Perintäjärjestelmä on enemmän kuin operatiivinen työkalu. Se voi käsitellä henkilötietoja ja taloudellisia tietoja, sisältää viestintää ja asiakirjoja sekä ohjata työnkulkuja ja tukea yksittäisiä tapauksia koskevia päätöksiä. Siksi vaatimustenmukaisuuden ja tietoturvan tulisi olla mukana järjestelmän valinnassa alusta alkaen – ei vasta sopimuksen allekirjoittamisen jälkeen.
Vaatimustenmukaisuus ei ole pelkästään ohjelmiston ominaisuus. Se syntyy teknologian, määritysten, prosessien, ihmisten ja dokumentaation yhteisvaikutuksesta. Järjestelmä voi tarjota toimintoja, joiden avulla tiettyjä kontrolleja voidaan toteuttaa, mutta organisaation on silti arvioitava, miten toimintoja käytetään omissa prosesseissa ja toimintamaissa.
Tämä opas tarjoaa johdolle, operatiivisille toiminnoille, IT:lle, hankinnalle sekä asianmukaisille compliance- ja lakiasiantuntijoille käytännön rungon toimittajien arviointiin. Opas ei ole oikeudellista neuvontaa eikä kattava luettelo lakisääteisistä vaatimuksista. Selvittäkää omat velvoitteenne omien laki- ja compliance-asiantuntijoidenne kanssa.
Lyhyt vastaus
Compliance perintäjärjestelmän valinnassa koskee tietovirtoja, käsittelyn oikeusperustetta, käyttöoikeuksia, jäljitettävyyttä, turvallisuutta ja dokumentoitua vastuuta. Pyydä toimittajalta näyttöä ja arvioi sekä järjestelmä että omat prosessinne. Ohjelmiston ominaisuus ei yksin osoita lainmukaisuutta.
Tiivistetysti
Selvittäkää tietovirrat, käyttöoikeuksien hallinta, lokitus, audit trail, integraatiot, työnkulut, tietoturvakäytännöt ja toimittajan dokumentaatio ennen järjestelmän valintaa. Pyytäkää yleisten lupausten sijaan konkreettista näyttöä ja arvioikaa ratkaisua omien prosessienne ja vastuidenne näkökulmasta.
Miksi vaatimustenmukaisuus on tärkeää perintäjärjestelmää valittaessa?
Perintätoimiston kannattaa selvittää järjestelmän tiedonkäsittely, kontrollit, dokumentaatio ja operatiiviset riippuvuudet, sillä järjestelmä voi vaikuttaa koko asian käsittelyyn. Se ei ole vain paikka, jossa työntekijät lukevat ja päivittävät tapauksia: järjestelmä voi vastaanottaa tietoja velkojilta, ohjata seuraavia vaiheita, lähettää viestejä ja vaihtaa tietoja muiden palvelujen kanssa.
Arvioikaa siksi järjestelmän arkkitehtuuria ja toiminnallisuutta osana kokonaisvaltaista toimintamallianne. Kartoittakaa, mitä prosesseja järjestelmän on tuettava, mitä tietoja käsitellään, kuka päättää toimenpiteistä ja mitä kontrolleja tarvitaan. Laaditte konkreettiset käyttötapaukset ennen tuote-esittelyjä, jotta toimittajan vastauksia voidaan verrata todelliseen toimintaan yleisten ominaisuuskuvausten sijaan.
Ensisijainen lähde: GDPR — Regulation (EU) 2016/679, Articles 5, 22, 28 and 32.
- Samaan tapaukseen voi liittyä henkilötietoja, taloudellisia tietoja ja dokumentaatiota.
- Työnkulut ja automatisoitu viestintä voivat siirtää tapauksen vaiheesta toiseen.
- Integraatioiden vuoksi tiedot liikkuvat usein perintäjärjestelmän ulkopuolelle.
- Työntekijöiden ja esihenkilöiden on ymmärrettävä prosessin roolit, toimenpiteet ja vastuut.
Mitä vaatimustenmukaisuuden osa-alueita kannattaa selvittää?
