Strumenti, attrezzature e backup informatico — ID07

Documento

SGQA-ID07 "Gestione strumenti e attrezzature", Rev. 1 — Feb. 2024 (Rev. 0 Apr. 2023)

Emesso da

RSQA · Approvato da: Comitato Direttivo

Ambito normativo

UNI EN ISO 9001, UNI EN ISO 14001

È l'unico documento del sistema Qualità-Ambiente che descrive l'infrastruttura informatica dell'azienda.

Scopo dichiarato

Definire gli strumenti e le attrezzature in dotazione, assicurare che gli strumenti di misura siano correttamente utilizzati e conservati e forniscano misurazioni affidabili, descrivere la manutenzione ordinaria e straordinaria, e "definire le regole organizzative e tecniche di gestione dei salvataggi dei dati aziendali e del ripristino degli stessi" (§1).

Applicabilità: strumenti di misura e attrezzature usati nelle attività di consulenza (§1.1).

Il presupposto dichiarato (§4)

Il capitolo intitolato "Responsabilità" non assegna responsabilità: contiene una premessa metodologica.

"Montana S.p.A. svolge la propria attività effettuando misurazioni in campo e utilizzando strumentazione la cui accuratezza non è critica per il servizio offerto. Le misurazioni svolte sono principalmente di tipo qualitativo o semi/quantitativo."

Da qui discende la scelta più rilevante della procedura: gli strumenti non sono soggetti a taratura periodica.

Flusso dichiarato — strumenti di misura

1. Identificazione (§5.1) — ogni strumento ha un codice o numero identificativo riportato nell'elenco m07, aggiornato a ogni variazione. Gli strumenti senza identificazione non si usano e sono trattati come non conformi. Le attrezzature in disuso sono smaltite secondo normativa
2. Archivio per apparecchiatura (§5.1) — manuale operativo (con copia eventualmente tenuta insieme allo strumento), eventuali certificati di taratura emessi dall'ente che le effettua, eventuali rapporti di non conformità con le azioni correttive
3. Conferma metrologica al bisogno (§5.1) — al posto della taratura periodica: per esempio la verifica del funzionamento prima dell'utilizzo
4. Ricorso all'esterno (§5.1) — per misure "particolari, importanti o critiche" non eseguibili con la strumentazione disponibile, si affida a fornitori qualificati
5. Conservazione (§5.2) — strumenti e documentazione tenuti in buono stato, protetti da corrosione e deterioramento, riposti nei contenitori o archivi sotto la responsabilità del responsabile della strumentazione
6. Manutenzione ordinaria (§5.4) — preventiva, comprende pulizia dopo l'uso, conservazione, cambio batterie, aggiornamento software. Svolta una volta all'anno, anche in momenti diversi per attrezzature diverse, con redazione del Verbale di manutenzione attrezzature (m23)
7. Manutenzione straordinaria (§5.5) — se l'attrezzatura è danneggiata o non funziona; registrata sulla scheda del modulo m07

Strumenti non conformi (§5.3)

Va rimosso dal servizio e annotato su m07 lo strumento che: ha subito danni, ha subito un sovraccarico o cattiva manipolazione, presenta malfunzionamenti, sul cui funzionamento sussistono dubbi, fornisce misurazioni di precisione dubbia, è riconosciuto difettoso, è sprovvisto di identificazione o ha identificazione illeggibile.

Marcatura visiva: nel modulo m07 la riga corrispondente è evidenziata in rosso e nella colonna "conformità" si riporta la dicitura Strumento Non Conforme – Non Utilizzare.

Azioni correttive (§5.3.1): normalmente sostituzione o riparazione da parte di un ente qualificato.

Riutilizzo (§5.3.2): gli strumenti riparati o regolati sono "confermati" prima di essere riutilizzati. Le misure eseguite con strumenti risultati non conformi sono ripetute a un controllo successivo.

Flusso dichiarato — apparecchiature informatiche

1. Segnalazione (§5.3) — malfunzionamenti, dubbi o difetti si segnalano inoltrando una mail a it-support@montanambiente.com. "In questo caso la mail equivale al rapporto di Non Conformità"
2. Manutenzione ordinaria (§5.4) — seguita dalla società di consulenza esterna Sinapto S.r.l., che svolge periodicamente controlli sul funzionamento della dotazione informatica; è previsto un intervento mensile pianificato sul server, secondo accordi con il Responsabile IT
3. Manutenzione straordinaria (§5.5) — intervento immediato di Sinapto a seguito della comunicazione del Responsabile IT

Il sistema di backup (§5.6)

Collocazione fisica: i server sono in una stanza condizionata presso la sede di via Angelo Fumagalli 6, Milano. Il locale è chiuso a chiave ed è accessibile soltanto al Responsabile IT.

