Corma vs Okta

La piattaforma IAM-più-governance-SaaS parigina contro lo standard di accesso Nasdaq

Corma è il prodotto di CORMA SAS — una société par actions simplifiée francese, registrata a Parigi sotto SIREN 953 523 271, costituita a giugno 2023, con 11-50 dipendenti al 96bis Boulevard Raspail. L’azienda è di fondazione e proprietà francese; un round seed da 3,5 milioni di euro a dicembre 2025 è stato guidato da XTX Ventures. Sia nel 2025 sia nel 2026 Gartner ha citato Corma nel Magic Quadrant per le SaaS Management Platform — il riconoscimento formale degli analisti che spesso è una qualifica richiesta per l’approvvigionamento enterprise.

Corma copre una superficie combinata distinta: IAM workforce (single sign-on, provisioning joiner-mover-leaver, richieste di accesso self-serve, controllo degli accessi basato sui ruoli, revisioni degli accessi) più gestione SaaS (rilevamento dello shadow IT, visibilità sulla spesa per licenze, rilevamento dei posti inutilizzati, inventario delle applicazioni). La maggior parte dei concorrenti fa l’uno o l’altro; Corma fa entrambi in un’unica piattaforma, ospitata in Francia su AWS (regione di Parigi), certificata ISO 27001 e SOC 2.

Okta è una business unit di Okta, Inc. — incorporata nel Delaware, quotata al Nasdaq (OKTA), con sede a San Francisco, California. Okta è il leader di mercato dell’IAM enterprise — prodotto maturo, ecosistema di partner profondo, capacità di federazione enterprise estese. Il suo add-on Okta Identity Governance aggiunge revisioni degli accessi e gestione del ciclo di vita; combinato con una piattaforma separata di gestione SaaS (Zluri, Torii) si avvicina alla superficie combinata di Corma. Tuttavia, ai sensi del CLOUD Act e della FISA Section 702, Okta come società statunitense è giuridicamente obbligabile a divulgare i dati di identità dei clienti indipendentemente dalla regione di hosting.

Per le organizzazioni europee dove il sistema di identità detiene un’esposizione regolatoria o di sovranità sostanziale — e le griglie di approvvigionamento 2026 pongono sempre più direttamente questa domanda — Corma è l’alternativa europea strutturale.

Confronto giurisdizionale

	Corma	Okta
Sede	Parigi, Francia	San Francisco, California, USA
Entità societaria	CORMA SAS (SIREN 953 523 271)	Okta, Inc. (Delaware; Nasdaq: OKTA)
Fondata	Giugno 2023 (fondatori francesi)	2009
Proprietà	Privata, VC-backed (seed 3,5M€, dic 2025, XTX Ventures)	Pubblica (Nasdaq: OKTA)
Esposizione CLOUD Act	⚠️ Indiretta (nessuna capogruppo USA; AWS regione di Parigi + sub-responsabili USA)	Sì (capogruppo incorporata negli USA)
Esposizione FISA 702	Nessuna	Sì
Residenza dei dati	Francia (AWS, regione di Parigi)	Regioni globali incluse UE; Okta non può eliminare l’esposizione della capogruppo statunitense
Certificazioni	ISO 27001, SOC 2, GDPR-native	ISO 27001, SOC 2, FedRAMP, HITRUST
Riconoscimento degli analisti	Gartner Magic Quadrant SMP 2025 + 2026	Gartner Magic Quadrant AM Leader (di lunga data)

Capacità del prodotto

Workforce Identity + Single Sign-On

• Corma: SSO, MFA, controllo degli accessi basato sui ruoli, richieste di accesso self-serve con flussi di approvazione, provisioning joiner-mover-leaver integrato nell’intero stack SaaS.
• Okta: SSO su scala enterprise con il catalogo di federazione più profondo del settore — oltre 7.000 integrazioni applicative pre-costruite, Adaptive MFA, Universal Directory, Access Gateway per app legacy on-prem.

Da notare: la profondità di federazione di Okta resta il riferimento di settore per scenari enterprise complessi. Corma copre i casi standard di IAM workforce e in più aggiunge nativamente la gestione SaaS, senza richiedere una seconda piattaforma.