Perintätoimiston kannattaa vähintään selvittää henkilötiedot ja tietojenkäsittely, käyttöoikeuksien hallinta, audit trail ja lokitus, tietoturva, integraatiot, määritettävät työnkulut sekä toimittajan saatavilla oleva dokumentaatio. Painotukset riippuvat omista prosesseistanne, tiedoistanne, markkinoistanne ja vastuistanne. Käyttäkää tätä yleiskatsausta kysymysten pohjana, ei oikeudellisena tarkistuslistana.
Aloittakaa tiedoista: mitä tietoja järjestelmään syötetään, miksi niitä käytetään, minne ne kulkevat ja mitä niille tapahtuu, kun niitä ei enää tarvita sovittuun prosessiin? Kysykää myös, miten roolit ja käyttöoikeudet rajaavat pääsyä, mukaan lukien laajennettujen oikeuksien käyttäjät. Arvioikaa, pystyttekö ymmärtämään ja hallitsemaan käyttöoikeuksia jatkuvasti – ei vain määrittämään niitä kerran.
Lokituksen ja audit trailin osalta selvittäkää, voidaanko tarpeellisia käyttäjä- ja järjestelmätoimintoja sekä muutoksia seurata teille olennaisessa asiayhteydessä. Kysykää toimittajalta, mitä tapahtumia kirjataan, miten ne löytyvät, mitä tietoja niihin liittyy ja miten lokitietoihin pääsyä hallitaan. Aikaleiman sisältävä lokimerkintä ei automaattisesti selitä tapauksen koko kulkua.
Selvittäkää myös, miten toimittaja kuvaa tietoturvan valvontaa, pääsynhallintaa, varmuuskopiointia, kahdennusta sekä poikkeamien ja palveluhäiriöiden käsittelyä. Pyytäkää selitys prosesseista ja niiden rajauksista. Kokonaisriskiä ei voi päätellä yksittäisestä tuotteen nimestä, lupauksesta tai teknisestä ominaisuudesta.
Tarkastelkaa lopuksi muutoksia ja riippuvuuksia. Kuka voi muuttaa sääntöjä tai työnkulkuja, miten muutokset hyväksytään ja miten selvitätte, mihin tapauksiin ne vaikuttavat? Mitä integraatioita ja alikäsittelijöitä kokonaisuuteen kuuluu? Luettelo järjestelmistä ja vastuuhenkilöistä helpottaa kysymysten selvittämistä IT:n, operatiivisten toimintojen, toimittajan sekä omien laki- ja compliance-asiantuntijoiden kanssa.
Ensisijainen lähde: GDPR — Regulation (EU) 2016/679, Articles 5, 22, 28 and 32.
Tiedot ja käyttöoikeudet
- Millaisia tietoja käsitellään, mihin kuvattuihin tarkoituksiin ja missä prosessin vaiheissa?
- Miten roolit ja käyttöoikeudet määritetään, ja miten laajennetut käyttöoikeudet tarkistetaan?
- Millaisia käytäntöjä ja toimintatapoja tietojen säilyttämiseen, poistamiseen ja hallintaan on?
Jäljitettävyys ja muutokset
- Voitteko selvittää, kuka teki mitä, milloin, missä tapauksessa ja millä tuloksella?
- Voidaanko sääntöihin ja työnkulkuihin tehdyt muutokset yhdistää vastuuhenkilöön, ajankohtaan ja laajuuteen?
- Miten virheet, poikkeamat ja odottamattomat tapahtumat havaitaan ja tutkitaan?
Tietoturva ja riippuvuudet
- Miten pääsynhallinta, tietoturvan valvonta, varmuuskopiointi ja jatkuvuusjärjestelyt kuvataan?
- Mitä integraatioita, ulkoisia palveluja ja alikäsittelijöitä ratkaisuun kuuluu?
- Mitä dokumentaatiota voitte tarkastella ja mitä rajoituksia siihen liittyy?
Mikä audit trail on ja miksi se on tärkeä?
