Prezentacja z webinarium: Rodo: 5 wyzwań dla audytu wewnętrznego W jaki sposób audyt wewnętrzny powinien wspierać przygotowania do RODO? Więcej: https://pwc.to/2K9gUHW

1. 5 trudności we
wdrożeniu RODO
– jak Audyt
Wewnętrzny może
pomóc w ich
rozwiązaniu
Piotr Rówiński
Lech Dąbrowski
Karolina Szczygielska
pwc.pl/zarzadzanieryzykiem

2. Gdzie mieścicie się na skali? A gdzie chcielibyście się
mieścić?
Zaufany doradca
Rozwiązywanie problemów Rozwiązywanie problemów Rozwiązywanie problemów
Dostawca zapewnienia Dostawca zapewnienia Dostawca zapewnienia Dostawca zapewnienia
Dostarczanie spostrzeżeń Dostarczanie spostrzeżeń
Obiektywne zapewnienie
Koordynacja ryzyka
Partner biznesowy
Aktywne doradztwo
Niezrealizowana wartość
PwC 1

3. Kompetencje niezbędne do wsparcia trudnych projektów zgodnościowych:
Audyt Wewnętrzny jako zaufany doradca przy wdrożeniu
RODO
Dostosowanie do RODO to szansa dla Audytu Wewnętrznego na pokazanie swojego
potencjału i zdolności do tworzenia wartości.
Przekrojowa wiedza
o organizacji
Umiejętność
planowania
Podejście
procesowe
Metodyka oparta
o analizę ryzyka
Interdyscyplinarność
PwC 2

4. Pytanie ankietowe
Które ze stwierdzeń najlepiej pasuje do Państwa spółki:
1. Audyt Wewnętrzny jest bezpośrednio zaangażowany we wdrożenie RODO
2. Audyt Wewnętrzny zaplanował na najbliższe miesiące przegląd dostosowania do
RODO
3. Audyt Wewnętrzny jest bezpośrednio zaangażowany we wdrożenie RODO oraz
zaplanował przegląd dostosowania do RODO
4. Audyt Wewnętrzny nie uczestniczy we wdrożeniu RODO
i nie planuje jego przeglądu w najbliższych miesiącach
5. Nie mamy funkcji Audytu Wewnętrznego
Pytanie 1
PwC 3

5. RODO to wielowymiarowy projekt
angażujący całą organizację, ale jego
złożoność jest często niedoceniana

6. Wyzwanie Nr 1: RODO to wielowymiarowy projekt
angażujący całą organizację, ale jego złożoność jest często
niedoceniana
1. RODO dotyczy każdego obszaru funkcjonalnego firmy
2. Pierwszy harmonogram prac jest z natury obarczony
znacznym błędem
3. W trakcie realizacji projektu, od fazy inwentaryzacji po DPIA,
identyfikowane są kolejne zadania i potrzeby
dostosowawcze
4. Błędy na pierwszych etapach dostosowania powodują
narastające opóźnienia
5. Podejście zwinnościowe nie jest wymówką dla braku
określonych wymagań funkcjonalnych lub grafiku prac
PwC 5

7. Wyzwanie Nr 1: RODO to wielowymiarowy projekt
angażujący całą organizację, ale jego złożoność jest często
niedoceniana
Wcześniejsze
zaangażowanie
(nie tylko po wdrożeniu)
Prewencja
i monitorowanie
statusu
Wielokrotna weryfikacja
wybranej metody zarządzania
projektem i jej stosowania
w trakcie trwania projektu
Jak może pomóc Audyt Wewnętrzny?
PwC 6

8. Wymagany jest opis czynności
przetwarzania, ale wiele firm nie
zarządza procesowo

9. Wyzwanie Nr 2: Wymagany jest opis czynności
przetwarzania, ale wiele firm nie zarządza procesowo
1. Należy stworzyć rejestr czynności przetwarzania
2. Rejestr czynności może być narzędziem zarządczym
3. Firmy często nie posiadają opisanych procesów
biznesowych
4. Czynności przetwarzania muszą zostać powiązane z kategoriami i
podmiotami danych
5. Należy zachować odpowiedni poziom szczegółowości
PwC 8

10. Wyzwanie Nr 2: Wymagany jest opis czynności
przetwarzania, ale wiele firm nie zarządza procesowo
Mapowanie i
usystematyzowanie
procesów
Analizy danych
inwentaryzacyjnych
Przegląd rejestru
przetwarzania danych
pod kątem kompletności
i wiarygodności
Jak może pomóc Audyt Wewnętrzny?
UWAGA: Właściwe podejście do zachowania niezależności.
PwC 9

11. Dostosowanie do RODO obejmuje
aspekty prawne, technologiczne
i organizacyjne w złożonej sieci
powiązań

12. Wyzwanie Nr 3: Dostosowanie do RODO obejmuje aspekty
prawne, technologiczne i organizacyjne w złożonej sieci
powiązań
1. Powiązane aspekty prawne, technologiczne i organizacyjne
2. Podejście oraz metodyka prac musi uwzględniać kontrolę
jakości
3. Narzędzia – listy sprawdzające, ankiety inwentaryzacyjne oraz
wzory tabel zbiorczych i rejestrów
4. Punkty kontrolne weryfikujące kompletność wykonania prac
oraz ich jakość
PwC 11

