Problem · Audyty

Jak przygotować plan działań naprawczych po audycie?

Plan działań naprawczych ma sens tylko wtedy, gdy ma terminy i właścicieli - lista uchybień bez tego zostaje na papierze.

Dobry plan naprawczy priorytetyzuje ustalenia audytu według poziomu ryzyka, przypisuje każde działanie konkretnej osobie lub działowi, ustala realistyczny termin realizacji oraz definiuje sposób weryfikacji, że działanie zostało rzeczywiście wykonane, a nie tylko zadeklarowane.

W praktyce dobrze sprawdza się przypisanie do każdego punktu planu jasnej odpowiedzialności w modelu RACI (kto jest odpowiedzialny za wykonanie, kto rozlicza, kto jest konsultowany, kto informowany) - eliminuje to sytuacje, w których formalnie „ktoś się tym zajmuje”, ale nikt nie czuje się realnie odpowiedzialny za termin i jakość wykonania.

Warto też zaplanować krótki audyt weryfikacyjny po upływie ustalonego czasu - sprawdza on, czy wdrożone działania naprawcze faktycznie usunęły przyczynę problemu, a nie tylko jego objaw.

Udokumentowany, konsekwentnie realizowany plan działań naprawczych ma też znaczenie prawne - zgodnie z art. 83 ust. 2 RODO, przy ustalaniu wysokości administracyjnej kary pieniężnej organ nadzorczy uwzględnia m.in. działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, co w praktyce oznacza, że rzetelnie wdrożony plan naprawczy może być traktowany jako okoliczność łagodzącą.

Podstawa prawna

art. 83 ust. 2 RODO (okoliczności łagodzące przy ustalaniu kary) oraz cykl PDCA stosowany w normach zarządzania ISO