Audyt PTK Centertel z wdrożenia zapisów Aneksu

Transkrypt

1 Audyt PTK Centertel z wdrożenia zapisów Aneksu Raport Audytora z wdrożenia zapisów Aneksu do Umowy pomiędzy PTK Centertel sp. z o.o. a Telekomunikacją Polską Audyt wg stanu na dzień r. Streszczenie Raportu Warszawa, 29 kwietnia 2011 r.

2 SPIS TREŚCI Spis treści... 2 Uwagi wstępne... 3 Zasada Niedyskryminacji ( 2 Załącznika Nr 10 Warunki Realizacji Prac zgodnie z Zasadą Niedyskryminacji )... 4 System motywacyjny ( 3 Załącznika Nr 10 Warunki Realizacji Prac zgodnie z Zasadą Niedyskryminacji )... 6 Wdrożenie dobrych praktyk oraz Wykaz niedozwolonych informacji ( 4 Załącznika nr 10 oraz Załącznik nr 2 do Aneksu) rozwiązania pozasystemowe... 7 Rozdział systemów IT ( 5 Załącznika Nr 10 Warunki Realizacji Prac zgodnie z Zasadą Niedyskryminacji )...10 Załącznik Nr 2 do Aneksu Wykaz niedozwolonych informacji - rozwiązania systemowe

3 UWAGI WSTĘPNE Niniejsze opracowanie stanowi podsumowanie wyników prac audytowych przeprowadzonych w dniach na postawie umowy zawartej pomiędzy Telekomunikacją Polską S.A. oraz A.T. Kearney Sp. z o.o. Celem poniższego dokumentu jest przedstawienie wyników oceny wdrożenia zapisów Aneksów do Umowy pomiędzy PTK Centertel a TP na dzień w zakresie wymagań organizacyjnych, procesowych jak i wymagań dotyczących systemów IT oraz funkcjonalności i procesów biznesowych przez nie realizowanych dla spółki PTK Centertel. Układ streszczenia jest analogiczny do układu Aneksu, przy czym część załączników bezpośrednio związanych z paragrafami Aneksu została opisana łącznie w ramach odpowiednich paragrafów. Inne załączniki, ze względu na specyfikę poruszanych zagadnień, zostały opisane w formie oddzielnych rozdziałów. Audytor oświadcza, że wykonał Umowę z najwyższą zawodową starannością w oparciu o informacje, dane i dokumenty dostarczone przez TP. Jednocześnie Audytor zastrzega, iż nie ponosi żadnej odpowiedzialności za dalsze działania podejmowane przez TP oraz osoby trzecie w oparciu o sporządzony dokument. Ponadto poniższy dokument, jako streszczenie menadżerskie, nie zawiera wszystkich elementów zawartych w głównej części Raportu Audytora, w tym szczegółowych opisów stanu realizacji Aneksu, uzasadnień ocen oraz rekomendacji Audytora. Tym samym streszczenie nie powinno być traktowane jako materiał kompletny. 3