Audit trail eli tarkastusketju on merkityksellisten tapahtumien jälki, jonka avulla tapahtumaketju voidaan rekonstruoida: kuka tai mikä suoritti toimenpiteen, milloin se tapahtui, mitä tapausta se koski ja mitä tietoja tai arvoja muutettiin. Tarkkuus riippuu järjestelmästä, määrityksistä ja käyttötarkoituksesta. Älkää siis kysykö vain, onko lokitusta olemassa, vaan pyytäkää näyttämään, miten yksittäisen tapauksen kulkua voidaan seurata.
Kuvitelkaa, että tapauksen tila muuttuu. Hyödyllisen tarkastelun pitäisi vastata kysymyksiin: Kuka muutti tilan? Milloin? Mikä tila oli ennen muutosta ja sen jälkeen? Mikä oli perustelu, jos se kirjataan? Tehtiinkö muutos manuaalisesti vai automaattisesti? Jos automaattisesti, mikä sääntö tai tapahtuma käynnisti sen? Jos järjestelmä ei tallenna kaikkia näitä tietoja, toimittajan tulisi kertoa täsmällisesti, mitkä tiedot ovat saatavilla ja mitkä eivät.
Jäljitettävyys voi auttaa sisäisiä tiimejä kontrolleissa, vianetsinnässä ja johdonmukaisessa asiakasviestinnässä. Sen avulla voidaan myös selvittää, johtuiko virhe tietojen tuonnista, sääntömuutoksesta, käyttäjän toiminnasta vai ulkoisesta tietovirrasta. Audit trail ei kuitenkaan yksin ratkaise kaikkia dokumentointitarpeita: organisaation on määritettävä, mitkä tapahtumat ovat olennaisia, kuka tarkastelee niitä ja miten tietoja säilytetään ja käytetään.
Pyytäkää esittely realistisella mutta arkaluonteettomalla esimerkillä. Seuratkaa tapausta tietojen lataamisesta muutokseen ja edelleen seuraavaan toimenpiteeseen. Selvittäkää, erotellaanko automaattiset tapahtumat manuaalisista ja voidaanko muutokset yhdistää työnkulun versioihin.
Ensisijainen lähde: GDPR — Regulation (EU) 2016/679, Articles 5, 22, 28 and 32.
- Tapahtuma: tapauksen tila muuttuu
- Toimija: käyttäjä, integraatio tai automaattinen prosessi
- Ajankohta: milloin tapahtuma kirjattiin
- Ennen ja jälkeen: arvot tai tila ennen muutosta ja sen jälkeen
- Asiayhteys: tapaus, syy tai käynnistävä sääntö, jos se kirjataan
- Seuranta: vastuuhenkilö voi tarkastella ja selvittää tapahtumaketjun
Mitä GDPR:stä kannattaa kysyä?
Perintätoimiston kannattaa selvittää toimittajan kanssa roolit, vastuut, tietojenkäsittely, tietojen minimointi, säilytys, poistaminen, käyttöoikeudet, alikäsittelijät, tiedonsiirrot ja rekisteröityjen oikeuksien käsittely. Omien laki- ja compliance-asiantuntijoidenne tulee arvioida tilanteen mukaan, mitä konkreettisesti sovelletaan ja miten vastuut jakautuvat.
Pyytäkää toimittajaa kuvaamaan, mitä tietoja ratkaisulla voidaan käsitellä, miten tiedot kulkevat käyttämienne toimintojen läpi ja mitkä asetukset tai työnkulut vaikuttavat säilytykseen ja poistamiseen. Kysykää, miten käyttöoikeuksia hallitaan, miten alikäsittelijät ja toimitusketjun muutokset kuvataan sekä mitä tietoja tiedonsiirroista on saatavilla. Edellyttäkää vastauksia, jotka koskevat suunnittelemaanne ratkaisua, eivät vain yleistä tuote-esittelyä.
Valmistelkaa yksinkertainen tietovirtakaavio, jossa näkyvät lähettäjä, vastaanottaja, tarkoitus, tietoryhmät ja järjestelmät. Se auttaa tunnistamaan avoimet kysymykset ennen sopimusta ja käyttöönottoa. Tämä katsaus ei ole oikeudellinen tarkistuslista eikä oikeudellista neuvontaa, vaan luettelo aiheista, jotka perintätoimiston kannattaa selvittää omien laki- ja compliance-toimintojensa sekä toimittajan kanssa.
