Audyt równego dostępu do systemów informatycznych TP zgodnie z wymaganiami UKE Podsumowanie Raportu

Podobne dokumenty
Karta równoważności Warszawa, 30 Marca 2009

Audyt Contact Center z wdrożenia zapisów Aneksu

Audyt Contact Center z wdrożenia zapisów Aneksu

Warszawa, 21 stycznia 2010 r. Proces TTM Hurt

Audyt Contact Center z wdrożenia zapisów Aneksu

Opis systemu kontroli wewnętrznej (SKW) funkcjonującego w ING Banku Hipotecznym S.A.

Zasady systemu kontroli wewnętrznej w Banku Spółdzielczym w Iławie

Opis Systemu Kontroli Wewnętrznej funkcjonującego w Santander Consumer Bank S.A.

Opis systemu kontroli wewnętrznej funkcjonującego w Banku Pocztowym S.A.

Polityka informacyjna TU INTER Polska SA oraz TU INTER-ŻYCIE Polska SA

System kontroli wewnętrznej w Limes Banku Spółdzielczym

U W A G I Polskiej Izby Informatyki i Telekomunikacji [PIIT] do propozycji zmian do procedury testu MS/PS

ZARZĄDZENIE NR 483/14 PREZYDENTA MIASTA ZDUŃSKA WOLA z dnia 22 grudnia 2014 r.

OPIS SYSTEMU KONTROLI WEWNĘTRZNEJ W BANKU SPÓŁDZIELCZYM W SIEMIATYCZACH

REGULAMIN WYKONYWANIA KONTROLI W PODMIOTACH, Z KTÓRYMI PLUS BANK S.A. ZAWARŁ UMOWY OUTSOURCINGU

PARAMETRY JAKOŚCIOWE USŁUG WSKAŹNIKI KPI

Opis systemu kontroli wewnętrznej w mbanku S.A.

ZARZĄDZENIE Nr 28/2015 WÓJTA GMINY CZERNIKOWO Z DNIA 11 MAJA 2015 r.

OGÓLNE ZASADY POSTĘPOWANIA OFERTOWEGO 1. W szczególnie uzasadnionych przypadkach Zamawiający może w każdym czasie, przed upływem terminu składania

REKOMENDACJA D Rok PO Rok PRZED

Pakiet antykorupcyjny dla firm - wymóg ustawy o jawności życia publicznego

WEWNĘTRZNA PROCEDURA ZAPEWNIENIA JAKOŚCI SZKOLENIOWEJ FIRMY EUROKREATOR S.C.

Rozdział I Postanowienia ogólne

Organizacja i funkcjonowanie Systemu Kontroli Wewnętrznej w HSBC Bank Polska S.A.

Opis systemu kontroli wewnętrznej w Banku Spółdzielczym w Mykanowie

Realizacja oraz wpływ Porozumienia TP-UKE na polski rynek telekomunikacyjny. Maciej Rogalski Warszawa, r.

System kontroli wewnętrznej w Banku Spółdzielczym Ziemi Kraśnickiej w Kraśniku

Opis systemu kontroli wewnętrznej Banku Spółdzielczego w Połańcu. 1. Cele i organizacja systemu kontroli wewnętrznej

ROZDZIAŁ I POSTANOWIENIA OGÓLNE

Krzysztof Wawrzyniak Quo vadis BS? Ożarów Mazowiecki, styczeń 2014

Zasady systemu kontroli wewnętrznej w Banku Polskiej Spółdzielczości S.A.

Warunki implementacji dla partnerów biznesowych objętych procesem

Opis systemu kontroli wewnętrznej w Banku Spółdzielczym w Krasnymstawie

SPRAWOZDANIE Z REALIZACJI W ROKU 2010 ZADAŃ KOMITETU AUDYTU DLA DZIAŁÓW ADMINISTRACJI RZĄDOWEJ, KTÓRYMI KIERUJE MINISTER INFRASTRUKTURY

System Kontroli Wewnętrznej

WEWNĘTRZNA PROCEDURA ZAPEWNIENIA JAKOŚCI SZKOLENIOWEJ INSTYTUTU DOSKONALENIA NAUCZYCIELI EUROKREATOR ANNA KUNASZYK

Zatwierdzone przez Zarząd Banku uchwałą nr DC/92/2018 z dnia 13/03/2018 r.

KARTA AUDYTU WEWNĘTRZNEGO

PROGRAM ZAPEWNIENIA I POPRAWY JAKOŚCI AUDYTU WEWNĘTRZNEGO W GMINIE OLECKO KWESTIONARIUSZ SAMOOCENY

OPINIA Polskiej Izby Informatyki i Telekomunikacji [PIIT]

Warszawa, dnia 6 maja 2015 r. Poz. 16 M I N I S T R A S P R AW Z A G R A N I C Z N Y C H 1) z dnia 6 maja 2015 r.

