Compliance e sicurezza

Scopo

IPROD S.r.l. riconosce nel proprio Sistema di Gestione Integrato (SGI) lo strumento fondamentale per coniugare la qualità dei prodotti e dei servizi offerti con la protezione delle informazioni e dei dati, nel contesto dello sviluppo e della gestione della piattaforma cloud iProd e delle attività di fornitura software e infrastrutturale per il settore dei dispositivi medici.

La presente politica esprime la volontà dell’alta direzione di definire e mantenere un quadro di riferimento capace di orientare le scelte strategiche, le priorità operative e gli obiettivi di miglioramento dell’organizzazione. Tale quadro tiene conto del contesto in cui l’organizzazione opera, del proprio modello di business e degli indirizzi strategici, costituendo espressione della missione e della visione aziendale.

Attraverso questo documento, IPROD S.r.l. intende promuovere una cultura fondata sulla responsabilità condivisa, sulla consapevolezza dei rischi e sul rispetto della normativa vigente, affinché ogni membro dell’organizzazione comprenda il proprio ruolo nel raggiungimento degli obiettivi del SGI e nel soddisfacimento dei requisiti applicabili.

Campo di applicazione

La presente politica si applica a tutte le attività, i processi e i servizi gestiti da IPROD S.r.l. presso la sede operativa di Via Gaetano Malasoma 26, 56121 Pisa (PI), nonché all’infrastruttura cloud sulla quale è erogata la piattaforma iProd. Coinvolge tutto il personale dell’organizzazione, i collaboratori esterni e le terze parti che operano per conto dell’azienda o che accedono ai suoi sistemi informativi. Non rientrano nel campo di applicazione la fabbricazione, l’assemblaggio, la sterilizzazione e lo stoccaggio fisico di dispositivi medici, in quanto l’organizzazione opera esclusivamente come sviluppatore software e fornitore di infrastrutture IT.

Riferimenti normativi

• ISO 13485
• ISO/IEC 27001
• Regolamento (UE) 2017/745
• Regolamento (UE) 2017/746
• IEC 62304
• GDPR
• D.Lgs. 196/2003

Riferimenti normativi per il dispositivo medicale: MDR, IVDR

IPROD S.r.l., nel proprio ruolo di sviluppatore software e fornitore di componenti tecnici e infrastrutture IT per conto di fabbricanti di dispositivi medici, opera all’interno della catena di fornitura disciplinata dal Regolamento (UE) 2017/745 (MDR). L’organizzazione riconosce la centralità di questo quadro regolamentare e si impegna a garantire che le proprie attività di progettazione, sviluppo e manutenzione del software rispettino i requisiti applicabili al ruolo ricoperto nella filiera, con particolare attenzione alla tracciabilità dei beni e dei servizi forniti, alla gestione del rischio e alla conformità delle specifiche tecniche concordate con il fabbricante.

Il Regolamento (UE) 2017/746 (IVDR) non risulta attualmente applicabile alle attività dell’organizzazione, poiché il perimetro di fornitura non comprende dispositivi medico-diagnostici in vitro. Qualora il perimetro di fornitura dovesse estendersi a tale ambito, IPROD S.r.l. si impegna ad adeguare tempestivamente il SGI ai requisiti pertinenti.

L’organizzazione adotta inoltre la IEC 62304 come norma tecnica di riferimento per il ciclo di vita del software classificato come dispositivo medico, integrandone i requisiti nelle proprie pratiche di sviluppo al fine di assicurare coerenza tra obblighi regolamentari e processi operativi.

Impegno e obiettivi del sistema di gestione

Impegno della direzione

L’alta direzione di IPROD S.r.l., per il tramite del Chief Executive Officer, assume la piena responsabilità dell’efficacia del SGI e si impegna a promuoverne lo sviluppo, l’attuazione e il miglioramento continuo. Tale impegno si concretizza nella comunicazione a tutta l’organizzazione dell’importanza di soddisfare i requisiti dei clienti e quelli regolamentari applicabili, nella definizione di obiettivi misurabili e nella conduzione dei riesami della direzione, le cui modalità sono disciplinate dalla PRO Gestione riesame della direzione e i cui esiti vengono documentati nel MOD Verbale di riesame della direzione. L’alta direzione assicura inoltre la disponibilità di risorse umane, tecnologiche e finanziarie adeguate al funzionamento efficace del SGI, come disciplinato nella PRO Processi direzionali.

