ISO 27701:2025: audit PIMS ed evidenze per il GDPR
Sarah, Responsabile Compliance presso il provider fintech InnovatePay, aprì un’e-mail dell’Amministratore delegato che sembrava semplice, ma che cambiò l’intero programma privacy.
“Ottimo lavoro sulle nuove politiche PIMS per il nostro percorso ISO 27701. Ora, come facciamo a sapere che tutto questo funzioni davvero? E come lo dimostriamo ad auditor, clienti bancari e autorità di regolamentazione?”
È in quel momento che un Sistema di gestione delle informazioni sulla privacy riesce o fallisce.
InnovatePay disponeva già di un Sistema di gestione della sicurezza delle informazioni (SGSI) certificato ISO/IEC 27001:2022. Il team privacy aveva predisposto modelli DPIA, registrazioni dei responsabili del trattamento, regole di conservazione, procedure per le violazioni e flussi di lavoro per l’esercizio dei diritti degli interessati. La raccolta delle politiche appariva matura. Il problema erano le evidenze.
L’Article 5(2) del GDPR rende esplicita la responsabilizzazione. I titolari del trattamento sono responsabili del rispetto dei principi privacy e devono essere in grado di dimostrarne la conformità. I grandi clienti bancari ponevano domande più approfondite sul rischio di terze parti a causa di DORA. NIS2 aveva aumentato l’attenzione della direzione sugli obblighi dell’organo di gestione. La leadership interna voleva avere la certezza che la privacy non fosse solo un insieme di buone intenzioni raccolte in documenti.
Sarah non aveva bisogno di un’altra politica. Aveva bisogno di un motore di assurance.
Questo è il vero valore della governance degli audit e del riesame della direzione ISO 27701:2025 per il PIMS. Trasforma le attività privacy in evidenze. Gli audit interni verificano se i controlli funzionano. Il riesame della direzione trasforma risultanze, rischio privacy, problematiche dei fornitori, risultati del monitoraggio e modifiche normative in decisioni. L’azione correttiva elimina le cause radice. I registri delle evidenze rendono la narrazione tracciabile.
Per SaaS, fintech, tecnologie HR, servizi gestiti, piattaforme sanitarie e PMI ad alta intensità di dati, questa è la differenza tra affermare “abbiamo controlli privacy” e dimostrare “il nostro sistema di gestione della privacy è operativo, riesaminato e in miglioramento”.
Il divario di assurance del PIMS nella responsabilizzazione GDPR
La maggior parte dei programmi privacy sa rispondere a domande operative di base:
- Abbiamo un processo DPIA?
- Manteniamo un registro dei responsabili del trattamento?
- Rispondiamo alle richieste di esercizio dei diritti degli interessati?
- Abbiamo una procedura per le violazioni?
- Manteniamo informative privacy e regole di conservazione?
Meno organizzazioni sanno rispondere alle domande che auditor e grandi clienti aziendali pongono realmente:
- Quando è stato sottoposto ad audit il PIMS per l’ultima volta?
- Chi ha svolto l’audit e il livello di indipendenza era sufficiente?
- Quali requisiti, politiche e obblighi GDPR sono stati verificati?
- Quali evidenze sono state campionate?
- Quali risultanze sono state emesse?
- Quali decisioni ha assunto la direzione?
- L’efficacia delle azioni correttive è stata verificata?
- Possiamo tracciare le evidenze dal requisito al controllo fino al riesame?
Questo è il divario di assurance del PIMS.
ISO/IEC 27001:2022 fornisce la base del sistema di gestione attraverso la valutazione del rischio, gli obiettivi, l’audit interno ai sensi della clausola 9.2, il riesame della direzione ai sensi della clausola 9.3 e l’azione correttiva ai sensi della clausola 10.2. ISO 27701:2025 estende questa logica di assurance alla governance della privacy e del trattamento dei dati personali. Il GDPR fornisce quindi la ragione giuridica per cui le evidenze sono rilevanti, in particolare attraverso Article 5(2), Article 24 e, quando è coinvolta la sicurezza del trattamento, Article 32.
Un PIMS deve dimostrare che l’organizzazione:
- Sa se opera come titolare del trattamento, responsabile del trattamento, contitolare del trattamento o sub-responsabile del trattamento
- Tiene traccia dei requisiti privacy legali, normativi, contrattuali e dei clienti
- Verifica i controlli privacy tramite audit e monitoraggio pianificati
- Registra lacune nelle evidenze e non conformità
- Segnala le problematiche sostanziali alla leadership
- Riesamina obiettivi privacy, rischi e assurance dei fornitori
- Verifica le azioni correttive dopo la chiusura
- Conserva le evidenze in una forma affidabile per gli auditor
Il modello Clarysec è costruito intorno a questo ciclo chiuso.