Opis systemu kontroli wewnętrznej w Braniewsko-Pasłęckim Banku Spółdzielczym z siedzibą w Pasłęku

Warszawa, dnia 12 maja 2016 r. Poz. 20

DZIENNIK USTAW RZECZYPOSPOLITEJ POLSKIEJ

Opis systemu zarządzania, w tym systemu zarządzania ryzykiem i systemu kontroli wewnętrznej w Banku Spółdzielczym w Ropczycach.

Opis Kompetencji Portfel Interim Menedżerowie i Eksperci

Projekt Kwalifikacja jakości w Uniwersytecie Nr POKL /11. ZAPROSZENIE DO SKŁADANIA OFERT nr 4/ZSO/KJU/2014

ZARZĄDZENIE Nr 33/14 PROKURATORA GENERALNEGO

Na czym polega planowanie ochrony informacji niejawnych w jednostce organizacyjnej?

PROGRAM DZIAŁANIA KRAJOWEJ IZBY DORADCÓW PODATKOWYCH NA V KADENCJĘ KRAJOWEJ RADY DORADCÓW PODATKOWYCH

Opis systemu kontroli wewnętrznej w Polskim Banku Apeksowym S.A.

wsparcia w zakresie kryteriów wyboru firmy szkoleniowej lub weryfikacji jej działań. Członkowie Polskiej Izby Firm Szkoleniowych Strona 1 z 10

Cele systemu kontroli wewnętrznej. Zasady funkcjonowania systemu kontroli wewnętrznej

System Kontroli Wewnętrznej w Banku Spółdzielczym w Mińsku Mazowieckim

II. Rola Zarządu, Rady Nadzorczej i Komitetu Audytu

Zarządzenie Nr 96/2012 Burmistrza Karczewa z dnia 29 czerwca 2012 roku

z dnia 2015 r. w sprawie przeprowadzania audytu wewnętrznego oraz przekazywania informacji o pracy i wynikach audytu wewnętrznego

1. Postanowienia ogólne

INFORMACJA O REALIZACJI ZADAŃ Z ZAKRESU AUDYTU WEWNĘTRZNEGO W ROKU 2016

DZIENNIK URZĘDOWY MINISTRA KULTURY I DZIEDZICTWA NARODOWEGO. Warszawa, dnia 29 września 2014 r. Pozycja 38

Audyt procesu zarządzania bezpieczeństwem informacji. Prowadzący: Anna Słowińska audytor wewnętrzny

Warszawa, dnia 21 czerwca 2016 r. Poz. 46 ZARZĄDZENIE NR 52 KOMENDANTA GŁÓWNEGO STRAŻY GRANICZNEJ. z dnia 20 czerwca 2016 r.

System kontroli wewnętrznej w Banku Spółdzielczym w Gogolinie

KOMISJA EUROPEJSKA. Bruksela, dnia 28/10/2009 r. K(2009)8536. SG-Greffe (2009) D/8051. Urząd Komunikacji Elektronicznej (UKE)

Usługa: Audyt kodu źródłowego

Kodeks Cyfrowy. zakres regulacji / wstępna koncepcja /

SYSTEM KONTROLI WEWNĘTRZNEJ W RAIFFEISEN BANK POLSKA S.A.

Załącznik nr 2. Instrukcja działania funkcji kontroli w Powiatowym Banku Spółdzielczym w Sokołowie Podlaskim

KARTA AUDYTU WEWNĘTRZNEGO

PREZES URZĘDU OCHRONY KONKURENCJI I KONSUMENTÓW CEZARY BANASIŃSKI

Opis systemu kontroli wewnętrznej w Banku Spółdzielczym w Krzywdzie

OPIS SYSTEMU KONTROLI WEWNĘTRZNEJ

Szczegółowe zasady nadzoru Rynku Towarów Giełdowych Towarowej Giełdy Energii S.A.

Zasady systemu kontroli wewnętrznej w Banku Spółdzielczym. w Łubnianach

Systemy informatyczne w samorządzie. Łódź, czerwca 2016

Rozdział 1 Postanowienia ogólne

AUMS Digital. aums.asseco.com

PLAN AUDYTU NA ROK 2010

Instrukcja do opracowania Koncepcji technicznej projektu

SYSTEM KONTROLI WEWNĘTRZNEJ W BANKU SPÓŁDZIELCZYM W LUBARTOWIE

Minimalne wymogi wdrożenia systemu kontroli zarządczej w jednostkach organizacyjnych miasta Lublin

Zarządzenie nr 3055 /2017 Prezydenta Miasta Płocka z dnia 01 marca 2017 r.

