Na pierwszy rzut oka oferty audytu RODO mogą wyglądać podobnie. Wykonawcy zapowiadają analizę dokumentacji, sprawdzenie zgodności z przepisami i przygotowanie raportu. Dopiero po dokładnym porównaniu zakresu okazuje się jednak, że pod tą samą nazwą kryją się zupełnie różne usługi.
Jedna oferta może obejmować wyłącznie przegląd polityk, klauzul i rejestru czynności przetwarzania. Inna zakłada rozmowy z właścicielami procesów, analizę rzeczywistego przepływu danych, ocenę dostawców, zabezpieczeń informatycznych, retencji oraz sposobu reagowania na incydenty. Różnica w cenie nie zawsze wynika więc ze stawki audytora. Często jest konsekwencją tego, że porównywane oferty dotyczą zupełnie innego zakresu prac.
Rzetelny audyt powinien odpowiedzieć zarządowi na trzy pytania:
- Czy organizacja rzeczywiście przetwarza dane zgodnie z prawem?
- Gdzie znajdują się najważniejsze ryzyka i niezgodności?
- Jakie działania należy wdrożyć, w jakiej kolejności i kto powinien za nie odpowiadać?
Jeżeli oferta nie prowadzi do uzyskania takich odpowiedzi, firma może otrzymać obszerny raport, który nie pomoże jej podjąć żadnej konkretnej decyzji.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Oferta audytu RODO nie powinna ograniczać się do sprawdzania dokumentów
Dokumentacja jest ważnym elementem systemu ochrony danych, ale sama nie przesądza o zgodności organizacji. Polityka może prawidłowo opisywać sposób nadawania uprawnień, podczas gdy w praktyce konta byłych pracowników pozostają aktywne przez wiele miesięcy. Rejestr czynności może wskazywać okres retencji, którego żaden system informatyczny faktycznie nie realizuje. Procedura naruszeń może wyglądać poprawnie, mimo że pracownicy nie wiedzą, komu zgłaszać błędnie wysłane wiadomości lub utratę sprzętu.
Audyt prowadzony wyłącznie na podstawie przesłanych plików nie pokaże takich rozbieżności. Nie pozwoli również ustalić, czy opisane procesy odpowiadają obecnemu modelowi działalności, używanym systemom i rzeczywistemu podziałowi odpowiedzialności.
Zasada rozliczalności wymaga od administratora nie tylko posiadania odpowiednich środków, lecz także możliwości wykazania ich skuteczności i aktualizowania ich, gdy zmienia się sposób przetwarzania lub poziom ryzyka. Audyt jest jednym z podstawowych narzędzi pozwalających przeprowadzić taką weryfikację.
Dlatego kompleksowy audyt RODO dla firmy powinien badać zarówno dokumentację, jak i praktykę działania organizacji. Dopiero zestawienie obu perspektyw pozwala odróżnić zgodność rzeczywistą od zgodności istniejącej wyłącznie na papierze.
Co powinna zawierać oferta audytu RODO?
Dobra oferta powinna wyraźnie określać, jakie obszary zostaną zbadane, w jaki sposób audytor zbierze informacje oraz jaki rezultat otrzyma organizacja. Samo sformułowanie „kompleksowy audyt RODO” jest zbyt ogólne, jeżeli wykonawca nie wyjaśnia, co rozumie przez kompleksowość.
Minimalny zakres zależy od profilu działalności, ale dojrzały audyt powinien łączyć cztery perspektywy.
| Obszar audytu | Co powinno zostać sprawdzone? |
|---|---|
| Prawny | cele i podstawy prawne, obowiązki informacyjne, realizacja praw osób, umowy, transfery danych i zasady retencji |
| Organizacyjny | odpowiedzialność, procedury, szkolenia, obsługa incydentów, obieg informacji i nadzór nad zgodnością |
| Techniczny | systemy, uprawnienia, konta administracyjne, backupy, logi, urządzenia mobilne, dostęp zdalny i dostawcy IT |
| Zarządczy | analiza ryzyka, DPIA, raportowanie do kierownictwa, pozycja IOD oraz sposób realizacji rekomendacji |
Proporcje pomiędzy tymi obszarami będą różne. Firma produkcyjna wykorzystująca wiele systemów i podwykonawców będzie wymagała innego podejścia niż niewielkie biuro usługowe. Podmiot medyczny, firma farmaceutyczna albo pracodawca stosujący rozbudowany monitoring powinny natomiast oczekiwać pogłębionej analizy procesów wysokiego ryzyka.
