Təkrar auditlər və icraya nəzarət

1) Təkrar auditlərin məqsədi və rolu

• pozuntuların bağlanmasını və qalıq risklərin Appetite səviyyəsinə endirilməsini təsdiqləyir;
• preventiv tədbirlər vasitəsilə təkrarlardan (repeat findings) qoruyur;
• hüquqi əhəmiyyətli sübut bazasını («düymə ilə audit-ready») formalaşdırır.

2) Re-audit təyin zaman (tetikleyicilər)

CAPA-nın Critical/High (məcburi), Medium-un - nümunə/risk üzrə bağlanması.
Yüksək ciddilik hadisəsi və ya tənzimləmə qaydası.
CCM/observability görə drift nəzarət.
Memarlıq/proses dəyişiklikləri (relizlər, miqrasiyalar, provayderlər).
Yüksək riskli domenlər üçün rüblük/yarım illik təqvim pəncərələri.

3) Həcmi və metodları (scope & methods)

Dizayn testi: siyasət/standart/SOP yeniləndi, nəzarət rəsmiləşdirildi.
Əməliyyat effektivliyi testi: Nəzarət dövründə stabil işləyir (30-90 gün ərzində nümunə).
Nümunə: risk-based (yüksək/kritik üçün n artırmaq), təsadüfi və məqsədli hallarda qarışıq.
İslahatlar: mümkünsə nəticəni təsdiqləmək üçün proseduru/sorğunu təkrarlayın.
Sübut: log, konfiq, boşaltma, ekran görüntüləri, alət hesabatları - hash qəbzləri və WORM ilə.

4) Rollar və RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Re-audit həyat dövrü (SOP)

1. Başlanğıc: re-audit kartı (findings, CAPA, risk, nümunə müddəti, son tarix).
2. Hazırlıq: test yoxlama siyahısı, qəbul meyarları, artefaktların siyahısı, «case» əlçatanlıqları.
3. Məlumatların toplanması: avtomatik boşaltma, nümunə, hash fiksasiya, WORM-də otaq.
4. Testlər: dizayn (mövcudluq/düzgünlük) → effektivlik (nümunələr, islahatlar).
5. Qiymətləndirmə: qalıq risk, sabitlik, sürüklənmə mövcudluğu.
6. Həll: Close/Extend CAPA/Escalate (komitə, tənzimləyici).
7. Fiksasiya: protokol, daşbordların yenilənməsi, «audit pack» re-audit.
8. Nəzarət: 30-90 gün müşahidə; drift zamanı - yeni CAPA ilə re-open.

6) Qəbul meyarları (Definition of Done)

Corrective tədbirlər tətbiq və təsdiq edilmişdir.
Preventive tədbirlər təkrar riskini azaldır (təlim, geyta, deteksiya).
Evidence tam və dəyişməz (WORM, hash qəbzləri).
CCM qaydaları yeniləndi, risklər normaldır, sürüklənmə yoxdur.
Siyasətlər/SOP/diaqramlar faktiki dəyişikliklər ilə sinxronlaşdırılır.
Satıcılar güzgü hərəkətlərini (retensiya/silmə/sertifikatlar) yerinə yetirdilər.

7) Re-audit CAPA

CAPA kartında Re-audit planı saxlayın (dövr, uğur metrikası, owner).
«Qismən müvəffəqiyyətlə» → kompensasiya nəzarəti və son tarixlə CAPA-nın uzadılması.
Sistem problemləri üçün - epik qarşısının alınması (arxitekturanın dəyişdirilməsi, proseslərin yenidən baxılması).

8) Metrika və KRI

Re-audit On-time: vaxtında keçirilmiş% (hədəf ≥ 95%).
First-Pass Close: CAPA yenilənmədən% bağlama (daha yüksək - daha yaxşı).
Repeat Findings (12 ay): domen/sahibləri üzrə təkrarların payı (trend ↓).
Residual Risk Δ: re-auditdən sonra risk sürətini azaltmaq.
Evidence Completeness: artefaktların tam dəsti ilə% re-audit (hədəf 100%).
Drift After Fix: 30-90 gün ərzində nəzarət sürüklənmə halları (0 kritik hədəf).
Vendor Mirror SLA: podratçılardan təsdiqlər (hədəf 100% kritik üçün).

9) Daşbordlar (minimum)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Təkrarlanan Heatmap: domenlər (IAM, data, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: bağların statusu, gecikmələr, həssas zonalar.
Evidence Readiness: WORM/hashes mövcudluğu, təzəlik seçimi.
Drift & CCM: post fiks pozuntuları, alert tezliyi.
Vendor Assurance: güzgü retensiyası/silmə, sertifikatlar, SLA.

