Weryfikacja modelu compliance w PGW Wody Polskie – Warszawa

Zamawiający rozumie zgodność prawną i regulacyjną (compliance) zgodnie z opisem zawartym w pkt 4.1 SWZ oraz pkt 1 Opisu przedmiotu zamówienia, stanowiącego Załącznik nr 1 do SWZ (dalej „OPZ”). Analiza obejmuje obszary wskazane w pkt 3.3 OPZ. Zamawiający nie przewiduje rozszerzenia zakresu na inne obszary.

W przypadku wyboru oferty złożonej przez podmiot świadczący usługi pomocy prawnej (kancelarię adwokacką lub radcowską) Zamawiający nie będzie wymagał zawarcia Umowy Powierzenia Przetwarzania Danych Osobowych (UPPDO), o której mowa w art. 28 RODO. Świadczenie usług pomocy prawnej oraz przeprowadzenie audytu modelu compliance przez adwokata lub radcę prawnego wiąże się z zachowaniem przez te podmioty niezależności zawodowej w zakresie celów i sposobów przetwarzania danych. Wykonawca w ramach realizacji przedmiotu zamówienia samodzielnie decyduje o doborze metodologii, analizie dokumentacji oraz wnioskach prawnych, co zgodnie z wytycznymi Prezesa Urzędu Ochrony Danych Osobowych nadaje mu status samodzielnego administratora danych osobowych. Ponadto, przetwarzanie danych w ramach obsługi prawnej i weryfikacji compliance objęte jest ustawową tajemnicą zawodową (odpowiednio na podstawie ustawy o adwokaturze lub ustawy o radcach prawnych), co stanowi gwarancję bezpieczeństwa oraz poufności przetwarzanych informacji. W związku z powyższym relacja pomiędzy Zamawiającym, a Wykonawcą (kancelarią prawną) opierać się będzie na udostępnieniu danych osobowych pomiędzy dwoma odrębnymi administratorami. Jednocześnie Zamawiający informuje, że ostateczna forma uregulowania kwestii ochrony danych osobowych zostanie dostosowana do statusu prawnego wybranego Wykonawcy na etapie zawierania umowy: w przypadku wyboru oferty podmiotu innego niż kancelaria prawna integralną częścią umowy będzie Umowa Powierzenia Przetwarzania Danych Osobowych, w przypadku wyboru oferty podmiotu świadczącego usługi pomocy prawnej (kancelarii adwokackiej lub radcowskiej) Zamawiający dopuszcza realizację zamówienia w oparciu o status odrębnych administratorów danych i odstąpi od wymogu zawarcia UPPDO.

Analiza obejmuje obszary wskazane w pkt 3.3 OPZ (Załącznik nr 1 do SWZ). Zamawiający nie przewiduje rozszerzenia zakresu na inne obszary.

Zamawiający informuje, że nie posiada odrębnej, skodyfikowanej dokumentacji systemu zarządzania zgodnością (compliance). Elementy związane z zapewnieniem zgodności uregulowane są w wewnętrznych aktach prawnych Zamawiającego (zarządzeniach) oraz w załącznikach do nich (procedurach, instrukcjach, wytycznych i wzorach dokumentów). Dokumentacja ta zostanie przekazana Wykonawcy po zawarciu umowy, w zakresie niezbędnym do realizacji przedmiotu zamówienia. Informacje niezbędne do skalkulowania ceny oferty, w tym dotyczące liczby, formy i objętości dokumentów podlegających analizie, zostały wskazane w pkt 3.2.2 OPZ (Załącznik nr 1 do SWZ) oraz w odpowiedziach na pytania 5, 6 i 11–13 poniżej.

Zamawiający informuje, że nie posiada formalnie wdrożonego i certyfikowanego systemu zarządzania ani zintegrowanego systemu zarządzania opartego na normach ISO lub innych standardach tego typu. Zamawiający funkcjonuje w oparciu o wewnętrzne regulacje (zarządzenia) zawierające procedury i instrukcje określające sposób realizacji procesów organizacyjnych, obieg dokumentów, zasady podejmowania decyzji oraz nadzór nad realizacją zadań.