REG12 come asse portante della governance degli audit ISO 27701:2025 per il PIMS
Il centro operativo del modello di assurance PIMS di Clarysec è REG12, il registro delle evidenze per il monitoraggio, l’audit, le azioni correttive e il riesame della direzione del PIMS.
Il primo obbligo di policy collegato è volutamente diretto. Nella Politica di monitoraggio, audit e miglioramento del PIMS, la clausola 4.2.1 stabilisce:
“[Tutti] Il responsabile dell’audit interno / riesaminatore della conformità DEVE predisporre annualmente in REG12 un programma di audit interno PIMS basato sul rischio prima del primo ciclo di audit PIMS pianificato.”
Questo evita il fallimento ricorrente per cui il programma di audit viene creato due settimane prima della certificazione o solo dopo che un cliente richiede evidenze. Un programma di audit PIMS deve essere basato sul rischio, approvato, documentato e disponibile prima dell’avvio del primo ciclo di audit.
La stessa politica trasforma l’indipendenza dell’auditor in evidenza. La clausola 4.2.3 stabilisce:
“[Tutti] Il responsabile dell’audit interno / riesaminatore della conformità DEVE registrare in REG12 i controlli sull’indipendenza dell’auditor e sui conflitti di interessi prima di ciascun incarico di audit.”
Questo è particolarmente importante per le PMI, dove una persona può progettare i processi privacy, gestirli ed essere tentata di sottoporli ad audit. Indipendenza non significa sempre disporre di un grande dipartimento di audit interno. Significa obiettività, consapevolezza dei conflitti e una motivazione documentata del motivo per cui il riesaminatore assegnato può svolgere l’audit in modo imparziale.
Un solido ciclo di assurance basato su REG12 segue dieci passaggi:
- Pianificare un programma di audit interno PIMS basato sul rischio
- Definire ambito di applicazione, criteri, obiettivi e requisiti delle evidenze
- Confermare l’indipendenza dell’auditor e l’assenza o la gestione dei conflitti di interessi
- Eseguire campionamento, interviste e riesame delle evidenze
- Registrare risultanze, lacune nelle evidenze e non conformità
- Assegnare azioni correttive con responsabili e scadenze
- Verificare l’efficacia delle azioni correttive
- Integrare i risultati nel riesame della direzione
- Aggiornare obiettivi, rischi, risorse e controlli
- Conservare evidenze tracciabili per ISO, GDPR e assurance verso i clienti
È così che la governance della privacy diventa credibile sul piano operativo.
Costruire un programma di audit interno PIMS basato sul rischio
Il Zenith Blueprint: roadmap in 30 passaggi per auditor colloca l’audit interno nella fase Audit, riesame e miglioramento, passaggio 25: programma di audit interno. Rafforza il principio secondo cui gli audit interni devono essere pianificati a intervalli definiti, coprire processi importanti e risultati di audit precedenti, garantire obiettività e imparzialità e riportare i risultati alla direzione.
Il suo consiglio operativo è semplice:
“Quando pianifichi gli audit, valuta di concentrare maggiormente gli sforzi sulle aree critiche o che hanno avuto problemi in passato.”
Per InnovatePay, ciò significava dare priorità ai dati di autenticazione biometrica, ai trasferimenti transfrontalieri verso un sub-responsabile del trattamento con sede negli Stati Uniti, al soddisfacimento dei diritti degli interessati e all’assurance dei fornitori per i clienti bancari. Per un altro provider SaaS, potrebbe significare onboarding dei responsabili del trattamento, escalation privacy nei ticket di supporto, flussi di lavoro di cancellazione e valutazione delle violazioni.
