Planificació i control operacional (8.1)
Els criteris fixats a la planificació s'apliquen en el dia a dia: un tractament nou passa per la seva avaluació abans d'engegar i un proveïdor nou no rep dades sense contracte. Els processos externalitzats també es controlen.
Avaluació i tractament de riscos en marxa (8.2 i 8.3)
L'avaluació es repeteix a intervals planificats i quan hi ha canvis significatius: una aplicació nova, una transferència a un altre país, una fusió. Cal conservar els resultats de cada avaluació i de cada pla de tractament.
On entra l'annex A
A la pràctica, l'operació és on viuen els controls: registre de tractaments, avaluacions d'impacte, atenció de drets, contractes amb encarregats. S'expliquen al capítol dedicat a l'annex A.
El que sol demanar l'auditor
- Procediment d'alta de tractaments nous amb avaluació prèvia
- Resultats datats de les avaluacions de riscos
- Plans de tractament amb l'estat d'execució
- Control de processos i proveïdors externs
Com cobrir l'operació a Kimobox
- 1Munta l'alta d'un tractament com un flux amb avaluació i aprovació.
- 2Programa la revisió periòdica de riscos amb avisos de venciment.
- 3Controla els encarregats des del portal de proveïdors.
Cap tractament nou no arrenca sense que el flux hagi passat per la seva avaluació.