Przedszkole Nr 30 - Śródmieście

Model referencyjny doboru narzędzi Open Source dla zarządzania wymaganiami

funkcjonowania kontroli zarządczej w... w r. ARKUSZ SAMOOCENY Uwagi Odpowiedzi TAK NIE 1.1. Przestrzeganie wartości etycznych Lp.

Zarządzenie Nr 167/2017 Prezydenta Miasta Kalisza z dnia 20 marca 2017 r.

Zakres Zadań Wykonawcy

Audyt systemów informatycznych w świetle standardów ISACA

BANK SPÓŁDZIELCZY W SKAWINIE. Zasady systemu kontroli wewnętrznej w Banku Spółdzielczym w Skawinie. SKAWINA, 2018 r.

I. Analiza ryzyka Bancassurance ocena zakładu ubezpieczeń

Szczegółowe zasady nadzoru Rynku Towarów Giełdowych Towarowej Giełdy Energii S.A.

Opis systemu kontroli wewnętrznej w SGB-Banku S.A.

ZARZĄDZENIE NR 111/2011 PREZYDENTA MIASTA TOMASZOWA MAZOWIECKIEGO z dnia 2 maja 2011 roku

Program naprawczy Lean Navigator

Zarządzenie Nr 55/2008 Rektora Uniwersytetu Warmińsko-Mazurskiego w Olsztynie z dnia 30 grudnia 2008 roku

OPIS SYSTEMU KONTROLI WEWNĘTRZNEJ W MAŁOPOLSKIM BANKU SPÓŁDZIELCZYM. I. Cele i organizacja systemu kontroli wewnętrznej

Informacja dla Komisji Europejskiej 1. Transpozycja 2. Zakres transpozycji

System kontroli wewnętrznej w Banku Millennium S.A.

Transkrypt:

Warszawa, dnia 19 października 2009 r. Audyt równego dostępu do systemów informatycznych TP zgodnie z wymaganiami UKE Podsumowanie Raportu Niniejszy dokument (zwany dalej Podsumowaniem Raportu ) przeznaczony jest do prezentowania wyników audytu niestanowiących tajemnicy przedsiębiorstwa. Powstał on na bazie wyników prac projektu pod nazwą Audyt równego dostępu do systemów informatycznych TP zgodnie z wymaganiami UKE (zwanego dalej Projektem ), prowadzonego przez A.T. Kearney Sp. z o.o. z siedzibą w Warszawie (zwanej dalej Audytorem ), na mocy umowy zawartej pomiędzy TP i A.T. Kearney w dniu 9 września 2009 r. (zwanej dalej Umową ). Audytor oświadcza, że wykonał Umowę z najwyższą zawodową starannością. W dniu 15 października 2009 r. Audytor przedstawił raport zawierający opinię Audytora przeznaczony do użytku na potrzeby własne TP i Grupy TP zgodnie z decyzjami Zarządu TP. Raport nie jest przeznaczony do swobodnego rozpowszechniania. Jest on objęty tajemnicą przedsiębiorstwa TP i został w całości udostępniony tylko Prezesowi Urzędu Komunikacji Elektronicznej (zwanego dalej UKE lub Regulatorem ). Niniejsze Podsumowanie Raportu jest zgodne z raportem. Nie zawiera jednak wszystkich elementów zawartych w raporcie, w tym szczegółowych opisów, uzasadnień oraz rekomendacji Audytora. Tym samym Podsumowanie Raportu winno być traktowane jako materiał niepełny. Audytor zastrzega, że nie bierze jakiejkolwiek odpowiedzialności za wnioski i opinie formułowane na podstawie niniejszego dokumentu. Audytor nie jest również zobowiązany do interpretowania ani uzupełniania Podsumowania Raportu. Podsumowania Raportu w żadnym wypadku nie należy rozumieć jako gwarancji lub zapewnienia ze strony Audytora, że prognozowana sytuacja będzie rzeczywiście miała miejsce, ani że termin jej zaistnienia jest przez Audytora uznawany za jedyny możliwy. Przeciwnie, Audytor podkreśla, że prognozowana sytuacja docelowa może nastąpić w innym niż przewidywany czasie lub nie zaistnieć w ogóle. Inny od przewidywanego rozwój sytuacji może mieć miejsce zarówno ze względu na czynniki wewnętrzne, jak i zewnętrzne dla TP. Audytor zaznacza także, że interpretacja wymagań oraz stopnia ich wypełnienia przez TP jest prerogatywą Regulatora. Audytor nie wyklucza sytuacji, w której interpretacja oraz ocena Regulatora nie będą zbieżne z interpretacjami i ocenami Audytora.

