Cena audytu RODO zależy przede wszystkim od liczby i złożoności procesów przetwarzania danych, wykorzystywanych systemów informatycznych, struktury organizacyjnej oraz poziomu ryzyka. Rzetelnej wyceny nie powinno się więc sprowadzać wyłącznie do liczby pracowników ani wyboru jednego z gotowych pakietów. Dwie firmy o podobnej wielkości mogą wymagać zupełnie innego zakresu analizy, a tym samym innego nakładu pracy audytorów.
W artykule wyjaśniamy, ile kosztuje audyt RODO, jakie elementy wpływają na cenę usługi, co powinno znaleźć się w ofercie oraz jak porównać propozycje wykonawców bez kierowania się wyłącznie najniższą stawką.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Audyt RODO a obowiązek wykazania zgodności
RODO nie wprowadza przepisu, zgodnie z którym każda organizacja musi raz w roku zamówić usługę nazwaną audytem. Nie oznacza to jednak, że administrator może wdrożyć dokumentację tylko raz, a następnie pozostawić ją bez dalszej weryfikacji.
Jedną z podstawowych zasad wynikających z RODO jest zasada rozliczalności. Administrator powinien nie tylko przestrzegać przepisów, lecz również być w stanie wykazać, że stosowane przez niego rozwiązania są zgodne z prawem i adekwatne do występującego ryzyka.
Artykuł 24 Rozporządzenia Parlamentu Europejskiego i Rady 2016/679 wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, a następnie ich przeglądania i aktualizowania, gdy jest to potrzebne. Z kolei art. 32 RODO wskazuje na konieczność regularnego testowania, mierzenia i oceniania skuteczności stosowanych zabezpieczeń.
Audyt jest jednym z najskuteczniejszych sposobów realizacji tych obowiązków. Pozwala porównać deklarowany model ochrony danych z tym, jak procesy rzeczywiście funkcjonują w poszczególnych działach, systemach i relacjach z dostawcami.
Dokumentacja może wyglądać poprawnie, a mimo to nie odpowiadać faktycznemu obiegowi danych. Rejestr czynności przetwarzania może nie uwzględniać nowych procesów, okresy retencji mogą nie być przestrzegane, a dostawcy systemów informatycznych mogą przetwarzać dane na innych zasadach niż opisane w umowach.
Dopiero kompleksowy audyt RODO dla firmy pozwala ustalić, czy zgodność istnieje również na poziomie operacyjnym, a nie wyłącznie w przyjętej dokumentacji.
Cena audytu RODO nie zależy wyłącznie od wielkości firmy
Liczba pracowników jest istotną informacją, ale nie pokazuje pełnej skali projektu. Niewielka spółka technologiczna może prowadzić intensywne profilowanie użytkowników, korzystać z wielu usług chmurowych i przetwarzać dane klientów na kilku rynkach. Jednocześnie większa firma usługowa może realizować stosunkowo proste i powtarzalne procesy.
Najważniejszym czynnikiem wpływającym na koszt audytu jest liczba oraz złożoność procesów przetwarzania danych, a nie sama wielkość zatrudnienia.
Na zakres prac wpływa również to, czy organizacja:
- prowadzi sprzedaż internetową lub marketing behawioralny;
- przetwarza dane o zdrowiu, dane biometryczne lub inne szczególne kategorie danych;
- stosuje monitoring wizyjny, lokalizację GPS lub kontrolę aktywności pracowników;
- wykorzystuje systemy oparte na sztucznej inteligencji;
- przekazuje dane poza Europejski Obszar Gospodarczy;
- działa w kilku lokalizacjach lub w ramach grupy kapitałowej;
- korzysta z rozbudowanej sieci procesorów i podprocesorów;
- obsługuje dużą liczbę klientów, pacjentów, użytkowników lub pracowników;
- podlega dodatkowym regulacjom sektorowym;
- korzysta z wielu zintegrowanych systemów informatycznych.
Dopiero po zebraniu tych informacji można ustalić, ile procesów, dokumentów, systemów i relacji zewnętrznych będzie wymagało sprawdzenia.
Od czego zależy cena audytu RODO?
Zakres organizacyjny audytu
Audyt jednej spółki działającej w jednej lokalizacji będzie miał inny zakres niż badanie obejmujące grupę podmiotów, oddziały terenowe albo kilka zakładów produkcyjnych. Znaczenie ma również stopień centralizacji poszczególnych procesów.