Qualità dei prodotti e dei servizi

IPROD S.r.l. persegue l’eccellenza nella progettazione, nello sviluppo e nella manutenzione della piattaforma cloud iProd e dei componenti software destinati all’integrazione con dispositivi medici. L’organizzazione si impegna a determinare e soddisfare i requisiti dei clienti e i requisiti regolamentari applicabili, ponendo al centro della propria attività l’attenzione alle esigenze dei clienti B2B del settore manifatturiero e dei fabbricanti di dispositivi medici per i quali opera come fornitore qualificato.

La qualità è intesa come capacità di fornire servizi conformi alle specifiche contrattuali e tecniche, affidabili nel tempo e rispondenti alle aspettative delle parti interessate. A tale fine, l’organizzazione promuove l’adozione di pratiche di sviluppo strutturate, il monitoraggio sistematico delle prestazioni dei processi e la gestione proattiva delle non conformità, affinché il SGI mantenga la propria efficacia e sia costantemente adeguato al contesto operativo.

Sicurezza delle informazioni

La protezione delle informazioni rappresenta un pilastro dell’attività di IPROD S.r.l., in considerazione della natura cloud dei propri servizi e della criticità dei dati trattati per conto dei clienti. L’organizzazione adotta un approccio fondato sulla valutazione sistematica dei rischi che possono compromettere la riservatezza, l’integrità e la disponibilità delle informazioni, calibrando i controlli in proporzione al livello di rischio identificato, come dettagliato nella PRO Procedura di gestione dei rischi.

IPROD S.r.l. si impegna a soddisfare i requisiti applicabili in materia di sicurezza delle informazioni, siano essi di natura legislativa, regolamentare o contrattuale, e promuove una cultura della sicurezza condivisa a ogni livello organizzativo, nella convinzione che la responsabilità di proteggere gli asset informativi riguardi ciascun collaboratore. I principi di sicurezza adottati, tra cui la classificazione delle informazioni, il controllo degli accessi basato sul principio del minimo privilegio e la codifica sicura del software, trovano la propria declinazione operativa nella POL Politica di sicurezza delle informazioni e nelle procedure correlate.

Obiettivi e miglioramento continuo

La presente politica costituisce il quadro strutturale per la definizione e il riesame degli obiettivi del SGI, che devono essere misurabili, coerenti con gli impegni qui espressi e aggiornati sulla base dell’evoluzione del contesto interno ed esterno, dei risultati delle valutazioni dei rischi e degli esiti dei riesami della direzione. La PRO Obiettivi e pianificazione per il loro raggiungimento disciplina le modalità con cui gli obiettivi vengono definiti, pianificati, attuati e monitorati nel tempo.

L’organizzazione riconosce nel miglioramento continuo il motore dell’evoluzione del SGI: i risultati degli audit interni ed esterni, l’analisi degli incidenti e delle tendenze delle minacce emergenti, il feedback dei clienti e le esigenze delle parti interessate alimentano un ciclo di revisione costante che orienta l’aggiornamento dei controlli, delle politiche e delle procedure.

Documentazione del sistema di gestione

IPROD S.r.l. si impegna a mantenere un corpo documentale strutturato e adeguato a supportare la pianificazione, il funzionamento e il controllo dei propri processi. La documentazione del SGI comprende le dichiarazioni sulla politica e sugli obiettivi, il Manuale della qualità dei dispositivi medici, le procedure documentate e le registrazioni richieste dalle norme di riferimento, nonché ogni ulteriore documento prescritto dai requisiti regolamentari applicabili. La gestione operativa delle informazioni documentate, incluse le modalità di identificazione, approvazione, distribuzione e conservazione, è disciplinata dalla PRO Procedura di gestione delle informazioni documentate, mentre il MOD Elenco della documentazione ne costituisce il registro aggiornato.

Comunicazione della politica

La presente politica è resa disponibile come informazione documentata e comunicata a tutto il personale dell’organizzazione attraverso i canali interni adottati dal SGI, affinché ciascun collaboratore ne comprenda il contenuto e il proprio contributo al raggiungimento degli obiettivi. L’organizzazione si impegna altresì a rendere la politica accessibile alle parti interessate esterne, attraverso la pubblicazione sul sito web istituzionale e l’inserimento nei contratti di fornitura e nei rapporti con i clienti, secondo quanto previsto dalla PRO Procedura gestione comunicazione.

La politica è riesaminata in occasione di ogni riesame della direzione e aggiornata quando necessario per assicurarne la continua idoneità al contesto organizzativo e strategico dell’azienda.