Gli audit mirati e combinati sono soluzioni complesse, ma che presentano una serie di vantaggi che è possibile comprendere solo dopo averne conosciuto le varie caratteristiche e campi di applicazione.
Gli audit mirati sono focalizzati su un aspetto specifico (es. reparto, funzione, processo, commessa). La finalità di questa metodologia è quella di:
Sono possibili molte varianti di questi audit, di seguito le varianti più frequenti:
Gli Audit mirati – trattamento delle NC/valutazione efficacia AC – Un audit può essere mirato a verificare il trattamento delle NC e/o l’afficacia delle AC. Infatti, a valle di un audit possono emergere delle Non Conformità che dovranno essere trattate e possono richiedere Azioni Correttive che devono essere valutate in termini di efficacia. Le azioni di verifica del trattamento delle NC e della valutazione dell’efficacia delle AC possono essere pianificate nell’ambito di un’attività di routine oppure essere oggetto di un audit vero e proprio. La scelta di ricorrere ad audit per verificare la presa in carico delle azioni è da privilegiare nel caso in cui siano state rilevate numerose situazioni di criticità o criticità maggiori.
Gli Audit mirati – a seguito di cambiamenti – L’audit mirato può essere necessario anche nel caso di cambiamenti rilevanti dell’Organizzazione, della sua struttura o del suo business per comprendere come l’Organizzazione abbia applicato i principi della “privacy by design”. Ad esempio nel caso di:
Gli Audit mirati – a seguito di criticità Sono eseguiti quando c’è necessità di approfondire in modo puntuale un determinato processo o funzione o commessa, a seguito di criticità che si possono verificare o ripetere nel tempo, ad esempio:
In questi casi è opportuno ricorrere, anche con limitati tempi di preavviso, ad audit mirati ad approfondire le cause delle problematiche. Le varie fasi del ciclo di vita di un audit delineate nei precedenti paragrafi sono previste, sia pure assumendo delle forme semplificate.
A differenza dell’audit mirato “à rebours”, questa metodologia approfondisce l’impianto procedurale, ovvero le modifiche che sono intervenute rispetto al processo così come pianificato. Lo spettro di applicazione di questa metodologia è più ampia di quella dell’audit “à rebours”.
Gli Audit mirati – “à rebours” – Si utilizzano per risalire alla causa di una non conformità, sia essa interna che originata da un evento critico (es. Data Breach). Per condurlo si individuano ed analizzano a ritroso i documenti che riguardano l’evento (come ad esempio l’applicazione della tecnica dei “Cinque perché” o il Il metodo delle “8 Discipline”. A differenza dell’audit mirato a seguito di criticità, questo punta l’accento sulla catena causa effetto. Questa metodologia è applicata solo in presenza di criticità.
Audit Combinati – Quando diversi Sistemi di gestione vengono sottoposti contemporaneamente ad un audit questo viene definito audit combinato. Gli audit del Sistema di gestione privacy possono essere eseguiti come audit indipendenti, ma possono anche essere eseguiti congiuntamente con altri Sistemi di gestione in un processo più complesso.
Vantaggi generali: riduzione della durata (sia di programmazione che di esecuzione); degli impegni e dei tempi richiesti ai reparti auditati; maggior efficacia; visibilità delle interconnessioni tra i processi; razionalizzazione di Procedure, moduli e registrazioni; riduzione delle sovrapposizioni.
Vantaggi per l’auditor: ampliamento della visione d’insieme del processo e delle sue variabili; evidenziazione delle ridondanze; miglior focalizzazione sul valore aggiunto dalle singole attività che costituiscono il processo oggetto dell’audit.
Le difficoltà più evidenti sono:
In termini generali gli svantaggi connessi agli audit combinati sono ampiamente compensati dai vantaggi; nonostante ciò sono poche le realtà che li organizzano. Probabilmente perché frenate dal maggior carico di lavoro in fase di preparazione, carico che risulta poi ampiamente ammortizzato.