Jeżeli kadry, marketing, IT i obsługa klientów są prowadzone wspólnie dla kilku spółek, audyt powinien obejmować także podział ról i odpowiedzialności pomiędzy poszczególnymi podmiotami.
W takich przypadkach konieczne może być ustalenie, czy poszczególne spółki działają jako odrębni administratorzy, współadministratorzy czy podmioty przetwarzające dane w imieniu innych podmiotów.
Liczba procesów przetwarzania danych
Procesem przetwarzania danych może być między innymi:
- rekrutacja;
- zatrudnienie;
- sprzedaż;
- obsługa reklamacji;
- monitoring;
- marketing;
- newsletter;
- organizacja wydarzeń;
- prowadzenie kont użytkowników;
- windykacja;
- zarządzanie dostawcami;
- obsługa wniosków osób, których dane dotyczą;
- obsługa naruszeń ochrony danych.
Każdy z tych obszarów wymaga ustalenia:
- jakie dane są przetwarzane;
- w jakim celu odbywa się przetwarzanie;
- jaka jest podstawa prawna;
- kto ma dostęp do danych;
- komu dane są ujawniane;
- jak długo dane są przechowywane;
- jakie zabezpieczenia są stosowane;
- jakie prawa przysługują osobom, których dane dotyczą.
Im więcej procesów występuje w organizacji, tym większy będzie zakres analizy dokumentów, rozmów z właścicielami procesów oraz weryfikacji stanu faktycznego.
Rodzaj danych i poziom ryzyka
Audyt organizacji przetwarzającej podstawowe dane kontaktowe będzie miał inny zakres niż badanie podmiotu przetwarzającego dokumentację medyczną, dane biometryczne, informacje o sytuacji finansowej klientów albo dane osób małoletnich.
Wyższe ryzyko może wymagać pogłębionej analizy zabezpieczeń, sprawdzenia mechanizmów kontroli dostępu, oceny skutków dla ochrony danych oraz weryfikacji sposobu reagowania na incydenty.
Znaczenie ma nie tylko kategoria informacji, lecz również ich skala. Baza obejmująca kilkaset osób tworzy inny profil ryzyka niż system obsługujący setki tysięcy klientów lub użytkowników.
Właściwie przeprowadzona analiza ryzyka RODO pozwala ustalić, które procesy powinny zostać objęte pogłębioną kontrolą i jakie środki bezpieczeństwa są adekwatne do możliwych konsekwencji naruszenia.
Stan dokumentacji RODO
W niektórych organizacjach dokumentacja jest rozbudowana, ale niespójna i nieaktualna. W innych brakuje rejestrów, analiz ryzyka albo procedur regulujących podstawowe działania związane z ochroną danych.
Im bardziej rozproszona jest dokumentacja, tym więcej czasu należy przeznaczyć na:
- identyfikację obowiązujących wersji;
- porównanie dokumentów ze stanem faktycznym;
- ustalenie brakujących elementów;
- analizę sprzeczności;
- ocenę, czy przyjęte procedury są rzeczywiście stosowane;
- sprawdzenie zgodności dokumentacji z obecnymi procesami.
Sama liczba posiadanych dokumentów nie przesądza o dojrzałości systemu ochrony danych. Rozbudowany zestaw wzorów może mieć niewielką wartość, jeżeli został przygotowany bez wcześniejszej analizy działalności konkretnej organizacji.
Systemy informatyczne i bezpieczeństwo danych
Audyt RODO nie powinien ograniczać się do oceny klauzul informacyjnych, rejestrów i polityk. Dane osobowe są w praktyce przetwarzane w poczcie elektronicznej, systemach kadrowych, CRM, aplikacjach sprzedażowych, narzędziach marketingowych, arkuszach kalkulacyjnych, chmurze oraz systemach dostawców.
Zakres audytu może obejmować między innymi:
- zarządzanie kontami i uprawnieniami;
- uwierzytelnianie wieloskładnikowe;
- zasady nadawania i odbierania dostępów;
- tworzenie i testowanie kopii zapasowych;
- rejestrowanie operacji w systemach;
- aktualizacje i zarządzanie podatnościami;
- zasady korzystania z urządzeń prywatnych;
- szyfrowanie;
- usuwanie danych;
- ciągłość działania;
- obsługę incydentów;
- bezpieczeństwo dostępu zdalnego.
