Circolare numero 53 del 23-2-1991

Misure di controllo e sicurezza dei processi produttivi e del sistema informatico

La circolare definisce un insieme coordinato di regole e presidi volti a garantire la qualità del processo produttivo, la sicurezza del patrimonio informativo e la legittimità delle procedure automatizzate. Il documento distingue tra controlli automatizzati e controlli amministrativi, introduce ulteriori obblighi organizzativi e rafforza le misure di accesso e protezione del sistema informatico.

Contesto e finalità

Lo sviluppo delle procedure automatizzate in tutti i settori del processo produttivo ha reso necessario un costante adeguamento delle misure di sicurezza e controllo. Le finalità indicate sono: conservazione fisica degli impianti e degli archivi, funzionalità delle apparecchiature, prevenzione di manomissioni dei dati, corretto iter procedurale, legittimità dei provvedimenti e tutela della riservatezza delle informazioni, anche a garanzia dei diritti dei terzi.

Controlli automatizzati

Le procedure automatizzate sono descritte come strutturate in modo da incorporare controlli logici, formali, matematici e di coerenza rispetto a parametri fissi di normativa. Tali controlli sono interni alle procedure e operano come meccanismi di blocco o di evidenziazione di errori e incongruenze.

Sono inoltre previste misure protettive per l’integrità e la riservatezza dei dati archiviati, attraverso la limitazione della consultazione e dell’aggiornamento ai soli responsabili della gestione. La tutela è realizzata mediante:

• identificativi operatore;
• parole chiave di accesso;
• operazioni di raffronto e controllo tra archivi centrali e periferici, attivate manualmente o in automatico.

Tali controlli inter-archivio servono a evidenziare incompatibilità, requisiti mancanti, condizioni rilevanti e dati che possono incidere sul diritto o sulla misura delle prestazioni, nonché sull’accreditamento contributivo. La circolare richiama, a titolo esemplificativo, verifiche su doppia titolarità di pensione, incompatibilità con trattamenti per disoccupazione e controlli sulle prestazioni di malattia ai fini delle pratiche di disoccupazione agricola.

Controlli amministrativi: primo livello e qualità

Il primo livello di controllo amministrativo è definito come controllo generalizzato e ha la finalità di verificare in via sistematica l’esistenza dei presupposti di fatto su cui si fonda l’accoglimento della domanda. Esso si realizza mediante l’esame della corrispondenza tra fascicolo di domanda, documentazione istruttoria e output automatizzato, con criteri di rotazione nell’ambito del gruppo che cura l’intero ciclo di prodotto presso Sedi di produzione e Centri Operativi.

La circolare richiama le istruzioni già impartite con la circolare n. 113 del 16 maggio 1990 sul controllo del processo produttivo e anticipa ulteriori istruzioni di dettaglio per le prestazioni non pensionistiche, in analogia a quanto già previsto in materia pensionistica. È richiamato anche il controllo generalizzato introdotto nell’ambito delle procedure ARPA per i casi di unificazione anagrafica di due o più conti individuali, dei quali almeno uno con contribuzione accreditata, secondo il messaggio n. 09461 del 24 maggio 1990.

Il secondo livello è il controllo di qualità mediante campionatura, svolto anch’esso presso Sedi di produzione e Centri Operativi. La campionatura deve essere comunque non inferiore al 10% e mira a verificare:

• la legittimità degli atti;
• la regolarità dell’iter procedurale;
• il rispetto della normativa di riferimento;
• l’esattezza dei dati di base, dei dati di input e delle risultanze dell’elaborazione.

Questo controllo rientra nel ciclo di trattazione della pratica e si esaurisce nell’ambito del gruppo di lavoro che cura l’adempimento. La circolare rinvia alle precedenti circolari n. 247 del 23 novembre 1989 e n. 113 del 15 maggio 1990.

Controllo aggiuntivo nell’area pensioni

Per l’area pensioni è previsto un controllo aggiuntivo svolto dalle strutture regionali secondo due direttrici:

• verifica dell’effettuazione dei controlli già demandati alle Sedi di produzione e ai Centri Operativi;
• esercizio di una funzione autonoma aggiuntiva, secondo logiche di budget di controllo, con esame di merito dei processi produttivi e verifica del rispetto degli stessi e della correttezza dell’iter procedurale seguito nella definizione delle pratiche.

Sicurezza del sistema informatico

La circolare evidenzia che il rischio informatico cresce con l’estensione dell’informatizzazione e con il passaggio a sistemi decentrati, che consentono l’accesso remoto a nodi diversi della rete e alle relative banche dati. Da ciò deriva l’esigenza di controlli più mirati e continuativi per prevenire errori, alterazioni dei dati e azioni fraudolente contro il patrimonio informatico.