1. CEL PROJEKTU Audyt został przeprowadzony w dniach 24/08/2009 16/10/2009. Jego celem było: Potwierdzenie wymagań Regulatora (zwanych dalej Wymaganiami ) względem systemów informatycznych TP oraz realizowanych przez nie funkcjonalności mających na celu zapewnienie przez TP równego traktowania Detalu TP oraz Operatorów Alternatywnych (zwanych dalej OA ); Zweryfikowanie stanu obecnego w TP oraz realizowanych i planowanych działań TP wprowadzających wymagane przez Regulatora zasady równego traktowania w obszarach objętych audytem; Ocenienie stopnia wypełnienia Wymagań przez TP oraz ryzyk i harmonogramów wdrożenia; Sformułowanie rekomendacji wdrożeniowych. 2. OPINIA AUDYTORA Na bazie przedstawionych prac i przy uwzględnieniu sformułowanych powyżej zastrzeżeń, Audytor stwierdza, że: TP prowadzi i planuje podjęcie działań niezbędnych dla realizacji Wymagań Regulatora. Istnieje grupa wymagań, których realizacja nie jest obecnie zaplanowana. Ponieważ nie są to wymagania krytyczne, nie mają one kluczowego znaczenia dla wypełnienia celów Regulatora. Dodatkowo, dla wszystkich istniejących luk w realizacji wymagań Regulatora, Audytor przedstawił rekomendacje, których wdrożenie pomoże TP je zrealizować. Audytor rekomenduje nadać wdrożeniu działań spełniających wymagania UKE najwyższy priorytet w ramach całej organizacji TP i wyraża opinię, że dzięki nadaniu takiego priorytetu możliwe będzie spełnienie wymagań Regulatora wcześniej niż obecnie zakłada to TP. W opinii Audytora: Po odpowiedniej zmianie priorytetów projektów objętych zakresem audytu w TP oraz przy zapewnieniu wysokiego stopnia motywacji, TP powinna wypełnić wszystkie Wymagania Regulatora nie później niż do końca pierwszego półrocza 2011 roku. 2.1. Sytuacja obecna w TP Wychodząc naprzeciw oczekiwaniom Regulatora i zmieniającym się uwarunkowaniom rynkowym, TP rozpoczęła szereg działań zmierzających do tego, by klienci detaliczni TP oraz klienci Operatorów Alternatywnych (świadczących usługi z wykorzystaniem infrastruktury TP) mogli korzystać z regulowanych usług telekomunikacyjnych o równoważnych parametrach. Cel ten ma zostać osiągnięty poprzez zapewnienie przez TP Strona 2

(1) równoważnego dostępu do informacji, jakimi dysponować będzie część detaliczna TP i Operatorzy Alternatywni, (2) równoważności obsługi Detalu TP i OA przez działy hurtowe i infrastrukturalne TP, realizujące zlecenia Detalu TP i OA, oraz (3) równoważności produktów telekomunikacyjnych. W celu zapewnienia równoważnego dostępu do informacji TP prowadzi prace zmierzające do oddzielenia środowiska hurtowego (tj. jednostek organizacyjnych TP odpowiedzialnych za sprzedaż usług hurtowych oraz obsługę posprzedażową OA nabywców tych usług) od środowiska detalicznego (tj. jednostek zajmujących się sprzedażą usług telekomunikacyjnych klientom detalicznym i ich obsługą posprzedażną Detal TP). Oddzielenie takie będzie możliwe dzięki wdrożeniu przez TP nowego systemu informatycznego dedykowanego wyłącznie do sprzedaży usług hurtowych oraz posprzedażowej obsługi OA (do którego nie będą mieli dostępu pracownicy Detalu TP), jak również nowego systemu billingowego służącego do obsługi rozliczeń między TP a OA. W TP trwają prace projektowe oraz początkowe prace wdrożeniowe w opisanym powyżej zakresie. Równolegle, w celu zapewnienia równoważności informacji, TP prowadzi działania związane z wprowadzeniem w ramach struktur Grupy TP rozwiązań na bazie koncepcji tzw. Chińskich Murów. Metoda Chińskich Murów, stosowana także u operatorów zasiedziałych w innych krajach, polega na wprowadzeniu szeregu zasad oraz procedur mających na celu zabezpieczenie przed nieuprawnionymi pracownikami TP dostępu do danych chronionych dotyczących OA i usług, z których korzystają ich klienci, a których posiadanie mogłoby zapewnić TP przewagę konkurencyjną na rynku telekomunikacyjnym. W ramach tej metody TP proponuje oddzielenie od siebie barierami stanowiącymi zbiór reguł, zasad i obostrzeń oraz praw dostępu w systemach IT trzech obszarów w ramach Grupy TP: (1) Detalu TP, (2) Detalu PTK oraz (3) pozostałych struktur Grupy. Dodatkowo, mając na względzie zapewnienie równoważności obsługi, TP opracowuje działania wspierające, nakierowane na zmianę kultury organizacyjnej TP oraz sposobu rozumienia przez pracowników TP zasad równoważności. Do działań tych należą m.in. odpowiednie akcje informacyjne, szkolenia pracowników, zapisy w regulaminach wewnętrznych czy włączenie problematyki równoważności do systemów motywacyjnych. 2.2. Wypełnienie Wymagao UKE stan docelowy W wyniku przeprowadzonych analiz Audytor zidentyfikował wiele działań TP, które odpowiadają na Wymagania. Równocześnie jednak Audytor zidentyfikował (na dzień badania i przed uwzględnieniem rekomendacji Audytora) listę dodatkowych, koniecznych działań, które muszą być zrealizowane w celu spełnienia niektórych wymagań. TP planuje spełnić część wymagań Regulatora w sposób alternatywny (inny niż zostało to zdefiniowane przez Regulatora), który zdaniem Audytora zapewnia realizację celów stawianych przez UKE. W ramach Działu I Wymagań, które dotyczą ograniczenia dostępu do danych będących w posiadaniu podmiotów Grupy TP: Strona 3

