De unde începi împărțirea responsabilităților?
Pornește de la o activitate concretă, cum ar fi revizuirea accesului la aplicația de resurse umane. HR confirmă schimbările de personal, managerii explică accesul necesar, iar IT verifică și modifică drepturile. Coordonatorul urmărește ce a rămas de făcut. Denumirea postului nu este suficientă: persoana trebuie să cunoască sarcina și să aibă autoritatea și resursele necesare.
Pentru fiecare pas, notează rezultatul așteptat, responsabilul, persoana care aprobă atunci când este necesar și termenul stabilit. Dacă informația nu este cunoscută, marchează „de clarificat” și desemnează pe cineva să o obțină. Nu completa o matrice doar pentru a avea toate căsuțele ocupate.
Cum folosești o matrice RACI?
RACI este o metodă de organizare: R execută activitatea, A răspunde pentru rezultatul ei în organizarea internă, C este consultat înaintea deciziei, iar I este informat. „A” nu înseamnă că persoana preia automat răspunderea juridică a firmei. În modelul de mai jos, acest rol include aprobarea rezultatului atunci când procedura internă o cere.
Alege un responsabil clar pentru fiecare rezultat și separă consultarea de simpla informare. Un manager care confirmă necesitatea accesului are altă contribuție decât un coleg care primește notificarea după modificare. Modelul RACI este o recomandare practică; nu este un formular obligatoriu comun tuturor reglementărilor.
Ce rămâne la companie și la conducere?
În GDPR, operatorul trebuie să poată demonstra respectarea principiilor și să aplice măsuri adecvate. Dacă firma este operator, desemnarea unui coordonator sau contractarea unui specialist nu înlătură aceste obligații ale firmei. GDPR, art. 5 alin. (2) și art. 24.
Pentru entitățile esențiale și importante vizate de OUG nr. 155/2024, organele de conducere aprobă măsurile de gestionare a riscurilor cibernetice și supraveghează aplicarea lor. Desemnarea responsabililor nu înlocuiește acest rol. Încadrarea companiei se verifică separat; simpla existență a unui departament IT nu stabilește aplicabilitatea. OUG nr. 155/2024, art. 14 alin. (1) și (3). Vezi și cadrul NIS2 în România.
Coordonatorul, DPO și responsabilul de securitate sunt același lucru?
Nu automat. Coordonatorul unui plan urmărește munca. Responsabilul cu protecția datelor, numit și DPO, are sarcini de informare, consiliere și monitorizare, în condițiile GDPR. Necesitatea desemnării se analizează separat. Dacă există un DPO, celelalte atribuții ale sale nu trebuie să genereze conflicte de interese, iar sarcinile specifice se exercită fără instrucțiuni asupra modului de îndeplinire. GDPR, art. 37–39.
Și rolul de securitate are condiții proprii. Pentru responsabilul desemnat în entitățile esențiale, OUG nr. 155/2024 prevede, între altele, independența față de structurile IT și de tehnologie operațională, cu excepțiile expres prevăzute pentru administrația publică, microîntreprinderi și întreprinderi mici. Nu transforma modelul RACI într-o desemnare juridică. OUG nr. 155/2024, art. 14 alin. (4).
Poate aceeași persoană să aibă mai multe roluri?
Uneori da, dacă regulile aplicabile și riscurile permit. Verifică însă ce decide, ce execută și ce verifică persoana respectivă. De exemplu, administratorul tehnic poate pregăti inventarul și aplica modificările aprobate; confirmarea nevoii de acces poate reveni responsabilului procesului. Aceasta este o opțiune de organizare, care trebuie adaptată situației.
Dacă organizația aplică ISO/IEC 27001, conducerea atribuie și comunică responsabilitățile și autoritățile relevante. Pentru auditul intern, trebuie asigurate obiectivitatea și imparțialitatea procesului. Aceste cerințe ale standardului nu se rezolvă doar prin schimbarea numelui unei coloane din tabel. SR EN ISO/IEC 27001:2023, clauzele 5.3 și 9.2.2.
Când revizuiești rolurile și accesul?
Reia analiza când pleacă un coleg, se schimbă un rol, apare un sistem nou sau începe ori se încheie un mandat extern. Verifică activitățile neînchise, aprobările în așteptare, înlocuitorul și accesul care mai este necesar. Termenele și responsabilitățile trebuie confirmate, nu presupuse din organigramă.
Păstrează decizia și data de la care se aplică noua împărțire. Pentru următorul pas, vezi exemplul de roluri și colaborare în Cremene și cum verifici aplicarea unei măsuri.