13. Wyzwanie Nr 3: Dostosowanie do RODO obejmuje aspekty
prawne, technologiczne i organizacyjne w złożonej sieci
powiązań
Opracowanie
metodyki oraz planu
projektu
Zakres, wymagania
jakościowe oraz
oczekiwane korzyści
Zapewnienie jakości prac
(weryfikacji wyników)
w poszczególnych
punktach kontrolnych
Jak może pomóc Audyt Wewnętrzny?
UWAGA: W niektórych sytuacjach kompetencje Audytu Wewnętrznego nie będą
wystarczające
PwC 12

14. RODO wymaga działania procesów
i funkcji, które są nowością dla wielu
organizacji

15. Wyzwanie Nr 4: RODO wymaga działania procesów
i funkcji, które są nowością dla wielu organizacji
1. Inspektor Ochrony Danych (IOD)
2. Dostęp, sprostowanie, ograniczenie przetwarzania, przeniesienie
i usunięcie danych oraz sprzeciw wobec profilowania
3. Ocena ryzyka oraz skutków dla ochrony danych
4. Raportowanie naruszeń ochrony danych
5. Zarządzanie zmianą i zapewnienie prywatności w fazie
projektowania
6. Ocena dostawców i ryzyka współpracy
PwC 14

16. Wyzwanie Nr 4: RODO wymaga działania procesów
i funkcji, które są nowością dla wielu organizacji
Ocena
zaprojektowania
procesów
Ewaluacja po
zakończeniu fazy
pilotażu
W przyszłości audyty
dostawców i partnerów
biznesowych
Jak może pomóc Audyt Wewnętrzny?
PwC 15

17. Systemy IT przeszkadzają, zamiast
pomagać

18. Wyzwanie Nr 5: Systemy IT przeszkadzają, zamiast
pomagać
1. Brak kompletnego inwentarza systemów i aplikacji
2. Dane o różnym zakresie i konfiguracji
3. Brak komunikacji między systemami i uzgodnienia danych
4. Brak automatyzacji obsługi wniosków podmiotów danych
5. Brak narzędzi do obsługi programu zgodności z RODO
PwC 17

19. Wyzwanie Nr 5: Systemy IT przeszkadzają, zamiast
pomagać
Mapowanie
systemów i aplikacji
Weryfikacja wymagań
funkcjonalnych
Testy nowych
funkcjonalności
Jak może pomóc Audyt Wewnętrzny?
PwC 18

20. Pytanie ankietowe
Które wyzwanie we wdrożeniu RODO jest kluczowe w Państwa sytuacji:
1. Aspekty metodyczne w wymiarze prawnym i organizacyjnym
2. Aspekty metodyczne w wymiarze technologicznym
3. Zasoby, zarządzanie projektem i jakością prac
4. Brak narzędzi wspierających RODO
Pytanie 2
PwC 19

21. www.pwc.pl/enforce

22. Czynność przetwarzania
PwC

23. Karta ryzyka
PwC 22

24. Incydenty i plan odpowiedzi

25. Monitorowanie, workflow i notyfikacje

26. 5 kluczowych działań po webinarium
1. Czy plan audytu obejmuje aspekty RODO? Czy jest plan na wdrożenie RODO? Jaki jest stopień
zaawansowania wdrożenia?
2. Czy zasoby przypisane do wdrożenia są adekwatne? Czy zaangażowani są właściciele biznesowi, IT,
dział prawny, dział organizacyjny, dział bezpieczeństwa?
3. Czy zakres prac jest dobrze zdefiniowany a podejście metodyczne zapewnia odpowiednią
jakość wyników? Czy inwentaryzacja czynności przetwarzania i analiza luki nie pominęły istotnych
elementów?
4. Czy wdrożono wszystkie funkcje i procesy potrzebne do utrzymania zgodności RODO? Jak
jest umocowany IOD? Jak zarządzane jest ryzyko naruszenia ochrony danych? Czy przypadki naruszenia
ochrony będą raportowane?
5. Czy możliwa będzie realizacja praw podmiotów danych? Czy na poziomie systemów wdrożono
funkcjonalności umożliwiające dostęp do danych, ich sprostowanie, ograniczenie przetwarzania,
przeniesienie i usunięcie oraz wniesienie sprzeciwu wobec profilowania?
Sprawdź czy…
PwC 25

27. Dziękujemy za uwagę!

28. Lech Dąbrowski
Starszy menedżer w zespole zarządzania
ryzykiem i audytu wewnętrznego
+48 519 50 72 56
lech.x.dabrowski@pwc.com
Karolina Szczygielska
Menedżer w zespole zarządzania ryzykiem i
audytu wewnętrznego
+48 519 50 71 07
karolina.szczygielska@pwc.com
Piotr Rówiński
Partner, Lider zespołu zarządzania ryzykiem i
audytu wewnętrznego
+48 502 18 40 03
piotr.rowinski@pwc.com
Skontaktuj się z nami
pwc.pl/zarzadzanieryzykiem