Jeżeli audyt ma objąć pogłębioną ocenę infrastruktury informatycznej, zakres tej części powinien zostać precyzyjnie określony. Przegląd organizacyjnych zasad bezpieczeństwa nie jest tym samym co test penetracyjny, audyt konfiguracji technicznej albo audyt zgodności z normą ISO/IEC 27001.
Dostawcy i umowy powierzenia danych
Współczesne organizacje rzadko przetwarzają dane wyłącznie we własnej infrastrukturze. Korzystają z dostawców hostingu, systemów kadrowych, platform marketingowych, usług księgowych, call center, chmury, oprogramowania SaaS oraz zewnętrznego wsparcia IT.
Audyt powinien więc ustalić nie tylko, czy zawarto umowy powierzenia przetwarzania danych, ale także:
- czy prawidłowo określono role stron;
- czy umowy zawierają wszystkie wymagane elementy;
- czy dostawca korzysta z podprocesorów;
- gdzie faktycznie przetwarzane są dane;
- czy dochodzi do transferów danych poza EOG;
- czy administrator zweryfikował gwarancje zapewniane przez dostawcę;
- czy określono zasady usuwania lub zwrotu danych po zakończeniu współpracy.
Samo podpisanie umowy powierzenia nie zastępuje odpowiedniej weryfikacji procesora. Administrator powinien być w stanie wykazać, dlaczego uznał danego dostawcę za podmiot zapewniający wystarczające gwarancje ochrony danych.
Forma przeprowadzenia audytu
Część audytu można przeprowadzić zdalnie. Analiza dokumentacji, przegląd umów oraz większość wywiadów procesowych mogą odbywać się podczas spotkań online.
Wizyta w lokalizacji może być jednak potrzebna, gdy przedmiotem oceny są:
- fizyczne zabezpieczenia dokumentacji;
- monitoring wizyjny;
- kontrola dostępu do pomieszczeń;
- archiwa;
- hale produkcyjne;
- punkty obsługi klienta;
- obieg dokumentów papierowych;
- sposób niszczenia dokumentacji i nośników;
- dostęp osób zewnętrznych do określonych stref.
Model zdalny, stacjonarny albo hybrydowy powinien wynikać z charakteru organizacji i celu audytu, a nie z automatycznie przyjętego pakietu.
Co powinna obejmować cena audytu RODO?
Porównując cenę audytu RODO, należy najpierw sprawdzić, jakie czynności, obszary i rezultaty zostały uwzględnione w ofercie. Poszczególni wykonawcy mogą używać tego samego określenia dla usług o zupełnie innym poziomie szczegółowości.
| Element audytu | Co należy sprawdzić w ofercie |
|---|---|
| Analiza dokumentacji | Jakie dokumenty zostaną sprawdzone i czy ocena obejmie ich zgodność ze stanem faktycznym |
| Wywiady procesowe | Z iloma działami i właścicielami procesów zostaną przeprowadzone rozmowy |
| Analiza systemów | Czy audyt obejmie wyłącznie dokumentację IT, czy również stosowane rozwiązania i zabezpieczenia |
| Dostawcy | Czy zostaną sprawdzone umowy, procesorzy, podprocesorzy i transfery danych |
| Raport | Czy raport wskaże stan faktyczny, ryzyko, priorytet i rekomendowane działanie |
| Spotkanie podsumowujące | Czy wyniki zostaną omówione z zarządem i właścicielami procesów |
| Wsparcie po audycie | Czy wykonawca odpowie na pytania i pomoże zaplanować działania naprawcze |
| Wdrożenie zaleceń | Czy jest częścią ceny, opcją dodatkową czy odrębnym etapem projektu |
Oferta powinna również wyjaśniać, czy wynagrodzenie ma charakter ryczałtowy, godzinowy czy etapowy oraz w jakich sytuacjach może ulec zmianie.
Audyt RODO nie jest tym samym co wdrożenie RODO
Jedną z najczęstszych przyczyn znacznych różnic pomiędzy ofertami jest łączenie kilku odrębnych usług pod wspólną nazwą audytu.