Zamawiający informuje, że u Zamawiającego funkcjonują procedury, regulacje wewnętrzne oraz dokumenty związane z realizacją obowiązków prawnych, organizacyjnych i kontrolnych wynikających z przepisów prawa oraz regulacji wewnętrznych. Dokumentacja związana z zarządzaniem zgodnością ma charakter rozproszony i obejmuje w szczególności akty wewnętrzne, procedury, instrukcje, wytyczne, regulaminy oraz dokumentację dotyczącą zarządzania ryzykiem, kontroli zarządczej, bezpieczeństwa informacji, ochrony danych osobowych i procesów zakupowych. Funkcje związane z zapewnieniem zgodności realizowane są przez właściwe komórki organizacyjne oraz osoby odpowiedzialne za poszczególne obszary działalności Zamawiającego, zgodnie z obowiązującym podziałem kompetencji i odpowiedzialności, w ramach procedur wewnętrznych, kontroli zarządczej oraz procesów nadzorczych. Weryfikacja tych rozwiązań stanowi przedmiot zamówienia.

Zamawiający nie dysponuje sformalizowanym, zintegrowanym rejestrem w tym zakresie. Opracowanie lub weryfikacja tych elementów stanowi część przedmiotu zamówienia.

Wewnętrzne regulacje organizacji sporządzone są w formie zarządzeń, a wytyczne, instrukcje i procedury stanowią załączniki do zarządzeń.

Zamawiający nie stosuje jednolitej klasyfikacji regulacji wewnętrznych.

U Zamawiającego funkcjonują mechanizmy nadzorcze i kontrolne wynikające z przepisów prawa oraz regulacji wewnętrznych, w szczególności kontrola zarządcza (art. 68–70 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych), audyt wewnętrzny oraz nadzór Krajowego Zarządu Gospodarki Wodnej nad jednostkami terenowymi. Ocena adekwatności i skuteczności tych mechanizmów w obszarach objętych analizą stanowi element przedmiotu zamówienia (pkt 3.2.5 OPZ – Załącznik nr 1 do SWZ).

Zamawiający wyjaśnia, że objętość wewnętrznych aktów prawnych (wraz z załącznikami) jest zróżnicowana. Szacunkowo ok. 90% aktów (ok. 270 zarządzeń) ma objętość do ok. 10 stron, a pozostałe ok. 10% (ok. 30 zarządzeń) – od ok. 10 do ok. 100 stron. Łączną objętość dokumentacji podlegającej analizie Zamawiający szacuje na nie więcej niż ok. 4 350 stron. Podane wartości mają charakter szacunkowy i stanowią podstawę do skalkulowania ceny oferty.

Zamawiający nie prowadzi odrębnego rejestru wzorów dokumentów. Wzory i szablony dokumentów stanowią załączniki do zarządzeń, o których mowa w pkt 3.2.2 OPZ (Załącznik nr 1 do SWZ) i zostały uwzględnione w szacunkowej objętości dokumentacji wskazanej w odpowiedzi na

1. Analizie podlegają wewnętrzne akty prawne Zamawiającego w formie zarządzeń (ok. 300), wraz z załącznikami (m.in. regulaminami, procedurami, instrukcjami, wytycznymi i wzorami dokumentów), wskazane w pkt 3.2.2 OPZ (Załącznik nr 1 do SWZ), w zakresie obszarów określonych w pkt 3.3 OPZ. Zamawiający nie przewiduje analizy innych wewnętrznych aktów prawnych. 2. Zamawiający nie przewiduje udostępnienia próbek wewnętrznych aktów prawnych na etapie postępowania. Informacje dotyczące liczby, formy i objętości aktów podlegających analizie, niezbędne do skalkulowania ceny oferty, zostały wskazane w pkt 3.2.2 OPZ oraz w odpowiedziach na pytania 11, 12 i 15. Dokumentacja zostanie przekazana Wykonawcy po zawarciu umowy.

Zamawiający nie stosuje jednolitej klasyfikacji regulacji wewnętrznych.

Zamawiający wyjaśnia, że wewnętrzne akty prawne mają formę dokumentów opisowych - zarządzeń.

Zamawiający nie dysponuje sformalizowanym modelem (architekturą) procesów. Procesy funkcjonujące u Zamawiającego opisane są w ramach zarządzeń.

W ramach badanych obszarów, o których mowa w pkt 3.3 OPZ (Załącznik nr 1 do SWZ) Zamawiający oczekuje odniesienia wskazanych na wstępie OPZ przepisów prawa, regulacji branżowych, standardów etycznych oraz wytycznych i wymagań z nimi związanych do procesów funkcjonujących u Zamawiającego.

Zamawiający informuje, że obieg informacji należy zidentyfikować, a następnie przeanalizować.