Oferta powinna więc wskazywać nie tylko katalog zagadnień, lecz także sposób dostosowania audytu do działalności konkretnego klienta.
Jak wykonawca powinien ustalać zakres audytu?
Rzetelnej wyceny nie da się przygotować wyłącznie na podstawie liczby pracowników. Zatrudnienie jest jednym z czynników, ale nie mówi, ile procesów realizuje organizacja, jakie dane przetwarza, z ilu systemów korzysta ani ilu dostawców ma dostęp do informacji.
Przed przedstawieniem oferty wykonawca powinien przynajmniej wstępnie poznać strukturę firmy. Zwykle wystarcza krótka rozmowa zakresowa, podczas której ustala się liczbę spółek i lokalizacji, główne procesy, kategorie danych, wykorzystywane systemy oraz obecny stan dokumentacji.
Jeżeli firma otrzymuje ostateczną cenę bez jakiegokolwiek pytania o swoją działalność, istnieje ryzyko, że oferta została zbudowana na uniwersalnym schemacie. Wykonawca może później ograniczyć badanie do obszarów mieszczących się w przyjętym z góry limicie albo naliczać dodatkowe opłaty za każdy proces, którego nie uwzględnił w pierwotnej kalkulacji.
Dobra oferta jasno określa:
- które jednostki organizacyjne i lokalizacje obejmie audyt;
- z iloma osobami zostaną przeprowadzone rozmowy;
- jakie rodzaje dokumentacji zostaną przeanalizowane;
- czy badanie obejmie środowisko IT;
- czy wykonawca zweryfikuje relacje z dostawcami;
- jaki będzie zakres raportu i prezentacji wyników;
- które czynności mogą wymagać dodatkowej wyceny.
Dzięki temu klient wie, za co płaci, a porównanie kilku ofert nie sprowadza się do zestawienia dwóch różnych kwot za nieporównywalne usługi.
Audyt powinien obejmować rzeczywiste procesy przetwarzania
Najważniejsze informacje o sposobie przetwarzania danych rzadko znajdują się w jednym dokumencie. Wiedzę o rekrutacji posiada HR, o działaniach marketingowych — marketing i sprzedaż, o dostępach — IT, a o relacjach z dostawcami — zakupy, dział prawny lub właściciele poszczególnych umów.
Dlatego rzetelny audyt wymaga rozmów z osobami, które faktycznie zarządzają procesami. Nie chodzi o przeprowadzanie wielogodzinnych wywiadów z każdym pracownikiem, lecz o zebranie informacji od odpowiednio dobranych właścicieli obszarów.
Podczas takich rozmów często okazuje się, że organizacja wykorzystuje systemy niewskazane w dokumentacji, przekazuje dane podmiotom, z którymi nie zawarła odpowiednich umów, albo przechowuje informacje przez okres znacznie dłuższy niż oficjalnie deklarowany. Audytor może również ustalić, że procedury istnieją, ale pracownicy stosują inne, wypracowane operacyjnie rozwiązania.
Oferta, która nie przewiduje rozmów z właścicielami procesów, może doprowadzić jedynie do potwierdzenia zgodności dokumentów z innymi dokumentami.
Czy oferta obejmuje audyt zabezpieczeń informatycznych?
RODO nie wskazuje jednego katalogu zabezpieczeń odpowiedniego dla wszystkich organizacji. Administrator powinien dobierać środki techniczne i organizacyjne do ryzyka, charakteru danych oraz sposobu ich przetwarzania. Z tego względu audyt nie powinien kończyć się na stwierdzeniu, że firma stosuje hasła, program antywirusowy i kopie zapasowe.
