Come migliorare i risultati dell’audit ISO: 5 passi

Come migliorare i risultati dell’audit ISO: 5 passi

1.  Consapevolezza dei fattori chiave

Tutti devono conoscere questi 5 fattori chiave del vostro sistema di gestione. Siate preparati.
* Dichiarazione politica.
* Obiettivi del sistema.
* Perché il sistema è importante.
* Come accedere ai documenti del sistema.
* Come avviare il processo di azione correttiva.

Istruire e riqualificare regolarmente tutti in questi 5 Fattori Chiave. Rendere questa formazione breve e frequente. Utilizzare supporti visivi come biglietti da visita, poster, manifesti, banner, ecc.

2.  Responsabilità della direzione
Assicuratevi che il top management possa rispondere fluentemente alle domande della sezione Responsabilità di gestione di qualsiasi standard per il quale state per essere sottoposti ad audit. Questo include argomenti come:
* Dimostrazione della responsabilità per l’efficacia del sistema
* Integrazione del sistema nei processi aziendali
* Approccio al processo
* Pensiero basato sul rischio

3. Audit interno ISO
* Assicuratevi che il vostro programma di audit sia aggiornato.
* Assicuratevi che i vostri auditor interni ISO abbiano ricevuto una buona e solida formazione.
* Documentare il vostro programma di audit, impostando le frequenze minime richieste per ogni tipo di audit (processi fondamentali e processi di supporto).
* Completare tutti gli audit richiesti dal programma di audit ISO e verificare il sistema completo almeno una volta all’anno.
* Assicuratevi che gli auditor controllino fino al livello del processo, non solo i requisiti della ISO 9001 o dello standard pertinente.
* Controllate internamente il vostro processo di audit interno, utilizzando un auditor qualificato che non sia coinvolto nel processo di audit interno dell’ISO.

4. Pulizia
* Controllare l’intera struttura con riferimento alle vecchie procedure del sistema ISO e le istruzioni che sono state registrate su pareti e bacheche anni fa e che tutti hanno smesso di vedere.
* Pulire l’azienda e gli uffici. La pulizia e la buona organizzazione migliora i processi, stimola il morale, aumenta l’immagine non solo per gli auditor, ma anche per i visitatori, i clienti, i fornitori e simili.

5. Azione correttiva
* Definire molt azioni correttive nel vostro sistema, aperto e chiuso.
* Incoraggiare i dipendenti a tutti i livelli a presentare azioni correttive, soprattutto per reclami dei clienti, prodotti ripetitivi non conformi e simili.

La nuova norma ISO 27701

Lo standard ISO/IEC 27701: 2019 specifica i requisiti e fornisce una guida per stabilire, implementare, mantenere e migliorare continuamente un PIMS (Privacy Information Management System o sistema di gestione delle informazioni sulla privacy) attraverso un set di requisiti, obiettivi di controllo e controlli che integrano ed estendono quanto definito nello standard ISO/IEC 27001: 2013 per la gestione della sicurezza delle informazioni.

iso27001

Le organizzazioni che hanno già implementato un ISMS (Information Security Management System) secondo la ISO/IEC 27001 saranno in grado di utilizzare la ISO/IEC 27701 per estendere la copertura dell’information security alla gestione della privacy, comprendendo anche i trattamenti di dati personali (PII – Personally Identifiable Information ), in modo da poter dimostrare la conformità con le legislazioni cogenti in materia di protezione dei dati personali come il GDPR.

Struttura della norma

La normativa è strutturata con una parte introduttiva nella quale si ribadiscono obiettivi e campo di applicazione, le altre normative di riferimento, la terminologia. Viene inoltre dettagliata la correlazione con la ISO/IEC 27001 ed ISO/IEC 27002 nella versione 2013. Ciò perché la ISO/IEC 27701 di fatto costituisce un’estensione delle normative appena citate e deve essere applicata in modo congiunto ad esse.

Nella sezione 3 “Terms, definitions and abbreviations” si fa esplicito riferimento alle definizioni di titolare del trattamento (in inglese controller) e di Privacy Information Management System, proprio a sottolineare la focalizzazione del documento sul tema privacy e protezione dei dati personali.

I paragrafi da 5 a 8 riportano le cosiddette “clausole”, cioè i requisiti che devono essere soddisfatti per garantire la conformità alla normativa. In particolare:

Paragrafo (o clausola) 5: fornisce i requisiti sul PIMS e altre informazioni derivanti dalla ISO/IEC 27001 che devono essere adottate da organizzazioni che vogliano configurarsi come Titolare o Responsabile del trattamento. In particolare, ciascun requisito ISO/IEC 27001 viene ulteriormente dettagliato in sotto-clausole specifiche per il PIMS;
Paragrafo (o clausola) 6: fornisce una guida specifica per PIMS e altre informazioni relative ai controlli di sicurezza delle informazioni ISO / IEC 27002 per un’organizzazione che agisca come Titolare o Responsabile del Trattamento;
Paragrafi (o clausole) 7 ed 8: forniscono una guida aggiuntiva, rispetto ad ISO/IEC 27002 rispettivamente per i titolari e per i responsabili del trattamento.
Sono inoltre presenti 6 allegati (in inglese Annex) che riportano sia controlli (cioè misure tecnico/organizzative di mitigazione del rischio privacy), sia riferimenti alle altre normative ISO/IEC vigenti. Nel dettaglio:

