10 Esempi di non conformità ISO 27001, sia minori che maggiori

ISO 27001 clausola 10.1 – non conformità e azioni correttive

Gli errori capitano. Lo sanno anche gli auditor. Naturalmente è fondamentale cercare di soddisfare ogni singolo requisito dello standard a cui si sta puntando, in questo caso la ISO 27001. Ma ancora più importante è registrare e risolvere qualsiasi non conformità, una volta identificata. Ciò avviene adottando azioni correttive. 

La clausola 10 (10.1 – 10.2) vi aiuterà a individuare le non conformità e a intraprendere le relative azioni correttive. Dovrete fornire prove di come state garantendo che l’azione correttiva intrapresa riporterà l’azienda in uno stato di conformità. Maggiori informazioni in seguito. 

3 passi per la conformità

Hai individuato una non conformità? Dovreste seguire questi tre passaggi:

1. Il primo passo per affrontare la non conformità è identificare ciò che è andato storto. Questo si ottiene identificando la causa di un problema chiedendosi “Perché?”. Questa è chiamata analisi delle cause profonde. Questo metodo può aiutare a stabilire la causa principale di una non conformità

2. Infine, è necessario proporre un’azione correttiva appropriata per fermare e prevenire il problema. Le azioni preventive sono misure per evitare che la non conformità si ripeta.

3. Una volta che le azioni correttive sono state messe in atto, si inizia a monitorare e rivedere il processo.

È davvero facile come 1, 2, 3.

10 esempi di non conformità ISO 27001, sia minori che maggiori

Può essere complicato cercare di distinguere tra non conformità minori e maggiori, ma ricordate che molto dipende dall’inadempienza e dalla frequenza dell’inadempienza, nonché dal fatto che l’inadempienza sia ripetuta o non trattata

Non conformità minori

• Sono stati trovati alcuni computer portatili incustoditi sulle scrivanie dei dipendenti, non protetti con un lucchetto a cavo.
• Malfunzionamento della televisione a circuito chiuso (CCTV) durante l’audit.

Maggiori non conformità

• Assenza di documentazione obbligatoria.
• L’audit interno non viene effettuato all’interno dell’organizzazione.
• Il leader dell’organizzazione non coinvolge o non presta attenzione all’ISMS (ad esempio, non partecipa a riunioni importanti sull’ISMS, non è coinvolto nelle politiche principali/generali); non fornisce risorse per l’implementazione dell’ISMS.
• Nessuna valutazione delle prestazioni dell’ISMS.
• Nessuna evidenza che la gestione degli asset sia mantenuta in modo appropriato.
• Contenuto dell’OSA non giustificato o incoerente.
• Processo di valutazione del rischio non seguito o inadeguato.
• Uso improprio di un marchio di certificazione, con conseguente inganno dei clienti.

Qual è la differenza tra non conformità e CAPA?

Un processo di non conformità e un processo di azione correttiva e preventiva sono fondamentali per il vostro SGQ (Sistema di gestione della qualità). 

Anche se sono simili, è importante capire che alcune non conformità richiederanno il CAPA e altre no. 

Il CAPA è un processo che intraprende un’azione correttiva o preventiva quando un problema viene identificato da un cliente, dalla direzione o da un auditor (interno o esterno). 

Il processo CAPA segue cinque fasi:

1. Inchiesta e valutazione 
2. Pre-investigazione 
3. Investigazione 
4. Pianificazione ed esecuzione 
5. Revisione e verifica 

Attuare questi passi solo se la non conformità è critica o sistemica. 

Secondo Intelex, per determinare se il problema deve passare alla CAPA, porsi tre domande:

1. Il problema può essere risolto nel processo?
2. Il problema ha comportato sprechi, scarti, rilavorazioni significative o l’insoddisfazione del cliente? 
3. La non conformità è un’indicazione di un problema più sistemico o è probabile che si ripresenti? 