Tecnologia: software Symantec Backup Exec 2012 installato su SRV-DC02; su SRV-DC01 è installato l'agente. La soluzione controlla un'unità DELL PowerVault PV114X per lettura e scrittura di supporti LTO5.

Pianificazione dei backup

Ruoli e responsabilità

Il documento non ha un capitolo di responsabilità. Dai passaggi operativi:

Regole, soglie e controlli

Registrazioni e moduli previsti

Indicatori dichiarati

Nessun indicatore previsto dal documento.

Termini di dominio

Da verificare in intervista

• Il backup viene mai ripristinato per prova? Lo scopo del documento include il ripristino, ma la procedura non lo descrive in nessun punto.
• Symantec Backup Exec 2012 e i nastri LTO5 sono ancora in uso? La procedura è del febbraio 2024 e descrive una configurazione con software del 2012.
• Chi porta i nastri fuori sede, se qualcuno lo fa? Il documento non prevede una copia off-site.
• Perché le "Commesse 2011" hanno un backup separato da tutte le altre?
• L'elenco strumenti m07 è aggiornato? Quanti strumenti contiene?
• La manutenzione ordinaria annuale con verbale m23 viene fatta? Esiste il verbale dell'ultimo anno?
• È mai capitato di dover ripetere delle misure perché uno strumento era risultato non conforme?
• La scelta di non tarare gli strumenti regge per tutte le attività? Nelle indagini ambientali di ID22 Due diligence e consulenza ambientale Fase 2 e nelle verifiche di ID17 Direzione lavori e coordinamento sicurezza si producono dati usati dal cliente e dagli enti.
• Chi è il Responsabile IT? Non compare nell'organigramma con un nome.
• Cosa succede se il Responsabile IT è assente e serve accedere al locale server?
• Il contratto con Sinapto che cosa copre esattamente? È l'unico fornitore informatico?
• Progeta, che regge tutti i processi operativi, non è nominato in questa procedura: dove risiede, chi lo mantiene, è incluso nel backup?
• Le mail a it-support che valgono come rapporti di NC finiscono anche nel registro NC di ID09 Gestione non conformità e azioni correttive?

Cosa il documento non dice

Assenza di disciplina del ripristino. Lo scopo lo annuncia esplicitamente, ma non esiste alcuna sezione che spieghi come si ripristina un dato, chi lo autorizza, con che tempi, né se il ripristino sia mai stato testato.

Assenza di riferimenti a Progeta. Il sistema su cui poggiano commesse, offerte, note e documenti secondo ID05 Gestione commessa e ID02 Gestione documenti e registrazioni non è menzionato né fra i database sottoposti a backup né altrove.

Non è indicata alcuna copia di backup fuori sede: i supporti sono nella stessa stanza dei server.

Non è indicato per quanto tempo si conservano i backup, né esiste una politica di rotazione dei nastri.

Non è definito chi sia il "responsabile della strumentazione/attrezzature".

Non è previsto un inventario delle apparecchiature informatiche paragonabile a m07 per gli strumenti di misura.

Non è indicato cosa comprenda il servizio di Sinapto oltre agli interventi citati, né come sia qualificata come fornitore secondo ID06 Approvvigionamento e fornitori esterni.

Contraddizioni interne o con altri documenti

Collisione di codice modulo. Il codice m23 identifica qui il "Verbale manutenzione attrezzature", e in ID17 Direzione lavori e coordinamento sicurezza la "Check list preliminare controllo cantieri". Due documenti diversi con lo stesso codice, in violazione della regola di ID02 Gestione documenti e registrazioni §4.1.6, secondo cui "non devono esistere due documenti dello stesso tipo identificati dallo stesso codice".

Doppia denominazione del modulo m07. Il §3 lo chiama "Elenco strumenti e attrezzature"; il §5.5 lo chiama "m07 - Pianificazione manutenzione".

Capitolo Responsabilità privo di attribuzioni. Il §4 espone il presupposto sulla non criticità delle misure. Stessa anomalia, in forme diverse, in ID09 Gestione non conformità e azioni correttive e ID22 Due diligence e consulenza ambientale.

Percorso di NC parallelo. Le non conformità informatiche si aprono via mail a it-support, senza passaggio dal registro m13 (registro delle non conformità) di ID09 Gestione non conformità e azioni correttive e senza che le due procedure si citino.

Doppia disciplina delle manutenzioni. Manutenzioni e controlli su attrezzature e impianti sono disciplinati da due procedure che classificano diversamente lo stesso parco.

Le due procedure non dichiarano quale parte del parco copra ciascuna. Non è indicato se una stessa attrezzatura debba comparire in entrambi gli elenchi, né quale dei due presidi le scadenze.