Audit Specifici:
Provvedimenti, Processi, Funzioni, Commesse

Perchè

Sono diversi i tipi di audit, nell’ambito del trattamento dei dati, che è possibile pianificare. Tra questi quelli di processo, funzione e commessa meritano una specifica attenzione.

Audit di Processo Serve a mettere in evidenza eventuali carenze imputabili al processo ed alla comunicazione interna tra funzioni che sono coinvolte dal processo; è un tipo di audit che si presa anche ad essere svolto nella variante combinata (sulla base di più criteri). Può essere effettuato facilmente disponendo della procedura documentata che descrive il processo/i, se invece tale procedura è mancante o lacunosa diventa impossibile applicare tale strumento venendo a mancare il criterio di riferimento.
Audit di Funzione – È applicato quando un processo è gestito esclusivamente o prevalentemente da una sola funzione o unità organizzativa (process owner) ed ha limitate interfacce con le altre funzioni. È facile da organizzare e richiede un ridotto impegno di tempo per tutti i soggetti coinvolti.

Ovviamente, difficilmente evidenzia carenze imputabili ai processi o alla comunicazione interna tra funzioni. L’audit di funzione o unità organizzativa, può essere utilizzato dall’Organizzazione per mitigare il rischio che deriva da una progettazione organizzativa “non ottimale”.

Audit di Commessa – È effettuato quando il Titolare del trattamento richiede un audit di seconda parte al Responsabile del trattamento in relazione al Contratto (Capitolato di fornitura) o a un Sub-Responsabile. Il Contratto funge da criterio rispetto alla Commessa oggetto dell’audit. Tale modalità mette in evidenza le carenze imputabili all’applicazione, da parte del Responsabile, di quanto previsto dal Contratto/Capitolato sottoscritto. Dal punto di vista documentale può essere gestito facilmente basandosi proprio sul Contratto. Tale tipo di audit può essere svolto anche dal Responsabile per verificare internamente, o in preparazione ad un audit da parte dl Titolare, il rispetto dei vincoli contrattuali. Questo tipo di audit in dettaglio è trattato in questa sezione del sito.

contesto

Gli audit di processo, funzione, commessa sono prodotti sofisticati e si rivelano come strumenti molto utili in contesti di una certa complessità

Gli audit di processo possono essere applicati per approfondire la capacità dell’organizzazione di tenere sotto controllo processi quali: la privacy by design, il ciclo di vita degli asset, ecc.

Gli audit di funzione si prestano per indagare specificatamente funzioni quali: HR, ICT, MKT ed HSE, Privacy Officer, Compliance, ma anche altre funzioni specifiche, nella misura in cui queste sono particolarmente esposte in termini di trattamenti dei dati personali.

Gli audit di commessa ricalcano per certi versi quelli al Responsabile del trattamento e si applicano in tutti quei contesti in cui le esigenze espresse dal Titolare del trattamento devono essere rispettate in modo rigoroso.

Non è prevista una calendarizzazione predefinita per questo tipo di audit. Le esigenze di pianificarli possono nascere da condizioni che si manifestano di volta in volta anche sulla base di: risultati di audit precedenti, Data Breach, ricorsi dell’interessato, cambi di personale, modifica ai processi aziendali, introduzione di nuove tecnologie o processi, rilievi da parte del Titolare del trattamento, ecc.

dettagli

Come per tutti gli audit è necessario che, anche questi, siano eseguiti da risorse indipendenti e competenti. L’esigenza di qualifica diventa ancora più pressante nel caso di audit combinati ovvero laddove sono presenti contemporaneamente due criteri che possono anche presentano parziali sovrapposizioni come, ad esempio, nel caso di audit di funzione o processo a fronte di criteri come il Sistema di gestione della protezione dei dati (basato sulla ISO/IEC 27701:2019 o BS 10012:2017) ed Sistema di gestione della sicurezza delle informazioni (ISO/IEC 27001:2013).

Fondamentale per la buona esecuzione di questi audit, ed in particolare per quelli di processo, è la fase di programmazione. Sia gli audit per processo che per commessa possono portare, come risultati anche l’individuazione di azioni mirate ad aumentare la consapevolezza del personale.

esempi

Con una certa frequenza ci vengono richiesti audit di processo, funzione o commessa. Per gli audit di commessa rimandiamo a questa sezione del sito, mentre vogliamo raccontare alcuni casi di audit di funzione e di processo.