Esempio di rapporto di non conformità ISO 27001 e scenario simulato

Guida ISO 27001 fornisce una chiara descrizione della differenza tra un rapporto di non conformità e un rapporto di azione correttiva nella norma ISO 27001.

Creiamo il nostro scenario fittizio di una non conformità in azione utilizzando la prima non conformità principale menzionata sopra, cioè l’assenza di documentazione obbligatoria.

Non conformità

Manca la dichiarazione di ambito ISMS

Analisi delle cause (Perché?)

Perché? Quando è stato interrogato, il team ha mostrato di non capire quali documenti fossero obbligatori.

Perché? La direzione ha insistito affinché il team tentasse di ottenere la certificazione senza l’aiuto di uno strumento online o di una terza parte.

Perché? Il management non vuole spendere “fondi inutili”

Il problema è evidente: una mancanza di investimenti nel processo di certificazione ISO 27001. 

Azione correttiva suggerita 

Ora è chiaro quale dovrebbe essere l’azione correttiva: si dovrebbe usare una terza parte (come Compleye) o uno strumento o una piattaforma online di certificazione ISO 27001 (come Compleye Online) per scoprire qual è la documentazione obbligatoria e come creare una dichiarazione di ambito ISMS.

Questo è l’aspetto della documentazione per questa non conformità:

Non lasciate che la non conformità vi impedisca di rendere la conformità (quasi) divertente!

Gli esempi di non conformità ISO 27001 che abbiamo fornito sono solo alcuni dei tanti che potrebbero costituire un ostacolo per le organizzazioni che desiderano ottenere la certificazione ISO 27001.

Per saperne di più su ciò che dovete fare per garantire il successo della vostra certificazione ISO 27001 e per scoprire come stiamo rendendo la conformità (quasi) divertente, date un’occhiata a Compleye o prenotate una demo qui sotto.

ISO 27001 clausola 10.1 – non conformità e azioni correttive

Gli errori capitano. Lo sanno anche gli auditor. Naturalmente è fondamentale cercare di soddisfare ogni singolo requisito dello standard a cui si sta puntando, in questo caso la ISO 27001. Ma ancora più importante è registrare e risolvere qualsiasi non conformità, una volta identificata. Ciò avviene adottando azioni correttive. 

La clausola 10 (10.1 – 10.2) vi aiuterà a individuare le non conformità e a intraprendere le relative azioni correttive. Dovrete fornire prove di come state garantendo che l’azione correttiva intrapresa riporterà l’azienda in uno stato di conformità. Maggiori informazioni in seguito. 

3 passi per la conformità

Hai individuato una non conformità? Dovreste seguire questi tre passaggi:

1. Il primo passo per affrontare la non conformità è identificare ciò che è andato storto. Questo si ottiene identificando la causa di un problema chiedendosi “Perché?”. Questa è chiamata analisi delle cause profonde. Questo metodo può aiutare a stabilire la causa principale di una non conformità

2. Infine, è necessario proporre un’azione correttiva appropriata per fermare e prevenire il problema. Le azioni preventive sono misure per evitare che la non conformità si ripeta.

3. Una volta che le azioni correttive sono state messe in atto, si inizia a monitorare e rivedere il processo.

È davvero facile come 1, 2, 3.

10 esempi di non conformità ISO 27001, sia minori che maggiori

Può essere complicato cercare di distinguere tra non conformità minori e maggiori, ma ricordate che molto dipende dall’inadempienza e dalla frequenza dell’inadempienza, nonché dal fatto che l’inadempienza sia ripetuta o non trattata

Non conformità minori

• Sono stati trovati alcuni computer portatili incustoditi sulle scrivanie dei dipendenti, non protetti con un lucchetto a cavo.
• Malfunzionamento della televisione a circuito chiuso (CCTV) durante l’audit.