Un programma di audit PIMS utilizzabile dovrebbe includere i seguenti componenti.
| Componente dell’audit | Cosa definire | Esempio per ISO 27701:2025 e GDPR |
|---|---|---|
| Ambito di applicazione | Processi, sedi, prodotti, sistemi e ruoli PIMS | Trattamento marketing come titolare, piattaforma clienti come responsabile del trattamento, onboarding dei sub-responsabili del trattamento |
| Criteri | Politiche, requisiti ISO 27701:2025, obblighi GDPR, contratti e procedure | Politiche PIMS, accordi sul trattamento dei dati, procedura DPIA, politica di conservazione |
| Frequenza | Audit completo annuale più controlli a campione basati sul rischio | Audit PIMS completo annuale, controlli trimestrali sulle richieste di esercizio dei diritti e sulle modifiche dei responsabili del trattamento |
| Indipendenza | Assegnazione dell’auditor e controllo dei conflitti | Riesame incrociato da parte della governance della sicurezza sulle evidenze privacy, consulente esterno per l’audit del processo DPIA ad alto rischio |
| Evidenze | Registri, ticket, log, approvazioni, verbali di riunione e report | REG12, registro DPIA, registro dei responsabili del trattamento, log delle violazioni, verbali del riesame della direzione |
| Reportistica | Risultanze, gravità, responsabili e scadenze | Non conformità minore per tracciabilità incompleta delle evidenze, CAPA assegnata al responsabile privacy |
| Follow-up | Verifica dell’efficacia | Campionamento di tre registrazioni corrette entro 30 giorni dalla chiusura |
Le politiche di audit più ampie di Clarysec supportano la stessa struttura. La Politica di audit e monitoraggio della conformità - PMI, clausola 5.1.1, stabilisce:
“Il Direttore generale (GM) deve approvare un piano di audit annuale.”
La clausola 5.2.3 aggiunge:
“Ogni audit deve includere un ambito definito, obiettivi, personale responsabile ed evidenze richieste.”
Per le organizzazioni più grandi, la Politica di audit e monitoraggio della conformità, clausola 5.2, stabilisce:
“Un piano di audit basato sul rischio deve essere sviluppato e approvato annualmente, tenendo conto di:"
La clausola 5.4 stabilisce:
“L’organizzazione deve mantenere un registro degli audit contenente:"
Il punto non è la burocrazia. Il punto è la tracciabilità. Un programma di audit pianificato, un piano di audit approvato e un registro degli audit mantenuto creano il primo livello di evidenze che dimostra che il PIMS è governato, non improvvisato.
Esecuzione dell’audit: campionamento, interviste e qualità delle evidenze
Il Zenith Blueprint, passaggio 26: esecuzione dell’audit, raccomanda interviste, riesame della documentazione, osservazione, campionamento e registrazione fattuale delle evidenze. Stabilisce:
“Man mano che raccogli evidenze, registra le tue risultanze. Indica dove le attività sono conformi al requisito (risultanze positive) e dove non lo sono (potenziali non conformità o osservazioni).”
Un audit PIMS non deve fermarsi alla domanda se un processo esista. Deve verificare se il processo funziona.
Il team di Sarah selezionò la piattaforma CRM di InnovatePay. La mappa dei dati PIMS indicava che gli account clienti inattivi dovevano essere anonimizzati dopo due anni. L’auditor richiese il report di anonimizzazione dell’ultimo trimestre, campionò cinque registrazioni e verificò che i dati personali non fossero più recuperabili. Quel campione creò evidenze oggettive.
Lo stesso approccio può essere applicato in diversi ambiti privacy:
- Selezionare una DPIA e verificare approvazione, trattamento del rischio, accettazione del rischio residuo e tracciamento delle azioni
- Selezionare un responsabile del trattamento e verificare clausole contrattuali, due diligence e monitoraggio continuo
- Selezionare una richiesta di esercizio dei diritti e verificare controlli d’identità, tracciamento delle scadenze e approvazione della risposta
- Selezionare una valutazione della violazione e verificare se è stata applicata la definizione GDPR di violazione dei dati personali
- Selezionare una regola di conservazione e verificare le evidenze di cancellazione o anonimizzazione
- Selezionare un obiettivo privacy e verificare le evidenze di misurazione
Le politiche privacy di Clarysec supportano questa disciplina di audit. La Politica di protezione dei dati e privacy - PMI, clausola 5.3.3, stabilisce:
“Devono essere svolti e registrati audit privacy o controlli sui controlli con cadenza regolare”
La Politica di protezione dei dati e privacy per organizzazioni enterprise, clausola 5.4, stabilisce:
“Un audit interno di conformità privacy deve essere svolto annualmente o in caso di modifiche organizzative o normative rilevanti. L’ambito dell’audit deve includere:"
Questo trigger di modifica è importante. Un programma di audit PIMS deve rispondere a nuove funzionalità di IA, nuovi Paesi, nuovi sub-responsabili del trattamento, nuove categorie di dati personali, incidenti sostanziali, acquisizioni, modifiche normative e impegni rilevanti verso i clienti.