4 ZASADA NIEDYSKRYMINACJI ( 2 ZAŁĄCZNIKA NR 10 WARUNKI REALIZACJI PRAC ZGODNIE Z ZASADĄ NIEDYSKRYMINACJI ) Wprowadzenie PTK Centertel prowadzi prace mające na celu realizację zobowiązań wynikających z 2. Prace te rozpoczęto jeszcze przed podpisaniem Aneksu do umowy pomiędzy PTK Centertel oraz Telekomunikacją Polską a obecnie są one kontynuowane. Ocena Audytora Na dzień audytu PTK spełnia większość wymagań Aneksu w obszarze realizacji Zasady Niedyskryminacji. Audytor nie ma zastrzeżeń dotyczących realizacji większości zobowiązań wynikających z 2, w tym w zakresie rozwiązań organizacyjno-zarządczych, regulaminowych oraz monitorowania przestrzegania zasady niedyskryminacji. W jednym punkcie audytor nie był w stanie dokonać oceny realizacji wymagania ze względu na wątpliwości interpretacyjne. Najistotniejsze, w opinii Audytora, zakończone działania i funkcjonujące rozwiązania w ocenianym obszarze to: Wdrożenie KDP uchwałą zarządu Wdrożenie aplikacji do klauzulowania poczty elektronicznej i przeprowadzenie kampanii informacyjnej dotyczącej obowiązku klauzulowania Wdrożenie instrukcji kancelaryjnej Dostosowanie instrukcji archiwistycznej dla archiwum zakładowego do wymagań ChM Audytor pozytywnie ocenia wysiłek szkoleniowy podjęty przez PTK Centertel w zakresie modułów podstawowego i pogłębionego szkoleń, narzędzi pomiaru efektywności przeprowadzonych szkoleń oraz analiz dotyczących tego, których z Partnerów PTK należy objąć programem szkoleń. Pozytywnie należy ocenić także podejmowane przez PTK działania informacyjne w tym rozesłanie przewodnika, który zawiera niezbędne dla pracowników informacje w tym zakresie. Dodatkowo należy wskazać także na problem braku przeszkolenia części Partnerów PTK realizujących czynności na rzecz Części Hurtowej oraz niedostateczną wiedzę pracowników w zakresie zasady niedyskryminacji oraz ochrony informacji niedozwolonych. Zagrożenia Wątpliwości interpretacyjne w punkcie 2.2 stwarzają zagrożenie niewłaściwej realizacji wymagań Aneksu. W opinii Audytora istnieje również ryzyko naruszenia ograniczeń w przepływie informacji niedozwolonych na skutek braku aktualnych Kart Jednostek Organizacyjnych (KJO), ryzyko działań niezgodnych z zasadą niedyskryminacji w tym przecieku niedozwolonych informacji wynikające zarówno z braku przeszkolenia partnerów PTK, którzy realizują czynności na rzecz Części Hurtowej jak również z braku dostatecznej wiedzy pracowników oraz współpracowników w zakresie KDP, niedyskryminacji oraz informacji niedozwolonych. Ponadto istnieje zagrożenie wynikające z braku bieżącego przeprowadzania czynności monitorująco-sprawdzających przestrzeganie zasady 4

5 niedyskryminacji oraz ryzyko wydłużenia czasu rozpatrywania spraw przez zespół skrzynki *Niedyskryminacja z powodu nie przekazania wszystkich wymaganych informacji w trakcie zgłaszania podejrzenia naruszenia zasady niedyskryminacji Rekomendacje W związku ze stwierdzonymi zagrożeniami dotyczącymi wątpliwości interpretacyjnych Audytor rekomenduje potwierdzenie z UKE interpretacji punktu. Dodatkowo wskazana jest w opinii zespołu Audytora aktualizacja i uzupełnienie Kart Jednostek Organizacyjnych w PTK Centertel, stworzenie Portalu Szkoleniowego dla partnerów PTK realizujących czynności na rzecz Części Hurtowej a niemających aktualnie dostępu do systemów informatycznych, przeprowadzenie "szkoleń powtórkowych" celem przypomnienie wiedzy dotyczącej tematyki KDP, niedyskryminacji oraz informacji niedozwolonych. Ponadto niezbędne jest przeprowadzenie planowanych wewnętrznych działań monitorująco-sprawdzających w spółce PTK oraz wprowadzenie zasad przekazywania zgłoszeń podejrzenia naruszenia zasady niedyskryminacji zespołowi skrzynki *Niedyskryminacja zgodnie z ustalonym formatem zawierającym wszystkie wymagane zapisami Aneksu informacje. 5