Maggiori non conformità

• Assenza di documentazione obbligatoria.
• L’audit interno non viene effettuato all’interno dell’organizzazione.
• Il leader dell’organizzazione non coinvolge o non presta attenzione all’ISMS (ad esempio, non partecipa a riunioni importanti sull’ISMS, non è coinvolto nelle politiche principali/generali); non fornisce risorse per l’implementazione dell’ISMS.
• Nessuna valutazione delle prestazioni dell’ISMS.
• Nessuna evidenza che la gestione degli asset sia mantenuta in modo appropriato.
• Contenuto dell’OSA non giustificato o incoerente.
• Processo di valutazione del rischio non seguito o inadeguato.
• Uso improprio di un marchio di certificazione, con conseguente inganno dei clienti.

Qual è la differenza tra non conformità e CAPA?

Un processo di non conformità e un processo di azione correttiva e preventiva sono fondamentali per il vostro SGQ (Sistema di gestione della qualità). 

Anche se sono simili, è importante capire che alcune non conformità richiederanno il CAPA e altre no. 

Il CAPA è un processo che intraprende un’azione correttiva o preventiva quando un problema viene identificato da un cliente, dalla direzione o da un auditor (interno o esterno). 

Il processo CAPA segue cinque fasi:

1. Inchiesta e valutazione 
2. Pre-investigazione 
3. Investigazione 
4. Pianificazione ed esecuzione 
5. Revisione e verifica 

Attuare questi passi solo se la non conformità è critica o sistemica. 

Secondo Intelex, per determinare se il problema deve passare alla CAPA, porsi tre domande:

1. Il problema può essere risolto nel processo?
2. Il problema ha comportato sprechi, scarti, rilavorazioni significative o l’insoddisfazione del cliente? 
3. La non conformità è un’indicazione di un problema più sistemico o è probabile che si ripresenti? 

Esempio di rapporto di non conformità ISO 27001 e scenario simulato

Guida ISO 27001 fornisce una chiara descrizione della differenza tra un rapporto di non conformità e un rapporto di azione correttiva nella norma ISO 27001.

Creiamo il nostro scenario fittizio di una non conformità in azione utilizzando la prima non conformità principale menzionata sopra, cioè l’assenza di documentazione obbligatoria.

Non conformità

Manca la dichiarazione di ambito ISMS

Analisi delle cause (Perché?)

Perché? Quando è stato interrogato, il team ha mostrato di non capire quali documenti fossero obbligatori.

Perché? La direzione ha insistito affinché il team tentasse di ottenere la certificazione senza l’aiuto di uno strumento online o di una terza parte.

Perché? Il management non vuole spendere “fondi inutili”

Il problema è evidente: una mancanza di investimenti nel processo di certificazione ISO 27001. 

Azione correttiva suggerita 

Ora è chiaro quale dovrebbe essere l’azione correttiva: si dovrebbe usare una terza parte (come Compleye) o uno strumento o una piattaforma online di certificazione ISO 27001 (come Compleye Online) per scoprire qual è la documentazione obbligatoria e come creare una dichiarazione di ambito ISMS.

Questo è l’aspetto della documentazione per questa non conformità:

Non lasciate che la non conformità vi impedisca di rendere la conformità (quasi) divertente!

Gli esempi di non conformità ISO 27001 che abbiamo fornito sono solo alcuni dei tanti che potrebbero costituire un ostacolo per le organizzazioni che desiderano ottenere la certificazione ISO 27001.

Per saperne di più su ciò che dovete fare per garantire il successo della vostra certificazione ISO 27001 e per scoprire come stiamo rendendo la conformità (quasi) divertente, date un’occhiata a Compleye o prenotate una demo qui sotto.

ISO 27001 clausola 10.1 – non conformità e azioni correttive

Gli errori capitano. Lo sanno anche gli auditor. Naturalmente è fondamentale cercare di soddisfare ogni singolo requisito dello standard a cui si sta puntando, in questo caso la ISO 27001. Ma ancora più importante è registrare e risolvere qualsiasi non conformità, una volta identificata. Ciò avviene adottando azioni correttive. 