Ensisijainen lähde: GDPR — Regulation (EU) 2016/679, Articles 5, 22, 28 and 32.
- Mitkä roolit ja vastuut ovat olennaisia meidän käyttötavassamme?
- Mitä tietoja käsitellään, ja miten arvioimme niiden laajuutta ja tarpeellisuutta?
- Miten säilytys, poistaminen ja käyttöoikeudet määritetään käytännössä?
- Mitä alikäsittelijöitä ja tiedonsiirtoja ratkaisuun kuuluu?
- Miten rekisteröityjen oikeuksien käsittelyämme tuetaan?
- Mitkä sopimukset ja asiakirjat omien asiantuntijoidemme tulee tarkastaa?
Mitä tekoälystä ja automaatiosta kannattaa selvittää?
Jos perintäjärjestelmä käyttää tekoälyä tai automaatiota, selvittäkää, mitä tietoja käsitellään, missä käsittely tapahtuu, mitä mallia tai palvelua käytetään ja miten syötteitä ja tulosteita käsitellään. Kysykää, tallennetaanko syötteet, käytetäänkö tietoja mallin kouluttamiseen, kenellä on pääsy niihin ja miten toimittaja kuvaa mahdollisia ulkoisia palveluja. Vastaukset voivat riippua valitusta toiminnosta ja sen määrityksistä, joten varmistakaa tilanne suunnittelemanne käytön osalta.
Selvittäkää myös, mitä tekoäly tekee työnkulussa. Luokitteleeko se yhteydenoton, tiivistääkö se historiaa, ehdottaako se toimenpidettä vai suorittaako se jotakin automaattisesti? Mitkä osat perustuvat sääntöihin ja mitkä malleihin, ja missä työntekijä voi keskeyttää, korjata tai ohittaa tuloksen? Hyvin muotoiltu suositus ei itsessään osoita, että se olisi oikea.
Sopikaa prosessin omistajuudesta ja siitä, miten epävarmuutta käsitellään. Selvittäkää, voidaanko olennaiset syötteet, tulosteet, versiot ja ihmisten tekemät päätökset kirjata siinä laajuudessa kuin käyttötarkoituksenne edellyttää. Testatkaa puutteellisilla tai ristiriitaisilla tiedoilla, pysähtyykö työnkulku vai siirtyykö asia eteenpäin. Määritelkää myös, kuka tutkii virheet, muuttaa asetuksia ja tiedottaa asianomaisille tiimeille.
Valitkaa rajattu työnkulku, kartoittakaa poikkeukset ja sopikaa selkeistä rajoista, testeistä ja omistajuudesta asianomaisten asiantuntijoiden kanssa.
Kysykää tiedoista ja palvelusta
- Mitä tietoja toiminnon käyttämälle mallille tai ulkoiselle palvelulle lähetetään?
- Missä tietoja käsitellään, tallennetaanko syötteet ja käytetäänkö tietoja kouluttamiseen?
- Miten syötteiden, tulosteiden ja asetusten käyttöoikeuksia hallitaan?
Kysykää toiminnasta ja kontrolleista
- Millaisia ehdotuksia tai toimenpiteitä toiminto voi tehdä?
- Milloin tarvitaan ihmisen hyväksyntä ja kuka on vastuussa?
- Miten epävarma tai virheellinen tulos pysäytetään, korjataan tai siirretään eteenpäin?
Miten ohjelmistotoimittajan tietoturvaa arvioidaan?
Käyttäkää taulukkoa käytännön kysymysruntona hankinnalle, IT:lle, operatiivisille toiminnoille ja compliance-tiimille. Pyytäkää dokumentaatiota juuri siitä ratkaisusta, jota aiotte käyttää; taulukko ei ole kattava oikeudellinen tai tekninen standardi.