TP spełni wymagania UKE odnoszące się do: o Ograniczenia przepływu informacji do jednostek organizacyjnych sprzedaży i obsługi klientów detalicznych TP poprzez przewidywane oddzielenie środowiska detalicznego oraz hurtowego. Ograniczenie takie możliwe będzie dzięki wprowadzeniu koncepcji Chińskich Murów poprzez zmiany w istniejących systemach IT, jak również wdrożenie nowych aplikacji IT dedykowanych wyłącznie do obsługi OA i ich klientów. TP spełni wymagania UKE w sposób alternatywny. Wymagania te dotyczą: o Ograniczenia przepływu informacji dotyczących źródła zlecenia do jednostek organizacyjnych obsługujących zlecenia klientów detalicznych TP oraz klientów OA. Jak wskazuje analiza Audytora, pomimo istniejącej praktyki podawania źródła zlecenia służbom technicznym, nie stwierdzono, żeby praktyka ta prowadziła do dyskryminacji w zakresie obsługi klientów OA. TP postuluje, by zachować dotychczasową praktykę przekazywania źródła zlecenia, kontynuując jednocześnie monitoring i analizę wskaźników KPI pozwalających wykryć potencjalną dyskryminację klientów OA. o Ograniczenia przepływu informacji do jednostek organizacyjnych sprzedaży i obsługi klientów detalicznych PTK. TP planuje wdrożenie mechanizmów Chińskich Murów w ramach istniejących systemów IT w TP oraz uregulowanie zasad dostępu do danych chronionych dla pracowników wspólnych TP i PTK, m.in. poprzez Reguły Postępowania (tj. zbiór wiążących wytycznych w zakresie dostępu do informacji). W celu ograniczenia możliwości wykorzystywania przepływu informacji pomiędzy TP i Detalem PTK, TP proponuje wyeliminowanie możliwości składania przez klienta TP dokumentu rezygnacji z usług regulowanych TP w salonach sprzedaży TP. Przyjęcie takiej rezygnacji byłoby możliwe jedynie w wyniku dyspozycji zmiany dostawcy usługi, analogicznie jak to się dzieje w salonach sprzedaży OA. Rozwiązanie takie minimalizuje ryzyko pozyskania przez pracowników PTK informacji o potencjalnym kliencie szybciej aniżeli będzie ona dostępna innym OA. TP na dzień badania nie zaplanowała działań zmierzających do spełnienia wymagań UKE odnoszących się do: o Ograniczenia przepływu informacji z TP do PTK i z PTK do TP ze względu na fakt możliwości przepływu informacji dotyczących infrastruktury teleinformatycznej wspólnych dla PTK i TP komórek organizacyjnych odpowiedzialnych za utrzymanie i rozbudowę infrastruktury teleinformatycznej. Aby wypełnić wymaganie UKE, TP powinna zgodnie z rekomendacją Audytora przeprowadzić analizy dotyczące przebiegu dodatkowej warstwy Chińskich Murów i zakresu informacji objętych ograniczeniami przepływu przez te mury oraz wprowadzić proponowaną warstwę (jeśli analizy potwierdzą konieczność i skuteczność proponowanego mechanizmu). Strona 4