6 SYSTEM MOTYWACYJNY ( 3 ZAŁĄCZNIKA NR 10 WARUNKI REALIZACJI PRAC ZGODNIE Z ZASADĄ NIEDYSKRYMINACJI ) Wprowadzenie W okresie objętym audytem spółka PTK Centertel stosowała system motywacyjny dla pracowników Części Hurtowej PTK Centertel odpowiadający zobowiązaniom z 3. Ocena Audytora W okresie objętym audytem PTK Centertel realizował wszystkie zobowiązania dotyczące systemów motywacyjnych wynikające z Aneksu do Umowy pomiędzy PTK Centertel a Telekomunikacją Polską. Przeprowadzone w toku audytu analizy wykazały, że stosowane rozwiązania w zakresie sposobów motywowania pracowników Części Hurtowej a w szczególności kadry kierowniczej są zgodne z zasadami określonymi w Aneksie. Pracownicy zaangażowani w procesy związane z usługami hurtowymi mają stawiane cele i zadania indywidualne zgodnie z zasadami opisanymi w Aneksie. Ponadto premia motywacyjna pracowników Części Hurtowej jest uzależniona m.in. od osiągnięcia założonego poziomu Złożonego Wskaźnika Satysfakcji (ZWS), na który składają się prawidłowa realizacja wskaźników KPI tożsamych z wskaźnikami wykorzystywanymi w części Hurtowej TP oraz osiągnięcie wyników sprzedaży usług hurtowych. Dodatkowo, premie kadry zarządzającej są uzależnione od realizacji celów związanych z wprowadzeniem dodatkowych elementów motywacyjnych pracownikom Części Hurtowej PTK. Wynagrodzenie i zadania premiowe pracowników nie są uzależnione od źródła zlecenia, a jedynie od wolumenu, jakości i rodzaju wykonywanych prac. W audytowanym okresie dokonano wewnętrznej oraz zewnętrznej weryfikacji merytorycznej celów i zadań premiowych pod kątem zgodności z zapisami Aneksu oraz potencjalnego naruszenia zasady niedyskryminacji. Weryfikacja wykazała jedynie minimalne nieprawidłowości, w szczególności brak zadań premiowych dla części pracowników. Zagrożenia Zidentyfikowano ryzyko działań niezgodnych z zapisami Aneksu wynikające z braku formalizacji zasad dotyczących systemów motywacyjnych opisanych w Aneksie w wewnętrznych regulacjach (np.: regulaminie premiowania) spółki. Ponadto istnieje zagrożenie działań niezgodnych z intencjami przyświecającymi sygnatariuszom Aneksu wynikające z braku terminowego wyznaczania zadań premiowych pracownikom Części Hurtowej PTK. Rekomendacje Formalizacja zasad dotyczących systemów motywacyjnych opisanych w Aneksie poprzez uwzględnienie zapisów dotyczących systemów motywacyjnych w wewnętrznych regulacjach (np.: regulaminie premiowania) spółki lub regulacjach wewnętrznych analogicznych do wprowadzonych w TP (Decyzji 264/10) oraz terminowe wyznaczanie zadań premiowych pracownikom Części Hurtowej PTK. 6