Annex A: analogamente alla ISO/IEC 27001 questo allegato riporta i controlli che devono essere implementati in un PIMS da un’organizzazione che si configuri come Titolare del Trattamento (indipendentemente dal fatto che impieghi un Responsabile del Trattamento o che si configuri anche come con-Titolare);
Annex B: riporta i controlli che devono essere implementati in un PIMS da un’organizzazione che si configuri come Responsabile del Trattamento (indipendentemente dal fatto che si avvalga di sub-responsabili);
Annex C: riporta la mappatura rispetto alla normativa ISO/IEC 29100 Information Technology – Privacy Techniques – Privacy Framework;
Annex D: allegato estremamente interessante che riporta il mapping delle clausole ISO/IEC 27701 rispetto agli adempimenti ed ai concetti chiave del GDPR;
Annex E: contiene la mappatura rispetto alle normative ISO/IEC 27018 Information Technology – Security Techniques – Code of Practice for Protection of Personally Identifiable Information (PII) in public clouds acting as PII ed alla ISO/IEC 29151 Information Technology – Security Techniques – Code of Practice for Personally Identifiable Information Protection;
Annex F: descrive ulteriori modalità per applicare la ISO/IEC 27001 ed ISO/IEC 27002 all’ambito privacy laddove vengano trattati dati personali.
Di estremo interesse l’allegato D che riporta nel dettaglio la corrispondenza tra le clausole ISO/IEC 27701 e gli articoli del GDPR. Come già evidenziato nella parte iniziale del presente articolo, questo rappresenta uno strumento potentissimo per l’implementazione del principio di accountability e, allo stesso tempo, uno schema per l’audit e la certificazione dei trattamenti secondo quanto previsto dal Regolamento.

Fonte: cybersecurity360.it

Audit e certificazione di sistemi di gestione ambientale: pubblicata una nuova norma.

immagine_kit

Per svolgere al meglio l’attività di audit è necessario “seguire” dei requisiti fondamentali; requisiti che si differenziano e/o si adattano alla situazione da valutare. La normazione è particolarmente attenta in quest’ambito infatti è grazie alla commissione Valutazione della conformità che è stata da poco recepita la norma EN ISO/IEC 17021-2.

Questo documento definisce i requisiti di conoscenza aggiuntivi per il personale coinvolto nei processi di audit e di certificazione di sistemi di gestione ambientale – EMS – Environmental Management Systems – ed integra gli attuali requisiti della ISO/IEC 17021-1.

Gli organismi di certificazione sono responsabili verso le parti interessate, compresi i loro clienti ed i clienti delle organizzazioni i cui sistemi di gestione sono certificati, di assicurare che solo quegli auditor che dimostrano una competenza adeguata siano abilitati alla conduzione di audit di sistemi di gestione ambientale (EMS – Environmental Management System). Tutti gli auditor di EMS dovrebbero possedere le competenze generali descritte nella ISO/IEC 17021-1, così come le conoscenze specifiche relative ai EMS descritte nel presente documento.

Inoltre, gli organismi di certificazione sono chiamati ad identificare la competenza specifica del gruppo di audit richiesta dal campo di applicazione di ciascun audit di EMS. La selezione di un gruppo di audit di EMS è funzione di vari fattori, compresi l’area tecnica del EMS medesimo, il contesto dell’organizzazione, i relativi aspetti ambientali e il sito correlato a tali aspetti.

Sono inoltre descritti i requisiti di competenza per l’altro personale coinvolto nelle attività di certificazione.

Nel presente documento sono utilizzate le seguenti forme verbali:

“deve” indica un requisito;
“dovrebbe” indica una raccomandazione;
“può” indica un permesso (may), una possibilità o capacità (can).
All’interno della norma è citata la ISO/IEC 17021-1 Conformity assessment – Requirements for bodies providing audit and certification of management systems – Part 1: Requirements come riferimento normativo.

Per valutazione della conformità s’intende la “dimostrazione che requisiti specificati relativi ad un prodotto, processo, sistema, persona od organismo, sono soddisfatti”.

Nuova norma gestione conoscenza

immagine_kit

 

La gestione della conoscenza è una disciplina focalizzata sui modi in cui le organizzazioni creano e utilizzano la conoscenza; non ha una definizione unica accettata e non vi sono norme globali antecedenti alla norma UNI ISO 30401 sui sistemi di gestione. Si deve alla commissione Responsabilità sociale delle organizzazioni l’adozione anche in lingua italiana della sopracitata norma internazionale.