La clausola 10 (10.1 – 10.2) vi aiuterà a individuare le non conformità e a intraprendere le relative azioni correttive. Dovrete fornire prove di come state garantendo che l’azione correttiva intrapresa riporterà l’azienda in uno stato di conformità. Maggiori informazioni in seguito. 

3 passi per la conformità

Hai individuato una non conformità? Dovreste seguire questi tre passaggi:

1. Il primo passo per affrontare la non conformità è identificare ciò che è andato storto. Questo si ottiene identificando la causa di un problema chiedendosi “Perché?”. Questa è chiamata analisi delle cause profonde. Questo metodo può aiutare a stabilire la causa principale di una non conformità

2. Infine, è necessario proporre un’azione correttiva appropriata per fermare e prevenire il problema. Le azioni preventive sono misure per evitare che la non conformità si ripeta.

3. Una volta che le azioni correttive sono state messe in atto, si inizia a monitorare e rivedere il processo.

È davvero facile come 1, 2, 3.

10 esempi di non conformità ISO 27001, sia minori che maggiori

Può essere complicato cercare di distinguere tra non conformità minori e maggiori, ma ricordate che molto dipende dall’inadempienza e dalla frequenza dell’inadempienza, nonché dal fatto che l’inadempienza sia ripetuta o non trattata

Non conformità minori

• Sono stati trovati alcuni computer portatili incustoditi sulle scrivanie dei dipendenti, non protetti con un lucchetto a cavo.
• Malfunzionamento della televisione a circuito chiuso (CCTV) durante l’audit.

Maggiori non conformità

• Assenza di documentazione obbligatoria.
• L’audit interno non viene effettuato all’interno dell’organizzazione.
• Il leader dell’organizzazione non coinvolge o non presta attenzione all’ISMS (ad esempio, non partecipa a riunioni importanti sull’ISMS, non è coinvolto nelle politiche principali/generali); non fornisce risorse per l’implementazione dell’ISMS.
• Nessuna valutazione delle prestazioni dell’ISMS.
• Nessuna evidenza che la gestione degli asset sia mantenuta in modo appropriato.
• Contenuto dell’OSA non giustificato o incoerente.
• Processo di valutazione del rischio non seguito o inadeguato.
• Uso improprio di un marchio di certificazione, con conseguente inganno dei clienti.

Qual è la differenza tra non conformità e CAPA?

Un processo di non conformità e un processo di azione correttiva e preventiva sono fondamentali per il vostro SGQ (Sistema di gestione della qualità). 

Anche se sono simili, è importante capire che alcune non conformità richiederanno il CAPA e altre no. 

Il CAPA è un processo che intraprende un’azione correttiva o preventiva quando un problema viene identificato da un cliente, dalla direzione o da un auditor (interno o esterno). 

Il processo CAPA segue cinque fasi:

1. Inchiesta e valutazione 
2. Pre-investigazione 
3. Investigazione 
4. Pianificazione ed esecuzione 
5. Revisione e verifica 

Attuare questi passi solo se la non conformità è critica o sistemica. 

Secondo Intelex, per determinare se il problema deve passare alla CAPA, porsi tre domande:

1. Il problema può essere risolto nel processo?
2. Il problema ha comportato sprechi, scarti, rilavorazioni significative o l’insoddisfazione del cliente? 
3. La non conformità è un’indicazione di un problema più sistemico o è probabile che si ripresenti? 

Esempio di rapporto di non conformità ISO 27001 e scenario simulato

Guida ISO 27001 fornisce una chiara descrizione della differenza tra un rapporto di non conformità e un rapporto di azione correttiva nella norma ISO 27001.

Creiamo il nostro scenario fittizio di una non conformità in azione utilizzando la prima non conformità principale menzionata sopra, cioè l’assenza di documentazione obbligatoria.

Non conformità

Manca la dichiarazione di ambito ISMS

Analisi delle cause (Perché?)

Perché? Quando è stato interrogato, il team ha mostrato di non capire quali documenti fossero obbligatori.