W ramach Działu II Wymagań, które dotyczą działań wspierających przestrzeganie zasad równoważności poprzez rozwiązania zarządcze i motywacyjne: TP spełni wymagania UKE odnoszące się do: o Działań informacyjnych i szkoleniowych wdrażających kulturę równoważności. TP planuje przeprowadzenie, począwszy od IV kwartału 2009 r., działań informacyjnych oraz szkoleń dla pracowników TP, mających na celu promowanie zasad równoważności. o Zapisów w regulaminach wewnętrznych wspierających egzekwowanie zasad równoważności. TP planuje wprowadzenie Reguł Postępowania, których nieprzestrzeganie (w tym w zakresie dostępu do danych chronionych) zagrożone będzie sankcjami wynikającymi z kodeksu pracy i wewnętrznych regulaminów pracowniczych. o Monitoringu wewnętrznego służącego rozpoznaniu i reagowaniu na powstałe zagrożenia dla stosowania zasad równoważności. TP planuje wprowadzenie szeregu rozwiązań, m.in. umożliwiających pracownikom TP, jak i osobom spoza TP, zgłaszanie potencjalnych przypadków nieprzestrzegania zasad równoważności. o Włączenia problematyki zasad równoważności w systemy motywacyjne pracowników. TP podjęła już działania mające na celu uwzględnienie zadań związanych z promowaniem kultury równoważności w systemach motywacyjnych pracowników TP. TP spełni wymagania UKE w sposób alternatywny. Wymagania te dotyczą: o Zawarcia w instrukcjach stanowiskowych zagadnień równoważności. Rozwiązanie zaproponowane przez Regulatora nie odpowiada praktyce biznesowej TP. Jako rozwiązanie alternatywne TP proponuje włączenie do akt osobowych każdego pracownika deklaracji o zapoznaniu się z Regułami Postępowania oraz włączenie zagadnień równoważności do kart wszystkich jednostek organizacyjnych TP. o Utworzenia, w ramach nowego programu motywacyjnego, premii rocznej i długoterminowej premii motywacyjnej. Istniejąca w TP częstotliwość premii (półroczna) jest w przekonaniu TP oraz Audytora wystarczająca w kontekście celu Regulatora. Audytor zaznacza także, że proces ustalania i monitorowania celów premiowych powinien być poddany badaniu w ramach kolejnych audytów. TP na dzień badania nie zaplanowała działań zmierzających do spełnienia wymagań UKE odnoszących się do: o Identyfikacji pracowników pod kątem ich przynależności do jednostek organizacyjnych o różnych funkcjach i różnym dostępie do informacji chronionych. TP planuje w tym zakresie działania ograniczone do identyfikacji Strona 5

wewnętrznej. Zaproponowane przez Regulatora rozwiązania przykładowe dotyczące identyfikacji zewnętrznej nie odpowiadają praktyce biznesowej TP. W ramach Działu III Wymagań, które dotyczą nadzoru zewnętrznego nad przestrzeganiem zasad niedyskryminacji i równoważności: TP spełni wymagania UKE odnoszące się do: o Raportowania kluczowych wskaźników (KPI) świadczących o równoważnym traktowaniu przez TP własnych jednostek sprzedaży i obsługi klientów detalicznych oraz klientów OA. TP przekazała UKE listę wskaźników, które planuje mierzyć i publikować. o Nadzoru zewnętrznego nad działaniami TP, w tym poprzez regularne audyty. TP przewiduje przeprowadzanie cyklicznych audytów przez podmioty zewnętrzne oraz udostępnienie UKE pełnych dokumentacji audytowych i projektowych. TP spełni wymagania UKE w sposób alternatywny. Wymagania te dotyczą: o Umożliwienia UKE testowania narzędzi informatycznych w zakresie stosowania zasad równoważności przed ich oddaniem do użytku. TP postuluje rozwiązanie alternatywne w postaci zinstytucjonalizowania uczestnictwa UKE na etapie prac koncepcyjnych nad nowymi rozwiązaniami. TP na dzień badania nie zaplanowała działań zmierzających do spełnienia wymagań UKE odnoszących się do: o Umożliwienia UKE dostępu do systemów informatycznych TP celem weryfikacji stosowania przez TP zasad równoważności. W momencie przeprowadzania audytu TP nie zaproponowała rozwiązania spełniającego to wymaganie Regulatora. Niemniej jednak TP wyraża wolę wypracowania we współpracy z UKE adekwatnych do potrzeb Regulatora narzędzi dostępu. W ramach Działu IV Wymagań, które dotyczą udostępniania informacji za pomocą narzędzi informatycznych: TP spełni wymagania UKE odnoszące się do: o Równoważności źródeł i zakresów danych udostępnianych własnym jednostkom sprzedaży i obsługi klientów detalicznych TP oraz OA w związku ze świadczeniem przez OA usług detalicznych z wykorzystaniem infrastruktury TP. TP udostępni OA kanał przesyłu informacji służący obsłudze usług regulowanych, który zasilany będzie danymi w sposób analogiczny (co do istotnych cech) jak systemy dziedzinowe Detalu TP. Wykorzystanie możliwości stworzonych przez TP może wymagać od OA stworzenia własnych narzędzi i dostosowania procedur. Strona 6