Selvittäkää, kattaako vastaus ja dokumentaatio koko palvelun, mitä ajanjaksoa ne koskevat ja soveltuvatko ne teidän määrityksiinne. Kirjatkaa avoimet kysymykset, sisäiset vastuuhenkilöt ja puuttuva näyttö.
| Aihealue | Kysykää toimittajalta | Pyytäkää tarkasteltavaksi |
|---|---|---|
| Hosting | Missä kyseistä ratkaisua ylläpidetään, ja miten sijainti ja ylläpitovastuut kuvataan? | Ratkaisun hostingia ja käyttöympäristöä koskeva yleiskatsaus |
| Tiedot | Missä tietoja käsitellään, mitä tietovirtoja kokonaisuuteen kuuluu ja mitä ulkoisia palveluja käytetään? | Valittuja toimintoja koskeva tietovirtakuvaus |
| Käyttöoikeudet | Miten käyttäjäoikeuksia, laajennettuja käyttöoikeuksia ja säännöllisiä käyttöoikeustarkastuksia hallitaan? | Kuvaus käyttöoikeusmallista ja olennaisista kontrolleista |
| Lokitus | Mitkä käyttäjä- ja järjestelmätoiminnot kirjataan, ja miten tapahtumia voidaan tutkia? | Esimerkki audit trailista sekä selitys sen kentistä ja rajoituksista |
| Varmuuskopiointi | Miten varmuuskopiointi, palautus ja vastuunjako kuvataan? | Olennainen prosessikuvaus ja palautuksen reunaehdot |
| Palvelun toiminta | Miten käyttökatkot, häiriöt ja palautuminen käsitellään? | Kuvaus jatkuvuusjärjestelyistä ja viestintäkanavista |
| Tietoturvapoikkeamat | Miten poikkeamat kirjataan, tutkitaan ja niistä viestitään? | Poikkeamaprosessi ja olennaiset yhteyspisteet |
| Alikäsittelijät | Mitä alikäsittelijöitä käytetään ja miten muutoksista kerrotaan? | Ajantasainen luettelo ja muutosten käsittelyprosessi, jos saatavilla |
| Muutokset | Miten järjestelmään, määrityksiin ja työnkulkuihin tehtäviä muutoksia hallitaan? | Muutosprosessi, roolit ja asiaankuuluvat esimerkit |
| Dokumentaatio | Mitä tietoturvaa ja tietojenkäsittelyä koskevaa dokumentaatiota voidaan jakaa ennen sopimusta? | Saatavilla olevat asiakirjat päivämäärineen, laajuuksineen ja mahdollisine varauksineen |
Mitä dokumentaatiota kannattaa pyytää?
Älkää kysykö vain: ”Onko järjestelmänne turvallinen?” Kysykää sen sijaan: ”Voitteko dokumentoida, miten toimitte tietoturvan, tietojenkäsittelyn, palvelun toiminnan, käyttöoikeuksien ja muutosten osalta – ja mitä dokumentaatio kattaa?” Näin vastaus on konkreettisempi ja omat vastuuhenkilönne voivat arvioida sen merkitystä ja puutteita.
Toimittajasta ja ratkaisusta riippuen hyödyllisiä asiakirjoja voivat olla tietoturva- ja palvelukuvaus, tietojenkäsittelysopimus, luettelo alikäsittelijöistä, asiaankuuluvat tarkastusraportit, sertifikaatit, käytännöt, poikkeamien käsittelyprosessit sekä tarvittaessa kuvaukset tietoturvatestauksesta tai penetraatiotestauksesta. Kaikkia asiakirjoja ei välttämättä ole saatavilla samassa muodossa. Pyytäkää toimittajaa kertomaan, mitä on olemassa, mitä palvelua tai tahoa asiakirja koskee, kuinka ajantasainen se on ja liittyykö sen jakamiseen rajoituksia.
Sertifikaatti tai tarkastusraportti on yksi osa aineistoa, ei automaattinen johtopäätös vaatimustenmukaisuudesta tai soveltuvuudesta. Tarkistakaa, vastaavatko laajuus, ajanjakso ja katetut palvelut arvioitavaa ratkaisua. Kysykää mahdollisista poikkeuksista ja siitä, mitä alueita ei ole katettu. Pyytäkää asianomaisia asiantuntijoita tarkastamaan aineisto ennen kuin käytätte sitä päätöksenteon perusteena.
