- La Presidencia de la Agencia Española de Protección de Datos podrá acordar la realización de planes de auditoría preventiva, referidos a los tratamientos de un sector concreto de actividad. Tendrán por objeto el análisis del cumplimiento de las disposiciones del Reglamento (UE) 2016/679 y de la presente ley orgánica, a partir de la realización de actividades de investigación sobre entidades pertenecientes al sector inspeccionado o sobre los responsables objeto de la auditoría.
- A resultas de los planes de auditoría, la Presidencia de la Agencia Española de Protección de Datos podrá dictar las directrices generales o específicas para un concreto responsable o encargado de los tratamientos precisas para asegurar la plena adaptación del sector o responsable al Reglamento (UE) 2016/679 y a la presente ley orgánica.
En la elaboración de dichas directrices la Presidencia de la Agencia Española de Protección de Datos podrá solicitar la colaboración de los organismos de supervisión de los códigos de conducta y de resolución extrajudicial de conflictos, si los hubiere.
- Las directrices serán de obligado cumplimiento para el sector o responsable al que se refiera el plan de auditoría.
1. Objetivos de un Plan de Auditoría
Un plan de auditoría busca cumplir varios objetivos clave:
- Evaluar el Cumplimiento: Verificar que la entidad cumple con las normativas aplicables, como el RGPD, la LOPDGDD y otras regulaciones relevantes.
- Identificar Riesgos: Detectar áreas de riesgo y debilidades en los controles internos.
- Mejorar Controles: Proporcionar recomendaciones para fortalecer los controles y procedimientos existentes.
- Garantizar la Eficiencia: Asegurar que los procesos y controles son eficientes y efectivos.
2. Componentes de un Plan de Auditoría
Un plan de auditoría efectivo generalmente incluye los siguientes componentes:
a. Alcance y Objetivos
- Alcance: Define qué áreas, procesos o sistemas serán auditados. Puede incluir aspectos específicos como la gestión de datos personales, la seguridad de la información, o la conformidad con políticas internas.
- Objetivos: Establece los objetivos específicos que la auditoría pretende alcanzar, como la verificación del cumplimiento con el RGPD o la evaluación de la eficacia de los controles de seguridad.
b. Criterios de Auditoría
- Normativas y Políticas: Enumera las normativas, leyes y políticas internas contra las cuales se medirá el cumplimiento, como el RGPD, la LOPDGDD, políticas internas de protección de datos, y estándares de seguridad.
- Estándares de Calidad: Incluye los estándares de calidad y mejores prácticas que se aplicarán durante la auditoría.
c. Metodología
- Enfoque: Describe el enfoque que se tomará para realizar la auditoría, incluyendo si será una auditoría interna o externa.
- Técnicas y Herramientas: Detalla las técnicas y herramientas que se utilizarán para recolectar y analizar información, como revisiones de documentación, entrevistas, y pruebas de controles.
- Muestreo: Define los métodos de muestreo que se utilizarán para seleccionar los elementos que serán auditados.
d. Cronograma
- Fechas: Incluye un calendario con fechas clave, como el inicio y la finalización de la auditoría, y los plazos para la entrega de informes.
- Fases: Detalla las distintas fases de la auditoría, como la planificación, ejecución, y la comunicación de resultados.
e. Recursos
- Equipo de Auditoría: Describe el equipo de auditoría, sus roles y responsabilidades, y los recursos necesarios para llevar a cabo la auditoría.
- Soporte: Indica qué soporte adicional es necesario, como acceso a sistemas y documentación, y cooperación de personal.
f. Evaluación de Riesgos
- Identificación de Riesgos: Analiza los riesgos asociados a los procesos o sistemas auditados.
- Evaluación: Evalúa la probabilidad y el impacto de los riesgos identificados.
- Prioridad: Establece la prioridad de las áreas a auditar en función de los riesgos.
3. Ejecución del Plan de Auditoría
Una vez que el plan de auditoría está en marcha, se lleva a cabo de la siguiente manera:
- Recolección de Información: Se recopila información relevante a través de la revisión de documentación, entrevistas y pruebas.
- Evaluación: Se evalúan los controles y procedimientos en función de los criterios establecidos en el plan.
- Documentación: Se documentan los hallazgos y se recopilan pruebas para respaldar los resultados de la auditoría.
4. Informe de Auditoría
El informe de auditoría presenta los hallazgos, conclusiones y recomendaciones:
- Hallazgos: Detalla los problemas y debilidades encontrados durante la auditoría.
- Conclusiones: Resume la evaluación del cumplimiento y la efectividad de los controles.
- Recomendaciones: Ofrece recomendaciones para mejorar los controles y procedimientos.
- Plan de Acción: Puede incluir un plan de acción para abordar los hallazgos y recomendaciones.
5. Seguimiento
El seguimiento asegura que las recomendaciones se implementen de manera efectiva:
- Plan de Acción: Verifica la implementación de las acciones correctivas recomendadas.
- Revisión: Realiza revisiones adicionales para confirmar que las medidas correctivas han solucionado los problemas.