Audytor powinien sprawdzić, jak te mechanizmy działają w praktyce. Istotne będzie między innymi to, czy organizacja regularnie przegląda uprawnienia, odbiera dostępy po odejściu pracownika, ogranicza wykorzystanie kont administracyjnych oraz testuje możliwość odtworzenia danych z kopii zapasowych.
Nie każdy audyt RODO musi obejmować testy penetracyjne albo analizę konfiguracji każdego urządzenia. Oferta powinna jednak wyjaśniać, jak daleko sięga przegląd techniczny i jakie kompetencje posiada osoba prowadząca tę część badania.
W praktyce warto zweryfikować przynajmniej:
- sposób nadawania, zmiany i odbierania uprawnień;
- stosowanie uwierzytelniania wieloskładnikowego;
- zasady pracy zdalnej i używania urządzeń mobilnych;
- wykonywanie oraz testowanie kopii zapasowych;
- rejestrowanie zdarzeń i dostęp do logów;
- aktualizowanie systemów i oprogramowania;
- szyfrowanie urządzeń, nośników i transmisji;
- dostęp dostawców serwisowych;
- usuwanie danych po zakończeniu korzystania z systemu.
Jeżeli wykonawca całkowicie pomija ten obszar, klient powinien mieć świadomość, że otrzymuje audyt formalno-prawny, a nie pełną ocenę systemu ochrony danych.
Dostawcy i podmioty przetwarzające również powinni wejść do zakresu
Znaczna część danych znajduje się dziś poza bezpośrednią infrastrukturą administratora. Przechowują je dostawcy chmury, systemów HR, CRM, księgowości, newsletterów, hostingu, call center i usług IT.
Samo podpisanie umowy powierzenia nie potwierdza, że dostawca zapewnia odpowiedni poziom ochrony. Administrator powinien wiedzieć, gdzie znajdują się dane, z jakich podprocesorów korzysta usługodawca, kto ma dostęp serwisowy i co stanie się z informacjami po zakończeniu współpracy.
UODO wskazuje, że administrator powinien mieć możliwość kontrolowania procesora również w trakcie wykonywania umowy, a podmiot przetwarzający musi udostępniać informacje potrzebne do wykazania zgodności oraz umożliwiać audyty.
Dlatego dobra oferta audytu RODO powinna przewidywać przegląd przynajmniej najważniejszych relacji outsourcingowych. Przy dużej liczbie dostawców można zastosować podejście oparte na ryzyku i dokładniej zbadać podmioty mające dostęp do danych szczególnych kategorii, dużych zbiorów lub systemów krytycznych.
Co powinien zawierać raport z audytu RODO?
Raport jest najważniejszym rezultatem audytu, ale jego wartość nie zależy od liczby stron. Kilkusetstronicowy dokument może być praktycznie bezużyteczny, jeżeli zawiera głównie cytaty z przepisów i ogólne zalecenia.
Zarząd potrzebuje raportu, który pozwoli podjąć decyzje. Właściciel procesu powinien natomiast otrzymać informację, co dokładnie musi zmienić i jaki rezultat powinien osiągnąć.
Każde istotne ustalenie powinno obejmować:
- opis rzeczywistego stanu;
- wskazanie wymagania lub standardu;
- wyjaśnienie stwierdzonej niezgodności albo ryzyka;
- ocenę znaczenia problemu;
- konkretną rekomendację;
- proponowany priorytet i termin;
- wskazanie obszaru odpowiedzialnego za realizację.
Sformułowanie „należy dostosować dokumentację do RODO” nie jest wystarczającą rekomendacją. Organizacja powinna wiedzieć, które dokumenty wymagają zmiany, z jakiego powodu i jak zmiana wpłynie na codzienny proces.
Oferta powinna także określać, czy raport zostanie omówiony z kierownictwem. Samo przesłanie pliku może nie wystarczyć, zwłaszcza gdy ustalenia wymagają decyzji budżetowych, zmian w systemach albo zaangażowania kilku działów.