Perché? La direzione ha insistito affinché il team tentasse di ottenere la certificazione senza l’aiuto di uno strumento online o di una terza parte.

Perché? Il management non vuole spendere “fondi inutili”

Il problema è evidente: una mancanza di investimenti nel processo di certificazione ISO 27001. 

Azione correttiva suggerita 

Ora è chiaro quale dovrebbe essere l’azione correttiva: si dovrebbe usare una terza parte (come Compleye) o uno strumento o una piattaforma online di certificazione ISO 27001 (come Compleye Online) per scoprire qual è la documentazione obbligatoria e come creare una dichiarazione di ambito ISMS.

Questo è l’aspetto della documentazione per questa non conformità:

Non lasciate che la non conformità vi impedisca di rendere la conformità (quasi) divertente!

Gli esempi di non conformità ISO 27001 che abbiamo fornito sono solo alcuni dei tanti che potrebbero costituire un ostacolo per le organizzazioni che desiderano ottenere la certificazione ISO 27001.

Per saperne di più su ciò che dovete fare per garantire il successo della vostra certificazione ISO 27001 e per scoprire come stiamo rendendo la conformità (quasi) divertente, date un’occhiata a Compleye o prenotate una demo qui sotto.

• poca comunicazione (o comunicazione errata)
• Documentazione carente (o mancanza di documentazione)
• Povero o limitato addestramento del personale
• Scarsa motivazione del personale
• Scarsa motivazione del personale
• Materiali di scarsa qualità (o mancanza di materiali appropriati)
• Strumenti e attrezzature di scarsa qualità (o mancanza di strumenti e attrezzature adeguati)
• Ambiente operativo scadente o disfunzionale

La questione si complica leggermente, perché non tutte le non conformità sono state create uguali: ci sono non conformità maggiori e minori. Entrambe saranno rilevate durante l’audit, e una non conformità maggiore comporterà la mancata certificazione per la ISO 27001.

Qual è la differenza tra una non conformità ISO 27001 minore e una maggiore?

Una non conformità minore è: 

• Soddisfazione parziale di uno dei requisiti ISO 27001… 
• Un mancato soddisfacimento di un requisito minore, o… 
• Un mancato soddisfacimento una tantum di uno dei requisiti dello standard. 

Una non conformità importante è:

• Un’inosservanza ripetuta o non trattata di uno dei requisiti, oppure… 
• Un problema che avrà un impatto sui vostri clienti se non verrà corretto, e/o…
• Se mancano o non sono state implementate parti essenziali dell’ISMS.

Requisiti per la ISO 27001

Vediamo una panoramica di quali sono i requisiti della ISO 27001:

ISO 27001 clausola 10.1 – non conformità e azioni correttive

Gli errori capitano. Lo sanno anche gli auditor. Naturalmente è fondamentale cercare di soddisfare ogni singolo requisito dello standard a cui si sta puntando, in questo caso la ISO 27001. Ma ancora più importante è registrare e risolvere qualsiasi non conformità, una volta identificata. Ciò avviene adottando azioni correttive. 

La clausola 10 (10.1 – 10.2) vi aiuterà a individuare le non conformità e a intraprendere le relative azioni correttive. Dovrete fornire prove di come state garantendo che l’azione correttiva intrapresa riporterà l’azienda in uno stato di conformità. Maggiori informazioni in seguito. 

3 passi per la conformità

Hai individuato una non conformità? Dovreste seguire questi tre passaggi:

1. Il primo passo per affrontare la non conformità è identificare ciò che è andato storto. Questo si ottiene identificando la causa di un problema chiedendosi “Perché?”. Questa è chiamata analisi delle cause profonde. Questo metodo può aiutare a stabilire la causa principale di una non conformità

2. Infine, è necessario proporre un’azione correttiva appropriata per fermare e prevenire il problema. Le azioni preventive sono misure per evitare che la non conformità si ripeta.

3. Una volta che le azioni correttive sono state messe in atto, si inizia a monitorare e rivedere il processo.

È davvero facile come 1, 2, 3.