Kirjatkaa asiakirja, päivämäärä, kattavuus, avoimet varaukset ja vastuuhenkilö, jotta aineistoon voidaan palata muutosten yhteydessä.
- Tietoturva- ja palvelukuvaukset, joissa kattavuus on selkeästi rajattu.
- Tietojenkäsittelysopimus ja luettelo olennaisista alikäsittelijöistä.
- Asiaankuuluvat tarkastusraportit tai sertifikaatit, jos niitä on.
- Käytännöt ja prosessit käyttöoikeuksien, muutosten ja tietoturvapoikkeamien hallintaan.
- Kuvaus olennaisista tietoturvatesteistä ja mahdollisista rajoituksista.
- Dokumentaatio varmuuskopioinnista, palautuksesta ja jatkuvuusjärjestelyistä.
Vaatimustenmukaisuus kannattaa arvioida ennen järjestelmän valintaa
Ottakaa vaatimustenmukaisuus mukaan koko valintaprosessiin: alkuvaatimuksista toimittajakysymyksiin ja due diligence -selvitykseen sekä sopimukseen, käyttöönottoon ja käytönaikaiseen seurantaan. Jos asia otetaan esiin vasta sopimusvaiheessa, keskeiset kysymykset tietovirroista, käyttöoikeuksista, integraatioista tai dokumentaatiosta voivat tulla vastaan myöhään, jolloin niitä on vaikeampi selvittää.
Kuvatkaa tapaukset, tiedot, käyttäjät ja integraatiotarpeet ja muuttakaa ne yhdenmukaisiksi kysymyksiksi. Vertailkaa ehdokaslistan toimittajien vastauksia ja selvittäkää due diligence -vaiheessa näyttö sekä avoimet riskit.
Pyytäkää asianomaisia asiantuntijoita tarkastamaan sopimukset ennen allekirjoittamista. Muuttakaa vaatimukset sen jälkeen määrityksiksi, rooleiksi, tietovirroiksi, testeiksi ja toimintamenettelyiksi sekä nimetkää vastuuhenkilö käytönaikaista seurantaa varten.
Ensisijainen lähde: GDPR — Regulation (EU) 2016/679, Articles 5, 22, 28 and 32.
- Nimetkää vastuuhenkilö jokaiselle kysymykselle ja kontrollille.
- Vertailkaa toimittajia samoilla perusteilla ja tallentakaa perustelut.
- Erottakaa dokumentoitu tieto, suullinen vastaus ja avoin kysymys toisistaan.
- Tarkastelkaa muutoksia sopimuksen jälkeen – arviointi ei pääty allekirjoitukseen.
- Vaatimukset: kartoittakaa prosessit, tiedot, vastuut ja tarpeet
- Toimittajakysymykset: käyttäkää yhdenmukaisia ja konkreettisia kysymyksiä
- Dokumentaatio: hankkikaa ja tarkastelkaa olennaista näyttöä
- Arviointi: kirjatkaa vastaukset, avoimet asiat ja vastuuhenkilöt
- Sopimus: selvittäkää ehdot asianomaisten asiantuntijoiden kanssa
- Käyttöönotto: muuttakaa vaatimukset määrityksiksi, testeiksi ja työnkuluiksi
- Käytönaikainen seuranta: seuratkaa muutoksia, tapahtumia ja toimittajasuhdetta
10 kysymystä seuraavaan toimittajatapaamiseen
Tehkää vastauksista todennettavia: pyytäkää konkreettisia esimerkkejä, asiakirjoja tai prosessikuvauksia. Ottakaa mukaan prosessista vastaava henkilö ja tekninen asiantuntija, ja selvittäkää, riippuvatko vastaukset määrityksistä.
Lähettäkää kysymykset etukäteen ja käyttäkää esittelyssä esimerkkiä, joka ei sisällä arkaluonteisia tietoja. Kirjatkaa vastaukset, näytöt, rajoitukset ja jatkotoimet sekä se, edellyttääkö jokin asia erityisiä määrityksiä tai sopimuksia.
