calendario unico scadenze (aggregatore sola lettura)
     'assessments'   => 'AssessmentController',
     'isms'          => 'IsmsModelController',        // Modello Organizzativo SGSI (ISO 27001/27017/27018 + SoA)
     'dashboard'     => 'DashboardController',
@@ -475,6 +478,38 @@ $actionMap = [
         'POST:attachment' => 'attachment',
     ],
 
+    // ── InternalAuditController (Modulo A — Audit interni ISO 27001 §9.2) ──
+    'internal-audits' => [
+        'GET:list'              => 'list',
+        'POST:create'          => 'create',
+        'POST:items'           => 'addItem',
+        'PUT:items/{subId}'    => 'updateItem',
+        'GET:{id}'             => 'get',
+        'PUT:{id}'             => 'update',
+        'DELETE:{id}'          => 'delete',
+        'POST:{id}/raiseNcr'   => 'raiseNcr',
+        'GET:{id}/report'      => 'report',
+    ],
+
+    // ── ManagementReviewController — Riesame di Direzione (ISO 27001 §9.3, Modulo B) ──
+    'management-reviews' => [
+        'GET:list'                  => 'list',
+        'GET:gather'                => 'gather',
+        'POST:create'               => 'create',
+        'GET:{id}'                  => 'get',
+        'PUT:{id}'                  => 'update',
+        'POST:{id}/decisions'       => 'addDecision',
+        'PUT:decisions/{subId}'     => 'updateDecision',
+        'POST:{id}/approve'         => 'approve',
+        'GET:{id}/report'           => 'report',
+    ],
+
+    // ── CalendarController (Modulo C — calendario unico scadenze, sola lettura) ──
+    'calendar' => [
+        'GET:events'  => 'events',
+        'GET:summary' => 'summary',
+    ],
+
     // ── AuditController ─────────────────────────────
     'audit' => [
         'GET:controls'              => 'listControls',