ISO 32001 — Управління документами

1. Зобов'язання щодо управління документами

ТОВ «Sinaptic AI» («Sinaptic») визнає, що ефективне управління документами є необхідним для операційної ефективності, регуляторної відповідності, збереження знань та надання високоякісних продуктів та послуг на основі AI. Як компанія у сфері AI, що працює на регульованих ринках, ми управляємо великим обсягом документації, що охоплює технічні специфікації, політичні документи, договірні угоди, записи відповідності та операційні процедури.

Sinaptic зобов'язується створити та підтримувати рамку управління документами, узгоджену з принципами ISO 32001, забезпечуючи створення, організацію, зберігання, підтримку, доступ та утилізацію документів та записів контрольованим, послідовним та аудиторським чином протягом їх життєвого циклу.

Це зобов'язання зумовлене нашим розумінням того, що у високорегульованому середовищі — де відповідність GDPR, EU AI Act, ISO 27001 та іншим стандартам є першочерговою — надійне управління документами є не адміністративним навантаженням, а стратегічною можливістю, що підтримує підзвітність, прозорість та довіру.

2. Управління документами та записами

Рамка управління документами Sinaptic встановлює чіткі структури для управління всіма організаційними документами та записами:

2.1 Класифікація документів

Усі документи в Sinaptic класифікуються відповідно до наступної таксономії:

• Політичні документи: Високорівневі заяви про наміри та напрямки організації, затверджені вищим керівництвом. Це включає Політику конфіденційності, Політику етики AI, Політику інформаційної безпеки та інші управлінські документи.
• Процедурні документи: Покрокові інструкції для виконання конкретних процесів, включаючи стандартні операційні процедури, робочі інструкції та інструкції з експлуатації.
• Технічна документація: Документи архітектури систем, специфікації API, картки моделей, інструкції з розгортання та довідники з налаштування для Browser DLP, Sinaptic AI Intent Firewall® та Sinaptic® DROID+.
• Договірні документи: Клієнтські угоди, Договори про обробку даних, контракти з постачальниками, NDA та партнерські угоди.
• Записи відповідності: Аудиторські звіти, оцінки ризиків, записи про інциденти, оцінки впливу на захист даних, записи про навчання та сертифікаційна документація.
• Операційні записи: Протоколи засідань, журнали рішень, проєктна документація та записи комунікацій.

2.2 Управління життєвим циклом документів

Кожен документ проходить визначений життєвий цикл, що управляється через нашу систему управління документами:

1. Створення: Документи створюються з використанням затверджених шаблонів, що включають поля метаданих (автор, дата, версія, класифікація, власник, дата перегляду). Усім документам присвоюється унікальний ідентифікатор.
2. Перегляд та затвердження: Документи проходять експертну перевірку та затвердження визначеними органами перед публікацією. Технічні документи переглядаються предметними експертами. Політичні документи потребують затвердження вищого керівництва.
3. Публікація та розповсюдження: Затверджені документи публікуються через контрольовані канали, забезпечуючи доступ уповноваженого персоналу до поточних версій. Списки розповсюдження підтримуються для документів, що потребують проактивного поширення.
4. Контроль версій: Усі документи мають контроль версій з чіткою нумерацією версій, історіями змін та ідентифікацією характеру змін між версіями. Лише поточна затверджена версія доступна для оперативного використання; попередні версії архівуються.
5. Періодичний перегляд: Документи переглядаються через визначені інтервали (зазвичай щорічно для політичних документів, щоквартально для операційних процедур або при суттєвій зміні контексту). Перегляди оцінюють подальшу точність, актуальність та відповідність.
6. Ревізія: Коли оновлення необхідні, документи проходять повний цикл перегляду та затвердження перед публікацією переглянутої версії.
7. Архівування: Замінені документи архівуються з відповідними метаданими зберігання, чітко позначаються як неактуальні та зберігаються у спосіб, що підтримує пошук для історичних довідок або юридичних цілей.
8. Утилізація: Документи, що перевищили строк зберігання та більше не потрібні для юридичних, регуляторних або бізнес-цілей, безпечно утилізуються відповідно до наших політик інформаційної безпеки та захисту даних.

2.3 Контроль доступу

Доступ до документів контролюється на основі принципу потреби знати та узгоджується з класифікацією інформаційної безпеки:

• Публічні: Документи, призначені для зовнішньої аудиторії (ця політика, опублікована документація продуктів).
• Внутрішні: Документи, доступні всім працівникам Sinaptic (внутрішні процедури, організаційні оголошення).
• Конфіденційні: Документи, доступні лише конкретним командам або ролям (фінансові записи, стратегічні плани, записи індивідуальної продуктивності).
• Обмежені: Документи, доступні лише іменованим особам (матеріали ради, окремі договірні документи, деталі інцидентів безпеки).

