Jak dokumentować kolejne screeningi sankcyjne?

Każdy screening zapisuj jako osobny, datowany przebieg i nadaj mu własny identyfikator. Późniejszą decyzję połącz z konkretnym przebiegiem, jego zakresem, użytymi źródłami i wynikiem. Gdy sprawdzasz tę samą firmę ponownie, nie nadpisuj wcześniejszego zapisu: nowy przebieg pokazuje, co sprawdzono w innym momencie i na jakiej podstawie podjęto kolejną decyzję.

Data sprawdzenia to za mało

Sam wpis „sprawdzono 12 października” nie pokazuje, jakich danych użyto, które listy otwarto ani co dokładnie zwróciło wyszukiwanie. Nie pozwala też ustalić, czy wcześniejsza decyzja opierała się na tym samym zakresie co późniejsza.

Źródło może się zmienić między kolejnymi sprawdzeniami. Komisja Europejska opisuje skonsolidowaną listę osób, grup i organizacji objętych unijnymi sankcjami finansowymi jako wykaz odzwierciedlający akty opublikowane w Dzienniku Urzędowym UE, aktualizowany przez DG FISMA w razie potrzeby. Tabela listy krajowej MSWiA ma pola daty umieszczenia i, gdy dotyczy, wykreślenia wpisu. To daty dotyczące wpisu na liście, a nie twojego wyszukiwania. Zapisz więc, kiedy i z jakiego źródła skorzystano, zamiast zakładać, że dzisiejszy widok pozwoli odtworzyć wcześniejszy stan.

Nadaj numer każdemu przebiegowi

Osobny identyfikator, na przykład „R-024”, odróżnia jedno sprawdzenie od następnego. Obok niego zapisz czas, sprawdzaną stronę i jej rolę, dane użyte w zapytaniu, konkretne źródła, wynik oraz istotne ograniczenia. Jeśli źródło podaje wersję lub datę pobrania, odnotuj ją. Jeśli nie podaje — zapisz czas dostępu i nie wywodź wersji z daty umieszczenia osoby na liście.

Taki rekord nie musi być kopią całej listy. Powinien jednak pozwolić ustalić, co rzeczywiście sprawdzono w danym przebiegu i czym różnił się on od poprzedniego. Sam napis „brak alertu” ani pojedynczy zrzut ekranu bez danych zapytania tego nie wyjaśnia.

Powiąż decyzję z właściwym przebiegiem

Przebieg sprawdzenia i decyzja to dwa różne zapisy. Przy decyzji dodaj identyfikator przebiegu, którego dotyczy, jej datę, krótki powód oraz istotne nierozstrzygnięte kwestie. Jeśli decyzja opiera się także na innych informacjach, nazwij je osobno. Dzięki temu późniejszy czytelnik widzi, czy odwołujesz się do wyniku z konkretnego dnia, czy do późniejszej aktualizacji.

Przykład jest całkowicie hipotetyczny. Firma sprawdza dostawcę 4 kwietnia i tworzy rekord R-024: wskazuje użyte listy, dane wprowadzone do wyszukiwarki oraz brak alertu w tym sprawdzeniu. Decyzja z tego samego dnia otrzymuje osobny numer D-024 i odwołuje się do R-024. W maju, zgodnie z własną procedurą firmy, powstaje nowe sprawdzenie R-031. Tym razem system zwraca podobny wpis wymagający porównania. Druga decyzja, D-031, odwołuje się do R-031 i zapisuje, co pozostaje do wyjaśnienia.

W takim układzie nie zmienia się kwietniowy rekord na majowy wynik. Można odtworzyć, co było podstawą wcześniejszej decyzji, a co pojawiło się później. Daty, identyfikatory i wyniki w przykładzie są wymyślone; nie wskazują terminu ani częstotliwości, które każda firma miałaby stosować.

Ustal zakres i czas przechowywania

Jeżeli zapis zawiera dane osobowe, nie gromadź wszystkiego „na wszelki wypadek”. Ogranicz zapis do informacji potrzebnych do celu, określ dostęp i ustal termin usunięcia albo przeglądu przechowywania w świetle właściwej podstawy i obowiązków firmy. RODO wskazuje zasadę minimalizacji danych oraz ograniczenia okresu przechowywania do czasu potrzebnego do osiągnięcia celu. Nie daje jednej liczby dni do zastosowania przy każdym pliku screeningu.

Czego taki zapis nie potwierdza

Historia przebiegów pozwala odtworzyć, jakie źródło i dane wykorzystano przy określonej decyzji. Sama nie dowodzi, że sprawdzono wszystkie możliwe źródła, że dane były kompletne ani że transakcja jest dozwolona. Nie zastępuje też oceny konkretnego przypadku według właściwych przepisów. Jej wartość jest prostsza: późniejsza decyzja wskazuje konkretny wynik i zakres, do których można wrócić.