Fundusz Private Equity – RODO i Data Sharing

Klient: Czołowy fundusz Private Equity zarządzający portfelem spółek z sektora produkcyjnego i usługowego.

Wyzwanie Biznesowe: Rozwój funduszu skłonił go do integracji spółek portfelowych w celu ujednolicenia procesów. Celem było wykorzystanie efektu synergii w raportowaniu i świadczeniu usług, co wymusiło kompleksowe zmapowanie przepływów danych (dataflow) i nadanie im struktury prawnej w postaci wewnętrznej umowy dotyczącej przetwarzania danych. 

Audyt dataflow ujawnił, że fundusz będąc na etapie rozwoju systematyczne pozyskuje nowe spółki a następnie prowadzi skomplikowany proces onboardingu w zakresie procedur dot. usług na rzecz spółek (takich jak HR, Finanse, IT działalność operacyjna), a także raportowania na rzecz spółki (w szczególności w zakresie finansów). W związku z powyższym niezbędny okazał się wieloaspektowy audyt pogłębiający, który polegał na analizie istniejącej dokumentacji zbadaniu narzędzi wykorzystywanych w procesie, spotkaniach audytowych z managerami z C-levelu odpowiedzialnymi za procesy biznesowe, a także koordynowanie działań z działem prawnym funduszu. 

Ze względu na wysoką czasochłonność i priorytet bieżącej obsługi, projekt zrealizowano w formule audytu wewnętrznego, prowadzonego w pełni operacyjnie przez kancelarię  Całość projektu została zrealizowana w modelu Legal Department as a Service, gdzie kancelaria przejęła operacyjną rolę. Pozwoliło to na głęboką integrację regulacyjną spółek portfelowych bez obciążania bieżących zasobów prawnych funduszu.

W ramach audytu analizie poddano także zastrzeżenia wobec dotychczasowego modelu transferu i powierzenia danych. W tym zakresie zmiany dotyczyły szczegółowości adekwatności procesów i miały na celu powiązanie odpowiednich narzędzi wykorzystywanych z procesami przetwarzania danych, tak aby przyszłe cykliczne audyty były realizowane “w kontekście” organizacji w uproszczonej formie.

Wyrażane przez nich obawy dotyczyły głównie ryzyk regulacyjnych w obszarze RODO oraz braku transparentnej struktury odpowiedzialności, co w praktyce paraliżowało efektywną wymianę informacji wewnątrz grupy.

Bazując na wynikach audytu, zaprojektowano od podstaw nową architekturę przepływu danych, której kluczowym elementem stała się kompleksowa umowa IntraGroup Sharing Agreement, co pozwoliło na realne dostosowanie dokumentacji do procesów biznesowych, a w niezbędnym zakresie również jej skorygowanie. Weryfikacji poddano również łańcuch dostawców i systemy technologiczne, eliminując luki w bezpieczeństwie narzędzi używanych w całej grupie i aktualizując rejestr wykonywanych narzędzi w ścisłej współpracy z IT grupy. Wypracowane rozwiązania zostały wdrożone bezpośrednio w ekosystem organizacji.

Rezultat: Wykorzystanie unikalnego połączenia świadomości biznesowej z twardą kompetencją w zakresie prawa ochrony danych pozwoliło na stworzenie systemu w pełni zgodnego z RODO. Działania te nie tylko wyeliminowały ryzyka prawne, ale poprzez optymalizację onboardingu i raportowania, przełożyły się bezpośrednio na wzrost wartości całego portfela inwestycyjnego.