W ramach oferty audytu RODO BPPZ raport ma pełnić funkcję planu działania dla zarządu i właścicieli procesów, a nie jedynie formalnego potwierdzenia przeprowadzenia kontroli.
Czy audyt kończy się wraz z przekazaniem raportu?
Audyt diagnozuje stan organizacji, ale sam nie usuwa niezgodności. Jeżeli raport wskazuje nieaktualny rejestr czynności, brak zasad retencji albo nieprawidłowe umowy, ktoś musi następnie przygotować i wdrożyć właściwe rozwiązania.
Jeszcze większego zaangażowania wymagają zmiany techniczne, przebudowa procesu nadawania dostępów, wdrożenie nowego systemu albo uregulowanie współpracy z wieloma dostawcami. Bez przypisania odpowiedzialności raport może pozostać przez kilka lat niewykorzystanym dokumentem.
Warto więc ustalić już na etapie wyboru oferty, czy wykonawca:
- odpowie na pytania powstające podczas realizacji zaleceń;
- pomoże ustalić kolejność działań;
- przygotuje brakującą dokumentację;
- wesprze właścicieli procesów;
- zweryfikuje wykonanie najważniejszych rekomendacji.
Jeżeli audyt ujawni systemowe braki, jego naturalną kontynuacją może być wdrożenie RODO, którego zakres wynika bezpośrednio z ustalonego stanu i poziomu ryzyka. Dzięki temu organizacja nie kupuje kolejnego uniwersalnego pakietu dokumentów, lecz usuwa konkretne problemy wykryte podczas badania.
Rola IOD podczas audytu
Inspektor Ochrony Danych powinien zostać włączony w audyt, ponieważ jednym z jego podstawowych zadań jest monitorowanie zgodności z RODO. Nie oznacza to jednak, że musi samodzielnie wykonywać wszystkie czynności audytowe.
W dużej organizacji IOD może przygotowywać plan kontroli, prowadzić audyty tematyczne oraz monitorować realizację rekomendacji. Przy ocenie całego systemu warto jednak rozważyć zaangażowanie zewnętrznego audytora, szczególnie gdy potrzebna jest dodatkowa specjalizacja techniczna albo niezależne spojrzenie na funkcjonowanie samego IOD.
UODO podkreśla, że wewnętrzne systemy kontroli nie mogą ograniczać niezależności inspektora ani jego możliwości prowadzenia bieżącej, kompleksowej oceny zgodności.
Jeżeli organizacja nie ma stałego inspektora albo funkcja jest wykonywana jedynie formalnie, outsourcing IOD może zapewnić późniejszy nadzór nad realizacją rekomendacji, aktualizacją dokumentacji i oceną nowych projektów. Audyt pokazuje bowiem stan w określonym momencie, natomiast zgodność wymaga dalszego monitorowania zmian.
Ile kosztuje rzetelny audyt RODO?
Cena zależy przede wszystkim od zakresu i pracochłonności. Sam rozmiar organizacji ma znaczenie, ale nie jest jedynym ani zawsze najważniejszym kryterium.
Na wycenę wpływają między innymi:
- liczba spółek, lokalizacji i działów;
- liczba procesów oraz systemów;
- zakres danych szczególnych kategorii;
- liczba wywiadów z właścicielami procesów;
- stan i objętość dokumentacji;
- liczba dostawców i transferów danych;
- zakres przeglądu IT;
- konieczność wizyty w lokalizacji;
- szczegółowość raportu i prezentacji wyników.
Tańsza oferta może być wystarczająca, jeżeli firma świadomie zamawia ograniczony przegląd jednego obszaru. Problem powstaje wtedy, gdy wykonawca nazywa taki przegląd kompleksowym audytem całej organizacji, nie wskazując wyłączeń.
Zamiast pytać wyłącznie „ile kosztuje audyt RODO?”, warto więc zapytać: „jaki zakres badania otrzymujemy za tę cenę i jakie decyzje będziemy mogli podjąć na podstawie raportu?”.
Jak porównać dwie oferty audytu RODO?
