126. Archivio e privacy del cliente
Il principio da comprendere
UNITÀ 114 / CONTROLLI
La presenza di CU, contratti, dati bancari e fatture richiede controllo accessi e minimizzazione del trattamento.
Lettura professionale del problema
La scelta su archivio e privacy del cliente dovrebbe essere ricostruibile a distanza di tempo. È utile redigere una nota di lavoro che indichi che cosa è stato verificato, con quali documenti, da chi e con quale conclusione condizionata alle informazioni disponibili.
Un buon controllo produce evidenza replicabile: un altro revisore deve poter arrivare alla stessa classificazione leggendo gli atti conservati.
Il test operativo
| Passaggio | Contenuto da verificare |
|---|---|
| 1. Descrivere i fatti | Uno studio condivide mediante link pubblico un fascicolo di un contribuente. |
| 2. Acquisire evidenze | Policy, autorizzazioni, log accesso, contratto servizi |
| 3. Individuare la regola | La presenza di CU, contratti, dati bancari e fatture richiede controllo accessi e minimizzazione del trattamento. |
| 4. Eseguire il trattamento | Limitare accesso e registrare versioni condivise |
| 5. Riesaminare il rischio | Archiviare documenti sensibili in cartelle pubbliche |
Limite interpretativo e controllo
Il rischio operativo ricorrente è archiviare documenti sensibili in cartelle pubbliche. La correzione non richiede soltanto una nuova somma, ma il riesame della classificazione e dell’eventuale documento già trasmesso.
Attribuire a ogni controllo un responsabile, una frequenza, una soglia di allerta e un riscontro documentale.
Domanda di comprensione. Quale fatto del caso «archivio e privacy del cliente» cambierebbe la soluzione? Motivare indicando una fonte e un documento probatorio.
Archivio e privacy del cliente: caso applicativo
LABORATORIO 114 / CONTROLLI
Situazione. Uno studio condivide mediante link pubblico un fascicolo di un contribuente.
Obiettivo del caso. Limitare accesso e registrare versioni condivise; evitare di archiviare documenti sensibili in cartelle pubbliche.
Dati e impostazione
| Elemento | Esito richiesto |
|---|---|
| Qualificazione del soggetto | Chi opera, con quale status e in quale anno |
| Qualificazione del rapporto | Che cosa è stato effettivamente eseguito o incassato |
| Fonte normativa | Disposizione applicabile alla fattispecie concreta |
| Evidenza di supporto | Contratto, fattura, registrazione e data certa |
| Decisione finale | Applicazione motivata o richiesta di ulteriore verifica |
Svolgimento
Schema decisionale: fatti accertati → classificazione giuridica → vincoli applicabili → trattamento operativo → documentazione dell’esito.
Interpretazione del risultato
Qui un calcolo monetario sarebbe fuorviante: senza qualificare i fatti non esiste un’aliquota o una base univocamente determinabile. Il caso è risolto come procedura decisionale, segnalando il punto che richiede verifica specialistica.
Prove da conservare
Policy, autorizzazioni, log accesso, contratto servizi. L’analista deve indicare il nome del documento, la data e il collegamento con la conclusione; un dato privo di supporto resta un’ipotesi.
Decisione, alternativa e controllo
La soluzione operativa proposta consiste nel limitare accesso e registrare versioni condivise. Se invece le informazioni effettive non corrispondono alla descrizione del caso, occorre riaprire la classificazione e non trasferire automaticamente gli importi dimostrativi alla dichiarazione.