POLITICA AZIENDALE PER LA GESTIONE DELLA QUALITÁ E DELLA SICUREZZA DELLE INFORMAZIONI

PAT, azienda del gruppo Zucchetti, da più di 30 anni realizza applicazioni Customer Centric automatizzate e soluzioni per la gestione del Service Management e dell’assistenza per aziende private e istituzioni pubbliche. Il portafoglio prodotti è stato esteso con soluzioni opensource per la configurazione di applicazioni personalizzate per l’IT Governance, l’Asset e il Facility Management.

All’interno della sua mission (...Investiamo la nostra esperienza e la nostra tecnologia al servizio dei processi di business dei nostri clienti...) PAT evidenzia il suo impegno nel perseguire l’eccellenza nei servizi e nelle soluzioni proposte al Cliente; per raggiungere questo obiettivo l’azienda è costantemente impegnata a valorizzare le competenze e l’innovazione, con il fine di soddisfare pienamente i Clienti e far crescere professionalmente i Collaboratori e le Risorse.

L’attenzione e l’impegno di PAT sono quindi rivolti verso tutti gli aspetti della Qualità aziendale, della valorizzazione delle persone, della Sicurezza delle Informazioni e della Continuità Operativa, ritenendoli fattori determinanti per il successo dell’Azienda.

PAT è pienamente consapevole del proprio ruolo e delle proprie responsabilità nei confronti dei Clienti e dei Collaboratori; perciò, da anni ha intrapreso il percorso del miglioramento continuo delle sue prestazioni, sottoponendosi alla verifica di soggetti terzi che hanno riconosciuto e “certificato” la qualità del “modus operandi”, l’attenzione nel rispetto delle normative e la capacità di soddisfare con pienezza le richieste e le aspettative dei clienti.

Per questo, la presente Politica Integrata è strumento di comunicazione attendibile, trasparente ed efficace, con la quale PAT rende consapevoli Clienti, Dipendenti, Fornitori e Collaboratori sulle attività, prestazioni, aspetti, programmi e obiettivi di Qualità, di rispetto della Sicurezza delle Informazioni e della Continuità Operativa.

Inoltre, PAT è stata identificata dall’Agenzia per la Cybersicurezza Nazionale come soggetto essenziale NIS2, operando nel settore “Infrastrutture digitali” come fornitore di servizi di Cloud Computing e nel settore “Gestione dei servizi TIC” come fornitore di servizi gestiti. Tale qualificazione comporta l’obbligo di adottare misure tecniche e organizzative adeguate alla gestione dei rischi di cybersicurezza, nonché di notificare tempestivamente gli incidenti significativi all’autorità competente.

CAMPO DI APPLICAZIONE

PAT è certificata:

• ISO 9001 per le seguenti attività: “Progettazione, sviluppo e realizzazione di applicazioni software per l’Enterprise Service Management, il Customer Relationship Management, l'IT Governance, l’Asset e il Facility Management, supportati da componenti AI integrate, con l’erogazione dei servizi professionali e di supporto.”
• ISO 27001 con estensione alle Linee guida ISO 27017 e ISO 27018 per le seguenti attività: “Progettazione, sviluppo e realizzazione di applicazioni software con erogazione di servizi professionali e di supporto, inclusi servizi di conduzione dei sistemi informativi per soluzioni in modalità Cloud”.

PRINCIPI

I principi a cui si ispira PAT nelle sue attività sono:

• Coinvolgimento del Personale quale risorsa di maggior valore, assicurando un ambiente di lavoro sicuro, sano e motivante che tenga in massima considerazione il contributo di ciascun individuo;
• Rispetto delle leggi, dei regolamenti vigenti e delle clausole contrattuali;
• Consapevolezza del Sistema di Gestione Integrato (SGQ e SGSI) nel personale aziendale al fine di perseguire i risultati desiderati con maggior efficienza;
• Sicurezza e continuità dei dati: gli standard di sicurezza con cui si garantisce l’integrità, la disponibilità e la riservatezza dei dati del cliente sono garantiti da misure organizzative e data center certificati secondo gli standard più elevati;
• Gestione del rischio cyber e conformità NIS2: in qualità di soggetto essenziale NIS2, PAT adotta misure tecniche e organizzative proporzionate al rischio per proteggere i propri sistemi informativi e di rete, garantire la resilienza operativa e adempiere agli obblighi di notifica degli incidenti significativi allo CSIRT di ACN;
• Need to know: le informazioni devono essere accessibili solo a coloro che ne abbiano necessità e autorizzazione;
• Fornitori Qualificati; assicurare che i fornitori garantiscano un servizio di qualità;
• Continuo miglioramento: attraverso la valutazione delle esperienze precedenti e delle prestazioni, i progetti e i sistemi di gestione devono essere continuamente migliorati;
• Sostenibilità: PAT si impegna a concorrere allo sviluppo sostenibile, integrando tale impegno nel proprio modello di business;
• Etica e integrità: PAT si impegna a svolgere le attività aziendali in conformità con i più elevati standard etici, non tollerando atti di corruzione e operando nel rispetto delle leggi e dei regolamenti applicabili ai progetti svolti in Italia come all’estero;
• Modello Organizzativo 231: con il proprio modello organizzativo PAT si impegna a prevenire la responsabilità amministrativa o penale dell'azienda per reati commessi dai dipendenti o dai vertici nell'interesse della società.

