Komplayens yol xəritəsi

1) Təyinat və prinsiplər

Komplayens Yol Xəritəsi (Compliance Roadmap) - risklər, lisenziyalar, məhsul strategiyası və yurisdiksiya tələbləri ilə əlaqəli 12-24 ay üfüqdə vahid iş planıdır.

• Risk-first: lisenziyalar, PII/maliyyə, sanksiyalar və tənzimləyicilər üçün təsir prioritet.
• Evidence by design: artefaktlar və metriklər əvvəldən plana salınır.
• Policy-/Assurance-as-code: tələblər və nəzarət testləri - kod kimi.
• One owner: hər təşəbbüsün sahibi, SLA, büdcə və uğur meyarları var.
• Şəffaflıq: ümumi bekloq, daşbordlar, müntəzəm komitələr, eskalasiyalar.

2) Üfüqlər və planın strukturu

Strateji (12-24 ay): məqsədlər, lisenziyalar/sertifikatlar (ISO/SOC/PCI və s.), tənzimləyici müddətlər, məqsədli yetkinlik modeli.
Taktiki (kvartallar, 3-6 ay): epik və buraxılışlar: siyasət, nəzarət, VRM, gizlilik, təlim, audit hazırlığı.
Əməliyyat (ay/həftə): ITSM/Jira, CCM qaydaları, inteqrasiya, məlumat miqrasiyası, təlim vəzifələri.

Artefakt: «Mövzular → Epiklər → Fici → Məsələlər» xəritəsi risklərə, nəzarətlərə və metriklərə bağlıdır.

3) Təşəbbüslər portfeli (istinad skeleti)

1. Governance & Siyasət: anbar, taksonomiya, lifecycle, lokalizasiya.
2. Nəzarət və CCM: nəzarət iddiaları kataloqu, kod kimi testlər, log/metrik inteqrasiya.
3. Gizlilik (DSAR/Retence/Legal Hold): proseslər, alətlər, hesabatlar.
4. VRM/Partnyorlar: due diligence, güzgü retensiyası, audit hüququ, təsdiq.
5. Lisenziyalar/sertifikatlar: audit planı, PBC vərəqləri, «audit paketi».
6. AML/KYC/Payments: qaydalar, monitorinq, chargeback əməliyyatları, hesabat.
7. Təlim və Sertifikatlaşdırma (LMS): rollar/ölkələr üzrə kurrikulumlar, yenidən sertifikatlaşdırma.
8. Hadisələr/BCP/DR: playbook, RTO/RPO testləri, post-mortem → CAPA.
9. Hüquqi dəyişikliklərin və alertlərin izlənməsi: radar, prioritetləşdirmə, implementasiya.
10. Analitika və daşbordlar: KPI/KRI, risk heatmap, readiness.

4) Prioritetləşdirmə və qiymətləndirmə

Metodlar: RICE + Risk, WSJF c risk adjustment, «Təsir × Sürətlilik × Tənzimləyici Son × Asılılıq» matrisi.

• Lisenziya təhdidi/cərimələr/sanksiyalar (Critical/High/Medium/Low).
• Toxunulan yurisdiksiyalar və müştəri bazasının miqyası.
• Sürətli kompensasiya tədbirlərinin olması.
• Dəyər/resurslar və kritik yol.

Çıxış: tənzimləyicilərin və məcburi auditlərin müddəti ilə işarələnmiş sıralanmış backlog.

5) RACI və nəzarət

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

6) Asılılıq və kritik yol

Audit/sertifikatlaşdırma tənzimləyici müddətləri və pəncərələri.
Inteqrasiya (SSO/log/data) və miqrasiya.
Müqavilə yeniləmələri (DPA/SLA/addendum).
Məhsul buraxılışları və texniki borclar (CI/CD bloklayıcı geytlər).
Alətlər: Gant/PERT diaqramı, «what-if» ssenariləri, yüksək risk tamponları.

7) Büdcə və resurslar

FTE/satıcı-saat/lisenziyaların planlaşdırılması; split Build/Buy/Partner.
Audit/pentest/hüquqi xidmətlər üçün ehtiyatlar.
ROI/TCV: cərimələrin/chargeback azaldılması, auditlərin sürətləndirilməsi, əl əməliyyatlarına qənaət.

8) Policy-/Assurance-as-code

Nəzarət iddiaları və eşiklər - YAML/JSON (id, metrika, threshold, mənbələr).
CCM qaydaları (Rego/SQL) versiyaları və PR prosesi ilə anbarda.
CI/CD geytləri və avtomatik yoxlama cədvəlləri; evidence üçün WORM-saxlama.

9) Milstounlar və qəbul meyarları (DoD)

• Versiyaları və changelog ilə yenilənmiş siyasətlər/standartlar/SOP.
• CCM, pass-rate ≥ hədəf nəzarət/qaydaları tətbiq.
• Hash qəbzləri ilə sübut (log/boşaltma/ekran görüntüləri).
• Təsirlənmiş rollar üzrə təlim (LMS) və read- & attest.
• Təsdiqlənmiş vendor güzgüsü (üçüncü tərəflər olduqda).
• Re-audit planı və müşahidə 30-90 gün (drift check).

10) Metrik və KPI/KRI yol xəritəsi

On-time Milestones (rüblərdə), hədəf ≥ 90-95%.
Risk Reduction Index (ümumi risk-skor ∆).
Controls Pass Rate və Evidence Completeness (hədəf 100% məcburi üçün).
Time-to-Audit-Ready («audit pack» toplanması üçün saat).
Vendor Certificate Freshness (kritik tərəfdaşlar - 100%).
Training Completion и Refresher Lag.
Repeat Findings и CAPA On-time.
Regulatory On-time Compliance (tənzimləyicinin müddəti qədər).