Durante l’audit di InnovatePay, il team rilevò una non conformità minore. Le azioni correttive per gli incidenti privacy venivano registrate, ma la verifica dell’efficacia non era documentata in modo coerente. Alcune azioni erano marcate come completate, ma non esistevano evidenze indipendenti che la causa radice fosse stata eliminata.
Non si trattava di un fallimento privacy. Era il sistema di assurance che faceva il suo lavoro.
La Politica PIMS sulle informazioni documentate e sulla gestione delle evidenze, clausola 4.3.4, richiede proprio che questo tipo di lacuna sia registrato:
“[Tutti] Il responsabile dell’audit interno / riesaminatore della conformità DEVE registrare in REG12 le lacune di completezza, accuratezza o tracciabilità delle evidenze durante ciascun audit o riesame della conformità pianificato.”
La qualità delle evidenze è parte della responsabilizzazione. Se un controllo opera ma non può essere tracciato, campionato o collegato a un requisito, auditor, clienti o autorità di regolamentazione possono considerarlo non dimostrato.
Un esempio pratico di audit REG12 per richieste di esercizio dei diritti e responsabili del trattamento
Consideriamo un provider B2B SaaS che opera come responsabile del trattamento per i dati degli account dei clienti e come titolare del trattamento per dati dei dipendenti e di marketing. Sta preparando la propria conformità a ISO 27701:2025 e riceve da un cliente un questionario che richiede evidenze di responsabilizzazione GDPR.
Il team privacy crea una registrazione di audit in REG12:
- Nome dell’audit: audit interno PIMS Q2, richieste di esercizio dei diritti e governance dei responsabili del trattamento
- Copertura dei ruoli PIMS: obblighi del titolare e del responsabile del trattamento
- Ambito di applicazione: flusso di lavoro per l’esercizio dei diritti degli interessati, escalation del supporto clienti, registro dei responsabili del trattamento, approvazione dei sub-responsabili del trattamento ed evidenze di monitoraggio privacy
- Criteri: Politica PIMS di protezione dei dati e privacy, Politica PIMS di monitoraggio, audit e miglioramento, obblighi GDPR relativi ai diritti, obblighi di responsabilizzazione del responsabile del trattamento e requisiti del DPA del cliente
- Auditor: riesaminatore della conformità delle operazioni di sicurezza, con controllo dei conflitti registrato
- Campionamento: cinque richieste di esercizio dei diritti, tre ticket clienti che coinvolgono il supporto privacy, cinque sub-responsabili del trattamento, due riesami del rischio dei fornitori e due approvazioni di modifica del DPA
- Evidenze richieste: ticket, marcature temporali, approvazioni delle risposte, controlli di verifica dell’identità, due diligence sui fornitori, informative ai clienti e registrazioni REG
- Risultanze: una richiesta di esercizio dei diritti disponeva di evidenze complete nel ticket ma non di un’approvazione di chiusura collegata. Un riesame di un sub-responsabile del trattamento aveva evidenze di assurance scadute.
- CAPA: aggiornare la checklist di chiusura delle richieste di esercizio dei diritti, assegnare un responsabile delle operazioni privacy, aggiornare le evidenze di assurance dei fornitori e verificare entro 30 giorni
- Input per il riesame della direzione: includere la problematica di qualità delle evidenze sui diritti e il trend dell’assurance dei fornitori
Questa singola registrazione crea una narrazione di audit difendibile. Dimostra pianificazione, ambito, criteri, indipendenza, campionamento, risultanze, azioni correttive ed escalation al riesame della direzione.
Riesame della direzione: dove la privacy diventa governance esecutiva
L’audit interno indica all’organizzazione cosa funziona e cosa no. Il riesame della direzione decide cosa fare.
Molte organizzazioni indeboliscono la governance privacy proprio in questo punto. Trattano il riesame della direzione come una serie di slide anziché come una sede decisionale. I verbali vengono redatti, ma non esiste una registrazione chiara delle decisioni sui rischi privacy, delle approvazioni di risorse, dello stato delle azioni correttive, dei problemi dei fornitori, degli obiettivi o delle modifiche delle parti interessate.
La Politica di monitoraggio, audit e miglioramento del PIMS, clausola 4.3.5, rende espliciti gli input richiesti:
“[Entrambi] L’alta direzione DEVE riesaminare in REG12, durante ciascun riesame della direzione, gli input relativi a non conformità PIMS, azioni correttive, risultati del monitoraggio, risultati di audit, rischio privacy, assurance dei fornitori e modifiche delle parti interessate.”