OBIETTIVI DEL SISTEMA DI GESTIONE INTEGRATO

Gli obiettivi della Politica Aziendale nel Sistema di Gestione Integrato di PAT sono:

• Ricercare la completa soddisfazione delle esigenze ed aspettative delle Parti Interessate rilevanti;
• Monitorare costantemente il contesto interno ed esterno in cui opera;
• Garantire ai propri Clienti la costante disponibilità di persone, processi e tecnologie a supporto dei servizi erogati e nel rispetto dei Livelli di Servizio definiti (SLA);
• Rispettare le leggi e le disposizioni vigenti, i requisiti contrattuali, le norme e le procedure aziendali;
• Mantenere un elevato standard qualitativo dei prodotti;
• Sensibilizzare i fornitori alle tematiche di qualità, sicurezza delle informazioni e continuità operativa, richiedendo sempre il rispetto delle politiche adottate dall’Azienda;
• Garantire la Continuità Operativa per gli asset e i processi critici per l’erogazione dei servizi, minimizzando gli impatti sul business in caso di crisi, assicurando un rapido ripristino del normale stato di svolgimento delle attività;
• Utilizzare la migliore tecnologia disponibile nella realizzazione dei propri obiettivi aziendali;
• Proteggere le informazioni e i dati personali da accessi non autorizzati;
• Minimizzare il rischio di perdita e/o indisponibilità dei dati trattati o diffusione illecita, pianificando e gestendo le attività a garanzia della continuità di servizio;
• Proteggere le risorse informative e i dati personali all'interno dell'ambiente Cloud;
• Sviluppare e mantenere un Sistema di Gestione Integrato quale strumento per realizzare gli obiettivi, rispettare gli impegni assunti, promuovere il miglioramento continuo dei processi aziendali,
• Svolgere analisi dei rischi, l’esame delle vulnerabilità e delle minacce associate allo scopo di individuare ed attuare le misure correttive e di sicurezza necessarie;
• Riesaminare periodicamente la Politica, gli Obiettivi, i traguardi e relativi programmi di attuazione ed il Sistema di Gestione Aziendale, dandone adeguata visibilità all'interno dell'azienda;
• Realizzare Audit Interni al fine di assicurare il rispetto dei requisiti del Sistema di Gestione Integrato, adottando tutte le azioni correttive necessarie;
• Adempiere agli obblighi previsti dalla normativa NIS2, in qualità di soggetto essenziale identificato da ACN, implementando e mantenendo le misure di gestione del rischio di cybersicurezza proporzionate al livello di rischio, alle dimensioni dell’organizzazione e all’impatto potenziale degli incidenti;
• Garantire la notifica tempestiva degli incidenti significativi all’ACN, nel rispetto delle scadenze e delle procedure previste dal Decreto NIS e dalle determinazioni dell’Autorità competente;
• Garantire la sicurezza della supply chain digitale, verificando che i fornitori e i prestatori di servizi TIC adottino misure di sicurezza adeguate e coerenti con i requisiti NIS2;
• Potenziare la capacità di rilevazione, gestione e risposta agli incidenti informatici, anche attraverso la cooperazione con CSIRT Italia e le autorità nazionali competenti;
• Promuovere la cultura della cybersicurezza a tutti i livelli dell’organizzazione, attraverso programmi strutturati di formazione e sensibilizzazione del personale sui rischi cyber e sugli obblighi derivanti dalla normativa NIS2;
• Promuovere l’attuazione, comprensione e consapevolezza del Sistema di Gestione Integrato all’interno dell’organizzazione;
• Potenziare l’attività di informazione, formazione e addestramento, coinvolgendo tutti gli operatori e rendendoli consapevoli dei loro obblighi individuali e dell’importanza di ogni loro azione per il raggiungimento dei risultati attesi e della loro responsabilità;
• Monitorare periodicamente l’efficacia del Sistema di Gestione Integrato, anche attraverso il riesame da parte della Direzione.

La Direzione, 29 Maggio 2026