La certificazione di 3^ parte dei Sistemi di Gestione Stefano PROCOPIO

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "La certificazione di 3^ parte dei Sistemi di Gestione Stefano PROCOPIO"

Lidia Grandi
7 anni fa
Visualizzazioni

1 La certificazione di 3^ parte dei Sistemi di Gestione Stefano PROCOPIO - ABCP: Associate Business Continuity Professional (DRI International). - CISA: Certified Information Systems Auditor (ISACA). - ITIL v3 Foundation (EXIN). - Registro dei Responsabili Gruppo di Audit Sistemi di Gestione Qualità (CEPAS-Accredia). - Registro dei Responsabili Gruppo di Audit di Sistemi di Gestione per la Sicurezza delle Informazioni (ISMS) (CEPAS-Accredia).

2 Documenti di riferimento.....oltre la Norma di riferimento.... Regolamento per la certificazione di Sistemi di Gestione della Sicurezza delle Informazioni versione pubblicata su Condizioni generali di contratto per la certificazione di sistemi, prodotti e personale versione pubblicata su Web:

3 Organismo di accreditamento L Organismo garante delle certificazioni emesse dal RINA (Organismo di Accreditamento) e ACCREDIA (Sistema di accreditamento italiano) e ANAB (Sistema di accreditamento statunitense) Web:

4 Ottenere la certificazione Aver istituito e mantenuto attivo e completamente operativo un Sistema di Gestione in totale ottemperanza ai requisiti della norma di riferimento Cioe : è applicato da almeno tre mesi, completa attuazione del processo di audit interno (dimostrarne l efficacia) Svolgimento di almeno un riesame del sistema da parte della Direzione (documentato), sono stati definiti gli obiettivi ed i processi necessari ad ottenere risultati in accordo con i requisiti e con le politiche aziendali, sono stati sviluppati tali processi, sono stati effettuati e registrati monitoraggi e misure dei processi rispetto gli obiettivi, sono state messe in atto azioni per il miglioramento continuo

5 Certificazione iniziale Compilare il questionario informativo (web: Informazioni relative a: organizzazione, infrastruttura ICT, ambito del sistema, attività svolte, informazioni gestite e la localizzazione del Sito/i prestare particolare attenzione a: - documentazione classificata come riservata e/o comunque non disponibile ai fini della certificazione; - informazioni concernenti tutti i processi affidati all esterno; - numero di siti oggetto della certificazione; - Numero di addetti coinvolti nel Campo di Applicazione del SGSI.

6 Certificazione iniziale Offerta economica (tempi, costi) Accettazione (modulo richiesta di certificazione ) Contratto Comprende: l audit iniziale composto da due stage (stage 1 e stage 2) ed il rilascio del certificato, a buon esito dell iter di certificazione; i successivi audit di sorveglianza e di ricertificazione; eventuali servizi aggiuntivi specificati nell offerta, compreso il pre-audit, se richiesto dall Organizzazione.

7 Documentazione di sistema Procedure e registrazioni (richieste dalla Norma, adottate dall Organizzazione); Manuale del Sistema o documenti equivalenti (facoltativo); Politiche (obbiettivi, principi d azione); Pianta del Sito/Siti, architettura della rete, sistemi informativi; Analisi del rischio (descrizione della metodologia utilizzata); Criteri di accettazione del rischio e livello di rischio accettabile; Piani di trattamento del Rischio; Dichiarazione di Applicabilità (con le giustificazioni di eventuali esclusioni); Misure di efficacia dei controlli (descrizione della metodologia di misura); Elenco delle documentazione di sistema; Copia del certificato di iscrizione alla Camera di Commercio; Organigramma nominativo; Ultimo riesame della direzione; Pianificazione Audit Interni e relativi rapporti; Elenco delle principali leggi e/o regolamenti applicabili; Il RINA può richiedere a sua discrezione, per esame, anche altri documenti oltre quelli indicati in precedenza, giudicati importanti ai fini della valutazione del Sistema.