Mettendo in risalto l’aspetto dell’integrazione, oltre alle opportunità, ci sono anche altri elementi da considerare:
Gli audit mirati e combinati sono servizi di nicchia che hanno una applicazione limitata anche perché poco conosciuti, nonostante questo molte organizzazioni dovrebbero valutare l’applicazione di tali strumenti che potrebbero evidenziare delle potenzialità inesplorate. Sono svolti in Organizzazioni che presentano una certa complessità per quanto riguarda la gestione dei dati personali. Talvolta questi audit sono effettuati in modo integrato a quelli di processo o funzione o commessa.
Gli audit sia mirati che combinati si prestano ad essere eseguiti sia in organizzazioni manifatturiere che di servizi alla persona, alla collettività ed all’impresa. Di norma, si eseguono in realtà di una certa dimensione.
Non è pensabile a priori definire una specifica frequenza per questi audit; essi sono pianificati ed eseguiti sulla base degli elementi di contesto e delle esigenze di monitoraggio, anche su mandato del DPO, che di volta in volta in volta di presentano.
Audit mirati – Gli audit mirati richiedono capacità di visione, da parte degli auditor, non comuni, infatti, affinché da tali audit si possano ottenere risultati eccellenti è necessario immaginarsi scenari e condizioni che richiedono molta esperienza in campo.
Audit combinati – In ambito privacy, gli standard più indicati come criteri per un audit combinato sono:
Sia gli audit mirati che quelli combinati possono portare, come risultati anche l’individuazione di buone prassi che possono essere condivise ed azioni mirate volte ad aumentare la consapevolezza del personale.
È piuttosto raro ci vengano richiesti audit mirati o combinati perché sono servizi molto specifici, nonostante questo abbiamo, anche in questo caso, accumulato una certa esperienza a riguardo.
In una Cooperativa di servizi alla comunità si sono si sono succedute nel giro di cinque mesi, nell’area Gestione del personale, tre risorse con il compito di gestire gli aspetti amministrativi dell’assunzione del personale. Ci è stato richiesto di pianificare ed eseguire un audit mirato per:
Audit mirati – Sono audit di norma sono piuttosto semplici da organizzare in quanto prevedono un numero molto ridotto di funzioni coinvolte ed anche l’arco di tempo necessario per eseguirli è piuttosto limitato.
Audit combinati – Programmare ed eseguire questi audit è un processo complesso, richiede al gestore del Programma una capacità di coordinamento non comune; al contempo i benefici sono superiori alle difficoltà. Anche per gli audit combinati, la conoscenza dei processi e degli standard di riferimento è un elemento cruciale.
Audit mirati
Case Study Audit mirato “à rebours” – La Kriek Srl effettua test genetici predittivi; gli output sono sia sotto forma di registrazioni elettroniche che di documenti cartacei. A seguito di un controllo è risultato che non sono più rintracciabili i documenti cartacei di circa il 10% degli utenti; non è possibile risalire a quando è avvenuta la perdita. Si sospetta un furto su commissione compiuto da personale interno, in quanto non risulti alcuna effrazione. Per individuare la causa il DPO chiede di organizzare un’audit “à rebours” che prevede di risalire a chi:
Audit combinati
Case study – Campo di applicazione: normativa privacy e Sistema di gestione Ambientale.
Criteri di riferimento: Sistema di gestione della privacy e Sistema di gestione Ambientale.
Area: deposito rifiuti.
Situazione di Non Conformità.
«Nel locale deposito rifiuti dello stabile ove ha sede l’Organizzazione, nel contenitore destinato alla carta sono presenti le cartelle cartacee relative ai dipendenti non più in servizio; Tali cartelle sono contenute in buste di plastica a loro volta contenute in raccoglitori di cartone ad anelli».
Si tratta di una Non Conformità che impatta sia sulla normativa privacy (mancata distruzione dei supporti alla fine del periodo di conservazione dei dati personali) sia il Sistema di gestione Ambientale (scorretta gestione del sistema di raccolta differenziata dei rifiuti.
Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019