11) Daşbordlar (minimum dəsti)

Roadmap View: epik/məhəllələr, statuslar (Planned → In Progress → Verify → Done).
Risk Heatmap: təşəbbüslərdən əvvəl/sonra, qalıq risk.
Controls & Evidence: pass-rate, «qırmızı» qaydalar, completeness.
Regulatory Clock: normaların müddəti, gecikmə ehtimalı.
VRM Mirror: provayderlərin və alt prosessorların təsdiqləri.
Training & Attestations: rollar/ölkələr üzrə əhatə və gecikmələr.

12) Rabitə və buy-in

One-pager epik: «nə/niyə/nə zaman/uğur meyarları».
Həftəlik battle-rhythm: status/risk/blokerlərin yenilənməsi.
Q&A kanalı və komandalar və bölgələr üçün ofis saatları.
Auditlərin/müddətlərin ictimai təqvimi.

13) Yol xəritəsi risklərinin idarə edilməsi

Təşəbbüslərin risk reyestri: ehtimal/təsir/trigger/sahibləri.
Kompensasiya tədbirlər və son tarix ilə waivers.
Lisenziya/cərimələr təhlükəsi zamanı «Stop-the-line» qaydaları: Komitənin sürətli qərarları.
Əhəmiyyətli hüquqi dəyişikliklərlə müntəzəm re-baseline.

14) SOP (standart prosedurlar)

SOP-1: Yol xəritəsinin formalaşdırılması

Tələblərin toplanması (risklər/tənzimləyici/post-mortemlər/auditlər) → hesab → RICE/WSJF → Komitə tərəfindən təsdiq → Roadmap nəşri.

SOP-2: Rüblük Planlaşdırma (PI Planning)

Epiklərin dekompozisiyası → məhəllə məqsədləri → asılılıq/kritik yol → buraxılış və təlim slotları → büdcə koordinasiyası.

SOP-3: Roadmap dəyişikliyinin idarə edilməsi

Dəyişiklik üçün sorğu (reason/impact) → risklərin/resursların təhlili → Komitənin qərarı → planların/daşbordların yenilənməsi.

SOP-4: Təşəbbüsün bağlanması

DoD yoxlama → evidence paketi toplama → dərslərin qeydiyyatı → siyasət/nəzarət anbarının yenilənməsi → re-audit planı.

15) Artefakt şablonları

15. 1 Epik kart (nümunə)

ID/Adı/Yurisdiksiya/Son tarix

Biznes məqsədi və risk-rasional

Dəyişikliklər üçün Siyasət/Nəzarət/SOP

Müvəffəqiyyət metrləri və hədəf hədləri

Asılılıq/kritik yol

Büdcə/resurslar/satıcılar

Təlim və kommunikasiya planı

DoD və evidence siyahısı

15. 2 Quarterly Roadmap

15. 3 Evidence Pack

1. Diff siyasət/nəzarət → 2) CCM hesabatlar → 3) Log/ekran → 4) LMS/attestations → 5) Vendor təsdiqləri → 6) Komitə protokolu.

16) Rüblük plan nümunəsi (fraqment)

Q1: saxlama siyasəti (M2), IAM/Retence üçün CCM start, DSAR-SLA dashboard, VRM onboarding, etika əsas kursları.
Q2: EEA/UK, Legal Hold və WORM arxivi, audit-dry-run, Payment chargeback prosesləri üçün lokalizasiya.
Q3: sertifikatlaşdırma ISO/SOC faza fieldwork, DR təlimlər, anti-frod qaydaları və monitorinq, tərəfdaş offboarding.
Q4: xarici yoxlama/reportaj, CAPA-nın bağlanması, re-audit, kurikulum refresh, plan 2026.

17) Antipattern

Risksiz və son tarixsiz «arzu siyahıları».
Ölçülebilir nəzarət və metrik olmayan siyasətlər.
evidence və WORM olmadan əl yoxlamaları.
Biznes və regionların olmaması.
Heç bir təlim/ünsiyyət → aşağı qəbul.
əbədi waivers, risk analizi olmadan transfer.
Re-audit → təkrar pozuntular yoxdur.

18) Yetkinlik modeli (M0-M4)

M0 Ad-hoc: reaktiv fikslər, ümumi plan yoxdur, «yanğınlar».
M1 Kataloq: təşəbbüslərin siyahısı, baza müddəti və sahibləri.
M2 Managed: risk-skor, rüblük planlar, daşbordlar və evidence.
M3 İnteqrasiya: policy-/assurance-as-code, CI/CD geytalar, düymə ilə «audit paketi», vendor güzgüsü.
M4 Continuous Assurance: proqnozlaşdırılan KRI, avtomatik planlaşdırma, tövsiyə prioritetləri, davamlı yoxlamalar.

19) Əlaqəli məqalələr wiki

Siyasət və normativlər anbarı

Davamlı uyğunluq monitorinqi (CCM)

Hüquqi yeniləmələrin izlənməsi/Tənzimləmə dəyişiklikləri

KPI və komplayens metrikası

Pozuntuların aradan qaldırılması planları (CAPA) və təkrar auditlər

Üçüncü auditorlar tərəfindən xarici yoxlamalar

Tərəfdaşlar üçün komplayens təlimatı

Dəlillərin və sənədlərin saxlanması

Yekun

Komplayens yol xəritəsi - risklərin və tənzimləyici müddətlərin konkret epiklərə, nəzarətlərə və sübutlara çevrildiyi idarəolunan dəyişiklik proqramıdır. Bu yanaşma ilə uyğunluq proqnozlaşdırıla, ölçülə və ölçülə bilər - və «audit-ready» şirkəti istənilən vaxt.