Revisioni degli accessi + Identity Governance

• Corma: revisioni degli accessi automatizzate con output di evidenze pronte per l’audit — progettate direttamente per il consumo di audit SOX, ISO 27001, ISAE 3402. Incluse nella piattaforma core.
• Okta: Okta Identity Governance (OIG) fornisce revisioni degli accessi e governance del ciclo di vita, ma come livello di acquisto separato rispetto a Okta Workforce Identity.

Da notare: Corma include la governance nel core; il livello Governance di Okta è una voce di costo aggiuntiva sostanziale.

Gestione SaaS + Rilevamento dello Shadow IT

• Corma: rilevamento delle applicazioni nell’intero stack SaaS inclusi gli strumenti non autorizzati; visibilità su licenze e spesa; rilevamento dei posti inutilizzati; deprovisioning automatizzato degli account con licenze eccessive.
• Okta: nessuna funzionalità nativa di gestione SaaS o di spesa per licenze; i clienti affiancano Okta a Zluri, Torii, Productiv o BetterCloud (tutti con sede negli Stati Uniti).

Da notare: questa è la differenziazione strutturale di Corma — la capacità di gestione SaaS che Okta richiede uno strumento partner con capogruppo statunitense per aggiungere.

Provisioning Joiner-Mover-Leaver

• Corma: workflow JML nativi collegano eventi triggerati dall’HR (tramite integrazioni HRIS come Deel) al provisioning e deprovisioning nell’intero stack SaaS connesso. Provisioning zero-touch per i ruoli standard.
• Okta: Lifecycle Management (un livello OIG) fornisce workflow di provisioning triggerati dall’HR con configurazione di policy ricca.

Da notare: entrambi coprono JML in modo approfondito; la differenza è la superficie di integrazione (i connettori Okta sono più profondi per le app legacy; l’approccio agent-based di Corma copre il SaaS long-tail).

Evidenze di audit + Conformità

• Corma: output di evidenze pronto per l’audit integrato nel workflow di revisione degli accessi — progettato per essere consumato direttamente dagli auditor SOX, dagli auditor ISO 27001 e da framework equivalenti.
• Okta: OIG produce audit trail conformi; tipicamente consumati tramite esportazioni System Log più integrazioni GRC di terze parti.

Modello di sovranità

La distinzione strutturale è la capogruppo societaria:

• Corma: capogruppo francese (CORMA SAS, SIREN 953 523 271); ospitata su AWS (regione di Parigi); giurisdizione francese/UE; GDPR-native. Nessuna capogruppo statunitense; ospitato su AWS (regione di Parigi) → esposizione indiretta al CLOUD Act tramite un sub-responsabile statunitense (altri sub-responsabili statunitensi: Google, GitHub, Vercel, Heroku, PostHog, Browserbase).
• Okta: capogruppo statunitense (Okta, Inc., Delaware, Nasdaq: OKTA); regioni UE disponibili per la residenza dei dati; il CLOUD Act e la FISA Section 702 si applicano comunque a Okta come società statunitense indipendentemente da dove risiedono fisicamente i dati.

Per banche francesi, assicurazioni, pubbliche amministrazioni, contractor della difesa e aziende health-tech soggette a quadri nazionali di sovranità dei dati o all’approvvigionamento ANSSI-adiacente, la distinzione della capogruppo societaria è una voce formale del registro dei rischi — non una preferenza di marketing. I sistemi di identità detengono dati particolarmente sensibili (chi ha accesso a cosa, quando e come) e sono sempre più un obiettivo formale delle politiche di approvvigionamento basate sulla sovranità.

Clienti di riferimento

Tra i casi studio pubblici di Corma:

• Brevo (piattaforma di email marketing, Francia) — Stefan Schaper, Finance Manager
• Skello (software HR, Francia) — Mihenandi-Fuki Wony, Lead Cloud & IT
• Citel — Adrien Guichard, CEO
• Hivenet — Christophe Torride, Chief of Staff
• Mrge — Thorsten Milhoff, Engineering Manager
• Copertura aggiuntiva: Robovision, Tuesday Capital

La base di riferimento spazia tra aziende tecnologiche mid-market francesi ed europee — un profilo naturale di early adopter per una piattaforma con sede a Parigi e posizionamento GDPR-native.

Chi dovrebbe cambiare?