Viene richiamato quanto già anticipato con la circolare n. 27325 del 21 dicembre 1990, con riferimento allo sviluppo della firma elettronica per ogni procedura e di software di protezione dei dati. L’obiettivo finale è la realizzazione di un compiuto sistema di sicurezza, che richiede anche misure organizzative idonee a rendere operativi i nuovi presidi e a rafforzare sensibilizzazione e responsabilizzazione degli operatori.

Ulteriori misure su password e accessi

In via immediata, e in anticipo rispetto al sistema a regime, la circolare dispone che le password siano sostituite con frequenza almeno mensile. La sostituzione può essere richiesta in qualsiasi momento dal Vice direttore della Sede, quando necessario o opportuno in relazione a particolari contingenze operative. È inoltre obbligatoria la sostituzione delle password quando il personale addetto venga trasferito ad altro settore.

Le Sedi che hanno concluso l’acquisizione della documentazione ARPA devono sostituire tutte le password finora utilizzate con nuove parole chiave da assegnare agli addetti alla gestione degli adempimenti correnti di archivio.

Particolare rilievo è attribuito alla disciplina degli accessi alle apparecchiature elettroniche. Per ogni stanza in cui siano presenti apparecchiature elettroniche deve essere nominato formalmente un responsabile, con un sostituto. Tale responsabile deve annotare su apposito registro, per ogni apparecchiatura:

• l’orario di utilizzazione;
• la procedura attivata;
• nome e cognome degli utilizzatori, che devono sottoscrivere per esteso la convalida.

Al termine dell’orario di lavoro o nelle pause, le stanze devono essere chiuse a chiave dal responsabile. Un duplicato della chiave deve essere conservato dal Capo reparto, dal Capo dell’unità operativa o dal Capo del Centro Operativo; un ulteriore duplicato deve essere depositato presso l’Ufficio preposto al sistema di garanzia, sicurezza e controlli.

Estensione dei controlli a ulteriori fattispecie

La circolare precisa che la tecnica di revisione budgettaria delle domande accolte, già operante nell’area pensioni, sarà progressivamente estesa a tutte le procedure che comportano impegni finanziari. Viene inoltre ampliato il controllo generalizzato alle seguenti fattispecie:

• annullamento o variazione in diminuzione di crediti accertati, anche se non ancora contabilizzati;
• rimborso di contributi e saldi passivi da modello DM 10/M di importo superiore a una soglia di sicurezza che ciascuna Sede dovrà stabilire in base alle proprie specificità ed esigenze;
• annullamento di provvedimenti sanzionatori;
• provvedimenti di non recuperabilità di indebiti pensionistici ex art. 52 della legge n. 88/1989;
• immissione di dati provenienti dalle denunce individuali dei lavoratori dipendenti (01/M, 03/M).

Per le denunce individuali, in attesa di un sistema di comunicazione alle aziende delle risultanze dell’acquisizione, deve essere effettuato un controllo su un campione non inferiore al 5% degli 01/M acquisiti, individuato con criteri casuali dal responsabile dell’Area di controllo da istituire presso l’Area di Vice direzione di Sede.

Misure organizzative, reportistica e assetto delle funzioni

Per rendere efficaci le misure di sicurezza e controllo, tutte le Sedi e i Centri Operativi devono adottare con assoluta immediatezza un ordine interno di servizio che definisca, per ogni ciclo di lavoro:

• le modalità di svolgimento dei controlli;
• i funzionari abilitati in relazione alla tipologia dell’adempimento;
• il funzionario responsabile, o suo delegato, incaricato di garantire la perfetta osservanza delle regole poste a tutela della qualità del prodotto.

L’attività di controllo deve tradursi in flussi informativi costanti, in grado di monitorare l’efficacia dei presidi di qualità del processo produttivo. Tali flussi consistono in report di controllo predisposti dai capi ufficio, dai funzionari delegati o dai direttori dei Centri Operativi, contenenti indicazioni sul rispetto delle regole di garanzia, sulle anomalie riscontrate e sugli errori rilevati. Possono essere utilizzate anche copie delle liste di controllo emesse dalle procedure.

I report, numerati progressivamente per anno solare e per singolo ciclo di prodotto, devono essere indirizzati alla struttura preposta allocata nell’area della Vice Direzione di Sede, cui è affidata la funzione di controllo operativo e la gestione delle misure di sicurezza a protezione fisica degli impianti, delle apparecchiature, degli archivi e della continuità di elaborazione.

Sul piano regionale, la circolare prevede una funzione analoga, da collocare nell’ambito della struttura operativa prevista nell’area della Vice Direzione secondo l’organigramma richiamato dalla delibera 770/1989 e dalla circolare n. 76 del 27 marzo 1990. Tale funzione regionale costituisce il punto terminale dell’attività di controllo e sicurezza dei processi gestiti direttamente dalla Sede regionale e svolge anche un ruolo di raccordo, sintesi e supervisione delle politiche direzionali in materia di sicurezza e controllo.