L’intento di questo documento è quello di fissare dei principi e requisiti solidi di gestione della conoscenza:

a) come guida per organizzazioni che mirano ad essere competenti nell’ottimizzare il valore della conoscenza organizzativa;

b) come base per svolgere attività di audit, certificare, valutare e riconoscere tali organizzazioni competenti da parte di organismi di auditing interni ed esterni riconosciuti.

Esistono numerosi e ben noti ostacoli a una gestione della conoscenza di successo che occorre ancora superare, molta confusione con altre discipline quali la gestione delle informazioni, e molte idee errate su come effettuare la gestione della conoscenza, per esempio la convinzione che il semplice acquisto di un sistema tecnologico sia sufficiente a far sì che la gestione della conoscenza aggiunga valore.

Ciascuna organizzazione costruisce un approccio di gestione della conoscenza, in relazione al proprio ambiente di business e operativo, che riflette le proprie specifiche esigenze e gli esiti desiderati.

La norma stabilisce i requisiti e fornisce le linee guida per stabilire, attuare, mantenere, riesaminare e migliorare un sistema efficace di gestione per la gestione della conoscenza nelle organizzazioni. Tutti i requisiti trattati sono applicabili a qualsiasi organizzazione, indipendentemente dal tipo o dalla dimensione, o dai prodotti e servizi forniti.

 

5 step per avviare l’iter ISO 45001

immagine_kit

Ecco i 5 aspetti per per iniziare ad applicare la norma ISO 45001 e creare un sistema di gestione sicurezza e salute del lavoro.
1. eseguire un’analisi del contesto dell’organizzazione riguardante la salute e sicurezza
sul lavoro (per esempio, le parti interessate) così come dei fattori interni ed esterni
che possono avere un impatto sulle attività;
2. stabilire il perimetro di applicazione del sistema di gestione, tenendo ben presenti gli
obiettivi che si vorrebbero raggiungere;
3. definire la politica e gli obiettivi di salute e sicurezza;
4. definire i tempi di attuazione del sistema di gestione e pianificare come raggiungere
l’obiettivo;
5. definire le carenze in termini di competenze e/o risorse che è necessario colmare
prima dell’applicazione della norma.

Fornitura arredi, l’Iso 14001 aiuta a vincere

logo

La tutela dell’ambiente può far vincere una gara pubblica all’impresa produttrice che abbia una certificazione Iso 14001 (standard di gestione ambientale). Lo sottolinea il Consiglio di Stato, nella sentenza 11 marzo 2019 n. 1635, relativa a una fornitura di arredi ospedalieri all’ azienda regionale centrale acquisti della Lombardia.

Nel caso specifico, il bando di gara prevedeva un punteggio ad hoc per prodotti che presentassero un «minore impatto sulla salute e sull’ambiente» (articolo 95 comma 13 del Testo unico appalti 50/2016) e un’impresa aveva offerto beni (letti ospedalieri) prodotti con basso impatto ambientale da una propria società controllata.

La certificazione ambientale Iso 14.001, utile per ottenere tale punteggio, era tuttavia posseduta solo dall’impresa controllata, produttrice dei beni, e non dall’impresa controllante, l’unica che aveva partecipato alla gara offrendo i beni prodotti dalla società controllata.

Secondo i giudici amministrativi, il punteggio premiale spetta alla specifica impresa che fabbrichi i prodotti con certificazione ambientale Iso 14001 (ad esempio, con processi privi di esalazioni nocive o vernici tossiche), senza che ne possa beneficiare l’impresa che commercializzi, come società controllante, i prodotti della società controllata.

Fonte: Il Sole 24 Ore

Scarica la sentenza

La valutazione dei rischi quando si implementa un SGSI ISO 27001

iso27001

Una valutazione dei rischi ISO 27001 prevede cinque passaggi importanti:
1. definire una struttura di valutazione dei rischi;
2. identificare i rischi;
3. analizzare i rischi;
4. valutare i rischi;
5. scegliere le opzioni di gestione dei rischi.
La struttura di valutazione dei rischi è una parte critica del processo, che comporta anche la scelta della/e persona/e responsabili della valutazione. In assenza di persone in grado di effettuare le valutazioni, l’intero programma viene meno.
È inoltre necessario definire i criteri di accettazione dei rischi, cioè comprenderne l’impatto sull’organizzazione e le probabilità che si presentino effettivamente. Determinare l’impatto e la probabilità di un rischio dato consente di determinarne la reale gravità. Spesso i responsabili della gestione dei rischi presentano questa semplice matrice:
Probabilità
È possibile utilizzare i risultati di questa analisi per decidere come reagire ai rischi.
A tal fine è necessario considerare quattro tipi di reazione:
1. tollerare il rischio;
2. gestirlo mediante controlli;
3. eliminarlo evitandolo completamente;
4. trasferirlo, mediante un’assicurazione o un accordo con altre parti.