Il Zenith Blueprint, passaggio 28: riesame della direzione, raccomanda input quali azioni precedenti, modifiche interne ed esterne, prestazioni ed efficacia, risultati di audit, risultati del monitoraggio, obiettivi, incidenti, non conformità, opportunità di miglioramento ed esigenze di risorse.
Il suo messaggio chiave è diretto:
“Questo è essenziale: il riesame della direzione non è solo una presentazione; serve ad assumere decisioni.”
Per InnovatePay, Sarah strutturò il riesame della direzione intorno a decisioni esecutive, non a un esercizio di facciata sulla conformità:
- Stato delle azioni precedenti, anche se si trattava del primo riesame
- Modifiche del contesto, incluse le aspettative DORA dei clienti bancari
- Obiettivi privacy, incluso il tempo medio di risposta alle richieste di esercizio dei diritti degli interessati
- Risultati del monitoraggio, incluso lo stato delle violazioni e degli incidenti
- Risultati dell’audit interno e risultanza minore sulla verifica CAPA
- Assurance dei fornitori, incluso il riesame dei sub-responsabili del trattamento transfrontalieri
- Esigenze di risorse, incluse modifiche al flusso di lavoro del sistema di ticketing
- Miglioramento continuo, inclusa l’automazione della gestione dei fornitori
L’Amministratore delegato approvò una modifica minore alla configurazione del sistema di ticketing per aggiungere un passaggio obbligatorio di verifica delle azioni correttive relative agli incidenti privacy. La decisione fu registrata nel verbale e collegata alla registrazione CAPA in REG12.
Per le organizzazioni che integrano governance SGSI e PIMS, la Politica per la sicurezza delle informazioni, clausola 5.3, supporta anche la cadenza del riesame della direzione:
“Le attività di riesame della direzione (ai sensi di ISO/IEC 27001 Clause 9.3) devono essere svolte almeno annualmente e devono includere:"
Un riesame combinato SGSI e PIMS può essere efficiente, ma solo se la privacy non scompare nella reportistica generica di sicurezza. L’agenda deve preservare input specifici del PIMS, quali ruoli di trattamento, diritti degli interessati, DPIA, assurance dei responsabili del trattamento, conservazione, valutazione delle violazioni, obiettivi privacy e obblighi GDPR.
CAPA: chiudere le risultanze eliminando le cause radice
Le azioni correttive e preventive sono il punto in cui l’assurance diventa miglioramento. Una risultanza non deve esaurirsi in “documento aggiornato”. L’organizzazione deve identificare la causa radice, applicare una correzione significativa, assegnare la responsabilità, definire scadenze, verificare l’efficacia e conservare le evidenze.
Il Zenith Blueprint, passaggio 29: miglioramento continuo, stabilisce:
“Un’azione correttiva è un passaggio, o una serie di passaggi, che adotterai per eliminare la causa radice della non conformità affinché non si ripeta.”
La differenza tra una correzione debole e una forte azione correttiva è visibile nelle evidenze.
| Risultanza | Correzione debole | Azione correttiva forte |
|---|---|---|
| Approvazione di chiusura mancante per una richiesta di esercizio dei diritti | Aggiungere l’approvazione a un ticket | Aggiornare la checklist di chiusura, formare i responsabili del supporto, aggiungere un campo obbligatorio nel flusso di lavoro e campionare ticket futuri |
| Assurance del sub-responsabile del trattamento scaduta | Caricare un nuovo report SOC | Aggiungere il tracciamento della scadenza delle evidenze dei fornitori, assegnare un responsabile e riesaminare tutti i sub-responsabili del trattamento critici |
| Trattamento del rischio DPIA non collegato al lavoro di engineering | Aggiungere una nota alla DPIA | Creare un collegamento obbligatorio tra azioni DPIA e backlog di prodotto, quindi verificare le evidenze di chiusura |
| Il riesame della direzione ha omesso gli obiettivi privacy | Aggiungere una slide l’anno successivo | Aggiornare il modello di agenda del riesame della direzione e la checklist degli input richiesti in REG12 |
| Evidenze non tracciabili | Rinominare i file | Applicare regole di nomenclatura delle evidenze, collegamenti ai registri e requisiti di campionamento dell’audit |
La Politica di audit e monitoraggio della conformità - PMI rafforza la responsabilità della direzione sulle azioni correttive. La clausola 5.4.2 stabilisce:
“Il GM deve approvare un piano di azione correttiva e tracciarne l’attuazione.”
