Info per le parti interessate: guida pratica ISO 42001 con esempi
Il punto A.8 chiede di gestire le informazioni per le parti interessate in modo pianificato: utenti informati, impatti negativi segnalabili, incidenti comunicati con un piano. Ecco come farlo, con esempi concreti.
Cosa prevede il punto A.8
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.8: quali informazioni per parti interessate servono, come comunicare con gli utilizzatori di chatbot e screening CV, come riportare gli impatti negativi e come rispettare gli obblighi di comunicazione previsti dal sistema di gestione.
L'Appendice A raggruppa in A.8 quattro controlli collegati: informazioni agli utilizzatori del sistema, reporting esterno degli impatti negativi, piano di comunicazione degli incidenti e obblighi di comunicazione. Per Azienda Italiana S.p.A. significa decidere in anticipo chi parla, cosa dice, a chi, quando e con quale evidenza, senza improvvisare durante una crisi e senza lasciare messaggi non approvati.
In questa pagina trovi il documento di esempio COM-AI-08, le domande che l'auditor pone sulle informazioni per parti interessate, gli errori più comuni riscontrati in fase di certificazione e il parere dell'esperto: tutto pensato per preparare l'audit del tuo AIMS senza copiare il testo della norma.
In sintesi, la norma vuole vedere:
- Informazioni per parti interessate aggiornate
- Canale esterno per impatti negativi
- Piano comunicazione incidenti approvato
- Registro obblighi di comunicazione
- Evidenze di invio conservate
Esempio di controllo tecnico per il punto A.8
Azienda Italiana S.p.A. pubblica la pagina informativa del chatbot di assistenza clienti: dicitura visibile che l'utente dialoga con un sistema di IA, finalità, limiti d'uso, canale di reclamo e versione del sistema. Ogni rilascio rilevante aggiorna la pagina, con data e changelog archiviati nel registro REG-AI-05; lo stesso avviso raggiunge i candidati dello screening CV nella lettera di convocazione, prima di qualunque valutazione automatizzata, con un recapito per chiedere l'intervento umano.
Controllo tecnico collegato: un modulo web di segnalazione degli impatti negativi genera ticket con ID univoco, instradati al registro incidenti INC-AI-03 con presa in carico entro 48 ore; lo stato di risposta è tracciato, il segnalante riceve aggiornamenti automatici e le metriche di gestione alimentano il riesame della Direzione.
I 4 controlli A.8 in sintesi
| Controllo | Cosa presidia | Evidenza tipica |
|---|---|---|
| Informazioni agli utilizzatori | Istruzioni, limiti e avvisi d'uso del sistema | Pagina informativa versionata |
| Reporting impatti negativi | Canale esterno di segnalazione accessibile | Ticket e registro segnalazioni |
| Comunicazione degli incidenti | Piano con ruoli, canali e tempistiche | Piano approvato e testato |
| Obblighi di comunicazione | Vincoli di legge e di contratto | Registro obblighi aggiornato |
Nota: la norma chiede che le informazioni per parti interessate siano comprensibili per il pubblico a cui sono destinate, non solo corrette dal punto di vista tecnico; è il criterio che questa guida pratica applica in ogni esempio.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.8
Il documento che segue è l'estratto del piano con cui Azienda Italiana S.p.A. decide cosa comunicare, a chi, con quale canale e in quali tempi: è il cuore operativo di questa guida pratica.
Piano di comunicazione verso le parti interessate
Metodo
Evento → pubblico → messaggio → canale → tempistica → owner. Ogni comunicazione lascia evidenza in COM-AI-08 con testo, data e destinatari; le bozze sensibili passano dal Legale prima dell'invio e i modelli ricorrenti sono pre-approvati.
Estratto
| Evento | Pubblico | Canale | Tempistica |
|---|---|---|---|
| Rilascio nuova versione chatbot | Utenti del servizio | Pagina informativa | Entro 5 giorni dal rilascio |
| Segnalazione impatto negativo | Segnalante esterno | Email dal ticketing | Presa in carico in 48 ore |
| Incidente IA rilevante | Clienti e autorità | Email e avviso sul sito | Entro 24 ore dalla classificazione |
| Esito screening CV | Candidati | Lettera di convocazione | Prima del colloquio |
| Richiesta dell'autorità | Garante ed enti | PEC | Entro i termini di legge |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Responsabile AIMS | Mantiene piano e registro obblighi |
| Ufficio Comunicazione | Redige e pubblica i messaggi |
| Ufficio Legale | Valida i contenuti sensibili |
| Service Owner | Segnala gli eventi da comunicare |
Checklist operativa
| Verifica | Frequenza |
|---|---|
| Pagina informativa allineata alla versione in produzione | Mensile |
| Canale di segnalazione impatti testato e raggiungibile | Trimestrale |
| Piano incidenti con nomi, deleghe e tempi approvati | Annuale |
| Registro obblighi riesaminato con il Legale | Semestrale |
Esito
Piano approvato dalla Direzione, testato con simulazione annuale di incidente e allineato al registro incidenti INC-AI-03: ogni comunicazione inviata è ricostruibile in audit con testo, data, destinatari e approvatore.
Le domande dell'audit interno sul punto A.8
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.8
Dott. Valerio Bellini
«Il consiglio del Dott. Valerio Bellini: scrivete le informazioni per parti interessate prima dell'incidente, non durante. Chi improvvisa comunica tardi, male e senza evidenze.»
«In audit l'auditor chiede di vedere l'ultima comunicazione reale inviata e la sua registrazione: questa guida pratica serve ad averla sempre pronta.»
Gli errori più comuni che incontro:
- Informazioni generiche: Avvisi vaghi, senza finalità, limiti e contatti.
- Pagina mai aggiornata: Versione informativa diversa dal sistema in produzione.
- Nessun canale esterno: Manca un modo per segnalare impatti negativi.
- Piano incidenti inesistente: In crisi si decide a chi scrivere sul momento.
- Obblighi non mappati: Termini di legge o contratto scoperti solo in audit.