10 esempi di non conformità ISO 27001, sia minori che maggiori

Può essere complicato cercare di distinguere tra non conformità minori e maggiori, ma ricordate che molto dipende dall’inadempienza e dalla frequenza dell’inadempienza, nonché dal fatto che l’inadempienza sia ripetuta o non trattata

Non conformità minori

• Sono stati trovati alcuni computer portatili incustoditi sulle scrivanie dei dipendenti, non protetti con un lucchetto a cavo.
• Malfunzionamento della televisione a circuito chiuso (CCTV) durante l’audit.

Maggiori non conformità

• Assenza di documentazione obbligatoria.
• L’audit interno non viene effettuato all’interno dell’organizzazione.
• Il leader dell’organizzazione non coinvolge o non presta attenzione all’ISMS (ad esempio, non partecipa a riunioni importanti sull’ISMS, non è coinvolto nelle politiche principali/generali); non fornisce risorse per l’implementazione dell’ISMS.
• Nessuna valutazione delle prestazioni dell’ISMS.
• Nessuna evidenza che la gestione degli asset sia mantenuta in modo appropriato.
• Contenuto dell’OSA non giustificato o incoerente.
• Processo di valutazione del rischio non seguito o inadeguato.
• Uso improprio di un marchio di certificazione, con conseguente inganno dei clienti.

Qual è la differenza tra non conformità e CAPA?

Un processo di non conformità e un processo di azione correttiva e preventiva sono fondamentali per il vostro SGQ (Sistema di gestione della qualità). 

Anche se sono simili, è importante capire che alcune non conformità richiederanno il CAPA e altre no. 

Il CAPA è un processo che intraprende un’azione correttiva o preventiva quando un problema viene identificato da un cliente, dalla direzione o da un auditor (interno o esterno). 

Il processo CAPA segue cinque fasi:

1. Inchiesta e valutazione 
2. Pre-investigazione 
3. Investigazione 
4. Pianificazione ed esecuzione 
5. Revisione e verifica 

Attuare questi passi solo se la non conformità è critica o sistemica. 

Secondo Intelex, per determinare se il problema deve passare alla CAPA, porsi tre domande:

1. Il problema può essere risolto nel processo?
2. Il problema ha comportato sprechi, scarti, rilavorazioni significative o l’insoddisfazione del cliente? 
3. La non conformità è un’indicazione di un problema più sistemico o è probabile che si ripresenti? 

Esempio di rapporto di non conformità ISO 27001 e scenario simulato

Guida ISO 27001 fornisce una chiara descrizione della differenza tra un rapporto di non conformità e un rapporto di azione correttiva nella norma ISO 27001.

Creiamo il nostro scenario fittizio di una non conformità in azione utilizzando la prima non conformità principale menzionata sopra, cioè l’assenza di documentazione obbligatoria.

Non conformità

Manca la dichiarazione di ambito ISMS

Analisi delle cause (Perché?)

Perché? Quando è stato interrogato, il team ha mostrato di non capire quali documenti fossero obbligatori.

Perché? La direzione ha insistito affinché il team tentasse di ottenere la certificazione senza l’aiuto di uno strumento online o di una terza parte.

Perché? Il management non vuole spendere “fondi inutili”

Il problema è evidente: una mancanza di investimenti nel processo di certificazione ISO 27001. 

Azione correttiva suggerita 

Ora è chiaro quale dovrebbe essere l’azione correttiva: si dovrebbe usare una terza parte (come Compleye) o uno strumento o una piattaforma online di certificazione ISO 27001 (come Compleye Online) per scoprire qual è la documentazione obbligatoria e come creare una dichiarazione di ambito ISMS.

Questo è l’aspetto della documentazione per questa non conformità:

Non lasciate che la non conformità vi impedisca di rendere la conformità (quasi) divertente!

Gli esempi di non conformità ISO 27001 che abbiamo fornito sono solo alcuni dei tanti che potrebbero costituire un ostacolo per le organizzazioni che desiderano ottenere la certificazione ISO 27001.