Audyt RODO polega przede wszystkim na zbadaniu stanu istniejącego, identyfikacji niezgodności oraz przygotowaniu rekomendacji. Jego rezultatem powinien być raport pokazujący, co działa prawidłowo, co wymaga poprawy i jakie działania mają najwyższy priorytet.
Wdrożenie RODO obejmuje natomiast wykonanie działań naprawczych. Może polegać na przygotowaniu lub aktualizacji dokumentacji, przebudowie procesów, zmianie konfiguracji systemów, renegocjowaniu umów, przeprowadzeniu analizy ryzyka albo przeszkoleniu pracowników.
Jeżeli jedna oferta obejmuje wyłącznie badanie i raport, a druga również przygotowanie dokumentacji oraz wykonanie rekomendacji, porównanie samych cen będzie prowadziło do błędnych wniosków.
Rzetelna oferta powinna jednoznacznie rozdzielać:
- zakres diagnostyczny;
- przygotowanie raportu;
- opracowanie planu działań;
- wsparcie poaudytowe;
- wykonanie rekomendacji;
- dalsze monitorowanie zgodności.
Dlaczego najniższa cena audytu RODO może być pozorna?
Niska cena audytu RODO może być uzasadniona ograniczonym zakresem badania, prostą strukturą firmy albo niewielką liczbą procesów. Powinna jednak zostać wyraźnie powiązana z liczbą analizowanych obszarów, dokumentów, systemów i dostawców.
Ryzyko pojawia się wtedy, gdy niski koszt wynika z ograniczenia usługi do:
- przesłania standardowej ankiety;
- automatycznej oceny odpowiedzi;
- powierzchownego przeglądu kilku dokumentów;
- przekazania uniwersalnej listy kontrolnej;
- wydania certyfikatu bez udokumentowanych ustaleń;
- pominięcia rozmów z właścicielami procesów;
- braku analizy systemów informatycznych;
- braku weryfikacji dostawców i umów.
Taki przegląd może zidentyfikować podstawowe braki formalne, ale nie powinien być przedstawiany jako kompleksowa analiza zgodności całej organizacji.
Problemem nie jest zatem sama niska cena. Problem powstaje wtedy, gdy zakres usługi nie odpowiada skali ryzyka, a organizacja otrzymuje pozorne poczucie bezpieczeństwa.
Co powinien zawierać raport z audytu RODO?
Raport jest podstawowym rezultatem audytu. Nie powinien ograniczać się do stwierdzenia, że dany obszar jest zgodny albo niezgodny.
Dobrze przygotowany raport powinien umożliwić zarządowi i właścicielom procesów podjęcie konkretnych decyzji. Dlatego dla każdego istotnego ustalenia powinien wskazywać:
- oceniany proces lub wymaganie;
- ustalony stan faktyczny;
- kryterium prawne albo organizacyjne;
- stwierdzoną niezgodność lub ryzyko;
- możliwe konsekwencje;
- rekomendowane działanie;
- priorytet;
- sugerowanego właściciela działania;
- rekomendowany termin realizacji.
Nie każda niezgodność powinna być traktowana tak samo. Brak drobnej aktualizacji w dokumencie nie jest równoważny z niekontrolowanym dostępem do danych medycznych, brakiem procedury reagowania na incydenty albo bezpodstawnym przekazywaniem danych dostawcy.
Raport powinien zatem rozróżniać ryzyka krytyczne, wysokie, średnie i niskie. Dzięki temu organizacja może rozpocząć działania od obszarów wymagających natychmiastowej interwencji.
Jak porównać oferty audytu RODO?
Czy zakres jest dopasowany do organizacji?
Oferta powinna odnosić się do rzeczywistych procesów, branży, systemów i struktury firmy. Sam podział na małą, średnią i dużą organizację nie jest wystarczający.
Kto faktycznie przeprowadzi audyt?
Znaczenie ma nie tylko marka wykonawcy, ale również doświadczenie osób, które będą analizować dokumentację, prowadzić wywiady oraz przygotowywać raport.
W przypadku kompleksowego audytu istotne jest połączenie kompetencji prawnych, doświadczenia w pełnieniu funkcji IOD, wiedzy o zarządzaniu ryzykiem oraz rozumienia bezpieczeństwa informacji.
Czy badanie obejmuje stan faktyczny?