10) Seçmə və test metodları

Risk təbəqələşməsi: kritik nəzarət/yurisdiksiyalar üçün daha çox iş.
Kombinə edilmiş testlər: sənədli yoxlama + faktiki islahatlar (məsələn, DSAR-ixrac, giriş geri çağırılması, TTL ilə silinmə).
Mənfi ssenarilər: nəzarətdən yan keçmək cəhdi (ABAC/SoD, rate limits, secret-scan).
Dayanıqlılıq testi: Alt seçimdə 30 gün sonra təkrar (sanity check).

11) Avtomatlaşdırma və «assurance-as-code»

Kod (Rego/SQL/YAML) kimi nəzarət üçün test halları, cədvələ uyğun olaraq avtomatik başlanğıc.
evidence vitrinindən qəbzlə «audit pack re-audit» avtogenerasiyası.
Avtomatik eskalasiya SLA (gecikmiş CAPA/re-audit).
CI/CD ilə inteqrasiya: geytlər «qırmızı» nəzarət altında buraxılışı bloklayır.

12) Satıcılar və təchizat zənciri

Müqavilələrdə - re-audit hüququ və artefaktların təqdim olunma müddətləri.
Güzgü retensiyası və məhv/düzəlişlərin təsdiqi.
Pozuntular halında - kreditlər/SLA-ştraflar, off-ramp və miqrasiya planı.
Xarici sertifikatlar (SOC/ISO/PCI) - fresh statusunda; «qualified opinion» ilə - re-audit gücləndirilir.

13) Artefakt şablonları

13. 1 Re-audit kartı

ID findings/CAPA, risk/yurisdiksiya, nümunə müddəti

Dizayn/effektivlik testləri, qəbul meyarları

Artefaktların siyahısı (mənbə, format, heş)

Nəticələr, qalıq risk, tövsiyələr

Həll (Close/Extend/Escalate), owner/due, evidence linkləri

13. 2 Re-audit hesabatı (məzmun)

1. CV və kontekst

2. Metodologiya və həcm

3. Test nəticələri (nümunə cədvəlləri)

4. Qalıq risk və nəticələr

5. Həllər və tapşırıqlar (CAPA/waivers)

6. Proqramlar: heş qəbzləri, ekran görüntüləri, yükləmə

13. 3 Check-list qəbulu

• Siyasətlər/SOP/nəzarət yeniləndi
• Evidence toplanmış və WORM/hash təsdiq
• CCM qaydaları daxil, risklər etibarlıdır
• Təlim/kommunikasiya tamamlandı (LMS, read-receipt)
• Vendor təsdiqləri alındı
• Re-open tələb olunmur/genişləndirmə planı var

14) Istisnaların idarə edilməsi (waivers)

Yalnız obyektiv məhdudiyyətlərdə icazə verilir; son tarix və kompensasiya nəzarəti tələb olunur.
Daşbordda ictimaiyyət, 14/7/1 gün xatırlatmalar, Komitəyə eskalasiya.

15) Antipattern

Effektivlik testi olmadan «kağız bağlama».
WORM/Hashs olmadan Evidence - auditdə mübahisələr.
Heç bir əlaqə CAPA, re-audit, CCM - heç bir nəzarət sabit deyil.
Daralan scope (yurisdiksiyalar/satıcılar/kritik rollar əhatə etmir).
30-90 gün müşahidə olmadan birdəfəlik yoxlamalar → təkrar.
Kompensasiya tədbirləri və son tarix planı olmadan CAPA-nın uzadılması.

16) Yetkinlik modeli (M0-M4)

M0 Ad-hoc: nadir «nöqtəli» yoxlamalar, qəbul meyarları yoxdur.
M1 Planlı: re-audit təqvimi, əsas şablonlar və hesabatlar.
M2 Nəzarət: CAPA, Dashboard/Metrics, WORM-evidence ilə bağlayın.
M3 inteqrasiya: assurance-as-code, islahatlar, avtomatik «audit paketi».
M4 Continuous Assurance: proqnoz KRI, avtomatik planlaşdırma, post fiks sabitliyinin monitorinqi.

17) Əlaqəli məqalələr wiki

Pozuntuların aradan qaldırılması planları (CAPA)

Risk Yönümlü Audit (RBA)

Davamlı uyğunluq monitorinqi (CCM)

Jurnal və Audit Trail

Dəlillərin və sənədlərin saxlanması

Uyğunluq siyasətində dəyişikliklərin idarə edilməsi

Due Diligence və autsorsing riskləri

Risk İdarəetmə və Komplayens Komitəsi

Yekun

Təkrar auditlər rəsmiləşdirmə deyil, sabitlik yoxlamasıdır: dizayn və effektivlik testi, etibarlı sübut bazası, şəffaf həllər (Close/Extend/Escalate) və sürüklənmə monitorinqi. Belə bir sistemdə risk «geri qaytarılmır» və uyğunluq ölçülə bilən və proqnozlaşdırıla bilən olaraq qalır.