Per saperne di più su ciò che dovete fare per garantire il successo della vostra certificazione ISO 27001 e per scoprire come stiamo rendendo la conformità (quasi) divertente, date un’occhiata a Compleye o prenotate una demo qui sotto.

In questo articolo, esaminiamo il significato di non conformità, la differenza tra una non conformità maggiore e una minore, come evitare e correggere le non conformità ed esaminiamo dieci esempi di non conformità ISO 27001

Che cos’è una non conformità ISO 27001, comunque?

Potreste chiedervi cosa sia esattamente una non conformità. La risposta è abbastanza semplice. Se il vostro ISMS (Information Security Management System) non soddisfa uno dei requisiti della ISO 27001, avete una non conformità. 

Secondo Wikipedia, una non conformità si verifica generalmente come risultato di:

• poca comunicazione (o comunicazione errata)
• Documentazione carente (o mancanza di documentazione)
• Povero o limitato addestramento del personale
• Scarsa motivazione del personale
• Scarsa motivazione del personale
• Materiali di scarsa qualità (o mancanza di materiali appropriati)
• Strumenti e attrezzature di scarsa qualità (o mancanza di strumenti e attrezzature adeguati)
• Ambiente operativo scadente o disfunzionale

La questione si complica leggermente, perché non tutte le non conformità sono state create uguali: ci sono non conformità maggiori e minori. Entrambe saranno rilevate durante l’audit, e una non conformità maggiore comporterà la mancata certificazione per la ISO 27001.

Qual è la differenza tra una non conformità ISO 27001 minore e una maggiore?

Una non conformità minore è: 

• Soddisfazione parziale di uno dei requisiti ISO 27001… 
• Un mancato soddisfacimento di un requisito minore, o… 
• Un mancato soddisfacimento una tantum di uno dei requisiti dello standard. 

Una non conformità importante è:

• Un’inosservanza ripetuta o non trattata di uno dei requisiti, oppure… 
• Un problema che avrà un impatto sui vostri clienti se non verrà corretto, e/o…
• Se mancano o non sono state implementate parti essenziali dell’ISMS.

Requisiti per la ISO 27001

Vediamo una panoramica di quali sono i requisiti della ISO 27001:

ISO 27001 clausola 10.1 – non conformità e azioni correttive

Gli errori capitano. Lo sanno anche gli auditor. Naturalmente è fondamentale cercare di soddisfare ogni singolo requisito dello standard a cui si sta puntando, in questo caso la ISO 27001. Ma ancora più importante è registrare e risolvere qualsiasi non conformità, una volta identificata. Ciò avviene adottando azioni correttive. 

La clausola 10 (10.1 – 10.2) vi aiuterà a individuare le non conformità e a intraprendere le relative azioni correttive. Dovrete fornire prove di come state garantendo che l’azione correttiva intrapresa riporterà l’azienda in uno stato di conformità. Maggiori informazioni in seguito. 

3 passi per la conformità

Hai individuato una non conformità? Dovreste seguire questi tre passaggi:

1. Il primo passo per affrontare la non conformità è identificare ciò che è andato storto. Questo si ottiene identificando la causa di un problema chiedendosi “Perché?”. Questa è chiamata analisi delle cause profonde. Questo metodo può aiutare a stabilire la causa principale di una non conformità

2. Infine, è necessario proporre un’azione correttiva appropriata per fermare e prevenire il problema. Le azioni preventive sono misure per evitare che la non conformità si ripeta.

3. Una volta che le azioni correttive sono state messe in atto, si inizia a monitorare e rivedere il processo.

È davvero facile come 1, 2, 3.

10 esempi di non conformità ISO 27001, sia minori che maggiori

Può essere complicato cercare di distinguere tra non conformità minori e maggiori, ma ricordate che molto dipende dall’inadempienza e dalla frequenza dell’inadempienza, nonché dal fatto che l’inadempienza sia ripetuta o non trattata

Non conformità minori

• Sono stati trovati alcuni computer portatili incustoditi sulle scrivanie dei dipendenti, non protetti con un lucchetto a cavo.
• Malfunzionamento della televisione a circuito chiuso (CCTV) durante l’audit.