Najprostszym sposobem jest zestawienie nie samych cen, lecz zakresów i rezultatów. Warto sprawdzić:
- czy obie oferty obejmują te same spółki, lokalizacje i działy;
- czy zakładają podobną liczbę wywiadów;
- czy obie obejmują obszar IT i dostawców;
- czy raport będzie zawierał ocenę ryzyka i priorytety;
- czy w cenie uwzględniono prezentację wyników;
- czy wykonawca przewidział wsparcie po audycie;
- kto faktycznie będzie prowadził badanie;
- jakie doświadczenie posiada audytor w danej branży.
Dopiero po takim porównaniu można stwierdzić, która oferta jest rzeczywiście korzystniejsza. Najniższa cena może oznaczać oszczędność, ale może również wynikać z pominięcia najbardziej pracochłonnych i wartościowych elementów.
Jak rozpoznać ofertę, która może być zbyt powierzchowna?
Sygnałem ostrzegawczym nie jest sama niska cena. Wątpliwości powinno wzbudzić przede wszystkim połączenie niskiej ceny z bardzo szerokimi deklaracjami i brakiem konkretnych informacji o sposobie realizacji.
Szczególną ostrożność warto zachować, gdy wykonawca:
- przedstawia ostateczną wycenę bez poznania działalności firmy;
- nie określa liczby rozmów i badanych obszarów;
- ogranicza audyt do dokumentacji;
- nie wskazuje, kto będzie prowadził badanie;
- nie wyjaśnia zakresu części technicznej;
- opisuje raport jedynie jako „listę niezgodności”;
- nie przewiduje omówienia wyników;
- pobiera dodatkową opłatę za każdą konsultację dotyczącą raportu.
Dobra oferta nie musi opisywać każdego szczegółu metodologii, ale powinna dawać klientowi jasność co do tego, co zostanie zbadane, czego audyt nie obejmuje oraz co organizacja otrzyma po zakończeniu prac.
Audyt RODO powinien prowadzić do realnej zmiany
Największą wartością audytu nie jest potwierdzenie, że organizacja posiada dokumentację. Jest nią możliwość podjęcia świadomych decyzji, zanim luka doprowadzi do naruszenia, sporu z klientem, problemu z dostawcą albo kontroli organu.
Rzetelny audyt pokazuje nie tylko uchybienia. Pozwala także potwierdzić, które rozwiązania działają prawidłowo i nie wymagają niepotrzebnej przebudowy. Dzięki temu firma może skoncentrować budżet i czas na obszarach, które generują rzeczywiste ryzyko.
BPPZ prowadzi audyty RODO obejmujące ocenę prawną, organizacyjną i techniczną, rozmowy z właścicielami procesów oraz raport z rekomendacjami i priorytetami. Zakres i wycena są ustalane po poznaniu struktury organizacji, procesów, systemów i obecnego poziomu dojrzałości.
Najczęstsze pytania o ofertę audytu RODO
Czy audyt RODO jest obowiązkowy?
RODO nie wskazuje jednego obowiązkowego formatu audytu ani jednej częstotliwości właściwej dla każdej firmy. Administrator ma jednak obowiązek wdrożyć odpowiednie środki, wykazywać zgodność oraz w razie potrzeby je przeglądać i aktualizować. Audyt jest praktycznym sposobem realizacji tej weryfikacji.
Potrzeba przeprowadzenia audytu jest szczególnie wyraźna po istotnej zmianie systemów, uruchomieniu nowych procesów, reorganizacji, naruszeniu danych albo dłuższym okresie bez aktualizacji dokumentacji.
Co powinna zawierać oferta audytu RODO?
Oferta powinna określać cel, zakres, metodę badania, badane jednostki, liczbę planowanych wywiadów, zakres części technicznej, harmonogram oraz rezultat końcowy. Powinna także wskazywać, co nie zostało objęte ceną.
Kto może przeprowadzić audyt RODO?
