PIMS nyomon követési, audit- és fejlesztési szabályzat

A PIMS nyomon követési, audit- és fejlesztési szabályzat meghatározza a szervezet követelményeit az adatvédelmi információirányítási rendszer teljesítményének értékelésére a nyomon követés, mérés, elemzés, értékelés, belső audit, vezetőségi felülvizsgálat, meg nem felelések kezelése, helyesbítő intézkedés és folyamatos fejlesztés területén. Kimondott célja annak biztosítása, hogy a szervezet értékelje a PIMS teljesítményét, ellenőrizze a PIMS megfelelését, azonosítsa a meg nem feleléseket, helyesbítse a kontrollgyengeségeket, és objektív bizonyító anyagok alapján folyamatosan fejlessze a PIMS-t. A szabályzat a PIMS alkalmazási területén belül valamennyi PIMS-folyamatra, kontrollra, szabályzatra, nyilvántartásra, bizonyítékobjektumra, rendszerre, beszállítóra, adatfeldolgozóra, al-adatfeldolgozóra és adatmegosztási megállapodásra alkalmazandó. Kiterjed továbbá a szervezet adatkezelői, közös adatkezelői, adatfeldolgozói és al-adatfeldolgozói kontextusaira is, ezért mind az adatvédelmi irányítás, mind az operatív bizonyossági tevékenységek szempontjából releváns. A szabályzat meghatározó eleme az összevont bizonyítékmodell. A REG12 szolgál elsődleges helyszínként a nyomon követési program, a mutatódefiníciók, az auditprogram, az auditeredmények, a vezetőségi felülvizsgálati bizonyító anyagok, a meg nem felelések, a helyesbítő intézkedések, a kivételek és a fejlesztési intézkedések számára. A támogató bizonyító anyagok a REG01–REG11-nyilvántartásokból származnak, ideértve a REG02 adatkezelési tevékenységi bemeneteit, a REG03 biztonsági kontrollstátuszát, a REG04 adatvédelmi kockázati frissítéseit, a REG08 beszállítói és adatfeldolgozói bizonyossági bizonyító anyagait, a REG10 incidens- és adatsértési trendbemeneteit, valamint a REG11 képzési teljesítési státuszát. A szabályzat előírja, hogy az adatvédelmi vezető / PIMS-vezető minden PIMS-mutatóhoz a mérési ciklus kezdete előtt határozza meg a mérési módszereket, gyakoriságot, bizonyítóanyag-forrást, célértékeket és felelős szerepköröket, és negyedévente vonja össze az eredményeket. Az audit- és felülvizsgálati követelmények kockázatalapú tervezésre, dokumentált bizonyító anyagokra és függetlenségre épülnek. A belső ellenőrzési / megfelelőségi felülvizsgálónak éves, kockázatalapú PIMS belső auditprogramot kell készítenie a REG12-ben, és a terepmunka megkezdése előtt meg kell határoznia az audit célját, kritériumait, hatályát, módszerét, mintavételi alapját és jelentéstételi határidejét. Az auditori függetlenségi és összeférhetetlenségi ellenőrzéseket minden auditmegbízás előtt rögzíteni kell. Az audittevékenységek magukban foglalják az alkalmazandó PIMS-kontrollok bevezetési státuszának REG03 alapján történő tesztelését, a kiválasztott PII-adatkezelési bizonyítóanyag-minták rögzítését, valamint az eredmények dokumentálását az audit befejezését követő 15 munkanapon belül. Az elfogadott megállapításokhoz az auditeredmények elfogadásától számított 10 munkanapon belül helyesbítő intézkedési tulajdonosokat kell kijelölni a REG12-ben. A vezetőségi felülvizsgálat, a helyesbítő intézkedés és a fejlesztés szintén szigorúan szabályozott. A felső vezetésnek legalább évente egyszer PIMS vezetőségi felülvizsgálatot kell végeznie a REG12-ben, áttekintve a korábbi intézkedéseket, a PIMS teljesítménymutatóit, az adatvédelmi célkitűzések státuszát, a meg nem feleléseket, a helyesbítő intézkedéseket, a nyomon követési eredményeket, az auditeredményeket, az adatvédelmi kockázatokat, a beszállítói bizonyosságot és az érdekelt felektől származó változásbemeneteket. A meg nem feleléseket rögzíteni kell, a gyökérokokat és a helyesbítő intézkedési terveket be kell nyújtani, az esedékességi dátumokat és az elfogadási kritériumokat jóvá kell hagyni, a teljesítési bizonyító anyagokat meg kell őrizni, és a hatékonyságot ellenőrizni kell. A folyamatos fejlesztést a nyomon követési eredmények, az auditeredmények, az incidenstrendek, az adatvédelmi kockázati státusz, a beszállítói bizonyossági státusz és a helyesbítő intézkedési trendek negyedéves felülvizsgálata vezérli. Ha ugyanaz a megállapítási kategória 12 hónapon belül két vagy több alkalommal előfordul, a szabályzat rendszerszintű fejlesztési intézkedés létrehozását írja elő a REG12-ben.