GDPR / Náprava zistení z auditu
Náprava zistení z GDPR auditu: od zistení k vyriešeniu
Máte audítorskú správu. Nedostatky sú pomenované, riziko je zaznamenané — a zoznam tam leží, pretože nikto nemá kapacitu ho uzavrieť. Táto služba vezme zoznam zistení, od nás alebo od ktorejkoľvek inej firmy, a premení ho na uzavreté položky s dôkazmi.
Pre koho to je
Organizácie, ktoré majú audítorskú správu, analýzu nedostatkov alebo korešpondenciu s dozorným orgánom pomenúvajúcu to, čo treba napraviť — kde právne oddelenie, compliance alebo zodpovedná osoba vlastnia zoznam, ale nemajú ruky na jeho realizáciu. Zistenia môžu byť naše alebo od tretej strany; zaznamenaný zoznam známych nedostatkov bez pokroku je horším dôkazom než žiadny audit, a táto služba existuje na to, aby tento stav ukončila.
Čo náprava zahŕňa
Prioritizovaný nápravný backlog
Vaše zistenia — naše alebo od tretej strany — premenené na zoradený backlog: závažnosť, riziko vyplývajúce z právnych termínov, náročnosť a závislosti, pričom každá položka má menovaného vlastníka.
Tvorba dokumentov
Dokumenty, ktoré uzatvárajú nedostatky, skutočne napísané: politiky a postupy, položky záznamov o spracovateľských činnostiach, DPIA a posúdenia oprávneného záujmu (LIA), oznámenia o ochrane osobných údajov, zmluvné dodatky podľa článku 28 a pravidlá uchovávania — pripravené na vaše pripomienkovanie, nie šablóny prehodené cez plot.
Prevádzkové nápravy
Tam, kde je nedostatkom proces, nie dokument — vybavovanie žiadostí dotknutých osôb, reakcia na porušenie ochrany údajov, zavádzanie dodávateľov — nastavíme pracovný postup s tímom, ktorý ho bude vykonávať.
Sada dôkazov
Každá uzavretá položka sa dostane do sady dôkazov priradenej k pôvodnému zisteniu: čo sa zmenilo, kedy a kto to schválil — súbor, ktorý otvoríte, keď sa opýta dozorný orgán, zákazník alebo audítor.
Šprint alebo priebežne?
| Nápravný šprint | Priebežná podpora | |
|---|---|---|
| Vhodné pre | Vymedzený zoznam zistení, ktorý chcete uzavrieť do určitého dátumu | Zistenia plus program, ktorý si vyžaduje priebežné vlastníctvo |
| Trvanie | Pevný rozsah, zvyčajne 4–12 týždňov | Mesačný rytmus, revidovaný štvrťročne |
| Výstup | Uzavretý backlog + sada dôkazov | Sada dôkazov plus registre udržiavané aktuálne pri zmenách |
| Vlastníctvo po skončení | Odovzdanie vášmu tímu | Naďalej to prevádzkujeme s vami — pozri Outsourcovaná zodpovedná osoba |
Priebežné vlastníctvo zvyčajne prebieha prostredníctvom služby outsourcovanej zodpovednej osoby.
Ako to prebieha
1. Preskúmanie zistení
Vychádzame z vášho existujúceho auditu alebo analýzy nedostatkov — od ktoréhokoľvek autora. Žiadny opakovaný audit, pokiaľ sa neobjavia podstatné medzery v pokrytí.
2. Backlog a plán
Zistenia sa stanú prioritizovaným backlogom s vlastníkmi a cieľovými termínmi dohodnutými podľa vašej reálnej kapacity.
3. Realizácia
Vypracované dokumenty, zavedené procesy, zozbierané schválenia — týždenne viditeľný pokrok oproti backlogu.
4. Dôkazy a odovzdanie
Sada dôkazov finalizovaná, zvyšné položky a vlastníci zdokumentovaní a dohodnutý rytmus údržby.
Zákazka s pevným rozsahom a cenovou ponukou po preskúmaní zistení. Žiadne prekvapenia v cene: zmeny rozsahu sa dohodnú skôr, než sa začnú realizovať.
Odpovede na vaše otázky
Audit nám robila iná firma — viete z neho vychádzať?
Áno. Náprava vychádza z akéhokoľvek odborného zoznamu zistení. Najprv ho preskúmame z hľadiska pokrytia, a ak sa domnievame, že sa niečo podstatné vynechalo, povieme to pred začatím prác — no zmyslom tejto služby je uzatváranie nedostatkov, nie ich opätovné hľadanie.
Ako sa to líši od služby GDPR auditu?
Audit nedostatky nájde a prioritizuje; náprava ich uzatvára. Sú to zámerne oddelené zákazky, aby ste si mohli priniesť vlastný audit — a aby vás audit od nás nikdy nezaväzoval kúpiť si nápravu u nás.
Kto píše dokumenty — vy alebo my?
My pripravíme návrhy, vaši ľudia ich pripomienkujú a schvaľujú. Dokumenty sú záväzné len vtedy, ak odrážajú, ako skutočne pracujete, preto každý dokument prechádza cez vlastníka, ktorý s ním bude žiť — a samotné schválenie sa stáva súčasťou sady dôkazov.
Čo ak nedokážeme napraviť všetko naraz?
Takmer nikto nedokáže. Preto je backlog prioritizovaný podľa rizika a expozície voči termínom: položky s najvyššou expozíciou sa uzatvárajú ako prvé a zaznamenaný plán pre zvyšok je sám osebe silným dôkazom zodpovednosti, ak sa opýta dozorný orgán.
Môže sa náprava zmeniť na priebežnú podporu?
Áno — šprint sa často odovzdá do priebežného usporiadania, v ktorom udržiavame registre aktuálne a spravujeme rutinu, zvyčajne prostredníctvom služby outsourcovanej zodpovednej osoby. Porovnanie vyššie ukazuje, kam sa každá možnosť hodí.
Naplánujte konzultáciu k náprave
Povedzte nám zhruba, čoho sa zistenia týkajú — správu zatiaľ zdieľať netreba — a do jedného pracovného dňa sa vám ozveme s ďalšími krokmi a hovorom o rozsahu.
Radšej e-mail? info@privacycoreservices.com