La clausola 5.4.3 aggiunge:
“Le risultanze dell’audit e gli aggiornamenti di stato devono essere inclusi nel processo di riesame della direzione del SGSI.”
Per la verifica specifica del PIMS, la Politica di monitoraggio, audit e miglioramento del PIMS, clausola 4.4.7, richiede:
“[Tutti] Il responsabile dell’audit interno / riesaminatore della conformità DEVE verificare in REG12 l’efficacia dell’azione correttiva entro 30 giorni dalla chiusura comunicata dell’azione correttiva.”
Sarah applicò esattamente questo approccio. Il suo team eseguì prima una correzione verificando retrospettivamente le ultime tre azioni correttive relative a incidenti privacy. Poi l’IT attuò l’azione correttiva sulla causa radice rendendo la verifica un passaggio obbligatorio del flusso di lavoro. Trenta giorni dopo, l’auditor campionò tre nuovi ticket correlati alla privacy e confermò che ciascuno aveva completato la verifica. Solo allora la CAPA fu chiusa.
Questa è la narrazione di cui gli auditor si fidano: risultanza, causa radice, decisione, correzione, verifica.
Mappatura trasversale della conformità per l’assurance ISO 27701 PIMS
Zenith Controls: la guida alla conformità trasversale di Clarysec aiuta i team a comprendere come i concetti dei controlli ISO/IEC 27002:2022 si mappano rispetto a GDPR, NIS2, DORA, NIST CSF 2.0 e pratica di audit. È una guida alla mappatura trasversale della conformità, non un quadro di controllo separato.
Tre controlli ISO/IEC 27002:2022 sono particolarmente rilevanti per la governance degli audit PIMS:
- 5.4 Responsabilità della direzione
- 5.35 Riesame indipendente della sicurezza delle informazioni
- 5.36 Conformità a politiche, regole e standard per la sicurezza delle informazioni
La voce di Zenith Controls relativa al controllo ISO/IEC 27002:2022 5.4, Responsabilità della direzione, collega la responsabilizzazione della direzione a ruoli, risorse, promozione delle politiche, riesame indipendente e applicazione. Applicato a ISO 27701:2025, l’alta direzione può assegnare compiti privacy, ma deve comunque riesaminare prestazioni del PIMS, decisioni sul rischio ed esigenze di risorse.
La voce di Zenith Controls relativa a 5.35, Riesame indipendente della sicurezza delle informazioni, supporta il meccanismo di audit. Per la privacy, il riesame indipendente può verificare se le lezioni apprese dalle violazioni sono state integrate, se la cancellazione funziona, se le registrazioni sono protette e se i log supportano l’indagine.
La voce di Zenith Controls relativa a 5.36, Conformità a politiche, regole e standard per la sicurezza delle informazioni, supporta il monitoraggio continuo. Le politiche privacy definiscono le aspettative. Il monitoraggio della conformità le verifica. Il riesame indipendente valida i risultati. Il riesame della direzione agisce su tali risultati.
Un singolo ciclo di assurance PIMS può quindi supportare più quadri di riferimento.
| Quadro di riferimento | Cosa richiede | In che modo audit PIMS e riesame della direzione aiutano |
|---|---|---|
| GDPR | Responsabilizzazione dimostrabile, trattamento lecito, sicurezza, conservazione, governance delle violazioni e chiarezza dei ruoli | REG12 registra audit privacy, lacune nelle evidenze, azioni correttive, rischi privacy e decisioni della direzione |
| NIS2 | Supervisione della direzione, misure di rischio approvate, gestione degli incidenti, continuità, sicurezza dei fornitori e valutazione dell’efficacia | Le risultanze dell’audit e i verbali del riesame della direzione dimostrano supervisione della leadership, assurance dei fornitori ed efficacia dei controlli |
| DORA | Assetti di governance e controllo, gestione del rischio ICT, audit interno, test di resilienza, apprendimento dagli incidenti e supervisione del rischio di terze parti | Il riesame integrato SGSI e PIMS supporta le evidenze di resilienza operativa per entità finanziarie e fornitori ICT |
| NIST CSF 2.0 | Esiti GOVERN per obblighi, ruoli, politiche, strategia di rischio, supervisione e rischio di terze parti | Gli output dell’audit PIMS alimentano analisi dello stato corrente, obiettivi target, registri dei rischi e piani d’azione |
| Lente di audit COBIT e ISACA | Obiettivi di governance, capacità dei processi, disegno dei controlli, misurazione delle prestazioni ed evidenze di assurance | Le registrazioni del riesame PIMS mostrano diritti decisionali, obiettivi, metriche, trattamento delle problematiche e tracciabilità delle evidenze |
NIS2 Article 20 colloca l’approvazione e la supervisione della gestione del rischio di cibersicurezza a livello di organo di gestione. Article 21 richiede misure tecniche, operative e organizzative basate sul rischio, comprese gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, valutazione dell’efficacia, formazione, crittografia, sicurezza HR, controllo degli accessi, gestione degli asset e autenticazione, ove appropriato.