2.4 Управління записами

Записи — документи, що слугують доказами виконаної діяльності або досягнутих результатів — підпорядковуються додатковому управлінню:

• Записи є незмінними після фіналізації; модифікації не дозволяються без створення нової версії запису з задокументованим обґрунтуванням.
• Строки зберігання визначені для кожного типу записів на основі юридичних вимог, договірних зобов'язань та бізнес-потреб.
• Записи, пов'язані з відповідністю GDPR (записи про діяльність з обробки, записи згоди, записи про порушення, записи DPIA) зберігаються відповідно до регуляторних вимог та рекомендацій наглядових органів.
• Записи, що підтримують ISO-сертифікації, зберігаються щонайменше один повний цикл сертифікації після періоду, який вони охоплюють.
• Журнали аудиту відстежують весь доступ до записів та їх модифікацію в системі управління документами.

3. Обсяг

Ця рамка управління документами застосовується до:

• Усіх документів та записів, створених, отриманих або підтримуваних Sinaptic у ході бізнес-операцій.
• Усіх форматів, включаючи електронні документи, цифрові записи, паперові документи (де застосовно) та структуровані дані, що зберігаються в базах даних та інформаційних системах.
• Всього персоналу Sinaptic, включаючи працівників, підрядників та третіх осіб, які створюють, обробляють або мають доступ до документів Sinaptic.
• Усіх організаційних функцій, включаючи розробку продуктів, надання послуг, відповідність, управління персоналом, фінанси та корпоративне управління.

Дані клієнтів, оброблені через продукти Sinaptic, регулюються окремо відповідним Договором про обробку даних та Політикою конфіденційності, хоча документи та записи, створені Sinaptic у зв'язку з такою обробкою (наприклад, журнали обробки, записи відповідності), підпадають під обсяг цієї рамки.

4. Ролі та відповідальність

• Вище керівництво: Затверджує політику управління документами, розподіляє ресурси та забезпечує організаційне зобов'язання щодо ефективного управління документами.
• Власники документів: Визначені особи, відповідальні за точність, актуальність та відповідність конкретних документів. Власники документів ініціюють перегляди та затверджують ревізії.
• Команда відповідності: Контролює дотримання рамки управління документами, проводить періодичні аудити практик контролю документів та управляє регуляторними записами.
• Команда ІТ/інфраструктури: Підтримує інфраструктуру системи управління документами, включаючи контроль доступу, резервне копіювання та заходи безпеки.
• Весь персонал: Відповідальний за створення, обробку та зберігання документів відповідно до цієї рамки, використання затверджених шаблонів та систем, та повідомлення про будь-які проблеми з управлінням документами.

5. Технології та інструменти

Sinaptic використовує спеціалізовані інструменти управління документами, що забезпечують:

• Централізовані, пошукові репозиторії документів з організацією на основі метаданих.
• Автоматизований контроль версій з відстеженням змін та можливостями порівняння.
• Автоматизацію робочих процесів перегляду, затвердження та публікації.
• Контроль доступу на основі ролей, інтегрований з нашими системами управління ідентифікацією та доступом.
• Журналювання аудиту всіх подій доступу, створення, модифікації та видалення документів.
• Автоматизоване управління зберіганням із сповіщеннями про наближення дат перегляду та закінчення строків зберігання.
• Інтеграцію з іншими бізнес-системами (управління проєктами, відстеження відповідності, управління відносинами з клієнтами).

6. Інтеграція відповідності

Наша рамка управління документами інтегрована з нашою ширшою програмою відповідності:

• GDPR: Записи про діяльність з обробки (стаття 30), записи про порушення (стаття 33) та документація DPIA (стаття 35) управляються в рамках цієї системи.
• EU AI Act: Технічна документація (стаття 11, Додаток IV), записи про оцінку відповідності та документація пост-ринкового моніторингу регулюються цими процедурами.
• ISO 27001: Документація СУІБ, реєстри ризиків, аудиторські звіти та докази контролю підтримуються відповідно як до ISO 27001, так і до цієї рамки управління документами.
• ISO 9001: Документація СУЯ, записи якості та записи коригувальних дій інтегровані в цю структуру управління.

7. Безперервне вдосконалення

Рамка управління документами підлягає періодичному перегляду та безперервному вдосконаленню. Внутрішні аудити оцінюють дотримання процедур управління документами, а результати відстежуються через процес коригувальних дій. Зворотний зв'язок від користувачів щодо інструментів та процесів управління документами збирається та включається до планів вдосконалення. Ключові показники ефективності — включаючи рівні завершення переглядів документів, середній час до публікації та тенденції результатів аудиту — контролюються та доповідаються керівництву.