Maggiori non conformità

• Assenza di documentazione obbligatoria.
• L’audit interno non viene effettuato all’interno dell’organizzazione.
• Il leader dell’organizzazione non coinvolge o non presta attenzione all’ISMS (ad esempio, non partecipa a riunioni importanti sull’ISMS, non è coinvolto nelle politiche principali/generali); non fornisce risorse per l’implementazione dell’ISMS.
• Nessuna valutazione delle prestazioni dell’ISMS.
• Nessuna evidenza che la gestione degli asset sia mantenuta in modo appropriato.
• Contenuto dell’OSA non giustificato o incoerente.
• Processo di valutazione del rischio non seguito o inadeguato.
• Uso improprio di un marchio di certificazione, con conseguente inganno dei clienti.

Qual è la differenza tra non conformità e CAPA?

Un processo di non conformità e un processo di azione correttiva e preventiva sono fondamentali per il vostro SGQ (Sistema di gestione della qualità). 

Anche se sono simili, è importante capire che alcune non conformità richiederanno il CAPA e altre no. 

Il CAPA è un processo che intraprende un’azione correttiva o preventiva quando un problema viene identificato da un cliente, dalla direzione o da un auditor (interno o esterno). 

Il processo CAPA segue cinque fasi:

1. Inchiesta e valutazione 
2. Pre-investigazione 
3. Investigazione 
4. Pianificazione ed esecuzione 
5. Revisione e verifica 

Attuare questi passi solo se la non conformità è critica o sistemica. 

Secondo Intelex, per determinare se il problema deve passare alla CAPA, porsi tre domande:

1. Il problema può essere risolto nel processo?
2. Il problema ha comportato sprechi, scarti, rilavorazioni significative o l’insoddisfazione del cliente? 
3. La non conformità è un’indicazione di un problema più sistemico o è probabile che si ripresenti? 

Esempio di rapporto di non conformità ISO 27001 e scenario simulato

Guida ISO 27001 fornisce una chiara descrizione della differenza tra un rapporto di non conformità e un rapporto di azione correttiva nella norma ISO 27001.

Creiamo il nostro scenario fittizio di una non conformità in azione utilizzando la prima non conformità principale menzionata sopra, cioè l’assenza di documentazione obbligatoria.

Non conformità

Manca la dichiarazione di ambito ISMS

Analisi delle cause (Perché?)

Perché? Quando è stato interrogato, il team ha mostrato di non capire quali documenti fossero obbligatori.

Perché? La direzione ha insistito affinché il team tentasse di ottenere la certificazione senza l’aiuto di uno strumento online o di una terza parte.

Perché? Il management non vuole spendere “fondi inutili”

Il problema è evidente: una mancanza di investimenti nel processo di certificazione ISO 27001. 

Azione correttiva suggerita 

Ora è chiaro quale dovrebbe essere l’azione correttiva: si dovrebbe usare una terza parte (come Compleye) o uno strumento o una piattaforma online di certificazione ISO 27001 (come Compleye Online) per scoprire qual è la documentazione obbligatoria e come creare una dichiarazione di ambito ISMS.

Questo è l’aspetto della documentazione per questa non conformità:

Non lasciate che la non conformità vi impedisca di rendere la conformità (quasi) divertente!

Gli esempi di non conformità ISO 27001 che abbiamo fornito sono solo alcuni dei tanti che potrebbero costituire un ostacolo per le organizzazioni che desiderano ottenere la certificazione ISO 27001.

Per saperne di più su ciò che dovete fare per garantire il successo della vostra certificazione ISO 27001 e per scoprire come stiamo rendendo la conformità (quasi) divertente, date un’occhiata a Compleye o prenotate una demo qui sotto.