7 WDROŻENIE DOBRYCH PRAKTYK ORAZ WYKAZ NIEDOZWOLONYCH INFORMACJI ( 4 ZAŁĄCZNIKA NR 10 ORAZ ZAŁĄCZNIK NR 2 DO ANEKSU) ROZWIĄZANIA POZASYSTEMOWE Wprowadzenie 4 Załącznika nr 1 oraz Załącznik nr 2 do Aneksu określają wymagania, jakie powinno spełniać CC, by ograniczyć przepływ informacji mogący prowadzić do dyskryminacyjnych działań CC. CC realizuje je poprzez wdrożenie odpowiednich mechanizmów, które powinny zapewniać skuteczną realizację zobowiązań wynikających z Aneksu. Ocena Audytora Na dzień Audytu PTK zrealizowała część wymagań Aneksu w obszarze chińskich murów pozasystemowych. Najistotniejsze, w opinii Audytora, zakończone działania i funkcjonujące rozwiązania w ocenianym obszarze to: Wdrożenie Kodeksu Dobrych Praktyk uchwałą zarządu i przeszkolenie pracowników w jego zakresie W zakresie kontroli przepływu danych chronionych i przechowywania dokumentów zawierających dane chronione: Wdrożenie podziału na domeny informacyjne. Wprowadzenie obowiązku klauzulowania dokumentów i poczty elektronicznej zawierającej dane chronione oraz wdrożenie aplikacji do klauzulowania poczty elektronicznej Wdrożenie instrukcji kancelaryjnej Dostosowanie instrukcji archiwistycznej dla archiwum zakładowego do wymagań ChM Ograniczenie dostępu do dokumentacji archiwum klienckiego do Domen Detal PTK i Korpo PTK W zakresie zapobiegania podwójnemu zatrudnieniu i separacji pracowników domeny Hurt: Wdrożenie w PTK analogicznych procedur zapobiegania zajmowaniu wspólnych pomieszczeń przez pracowników hurtu i innych pomieszczeń jak w TP Wprowadzenie zapisów do procedur rekrutacyjnych PTK zapobiegających zatrudnianiu pracowników części hurtowej TP Przeprowadzanie okresowej weryfikacji podwójnego zatrudnienie pracowników części hurtowej TP W zakresie zobowiązywania podmiotów trzecich do przestrzegania KDP: 7

8 Identyfikacja kontrahentów Pionu Sprzedaży PTK, z którymi należy podpisać aneksy zobowiązujące do przestrzegania zasad określonych w Kodeksie Dobrych Praktyk i rozpoczęcie procesu aneksowania umów. Ze względu na wątpliwości interpretacyjne audytor nie jest w stanie dokonać oceny 3 zapisów związanych z wdrożeniem KDP. Audytor zidentyfikował szereg zagadnień, które nie pozwalają na pozytywną ocenę wybranych wymagań niniejszego paragrafu. Powyższe zagadnienia dotyczą w szczególności następujących obszarów: Klauzulowania dokumentów i korespondencji zawierającej dane chronione (w szczególności w procesie udostępniania dokumentacji klienckiej z Archiwum PTK) Zagrożenia Identyfikacji i dostosowania miejsc przechowywania dokumentów zawierających dane chronione Procedur nadawania dostępu do danych chronionych Wdrożenia wybranych elementów Kodeksu Dobrych Praktyk, w szczególności punktu dotyczącego zobowiązywania partnerów do przestrzegania Kodeksu Dobrych Praktyk oraz zapobiegania wymianie informacji niedozwolonych W badanym obszarze Audytor zidentyfikował następujące zagrożenia: W zakresie kontroli przepływu danych chronionych oraz przechowywania dokumentów zawierających dane chronione: Niewystarczające w opinii Audytora zrealizowane działania w zakresie identyfikacji miejsc przechowywania danych chronionych, brak klauzulowania dokumentacji zawierającej dane chronione przed Detalem TP przy udostępnianiu z archiwum klienckiego oraz niekompletność ewidencji osób przetwarzających dane chronione stwarzają ryzyko zaistnienia niedozwolonych przepływów informacji Niedostosowanie procedur przyznawania i odbierania dostępu do danych chronionych do wymagań ChM stwarza zagrożenie uzyskiwania przez nieuprawnionych pracowników dostępu do danych chronionych W zakresie zapobiegania podwójnemu zatrudnieniu i separacji pracowników domeny Hurt: Zaimplementowane mechanizmy zapobiegania podwójnemu zatrudnieniu nie zapobiegają ryzyku zatrudniania pracowników części hurtowej CC w Detalu PTK lub innych częściach PTK, co stwarza ryzyko wystąpienia takiej sytuacji i działań dyskryminacyjnych. Po zidentyfikowaniu przez Audytora powyższej luki PTK zobowiązało swoich pracowników do natychmiastowego zapobiegania powyższym przypadkom w procesach rekrutacyjnych i aktualizacji procedur rekrutacyjnych o powyższe przypadki. W zakresie zobowiązywania podmiotów trzecich do przestrzegania KDP: 8