1. Miten tietomme suojataan?
- Pyytäkää näyttämään tietovirrat ja suojaustoimet niiden toimintojen osalta, joita aiomme käyttää.
- Pyytäkää kattava dokumentaatio ja kirjatkaa sen rajaukset.
2. Kenellä voi olla pääsy tietoihin?
- Pyytäkää näyttämään roolit, laajennetut käyttöoikeudet sekä se, miten käyttäjien oikeuksia tarkastellaan ja poistetaan.
- Kysykää, mitkä toiminnot edellyttävät järjestelmänvalvojan oikeuksia ja miten ne jäljitetään.
3. Voidaanko kaikki olennaiset toimenpiteet jäljittää?
- Seuratkaa tapauksen muutosta toimijasta ja ajankohdasta ennen ja jälkeen -arvoihin sekä muutoksen käynnistäneeseen sääntöön.
- Kysykää, mitä ei kirjata lokiin ja miten lokitiedot löytyvät.
4. Miten muutoksia hallitaan?
- Pyytäkää kuvaus ohjelmistoon, määrityksiin ja työnkulkuihin tehtävien muutosten prosessista ja vastuista.
- Kysykää, miten näette, mihin tapauksiin muutos vaikuttaa.
5. Miten varmuuskopiointi ja palautuminen häiriöistä toimivat?
- Pyytäkää kuvaus varmuuskopioinnista, palautuksesta, vastuista ja tunnetuista rajoituksista.
- Verratkaa omia operatiivisia tarpeitanne toimittajan dokumentoituihin järjestelyihin.
6. Miten tietoturvapoikkeamia käsitellään?
- Pyytäkää selitys poikkeamien havaitsemisesta, tutkinnasta, eskaloinnista ja niistä viestimisestä.
- Pyytäkää prosessikuvaus ja vastuunjako.
7. Mitä alikäsittelijöitä käytätte?
- Pyytäkää ajantasainen luettelo alikäsittelijöistä ja niiden roolista tietovirroissa.
- Kysykää, miten toimitusketjun muutoksista viestitään.
8. Miten integraatioita hallitaan?
- Piirtäkää tietovirta velkojan, perintäjärjestelmän, taloushallinnon, maksujen, viestinnän ja ulkoisten palvelujen välillä.
- Selvittäkää kunkin yhteyden tiedot, tarkoitus, vastuut, virheiden korjaus ja jäljitettävyys.
9. Miten tekoälyä käsitellään, jos sitä käytetään?
- Selvittäkää toiminnon tiedot, malli tai palvelu, syötteiden tallennus, koulutuskäyttö ja käyttöoikeudet.
- Seuratkaa tekoälyn tuottamaa tulosta ja selvittäkää, miten se dokumentoidaan, tarkistetaan tai eskaloidaan.
10. Mihin dokumentaatioon voimme tutustua ennen sopimuksen tekemistä?
- Pyytäkää luettelo asiakirjoista sekä tiedot niiden kattavuudesta, päivämääristä ja rajoituksista.
- Sopikaa, mihin avoimiin kysymyksiin aineiston tulee vastata ja kuka sen tarkastaa.
Lyhyesti
Vaatimustenmukaisuuden huomioiminen perintäjärjestelmän valinnassa edellyttää teknologian, määritysten, prosessien, ihmisten ja dokumentaation kokonaisarviointia. Käyttäkää näitä kuutta periaatetta loppuyhteenvetona ja pyytäkää omia laki- ja compliance-asiantuntijoitanne arvioimaan konkreettinen tilanne.
Hyvä valinta ei tarkoita tietyn leiman omaavan järjestelmän löytämistä. Olennaista on ymmärtää oma käyttötapa, esittää täsmällisiä kysymyksiä, tarkastella olennaista näyttöä ja dokumentoida päätökset sekä varaukset. Varmistakaa, että myös käyttöönoton jälkeen nimetyillä vastuuhenkilöillä on mahdollisuus seurata muutoksia ja palvelun toimintaa.
- Arvioikaa vaatimustenmukaisuus ennen järjestelmän valintaa – ei vasta sopimusta tehtäessä.
- Tarkastelkaa koko tietovirtaa, älkää vain itse sovellusta.