DORA si applica dal 17 gennaio 2025 ed è particolarmente importante per le entità finanziarie e i fornitori ICT dell’ecosistema finanziario. Article 5 rende l’organo di gestione responsabile di definire, approvare e supervisionare la gestione del rischio ICT. Article 6 richiede che il quadro di gestione del rischio ICT sia riesaminato, migliorato sulla base delle lezioni apprese e soggetto ad audit interno.
NIST CSF 2.0 è utile per comunicare la maturità. La funzione GOVERN include contesto organizzativo, requisiti legali e normativi, strategia di gestione del rischio, ruoli, politiche, supervisione e gestione del rischio di cibersicurezza della catena di fornitura. Le risultanze degli audit PIMS e le decisioni del riesame della direzione sono input solidi per i profili correnti e target.
Come auditor diversi verificheranno le stesse evidenze PIMS
Le stesse evidenze PIMS saranno esaminate in modo diverso in base alla prospettiva dell’auditor.
| Profilo dell’auditor | Focus principale | Domande chiave e richieste di evidenze |
|---|---|---|
| Auditor ISO 27001 e ISO 27701 | Conformità del sistema di gestione | Mostrare il programma di audit interno PIMS, i rapporti di audit, le evidenze di imparzialità, le registrazioni delle non conformità, i verbali del riesame della direzione e la verifica delle azioni correttive |
| Valutatore GDPR o protezione dei dati | Responsabilizzazione dimostrabile ai sensi degli Article 5(2) e 24 del GDPR | Mostrare come vengono testati i controlli privacy, come sono conservate le evidenze e come la direzione agisce sulle risultanze |
| Valutatore DORA o cliente finanziario | Responsabilità dell’organo di gestione, rischio ICT e resilienza | Mostrare rapporti di audit, output del riesame della direzione, assurance dei fornitori, apprendimento dagli incidenti e decisioni che incidono sulla resilienza dei dati dei clienti |
| Implementatore NIST CSF 2.0 | Governance, supervisione e miglioramento delle prestazioni | Mostrare come obblighi, ruoli, politiche, strategia di rischio, supervisione e azioni di miglioramento sono monitorati e adeguati |
| Auditor COBIT o ISACA | Obiettivi di governance, capacità dei processi ed evidenze di assurance | Mostrare obiettivi, ruoli responsabili, metriche, evidenze dei controlli, trattamento delle problematiche e tracciabilità decisionale |
L’obiettivo non è creare cinque sistemi di assurance. L’obiettivo è creare un unico ciclo di governance PIMS ricco di evidenze che possa essere interpretato trasversalmente ai diversi quadri di riferimento.
Obiettivi privacy e metriche che la direzione dovrebbe riesaminare
Un riesame della direzione diventa molto più utile quando gli obiettivi privacy sono misurabili. ISO/IEC 27001:2022 richiede che gli obiettivi per la sicurezza delle informazioni siano misurabili ove praticabile, monitorati, comunicati e aggiornati. La stessa disciplina dovrebbe essere applicata agli obiettivi PIMS.
Esempi utili di obiettivi privacy includono:
- 100 percento delle richieste di esercizio dei diritti degli interessati completato entro lo SLA interno
- 95 percento dei responsabili del trattamento ad alto rischio riesaminato prima della firma del contratto
- 100 percento delle azioni DPIA ad alto rischio assegnato a un responsabile e a una scadenza
- Zero registrazioni di assurance scadute per i sub-responsabili del trattamento critici
- 100 percento delle violazioni dei dati personali valutato entro il target interno di escalation
- 90 percento di completamento della formazione privacy basata sui ruoli per supporto, HR, engineering e vendite
- 100 percento delle eccezioni di conservazione riesaminato trimestralmente
- Riduzione del 50 percento delle lacune di tracciabilità delle evidenze su due trimestri
Il punto non sono le metriche di facciata. Il punto è la qualità delle decisioni. Se le prestazioni sulle richieste di esercizio dei diritti sono solide ma le evidenze dei fornitori sono deboli, la direzione può indirizzare risorse. Se le azioni DPIA restano aperte, può essere coinvolta la leadership di prodotto. Se le valutazioni delle violazioni sono tempestive ma le cause radice si ripetono, la leadership può richiedere azioni correttive più profonde.