Audyt nie powinien ograniczać się do sprawdzenia, czy firma posiada określone dokumenty. Powinien również zweryfikować, czy dokumenty odpowiadają rzeczywistym procesom i czy pracownicy stosują przyjęte zasady.
Czy raport będzie użyteczny dla biznesu?
Raport liczący kilkadziesiąt stron nie musi być wartościowy, jeżeli nie wskazuje priorytetów, osób odpowiedzialnych i sposobu wdrożenia rekomendacji.
Czy wyraźnie oddzielono audyt od wdrożenia?
Oferta powinna określać, które działania kończą się wraz z przekazaniem raportu, a które wymagają dodatkowego zlecenia.
Czy wykonawca zapewnia wsparcie po audycie?
Po otrzymaniu raportu zwykle pojawiają się pytania dotyczące interpretacji ustaleń, kolejności działań i sposobu wykonania rekomendacji. Zasady takiego wsparcia powinny być znane przed rozpoczęciem projektu.
Jak przygotowywana jest wycena audytu RODO?
Rzetelna wycena nie wymaga od klienta przekazywania całej dokumentacji jeszcze przed zawarciem umowy. Na pierwszym etapie wystarczy zebranie informacji pozwalających oszacować liczbę procesów oraz pracochłonność badania.
Najczęściej potrzebne są informacje dotyczące:
- przedmiotu działalności i branży;
- liczby spółek oraz lokalizacji;
- liczby pracowników;
- kategorii osób, których dane są przetwarzane;
- występowania szczególnych kategorii danych;
- kluczowych systemów informatycznych;
- głównych procesów biznesowych;
- liczby istotnych dostawców;
- aktualnego stanu dokumentacji;
- oczekiwanego zakresu audytu i raportu.
Na tej podstawie można określić metodę realizacji, liczbę wywiadów, zakres analizy dokumentów oraz potrzebę zaangażowania kompetencji prawnych, audytowych i technicznych.
BPPZ przygotowuje zakres audytu indywidualnie, po rozpoznaniu modelu działalności i najważniejszych procesów organizacji. Dzięki temu oferta nie opiera się na liczbie uniwersalnych dokumentów, lecz na rzeczywistym nakładzie pracy oraz poziomie ryzyka.
Kiedy warto przeprowadzić audyt RODO?
Audyt jest szczególnie uzasadniony, gdy organizacja nie przeprowadzała systematycznego przeglądu ochrony danych od czasu pierwotnego wdrożenia RODO.
W ciągu kilku lat mogą zmienić się:
- systemy informatyczne;
- dostawcy;
- struktura organizacyjna;
- kanały marketingowe;
- zakres gromadzonych danych;
- sposób kontaktu z klientami;
- model pracy;
- stosowane technologie;
- przepisy i wytyczne organów nadzorczych.
Audyt warto również przeprowadzić:
- po istotnym naruszeniu ochrony danych;
- przed uruchomieniem nowego systemu lub aplikacji;
- przed wdrożeniem rozwiązań opartych na AI;
- po przejęciu spółki albo reorganizacji grupy;
- przed kontrolą lub w reakcji na pismo UODO;
- po zmianie kluczowych dostawców;
- przed rozpoczęciem przetwarzania danych szczególnych kategorii;
- gdy kontrahenci wymagają wykazania zgodności;
- kiedy firma rozwija sprzedaż internetową lub profilowanie;
- gdy dokumentacja została przygotowana w formie uniwersalnego pakietu.
Częstotliwość audytów nie powinna być ustalana automatycznie. Organizacja o stabilnych i prostych procesach może przyjąć inny cykl przeglądów niż podmiot regularnie wdrażający nowe technologie, rozwijający działalność na kolejnych rynkach lub przetwarzający dane wysokiego ryzyka.
Cena audytu RODO a wartość informacji dla zarządu
Najważniejszą wartością audytu nie jest sama lista brakujących dokumentów. Dobrze przeprowadzone badanie dostarcza zarządowi informacji o tym, gdzie organizacja ponosi ryzyko prawne, operacyjne, technologiczne i reputacyjne.
Pozwala również ustalić, które problemy wymagają pilnej decyzji, a które mogą zostać rozwiązane w ramach planowego rozwoju systemu compliance.
Cena audytu RODO powinna być więc oceniana w odniesieniu do jakości diagnozy i użyteczności rekomendacji, a nie wyłącznie liczby stron raportu.