9 Nieprzestrzeganie KDP przez partnerów PTK spowodowane brakiem w umowach z PTK odpowiednich zobowiązań może prowadzić do niedozwolonych przepływów informacyjnych i zachowań dyskryminacyjnych Rekomendacje W związku ze stwierdzonymi zagrożeniami Audytor rekomenduje: W zakresie kontroli przepływu danych chronionych oraz przechowywania dokumentów zawierających dane chronione: Przeprowadzenie kompleksowego procesu identyfikacji miejsc przechowywania danych chronionych i dostosowanie tych miejsc do wymagań ChM Rozszerzenie ewidencji osób przetwarzających dane chronione na całą organizację, przeprowadzenie aktualizacji ewidencji osób przetwarzających dane chronione (rozważenie dodania informacji o kategorii przetwarzanych danych chronionych do ewidencji) Weryfikację ewidencji osób przetwarzających dane chronione pod kątem zasadności dostępu do danych chronionych dla osób w ewidencji Dostosowanie procedur przyznawania dostępu do danych chronionych do wymogów ChM Wprowadzenie obowiązku klauzulowania dokumentacji udostępnianej przez archiwum klienckie PTK W zakresie zapobiegania podwójnemu zatrudnieniu: Modyfikację procedur zapobiegających podwójnemu zatrudnieniu tak, aby zostały nią objęte wszystkie osoby realizujące zlecenia hurtowe TP W zakresie zobowiązywania podmiotów trzecich do przestrzegania KDP: Uzgodnienie harmonogramu z UKE i aneksowanie umów z partnerami mogącymi mieć dostęp do danych chronionych w celu zobowiązania ich do przestrzegania KDP Wprowadzenie mechanizmów zobowiązujących do uwzględnienia zobowiązania do przestrzegania KDP w nowo zawieranych umowach z kontrahentami, którzy mogą mieć dostęp do danych chronionych Audytor rekomenduje również potwierdzenie z UKE interpretacji punktów 4.3 i 4.4 związanych ze zobowiązaniem PTK do przestrzegania KDP. 9

10 ROZDZIAŁ SYSTEMÓW IT ( 5 ZAŁĄCZNIKA NR 10 WARUNKI REALIZACJI PRAC ZGODNIE Z ZASADĄ NIEDYSKRYMINACJI ) Wprowadzenie W Paragrafie 5 Załącznika Nr 10 do Aneksu do Umowy pomiędzy TP i PTK sformułowano zasadę, zgodnie z którą w wyniku wdrożenia zmian, Systemy IT PTK mają tak funkcjonować, aby uniemożliwić dyskryminujący przepływ niedozwolonych informacji w Grupie TP. Część systemów wykorzystywanych przez PTK jest dostarczana przez TP. Systemy te objęte są analogicznymi wymaganiami na mocy Porozumienia pomiędzy UKE i TP. Dlatego tez badając wypełnienie zapisów niniejszego Aneksu Audytor koncentrował uwagę na systemach własnych PTK. Ocena Audytora W ocenie Audytora wdrażany przez PTK program zmian w systemach w sposób adekwatny adresuje zasadę niedyskryminacji. Audytor odnotowuje jednak, że w programie wdrażania zmian w systemach PTK raportowane są zagrożenia, które w przypadku materializacji mogą doprowadzić do nieterminowego lub w niepełnym zakresie wdrożenia zmian w niektórych systemach PTK. Zewidencjonowano systemy informatyczne wykorzystywane przez PTK: o Lista zawiera 561 systemów, o PTK wskazało 22 systemy zawierające dane chronione, z tej liczby do 17 systemów ma dostęp Detal TP. Przygotowano plan wdrożenia zakładający wprowadzenie niezbędnych zmian w systemach do o o o Przygotowano raporty z analizy systemów. Opracowano dokumenty BR. Opracowano dokumenty HLD. W zakresie przeprowadzonych testów Audytor nie stwierdził stosowania przez PTK rozwiązań wykraczających poza standardy obowiązujące w Grupie TP. W zakresie analizowanych mailowych skrzynek funkcyjnych nie stwierdzono dostępu do danych chronionych przez nieupoważnionych użytkowników. W PTK planowane są dalsze prace wdrożeniowe: Wdrożenie zmian w systemach zgodnie z przyjętym planem prac. TP planuje udostępnienie PTK jednolitych dla całej Grupy TP narzędzi do automatycznej weryfikacji ruchów pracowników pomiędzy jednostkami organizacyjnymi oraz wspólne narzędzie do ewidencjonowanie dostępów do danych chronionych. Zagrożenia W ramach nadzoru nad projektem wdrażania ChM zidentyfikowano zagrożenia dla terminowości lub kompletności wdrożenia w systemach System 3, System 7, System 4, System 8. W wyniku testu Systemu 10 stwierdzono, że do szczegółowych danych sprzedażowych PTK miały dostęp wybrane osoby z domeny Detal TP, które przed 10