Impresa nel settore della lavorazione del taglio e piegatura di componenti in rame, ha richiesto un audit di processo per indagare l’aspetto della gestione delle chiavi, degli allarmi e dei badge al personale. L’esigenza è nata da una gestione incontrollata di questi dispositivi. Le implicazioni non erano solo relative alla protezione dei dati personali, ma anche ad aspetti sulla sicurezza (ad esempio in caso di emergenza) e per la tutela dei beni aziendali e del know how. Si è trattato quindi di organizzare anche un audit combinato su più criteri. Sulla base degli esiti dell’audit, che ha coinvolte le funzioni HR, HSE, ITC e Logistica è stato completamente ripensato e riorganizzato il processo.
Cooperativa sociale nel settore dei servizi alla persona. Ha chiesto di indagare, attraverso un audit alla funzione RSPP, la gestione delle attività relativamente ai trattamenti dei dati del personale a seguito dell’emergenza COVID-19, così come gestiti dalla funzione nel corso del passaggio tra la fase 1 e la fase 2. Sono emerse diverse lacune, in parte imputabili alla mancanza di direttive precise ed in parte anche alla sottovalutazione, da parte della funzione dell’esigenza di tenere sotto controllo una serie di aspetti. Sono state avviate diverse azioni correttive ed è stata rafforzata, attraverso azioni mirate la consapevolezza del personale.

organizzazione

Gli audit di processo Prevedono l’intervista sequenziale o di gruppo (quest’ultima preferibile anche se molto dispendiosa in termini di tempo) alle varie funzioni coinvolte nel processo. D’altra parte, è comunque laborioso da organizzare in quanto vede coinvolte funzioni diverse per le parti del processo di loro competenza: richiede un impegno rilevante, in particolare per gli auditor.
Gli audit di funzione non presentano particolari complessità nell’organizzazione in quanto si tratta di interfacciarsi di norma con la funzione o con l’unità organizzativa, questa seconda variante presenta ovviamente maggiore difficoltà nella pianificazione.
Gli audit di commessa sono audit difficile da organizzare ed effettuare in quanto spesso vede coinvolte funzioni diverse; l’impegno di tempo è subordinato alla complessità che richiede la gestione della commessa.

In ogni caso per tutti i tipi di audit è necessario disporre di auditor qualificati e competenti sul criterio ed orinatati all’obiettivo.

Un caso dal libro

Audit di processo

Case study – L’azienda “A Oriente del giardino dell’Eden SRL” produce alimenti per la prima infanzia. L’audit di processo riguarda l’introduzione di un nuovo collaboratore e prevede l’intervista a tutte le funzioni coinvolte da tale attività. A campione si verifica la documentazione relativa a Isaac Bashevis Singer e Wisława Szymborska.

Analisi evidenze ingresso per Isaac Bashevis Singer Responsabile dell’ufficio marketing – per la sua introduzione vengono coinvolti
- l’ufficio personale che gli fornisce tutte le indicazioni relative al Regolamento del personale, alla documentazione relativamente alla protezione dei dati (designazione ad autorizzato, privacy policy, informativa)
- RSPP per la formazione obbligatoria ai sensi del D.lgs 81.2008 ed Organizzazione della visita di idoneità sanitaria
- IT che gli autorizza i permessi di accesso ai sistemi informatici, l’apertura della casella di posta elettronica, configurazione all’accesso dei software per la gestione del database di marketing, consegna dei dispositivi personali come personal computer, tablet e cellulare.
Analisi evidenze ingresso per Wisława Szymborska addetta al reparto di confezionamento – per la sua introduzione vengono coinvolti
- l’ufficio personale che gli fornisce tutte le indicazioni relative al Regolamento del personale, alla documentazione relativamente alla protezione dei dati (informativa)
- RSPP per la formazione obbligatoria ai sensi del D.lgs 81.2008, consegna DPI ed Organizzazione della visita di idoneità sanitaria
- Referente HACCP per la formazione obbligatoria in materia di sicurezza alimentare, consegna DPI ed Organizzazione della visita di idoneità sanitaria e consegna del regolamento sulla sicurezza alimentare.

Audit di funzione

Case study 1 – L’unità organizzativa “Ufficio commerciale Europa Centrale” della Putter SPA è controllata dall’unità organizzativa “Ufficio commerciale Nord Europa” collocata sulla sua stessa linea gerarchica, sua volta Putter SPA risponde al Gruppo con sede a Seattle (USA). La Direzione di Putter SPA, per dimensioni e budget, non può modificare la struttura organizzativa imposta dal Gruppo, ma può decidere di mitigare il rischio programmando un audit annuale sulle due unità “Ufficio commerciale Europa Centrale” e “Ufficio commerciale Nord Europa”. Lo scopo dell’audit, nello specifico, sarà quello di certificare l’imparzialità dei rapporti fra unità controllata (“Ufficio commerciale Europa Centrale”) ed unità controllante (“Ufficio commerciale Nord Europa”).

Case study 2 – Alla “Tintoretto Spa” specializzata nella produzione di pigmenti per ceramica, viene pianificato un audit alla funzione RSPP. Lo scopo è quello di verificare che tutti gli adempimenti che impattano sulla protezione dei dati, sotto la responsabilità dell’RSPP siano soddisfatti (es. idoneità alla mansione, sorveglianza sanitaria, gestione infortuni, gestione lavoratrici madri).

Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019