- Pyytäkää dokumentaatiota yleisten tietoturvalupausten sijaan.
- Selvittäkää käyttöoikeuksia, lokitusta ja audit trailia konkreettisten esimerkkien avulla.
- Arvioikaa integraatiot, ulkoiset palvelut ja alikäsittelijät.
- Olkaa erityisen täsmällisiä tekoälyn, automaation ja ihmisen tekemän valvonnan osalta.
Lähteet ja lisätietoa
Lähteet tukevat mainittuja sääntöjä ja periaatteita, eivät Debbien sertifiointia. Vaatimukset riippuvat markkinasta, roolista ja käytöstä; pyydä omia oikeudellisia ja compliance-asiantuntijoitanne arvioimaan tilanteenne.
Opas / FAQ
Usein kysytyt kysymykset
Mitä vaatimuksia perintäjärjestelmän on täytettävä?
Vaatimukset riippuvat organisaation käyttötavasta, tiedoista, prosesseista ja markkinoista. Selvittäkää tietojenkäsittely, käyttöoikeudet, lokitus, tietoturva, integraatiot ja dokumentaatio omien laki- ja compliance-asiantuntijoidenne kanssa.
Mitä perintätoimiston kannattaa kysyä toimittajalta?
Kysykää konkreettisesti tietovirroista, hostingista ja tietojenkäsittelystä, käyttöoikeusrooleista, audit trailista, muutoksista, integraatioista, poikkeamien käsittelystä, alikäsittelijöistä ja tarkasteltavissa olevasta dokumentaatiosta.
Mikä on audit trail perintäjärjestelmässä?
Se on merkityksellisten tapahtumien jälki, josta voi selvitä, kuka tai mikä teki mitä, milloin ja missä tapauksessa sekä mitä muutettiin. Selvittäkää, mitä yksityiskohtia järjestelmä todella kirjaa.
Miten GDPR huomioidaan perintäjärjestelmässä?
Selvittäkää käyttötapaanne liittyvät roolit, tietovirrat, tietojenkäsittely, käyttöoikeudet, säilytys, poistaminen, alikäsittelijät ja sopimukset. Pyytäkää omia laki- tai compliance-asiantuntijoitanne arvioimaan konkreettiset velvoitteet.
Mitä tietoturvasta kannattaa selvittää?
Pyytäkää kuvaus pääsynhallinnasta, valvonnasta, varmuuskopioinnista, palautuksesta, jatkuvuusjärjestelyistä ja poikkeamien käsittelystä. Arvioikaa dokumentaatiota ja sen kattavuutta yleisten lupausten sijaan.
Mitä dokumentaatiota ohjelmistotoimittajan pitäisi pystyä esittämään?
Palvelusta riippuen aineistoon voi kuulua tietoturva- ja palvelukuvauksia, tietojenkäsittelysopimus, alikäsittelijäluettelo, asiaankuuluvia tarkastusraportteja, käytäntöjä ja poikkeamien käsittelyprosesseja. Arvioikaa kattavuutta, päivämäärää ja rajoituksia.
Mitä kannattaa huomioida, jos perintäjärjestelmä käyttää tekoälyä?
Selvittäkää, mitä tietoja ja palveluja käytetään, tallennetaanko syötteitä tai käytetäänkö niitä koulutukseen, miten tulokset dokumentoidaan, mihin toimenpiteisiin tekoäly voi vaikuttaa ja milloin ihminen tarkistaa tai ottaa asian käsiteltäväkseen.
Kirjoittaja
Jonas Brauer
Tietoa Debbiestä
Debbie kehittää ohjelmistoja perintä- ja myyntisaatavaprosessien automatisointiin perintätoimistoille, asianajotoimistoille ja yrityksille.
Tämä opas on käytännön päätöksenteon tueksi tarkoitettu viitekehys, ei oikeudellista neuvontaa eikä oikeudellinen tarkistuslista. Se ei takaa, että Debbie tai jokin muu järjestelmä olisi vaatimustenmukainen tai turvallinen. Ottakaa arviointiin mukaan omat laki- ja compliance-asiantuntijanne.