o Poprawy jakości danych o infrastrukturze TP. TP prowadzi wieloletni program, którego celem jest poprawa jakości danych o infrastrukturze zapisanych w bazach danych TP. o Ukrycia przed pracownikami jednostek odpowiedzialnych za sprzedaż i obsługę klientów detalicznych TP danych zgromadzonych w dotychczas stosowanych systemach, a dotyczących klientów OA. TP prowadzi projekt wdrożenia Chińskich Murów w systemach informatycznych, dzięki któremu pracownicy Detalu TP pozbawieni zostaną dostępu do danych chronionych. o Stworzenia kanału obsługi usług regulowanych dedykowanego dla obsługi OA. TP planuje wdrożyć do systemu obsługi OA wszystkie usługi regulowane wymagane przez Regulatora (LLU, BSA, WLR, dzierżawę łączy telekomunikacyjnych i dzierżawę kanalizacji). o Stworzenia kanału wymiany z OA dokumentów niestandardowych. o Udzielenia OA dostępu do systemów informatycznych TP poprzez Elektroniczny Kanał Wymiany Danych (EKWD) i zaopatrzenia go w interfejs w postaci dedykowanego portalu www. TP udostępni OA system obsługi usług regulowanych w postaci portalu www, a także interfejsu, na bazie którego OA będą mogli tworzyć własne aplikacje. TP na dzień badania nie zaplanowała działań zmierzających do spełnienia wymagań UKE odnoszących się do: o Udostępniania OA informacji ogólnych o infrastrukturze. TP nie udostępni pełnego zakresu informacji ogólnych wymaganych przez UKE. Niemniej jednak TP wyraża wolę wypracowania we współpracy z UKE rozwiązań alternatywnych na bazie uzgodnionego zakresu informacji. o Określenia warunków współpracy pomiędzy TP i OA (w tym szkolenia użytkowników, kalkulacji opłat i obsługi awarii). TP nie ma, na dzień przeprowadzania audytu, zdefiniowanych planów dotyczących szkoleń użytkowników systemu obsługi usług regulowanych, kalkulacji opłat za użytkowanie tego systemu. Brak jest także zdefiniowanego dla niego SLA między TP i OA. 2.3. Rekomendacje Audytora Na podstawie przeprowadzonych prac i zidentyfikowanych w ich wyniku wymagań, co do których TP nie podejmuje lub nie planuje podjęcia odpowiednich rozwiązań, Audytor sformułował 3 grupy rekomendacji. W obszarze systemów informatycznych Audytor rekomenduje, aby: Zmienić priorytety wdrożenia programu PRM / NSRM oraz Chińskich Murów i dostosować edycje zmian w systemach IT w TP tak, aby: Strona 7

o Wdrożenie wszystkich usług regulowanych w systemie PRM zakończyło się nie później niż w pierwszej połowie 2011 r. o Wdrożenie mechanizmów Chińskich Murów w systemie PS CRM (w tym ukrycie danych chronionych przed Detalem TP) nastąpiło w pierwszej kolejności, ale nie później niż w 03/2010 (termin do potwierdzenia podczas pierwszego audytu po 30/11/2009). o Podział hurtowni danych DWH rozpocząć od wdrożenia dedykowanych struktur i funkcjonalności niezbędnych dla Detalu TP i zakończyć (w tym zakresie) w 12/2010. Stworzyć jak najszybciej wymagania biznesowe dla zmian w środowisku PS CRM (w zakresie równoważności dostępu do danych). Stworzyć 3-elementowy system weryfikowania, czy właściwe dane zostały ukryte w systemie PS CRM. Powołać strumień prac, mający na celu weryfikację i uzgodnienie równoważności danych w środowiskach Hurt i Detal (zgodnie z definicją przyjętą przez TP na potrzeby podziału środowiska informatycznego TP) na wszystkich etapach podziału i rozwoju aplikacji w tych środowiskach. Przeprowadzić analizy, mające na celu określenie zakresów informacji podlegających ochronie oraz dokładny przebieg dodatkowej linii Chińskich Murów pomiędzy wspólnym obszarem utrzymania i rozwoju infrastruktury teleinformatycznej TP / PTK, a pozostałymi jednostkami funkcjonalnymi Grupy TP. Potwierdzić możliwość i uzgodnić sposób udzielenia Regulatorowi dostępu do narzędzi monitoringu systemów TP. W obszarze zarządzania i procesów wewnętrznych Audytor rekomenduje, aby: Powołać organizację projektową /osobę o wysokim umocowaniu, wewnątrz TP, która byłaby odpowiedzialna za monitorowanie oraz bieżące raportowanie stanu wdrożeń Regulatorowi i Zarządowi TP. Włączyć przedstawicieli Regulatora i niezależnych obserwatorów (audytorów) do ciał monitorujących postęp wdrożenia wybranych projektów. Ograniczyć możliwość rezygnacji z produktów regulowanych TP do kanałów kontaktu z klientem, niepozwalających na podjęcie natychmiastowych działań na rzecz utrzymania klienta (np. list polecony lub inne sposoby nieutrudniające klientowi czynności rezygnacji). Strona 8