RODO nie wprowadza jednej ustawowej licencji audytora. Wykonawca powinien jednak posiadać wiedzę prawną, znajomość procesów przetwarzania oraz kompetencje pozwalające ocenić zabezpieczenia organizacyjne i techniczne.
Przy bardziej złożonym audycie najlepsze rezultaty daje zespół łączący kompetencje prawne, audytowe i informatyczne.
Czy IOD może przeprowadzić audyt własnej organizacji?
Tak, monitorowanie zgodności i prowadzenie kontroli mieszczą się w zadaniach IOD. Organizacja musi jednak zapewnić mu niezależność i unikać sytuacji, w której inspektor ocenia rozwiązania, za których zaprojektowanie lub wdrożenie sam wcześniej odpowiadał.
Przy audycie całego systemu albo funkcjonowania samego IOD warto rozważyć zewnętrzną ocenę.
Czy audyt RODO może zostać przeprowadzony zdalnie?
Znaczną część audytu można przeprowadzić zdalnie, analizując dokumentację, prowadząc rozmowy i prezentując systemy podczas spotkań online. Wizyta na miejscu może być potrzebna przy ocenie zabezpieczeń fizycznych, archiwów, serwerowni, zakładów produkcyjnych lub lokalizacji o szczególnym znaczeniu.
Czy oferta audytu powinna obejmować zabezpieczenia IT?
Jeżeli audyt ma być kompleksową oceną zgodności, powinien obejmować przynajmniej ocenę adekwatności najważniejszych zabezpieczeń informatycznych. Zakres techniczny powinien być opisany w ofercie.
Audyt RODO nie musi automatycznie obejmować testów penetracyjnych, ale powinien sprawdzać sposób zarządzania dostępami, backupami, urządzeniami, logami i dostawcami systemów.
Jak długo trwa audyt RODO?
Czas zależy od liczby procesów, lokalizacji, rozmów, dokumentów i systemów. Audyt mniejszej organizacji może zakończyć się w ciągu kilku tygodni. Projekt obejmujący grupę spółek lub wiele lokalizacji wymaga zwykle dłuższego harmonogramu i podziału na etapy.
Jakie dokumenty trzeba przekazać audytorowi?
Typowy zakres obejmuje rejestry czynności, analizy ryzyka, DPIA, polityki, procedury, klauzule informacyjne, umowy z dostawcami, upoważnienia, rejestry naruszeń oraz dokumentację dotyczącą praw osób.
Pełna lista powinna zostać przygotowana po ustaleniu zakresu. Audytor nie powinien żądać dokumentów niezwiązanych z badanymi procesami.
Jak powinien wyglądać raport z audytu RODO?
Raport powinien opisywać ustalony stan, wskazywać ryzyko i podstawę oceny, przedstawiać konkretne rekomendacje oraz określać priorytety. Powinien być zrozumiały zarówno dla zarządu, jak i dla osób odpowiedzialnych za realizację działań.
Czy audyt RODO chroni przed karą UODO?
Nie. Żaden audytor nie może zagwarantować, że organizacja nie otrzyma kary albo nie dojdzie do naruszenia. Audyt pozwala jednak wcześniej wykryć ryzyka, udokumentować działania kontrolne i podjąć działania naprawcze.
Czym różni się audyt RODO od wdrożenia RODO?
Audyt diagnozuje aktualny stan i wskazuje luki. Wdrożenie polega na przygotowaniu oraz uruchomieniu rozwiązań, które mają te luki usunąć.
Najczęściej najpierw przeprowadza się audyt, a dopiero następnie ustala zakres wdrożenia. Pozwala to uniknąć przygotowywania niepotrzebnych dokumentów i skoncentrować się na rzeczywistych problemach.
Jak otrzymać ofertę audytu RODO?
Do przygotowania wstępnej wyceny potrzebne są podstawowe informacje o organizacji: liczba spółek i lokalizacji, charakter działalności, główne procesy, wykorzystywane systemy oraz obecny stan dokumentacji.
Po krótkiej rozmowie zakresowej możliwe jest przygotowanie oferty wskazującej zakres, harmonogram, rezultat oraz cenę audytu.