11 dalszym udostępnieniem informacji maskowały dane chronione. PTK zrealizowała rekomendację Audytora i w trakcie trwania audytu przeniosła operacje maskowania w Systemie 10 na stronę Detal PTK. System 11 jest przewidywany do zamknięcia w terminie do Do systemu zawierającego dane chronione miały dostęp 61 osób z domen Detal TP i Partner Detal TP. PTK zrealizowała rekomendacją Audytora w dniu odbierając dostęp do Systemu 11 użytkownikom z domeny Detal TP. Rekomendacje W związku ze zidentyfikowanymi zagrożeniami dla terminu i zakresu wdrożenia Audytor rekomenduje zatwierdzenie i zakomunikowanie droga służbową planu awaryjnego na wypadek materializacji stwierdzonych ryzyk. 11

12 ZAŁĄCZNIK NR 2 DO ANEKSU WYKAZ NIEDOZWOLONYCH INFORMACJI - ROZWIĄZANIA SYSTEMOWE Wprowadzenie Załącznik Nr 2 oraz rozdział IV Załącznika Nr 3 przywołują zapisy Załącznika Nr 6 do Porozumienia TP UKE. Zapisy te definiują kierunki przepływu i zakresy informacji jakie objęte są zakazem przekazywania na mocy Porozumienia. Z punktu widzenia analizowanego Aneksu do umowy pomiędzy TP i PTK zapisy Załączników doszczegóławiają zasadę niedyskryminacji sformułowana w Paragrafie 5 Załącznika Nr 10. Ocena Audytora Zdaniem Audytora realizowany przez PTK program zmian w systemach IT uwzględnia szczegółowe wymagania odnośnie zabronionych kierunków przepływu i zakresu informacji chronionych. Program ten jest zdefiniowany w sposób spójny ze zrealizowanym w TP programem wdrożenia ChM i wdrażanym obecnie w CC programem implementacji ChM. W trakcie szczegółowych testów systemów stwierdzono m.in., że na dzień audytu występują możliwości dostępu do zabronionych informacji. Ich wyeliminowanie jest przedmiotem wdrożenia ChM w PTK i musi nastąpić najpóźniej do dnia W wybranych przypadkach, zgodnie z sugestia Audytora, PTK wprowadziła ograniczenia dostępu jeszcze w trakcie trwania audytu (systemy System 11, System 10). Zagrożenia Por. omówienie w Paragrafie 5 Rekomendacje Por. omówienie w Paragrafie 5 12