Corma è la scelta strutturale per:

• Organizzazioni francesi soggette all’approvvigionamento ANSSI-adiacente o alla politica nazionale di sovranità dei dati
• Settore pubblico UE dove la giurisdizione della capogruppo del sistema di identità è una voce di rischio documentata
• Servizi finanziari soggetti ai requisiti di resilienza operativa DORA dove la giurisdizione del vendor deve essere auditabile
• Organizzazioni health-tech sotto HDS o quadri nazionali equivalenti per i dati sanitari
• Team IT mid-market che vogliono IAM più gestione SaaS in un’unica piattaforma senza pagare per due prodotti separati
• Team CFO/IT concentrati sulla spesa per licenze che vogliono il rilevamento dei posti inutilizzati che Okta non fornisce nativamente
• Aziende che sostituiscono uno strumento di gestione SaaS Zluri/Torii/Productiv/BetterCloud per ragioni di approvvigionamento a sovranità UE
• Aziende in fase di crescita che vogliono uno status di vendor riconosciuto nel Gartner MQ con prezzi appropriati alla loro scala

Okta resta la scelta giusta per:

• Enterprise globali con federazione di identità multi-tenant complessa, brokering SAML personalizzato e integrazioni profonde con provider di identità enterprise
• Aziende che eseguono Okta Customer Identity (Auth0) per l’autenticazione consumer — Corma non si rivolge al CIAM
• Organizzazioni con deployment maturi di Okta Access Gateway che integrano l’identità legacy on-premise
• Titolari di contratti Okta pluriennali dove il ROI della migrazione non giustifica il costo del passaggio

In sintesi

Okta è il leader di mercato maturo nell’IAM enterprise con una profondità di federazione ineguagliata e un’ampiezza di ecosistema di partner senza pari. Nulla di ciò cambia la realtà giurisdizionale sottostante: Okta, Inc. è una società statunitense del Delaware, e la portata del CLOUD Act più FISA Section 702 si applica ai dati di identità dei clienti indipendentemente dalla regione di hosting.

Per le organizzazioni europee dove la sovranità del sistema di identità è un criterio formale di approvvigionamento — e sempre più per i team IT mid-market che cercano di combinare IAM workforce più gestione SaaS in un’unica piattaforma invece di pagare per due — Corma è la scelta strutturalmente allineata. CORMA SAS con sede a Parigi (SIREN 953 523 271) sotto giurisdizione francese; ospitata in Francia su AWS; ISO 27001 e SOC 2; GDPR-native; citata nel Gartner Magic Quadrant per le SaaS Management Platform nel 2025 e nel 2026; superficie combinata IAM più governance SaaS che Okta richiede uno strumento partner con capogruppo statunitense per eguagliare.

Per il crescente insieme di organizzazioni europee dove giurisdizione, IAM-più-governance-SaaS combinati ed evidenze di conformità pronte per l’audit devono essere risolti tutti insieme — Corma risponde a tutti e tre in un colpo solo.

---

Alla ricerca di altre alternative europee per IAM e conformità? Vedi anche: Signicat vs Okta, Tehtris vs CrowdStrike e dScribe vs Collibra.

Domande Frequenti

Dove ha sede Corma e come influisce sulla giurisdizione?

Corma è il prodotto di CORMA SAS, una société par actions simplifiée francese registrata sotto SIREN 953 523 271, con sede al 96bis Boulevard Raspail a Parigi e costituita a giugno 2023. È di fondazione e proprietà francese, con 11-50 dipendenti. In quanto società con capogruppo francese, Corma è sotto giurisdizione francese e UE — regolata dal GDPR e soggetta al controllo dell'autorità francese per la protezione dei dati (CNIL). Non c'è una capogruppo statunitense; Corma è però ospitata su AWS (regione di Parigi) ed elenca sub-responsabili statunitensi come Google, GitHub, Vercel, Heroku, PostHog e Browserbase → esposizione indiretta al CLOUD Act tramite un sub-responsabile statunitense. Resta comunque strutturalmente diverso da Okta, Inc., società statunitense incorporata nel Delaware e quotata al Nasdaq, dove la portata del CLOUD Act si applica ai dati di identità dei clienti indipendentemente dalla regione che ospita l'archivio delle identità.

In cosa Corma è diversa da Zluri, Torii o Productiv?

