13.07.2015 Views

Phadia S.r.l. Modello di organizzazione, gestione e controllo per la ...

Phadia S.r.l. Modello di organizzazione, gestione e controllo per la ...

Phadia S.r.l. Modello di organizzazione, gestione e controllo per la ...

SHOW MORE
SHOW LESS

Create successful ePaper yourself

Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.

I controlli standard speciali sono quelli <strong>di</strong> seguito in<strong>di</strong>cati:− Autenticazione ai sistemi: è richiesta l’autenticazione in<strong>di</strong>viduale degli utentitramite log in e password od altro sistema <strong>di</strong> autenticazione sicura.− Sistema <strong>di</strong> autorizzazione alle o<strong>per</strong>azioni eseguibili sui dati: deve essereprevisto un sistema <strong>di</strong> autorizzazione (profili <strong>di</strong> utilizzo) <strong>per</strong> l'esecuzione <strong>di</strong>o<strong>per</strong>azioni sui dati o <strong>per</strong> limitare <strong>la</strong> visibilità ad un sottoinsieme dei dati stessi.− Liste <strong>di</strong> <strong>controllo</strong>: devono essere <strong>di</strong>sponibili liste <strong>di</strong> <strong>controllo</strong> del <strong>per</strong>sonaleabilitato all'accesso ai sistemi, nonché le autorizzazioni specifiche dei <strong>di</strong>versiutenti o categorie <strong>di</strong> utenti, nel caso in cui sia previsto un sistema <strong>di</strong>autorizzazione.− Obblighi degli utenti: devono esistere procedure che definiscono gli obblighidegli utenti nell'utilizzo dei sistemi informatici.− Poteri: deve essere attribuito esclusivamente al servizio competente <strong>la</strong> facoltà <strong>di</strong>cancel<strong>la</strong>re dati, liste <strong>di</strong> <strong>controllo</strong> ed archivi. Il servizio deve assicurare <strong>la</strong>tracciabilità delle re<strong>la</strong>tive o<strong>per</strong>azioni.− Altre misure <strong>di</strong> protezione: devono essere documentate le principali misure <strong>di</strong>protezione adottate ai sensi dell’Allegato B del d. lgs. 296/03 (politica <strong>di</strong>aggiornamento dell'antivirus, misure <strong>di</strong> back up, <strong>di</strong>saster recovery ecc.).− Change management: deve esistere una procedura <strong>di</strong> Change Management <strong>per</strong>il tracciamento e <strong>la</strong> documentazione del<strong>la</strong> manutenzione dei sistemi, basati su treambienti segregati (Sviluppo/Quality/Produzione).10. <strong>gestione</strong> dei rapporti con pubblici ufficiali stranieri <strong>di</strong> paesi membri del<strong>la</strong>Comunità Europea o <strong>di</strong> altri Stati Esteri in re<strong>la</strong>zione a gare, <strong>per</strong>messi licenze eautorizzazioni o sovvenzioni;11. <strong>gestione</strong> dei rapporti con pubblici ufficiali stranieri <strong>di</strong> paesi membri del<strong>la</strong>Comunità Europea o <strong>di</strong> altri Stati Esteri in re<strong>la</strong>zione a controlli.I controlli standard speciali sono quelli <strong>di</strong> seguito in<strong>di</strong>cati:− Procedura: deve esistere una procedura <strong>per</strong> <strong>la</strong> <strong>gestione</strong> dei rapporti con talisoggetti che preveda: (i) segregazione delle funzioni aziendali coinvolte, (ii)definizione <strong>di</strong> ruoli e responsabilità dei soggetti coinvolti; (iii) modalità <strong>di</strong>archiviazione del<strong>la</strong> documentazione rilevante.− Autorizzazione e poteri: solo soggetti dotati <strong>di</strong> apposita procura sonolegittimati ad intrattenere rapporti con tali soggetti.− Documentazione: deve esistere adeguata documentazione delle attività econservazione del<strong>la</strong> stessa in apposito archivio con <strong>di</strong>vieto <strong>di</strong> cancel<strong>la</strong>re o<strong>di</strong>struggere arbitrariamente i documenti archiviati.− Ruoli/Responsabilità: l’attribuzione formale <strong>di</strong> poteri interni/responsabilità (es.attraverso deleghe <strong>di</strong> funzione e <strong>di</strong>sposizioni/comunicazioni organizzative) deveessere fatta a soggetti che istituzionalmente intrattengono tali rapporti con isoggetti pubblici.− Motivazione: ciascun rapporto con tali soggetti deve avvenire sul<strong>la</strong> base <strong>di</strong> unagiustificazione documentata.− Reporting: obbligo <strong>di</strong> riferire <strong>per</strong> iscritto al su<strong>per</strong>iore gerarchico su quantoemerso nel corso dei contatti/riunioni avuti e sulle informazioni rilevantiacquisite presso tali soggetti.83

Hooray! Your file is uploaded and ready to be published.

Saved successfully!

Ooh no, something went wrong!