8 Pre-audit Audit opzionale: corrisponde ad una visita preliminare effettuata per la verifica dello stato di applicazione dei requisiti della norma, per la verifica della conformità delle prassi e procedure aziendali, e per la identificazione della aree di non conformità; rappresenta un utile strumento per l Azienda per focalizzare ed ottimizzare gli sforzi e le risorse per la certificazione Output: documento di gap analysis

9 Audit di Stage 1 L audit di stage 1 (o parte di esso), e effettuato presso il/i sito/i dell Organizzazione stessa. L audit di stage 1 è effettuato sulla base dei documenti predisposti dall Organizzazione. Attivita : verifica della documentazione di Sistema; valutazione del sito/siti (localizzazione, infrastruttura ICT, condizioni particolari); riesaminare lo stato e la comprensione del cliente riguardo i requisiti della norma (processi, obiettivi ecc); raccogliere le informazioni necessarie riguardanti il campo di applicazione del Sistema; raccogliere le informazioni relativamente ad aspetti legali e regolamentari e la conformità ad essi; valutare se gli audit interni e il riesame da parte della direzione siano stati pianificati ed eseguiti con efficacia.

10 Audit di Stage 1 Obiettivi: stabilire il grado di preparazione per l audit di stage 2 riesaminare l assegnazione di risorse per l audit stage 2 concordare con il cliente i dettagli dell audit stage 2; Output: rapporto di audit stage1 Eventuali rilievi classificati come critici durante l audit di stage 1, dovranno essere risolti prima di procedere con l audit di stage 2 presso l Organizzazione; L audit di stage 1 (o parte di esso), sarà effettuato presso il sito/i dell Organizzazione stessa.

11 Audit di Stage 2 L audit di stage 2 e effettuato presso il sito/i dell Organizzazione stessa. L audit di Stage 2 deve essere effettuato entro 6 mesi dall audit di Stage 1 (in casi particolari estendibile sino a 12 mesi). L audit di stage 2 è effettuato sulla base del rapporto di audit di stage1 e dei documenti predisposti dall Organizzazione. Attivita : riunione iniziale per concordare le finalità e le modalità dell audit stesso a conferma di quanto previsto dal piano di audit; verifica della messa in atto di efficaci azioni di adeguamento relativamente agli eventuali rilievi emersi durante l audit di stage1; sopralluogo presso il Sito/i dell'organizzazione per verificare la conformità del Sistema ai documenti di riferimento e la sua completa attuazione; una riunione finale per illustrare l'esito dell'indagine.

12 Audit di Stage 2 Output: rapporto di audit stage2 Eventuali non conformità (rilievi di tipo A, rilievi di tipo B ) sull' applicazione del Sistema e raccomandazioni (rilievi di tipo C ) riscontrate.

13 Certificato Dato l esito favorevole degli audit e previa convalida da parte dell apposito Comitato del RINA, è rilasciato un Certificato di conformità (originale sulla memeber area, estratto dei dati sul sito con validità di tre anni. La validità del certificato è subordinata al risultato dei successivi audit di sorveglianza annuali ed alla ricertificazione triennale del sistema. La periodicità e l estensione dei successivi audit per il mantenimento della certificazione sono stabiliti dal RINA caso per caso (Riortati sul Contratto e sul programma triennale di audit).

14 Mantenimento della certificazione Gli audit per il mantenimento della certificazione si dividono in due tipologie: audit di sorveglianza: si effettua una valutazione parziale a campione sul Sistema di Gestione in accordo al programma triennale di audit (periodicità 12 mesi). audit di ricertificazione: il Sistema di Gestione e rivalutato nella sua interezza con periodicità triennale. Gli audit di mantenimento hanno come scopo quello di confermare il mantenimento della conformità e dell efficacia del sistema di gestione. Gli audit di mantenimento sono condotti presso il sito/i dell Organizzazione.

Documenti analoghi

Regolamento per la certificazione di Sistemi di Gestione per la Sicurezza Alimentare

Regolamento per la certificazione di Sistemi di Gestione per la Sicurezza Alimentare In vigore dal 1/04/2012 AGROQUALITÀ S.p.A. Via Cesare Pavese, 305-00144 Roma tel. 06 54228675 fax 06 54228692 www.agroqualita.it