Opracować dla pracowników wspólnych TP i PTK szczegółowe wytyczne w zakresie zasad dostępu do danych chronionych, uwzględniające specyfikę stanowisk wspólnych. Monitorować wskaźniki KPI dotyczące obsługi klientów OA oraz TP pod kątem potencjalnej dyskryminacji przez służby techniczne. Opracować i przyjąć szczegółowe harmonogramy działań oraz przystąpić w trybie pilnym do realizacji deklarowanych szkoleń i działań informacyjnych. Zmodyfikować ton przekazu informacji na temat zasad równoważności do pracowników TP, przedstawiając je w sposób neutralny i obiektywny. Wdrożyć pomiar skuteczności szkoleń o tematyce regulacyjnej (w szczególności e- learningowych). Zapewnić przestrzeganie zasad równoważności w obliczu postępującej integracji TP PTK. W obszarze relacji z UKE Audytor rekomenduje, aby: Stworzyć i potwierdzić wspólnie z UKE nowy harmonogram wprowadzania zmian w środowisku systemów informatycznych, biorący pod uwagę priorytety Regulatora oraz rekomendacje Audytora. Włączyć przedstawicieli Regulatora i niezależnych obserwatorów (audytorów) do ciał monitorujących postęp wdrożenia wybranych projektów. Zmodyfikować w porozumieniu z UKE proces TTM poprzez włączenie do prac fazy koncepcyjnej ekspertów technicznych (z głosem doradczym), których zadaniem będzie przedstawienie uwarunkowań technicznych dla rozważanych rozwiązań biznesowych. Wykorzystać zmodyfikowany proces TTM do jak najszybszego potwierdzenia z UKE funkcjonalności niezbędnych dla sfinalizowania dokumentacji projektowej systemu PRM i umożliwienia przejścia do fazy jego realizacji. Uszczegółowić, w porozumieniu z UKE, rozwiązania wprowadzające odrębną identyfikację dla Detalu TP i Detalu PTK (przy założeniu integracji wizerunkowej obu firm). W celu wczesnego wykrycia ewentualnych odstępstw od założeń oraz przeciwdziałania zmaterializowaniu się ryzyk, Audytor zaleca, aby proces wdrożenia poddany został regularnym badaniom. W tym kontekście niniejszy Projekt należy uznać za sygnalny, a jego wyniki powinny być weryfikowane w toku kolejnych audytów. Strona 9

3. ZNACZENIE SKRÓTÓW I OZNACZEŃ UŻYTYCH W TEKŚCIE Audytor Detal PTK Detal TP A.T. Kearney Sp.z o.o. z siedzibą w Warszawie Jednostki organizacyjne sprzedaży i obsługi posprzedażowej klientów detalicznych PTK Jednostki organizacyjne sprzedaży i obsługi posprzedażowej klientów detalicznych TP OA W zależności od kontekstu Operator Alternatywny lub Operatorzy Alternatywni wszyscy inni poza TP operatorzy komunikacyjni korzystający z infrastruktury TP dla świadczenia usług telekomunikacyjnych klientom detalicznym Podsumowanie Raportu Projekt PTK TP Niniejszy dokument przygotowany na bazie raportu Audytora z dnia 15/10/2009 r. Audyt równego dostępu do systemów informatycznych TP zgodnie z wymaganiami UKE projekt doradczy przeprowadzony przez A.T. Kearney Polska Telefonia Komórkowa Centertel Sp. z o.o. z siedzibą w Warszawie, podmiot Grupy TP, operator sieci GSM Orange Telekomunikacja Polska S.A. z siedzibą w Warszawie, podmiot Grupy France Telekom, operator zasiedziały na polskim rynku telekomunikacyjnym UKE, Regulator Urząd Komunikacji Elektronicznej, Regulator rynku telekomunikacyjnego w Polsce Wymagania Wymagania Regulatora wobec TP zgodnie z listą z dnia 15/09/2009, mające na celu zapewnienie równego dostępu do systemów informatycznych TP OA i Detalowi TP Strona 10