Zluri, Torii e Productiv sono piattaforme di gestione SaaS con sede negli Stati Uniti — la stessa categoria principale occupata da Corma, ma sotto giurisdizione del CLOUD Act. Corma è l'alternativa europea diretta in questa categoria: stesso ambito funzionale (rilevamento SaaS, gestione delle licenze, rilevamento dei posti inutilizzati, provisioning joiner-mover-leaver, revisioni degli accessi), stesso output di evidenze di audit per i framework di conformità, ma con dati ospitati in Francia (AWS, regione di Parigi) e capogruppo societaria francese. Per i team che migrano dagli strumenti statunitensi di gestione SaaS per ragioni di approvvigionamento o conformità, Corma è il sostituto naturale. Corma è insolita perché include anche l'IAM workforce (la funzionalità di Okta), che la maggior parte delle piattaforme di sola gestione SaaS non offre.

Il posizionamento di Corma nel Gartner Magic Quadrant è significativo?

Sì. Gartner ha citato Corma nel Magic Quadrant per le SaaS Management Platform sia nel 2025 sia nel 2026 — il riconoscimento formale degli analisti di Gartner dopo una valutazione indipendente del vendor, non un posizionamento a pagamento. Per l'approvvigionamento enterprise, la presenza nel Gartner Magic Quadrant è spesso una qualifica richiesta — molte organizzazioni prenderanno in considerazione solo vendor che Gartner ha valutato. Essere citata nel 2025 ha stabilito Corma come vendor valutato; essere citata di nuovo nel 2026 conferma la copertura continua degli analisti. Questo è un elemento di prova davvero differenziante per un'azienda costituita a giugno 2023.

Quali integrazioni fornisce Corma?

Corma dichiara oltre 100 integrazioni nell'intero stack SaaS. Le integrazioni nominate visibili sul sito del prodotto includono Google Workspace, Microsoft Entra ID, Slack, Zapier, Figma, Deel, Airtable, Notion, Zoom, Adobe e OpenAI. La superficie di integrazione supporta sia approcci basati su API (per le app che espongono API di provisioning e audit) sia basati su Agent (automazione via browser per le app che non lo fanno) — consentendo la copertura di strumenti SaaS long-tail che le piattaforme tradizionali basate su connettori non riescono a raggiungere.

Quali certificazioni detiene Corma?

Corma detiene le certificazioni ISO 27001 (sistema di gestione della sicurezza delle informazioni) e SOC 2 (sicurezza, disponibilità, integrità dell'elaborazione, riservatezza, privacy) — i due riferimenti standard di audit per l'approvvigionamento enterprise. La piattaforma è GDPR-native, con dati ospitati in Francia su AWS (regione di Parigi); poiché AWS e diversi altri sub-responsabili sono aziende statunitensi, esiste un'esposizione indiretta al CLOUD Act. Per l'approvvigionamento del settore pubblico francese o ANSSI-adiacente, la struttura di capogruppo francese combinata con la localizzazione dei dati in Francia posiziona Corma favorevolmente rispetto alle alternative con capogruppo statunitense che richiedono ulteriori Data Processing Addenda e Standard Contractual Clauses per raggiungere la stessa postura.

Come si confronta il workflow di revisione degli accessi di Corma con Okta Identity Governance?

Le revisioni degli accessi di Corma sono progettate per produrre direttamente evidenze pronte per l'audit — il processo di revisione, la traccia delle evidenze e le azioni di remediation sono catturati in una forma consumabile in audit, adatta a SOX, ISO 27001, ISAE 3402 e framework di audit simili. Okta Identity Governance (un livello separato da Okta Workforce Identity) fornisce funzionalità comparabili ma è un add-on che modifica in modo sostanziale l'inviluppo di prezzo di Okta. Corma include le revisioni degli accessi nella piattaforma core senza un livello aggiuntivo.

Come si confrontano i prezzi?

I prezzi pubblici di Corma sono su richiesta — ogni contratto è quotato in base alla dimensione dell'organizzazione, al numero di applicazioni e all'ambito del workflow. Okta pubblica prezzi per-utente, ma il prezzo enterprise effettivo spesso diverge in modo significativo attraverso livelli bundle (Workforce, Adaptive MFA, Identity Governance, Access Gateway) che si combinano in impegni annuali a 5 cifre per i clienti mid-market. Per un confronto equo, gli acquirenti dovrebbero richiedere quotazioni a entrambi — il posizionamento tipico di Corma è materialmente più economico di Okta Workforce Identity più Okta Identity Governance più uno strumento separato di gestione SaaS (Zluri o simile) messi insieme.