Política de supervisión, auditoría y mejora del PIMS

La Política de supervisión, auditoría y mejora del PIMS define los requisitos de la organización para evaluar el desempeño del Sistema de Gestión de la Privacidad de la Información en la supervisión, medición, análisis, evaluación, auditoría interna, revisión por la dirección, gestión de no conformidades, acciones correctivas y mejora continua. Su propósito declarado es garantizar que la organización evalúe el desempeño del PIMS, verifique la conformidad del PIMS, identifique no conformidades, corrija debilidades de control y mejore continuamente el PIMS mediante evidencias objetivas. La política se aplica a todos los procesos, controles, políticas, registros, objetos de evidencia, sistemas, proveedores, encargados del tratamiento, subencargados del tratamiento y acuerdos de intercambio de datos incluidos en el alcance del PIMS. También cubre los contextos de responsable del tratamiento, corresponsable del tratamiento, encargado del tratamiento y subencargado del tratamiento de la organización, por lo que resulta relevante tanto para la gobernanza de la privacidad como para las actividades de aseguramiento operativo. Una característica definitoria de la política es su modelo de evidencias consolidado. REG12 se utiliza como ubicación principal para el programa de seguimiento, las definiciones de métricas, el programa de auditoría, los resultados de auditoría, las evidencias de revisión por la dirección, las no conformidades, las acciones correctivas, las excepciones y las acciones de mejora. Las evidencias de apoyo proceden de REG01 a REG11, incluidas las entradas de actividades de tratamiento de REG02, el estado de los controles de seguridad de REG03, las actualizaciones de riesgos de privacidad de REG04, las evidencias de aseguramiento de proveedores y encargados del tratamiento de REG08, las entradas de tendencias de incidentes y brechas de seguridad de REG10, y el estado de finalización de la formación de REG11. La política exige que el Responsable de Privacidad / Responsable del PIMS defina los métodos de medición, la frecuencia, la fuente de evidencias, los objetivos y los roles responsables de cada métrica del PIMS antes de que comience el ciclo de medición, y que consolide los resultados trimestralmente. Los requisitos de auditoría y revisión se estructuran en torno a la planificación basada en riesgos, las evidencias documentadas y la independencia. El Revisor de auditoría interna / cumplimiento debe preparar en REG12 un programa anual de auditoría interna del PIMS basado en riesgos y definir el objetivo, los criterios, el alcance, el método, la base de muestreo y el plazo de notificación antes de que comience el trabajo de campo de auditoría. Las comprobaciones de independencia del auditor y de conflictos de intereses deben registrarse antes de cada asignación de auditoría. Las actividades de auditoría incluyen probar el estado de implantación de los controles aplicables del PIMS frente a REG03, registrar muestras seleccionadas de evidencias de tratamiento de datos personales y documentar los resultados en un plazo de 15 días hábiles tras la finalización de la auditoría. Los hallazgos aceptados deben asignarse a propietarios de acciones correctivas en REG12 en un plazo de 10 días hábiles desde la aceptación del resultado de auditoría. La revisión por la dirección, las acciones correctivas y la mejora también están estrictamente controladas. La Alta Dirección debe realizar la revisión por la dirección del PIMS al menos una vez al año en REG12, revisando acciones anteriores, métricas de desempeño del PIMS, estado de los objetivos de privacidad, no conformidades, acciones correctivas, resultados de supervisión, resultados de auditoría, riesgos de privacidad, aseguramiento de proveedores y entradas de cambios de partes interesadas. Las no conformidades deben registrarse; las causas raíz y los planes de acciones correctivas deben presentarse; las fechas límite y los criterios de aceptación deben aprobarse; las evidencias de finalización deben conservarse; y la eficacia debe verificarse. La mejora continua se impulsa mediante la revisión trimestral de los resultados de supervisión, los resultados de auditoría, las tendencias de incidentes, el estado de los riesgos de privacidad, el estado del aseguramiento de proveedores y las tendencias de acciones correctivas. Cuando la misma categoría de hallazgo se produzca dos o más veces en un plazo de 12 meses, la política exige crear en REG12 una acción de mejora sistémica.