Schemi di fallimento comuni prima degli audit ISO 27701 PIMS
Clarysec rileva spesso le stesse problematiche prima dei riesami esterni di assurance privacy:
- Il piano di audit interno esiste ma non è basato sul rischio
- L’auditor sottopone ad audit il proprio lavoro e non viene registrata alcuna motivazione sull’indipendenza
- Le risultanze dell’audit non includono riferimenti alle evidenze
- Le evidenze esistono ma non sono tracciabili a un requisito
- La CAPA corregge i documenti ma non le cause radice
- I verbali del riesame della direzione elencano argomenti ma non decisioni
- Gli obiettivi privacy sono vaghi o non misurati
- L’assurance dei fornitori viene riesaminata solo in fase di onboarding
- Le azioni DPIA non vengono tracciate dopo l’approvazione
- Le risultanze dell’audit non confluiscono nel riesame della direzione
- Le azioni correttive vengono chiuse senza test di efficacia
Non sono fallimenti insoliti. Accadono quando la governance privacy cresce tramite fogli di calcolo, e-mail e documenti di policy isolati. REG12 e il set di politiche PIMS di Clarysec sono progettati per trasformare attività frammentate in un sistema di assurance coerente.
Agenda di 60 minuti per il riesame della direzione del PIMS
Se la tua organizzazione si sta preparando per ISO 27701:2025, responsabilizzazione GDPR, due diligence dei clienti DORA o supervisione esecutiva NIS2, inizia con un’agenda mirata per il riesame della direzione:
- Confermare ambito di applicazione PIMS, ruoli e modifiche rilevanti
- Riesaminare obiettivi privacy e metriche
- Riesaminare risultati degli audit interni e lacune nella qualità delle evidenze
- Riesaminare non conformità e stato delle CAPA
- Riesaminare il registro dei rischi privacy e le tendenze DPIA
- Riesaminare l’assurance di fornitori e sub-responsabili del trattamento
- Riesaminare incidenti, valutazioni delle violazioni e lezioni apprese
- Riesaminare modifiche normative, contrattuali e delle parti interessate
- Approvare esigenze di risorse, decisioni sul rischio e azioni di miglioramento
- Registrare decisioni, responsabili e scadenze in REG12
Non attendere la certificazione per svolgere questa riunione. Un riesame della direzione completo ma leggero, svolto ora, vale più di uno perfetto quando la finestra di audit si è già chiusa.
Rendi dimostrabile il tuo ISO 27701:2025 PIMS
La governance ISO 27701:2025 PIMS ai sensi del GDPR riguarda in ultima analisi le evidenze. Non prove teoriche, ma evidenze operative: audit pianificati, riesame indipendente, evidenze affidabili, decisioni della direzione, azioni correttive e miglioramento misurabile.
Clarysec aiuta le organizzazioni a costruire queste evidenze senza burocrazia inutile. Inizia con:
- PIMS Monitoring, Audit and Improvement Policy per la governance REG12 di audit, riesame della direzione e CAPA
- PIMS Documented Information and Evidence Management Policy per qualità e tracciabilità delle evidenze
- Zenith Blueprint: roadmap in 30 passaggi per auditor per l’esecuzione di audit interno, riesame della direzione e miglioramento continuo
- Zenith Controls: la guida alla conformità trasversale per mappare i concetti di governance ISO/IEC 27002:2022 tra GDPR, DORA, NIS2, NIST CSF 2.0 e pratica di audit
Se il tuo programma privacy dispone già di DPIA, controlli sui responsabili del trattamento, flussi di lavoro per l’esercizio dei diritti e procedure per le violazioni, il passaggio successivo è dimostrare che funzionano come sistema. Costruisci il programma di audit, esegui il riesame REG12, prendi sul serio le risultanze e porta le prestazioni privacy all’attenzione della direzione.
Scarica il pacchetto di politiche PIMS di Clarysec, usa il Zenith Blueprint per eseguire il tuo primo ciclo di audit e usa Zenith Controls per trasformare un’unica traccia delle evidenze in assurance su più quadri di riferimento. È così che un PIMS diventa idoneo all’audit, responsabile ai fini GDPR e credibile per clienti, autorità di regolamentazione e leadership.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