Organizacja nie potrzebuje kolejnego zestawu ogólnych procedur. Potrzebuje wiarygodnej odpowiedzi na trzy pytania:
- gdzie znajdują się najważniejsze ryzyka;
- co należy zmienić;
- w jakiej kolejności należy przeprowadzić działania.
Cena audytu RODO dla firmy i indywidualna wycena
Nie istnieje jedna cena audytu RODO odpowiednia dla każdego przedsiębiorstwa. Podobnie nie istnieje jeden zakres dokumentacji, procesów i zabezpieczeń, który można zastosować w każdej organizacji.
Profesjonalna wycena powinna wynikać z rozpoznania:
- zakresu przetwarzania danych;
- modelu działalności;
- liczby procesów;
- stosowanych technologii;
- struktury organizacyjnej;
- poziomu ryzyka;
- oczekiwanego rezultatu projektu.
Dopiero na tej podstawie można przygotować ofertę, która będzie przejrzysta, przewidywalna i dostosowana do rzeczywistych potrzeb firmy.
BPPZ prowadzi audyty RODO obejmujące ocenę prawną, organizacyjną i operacyjną procesów przetwarzania danych. Audyt może uwzględniać dokumentację, umowy, procesy HR i marketingowe, współpracę z dostawcami, bezpieczeństwo informacji, zarządzanie naruszeniami oraz obowiązki związane z nowymi technologiami.
Najczęstsze pytania dotyczące ceny audytu RODO
Jaka jest cena audytu RODO?
Cena audytu RODO jest ustalana indywidualnie i zależy przede wszystkim od liczby procesów, systemów, lokalizacji, kategorii danych, struktury organizacyjnej oraz oczekiwanej szczegółowości raportu. Sama liczba pracowników nie wystarcza do przygotowania rzetelnej wyceny.
Czy można uzyskać wycenę audytu przed przekazaniem dokumentacji?
Tak. Wstępna wycena może zostać przygotowana na podstawie informacji o działalności, strukturze organizacyjnej, głównych procesach, systemach oraz oczekiwanym zakresie badania. Szczegółowa dokumentacja jest analizowana po ustaleniu zasad współpracy.
Czy cena audytu obejmuje przygotowanie dokumentacji RODO?
Nie zawsze. Standardowy audyt polega przede wszystkim na ocenie stanu istniejącego i przygotowaniu raportu. Opracowanie brakujących dokumentów oraz wdrożenie rekomendacji może stanowić część rozszerzonego zakresu albo odrębny etap projektu.
Czy audyt RODO można przeprowadzić zdalnie?
Znaczną część audytu można przeprowadzić zdalnie, w szczególności analizę dokumentacji oraz wywiady procesowe. Wizyta w organizacji może być potrzebna przy ocenie zabezpieczeń fizycznych, obiegu dokumentacji papierowej, monitoringu albo procesów realizowanych w konkretnych lokalizacjach.
Jak długo trwa audyt RODO?
Czas realizacji zależy od zakresu projektu, dostępności dokumentacji oraz liczby osób uczestniczących w wywiadach. Audyt wybranego obszaru będzie trwał krócej niż kompleksowa analiza kilku spółek, lokalizacji i systemów. Harmonogram powinien zostać przedstawiony wraz z ofertą.
Czy audyt RODO jest obowiązkowy?
RODO nie wprowadza ogólnego obowiązku zamawiania usługi audytu w określonych odstępach. Administrator musi jednak wykazywać zgodność, przeglądać stosowane środki oraz regularnie oceniać skuteczność zabezpieczeń. Audyt jest jednym ze sposobów realizacji i udokumentowania tych obowiązków.
Czy najniższa cena audytu RODO oznacza najkorzystniejszą ofertę?
Nie. O wartości oferty decyduje przede wszystkim zakres badania, doświadczenie audytorów, sposób weryfikacji stanu faktycznego, jakość raportu oraz dostępność wsparcia poaudytowego. Przed porównaniem cen należy sprawdzić, czy oferty obejmują rzeczywiście porównywalne czynności i rezultaty.kazywać zgodność, przeglądać stosowane środki oraz regularnie oceniać skuteczność zabezpieczeń. Audyt jest jednym ze sposobów realizacji i udokumentowania tych obowiązków.
