Tənzimləyici qum qutuları və pilotlar

1) Qum qutusu nədir və niyə lazımdır

• məhsulların/funksiyaların çıxarılmasını sürətləndirmək,
• uyğunluq və təhlükəsizliyi «kiçik» yoxlamaq,
• sonrakı sertifikatlaşdırma/lisenziya üçün dəlil (evidence) toplamaq,
• faktlara və metriklərə əsaslanaraq tənzimləyici ilə dialoq qurmaq.

Nəticə: audit və miqyas üçün yararlı olan «Pilot Pack» (siyasətlər, nəzarət qaydaları, metriklər, qeydlər, nəticələr).

2) Pilotların tipik ssenariləri

Yeni ödəniş metodları/prosesləri AML/KYC.
Marketinqdə məsuliyyətli reklam/yaş məhdudiyyətləri.
Privacy-by-Design: məlumatların minimuma endirilməsi, anonimləşdirilməsi, DSAR avtomatlaşdırılması.
AI/ML alqoritmləri antifrod/tövsiyələr (fairness, explainability).
Xüsusi yurisdiksiya altında qida qaydalarının geo/lokallaşdırılması.
Əməliyyat sabitliyi: yeni BCP/DR, telemetri və CCM prosedurları.

3) Cases seçimi meyarları

Tənzimləyici yenilik və istehlakçı üçün dəyər.
Nəzarət olunan həcm (istifadəçilər, əməliyyatlar, regionlar, limitlər).
Nəzarət arxitekturasının və nəticələrin ölçülmə qabiliyyətinin olması.
Zərərsiz geri qaytarma imkanı (reversible-by-design).
Təchizatçıların/tərəfdaşların hazırlığı (vendor «güzgü»).

4) Hüquqi əsaslar və çərçivələr

Pilot haqqında yazılı razılaşma (scope, müddəti, risk həddi, hesabat rejimi).
DoA/SoD: kim koordinasiya səlahiyyətli, kim icra, kim nəzarət.
Satıcılarla DPA/SLA/addendumlar (retensiya, subprosessorlar, audit hüququ).
Məlumatların emalı qaydaları: qanunilik, minimallaşdırma, transsərhəd, lazım olduqda DPIA.
istisnalar/waivers - yalnız son tarix və kompensasiya nəzarət ilə.

5) Nəzarət arxitekturası (policy-/assurance-as-code)

yaml pilot_id: "SANDBOX-AIFRAUD-001"
scope:
users_max: 10000 jurisdictions: ["EEA-COUNTRY-X"]
tx_limit_eur: 500 controls:
- id: CTRL-PRIV-MIN metric: "pii_fields_in_use"
threshold: "<= 6"
ccm: "rego: deny if pii_fields_in_use > 6"
- id: CTRL-FAIRNESS metric: "fraud_model_bias_delta_p95"
threshold: "<= 0. 05"
ccm: "sql:select p95(delta) from bias_metrics where model='v1'"
- id: CTRL-DSAR-SLA metric: "dsar_response_p95_days"
threshold: "<=20"
evidence:
storage: "WORM://sandbox/audit"
hash_chain: true rollback:
trigger: "any red CCM rule or KRI breach"
action: "disable feature flag, purge test data, notify regulator"

6) Risk və məlumatların idarə edilməsi

Pilot risk reyestri: Inherent/Residual/Target, KRI-eşiklər (Amber/Red).
Məlumatların minimuma endirilməsi və təxəllüsləşdirilməsi; scope xaricində üçüncü tərəflərə qadağa.
TTL/tamamlandıqdan sonra pilot məlumatların silinməsi; subprosessorlardan təsdiqlər.
Legal Hold - yalnız hadisə/istintaq zamanı.
Oynama üçün log/track (trace_id).

7) Rollar və RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

8) Müvəffəqiyyət göstəriciləri (KPI) və risk göstəriciləri (KRI)

• Time-to-Pilot (başlamaq üçün müraciət), p95 ≤ 30 gün.
• Hədəf ərzaq metrikləri (məsələn, 20% azalma false positives).
• Evidence Completeness = 100% (WORM-də bütün artefaktlar).
• Stakeholder Satisfaction (iştirakçıların/tənzimləyicinin sorğuları).

• Sızmalar/hadisələr = 0; MTTR hədəf ≤.
• Bias/fairness astar (AI) yaşıl zonada.
• Chargeback ratio/şikayətlər - baza xəttindən yüksək deyil.
• Hər hansı bir «qırmızı» CCM → dərhal geri dönüş və bildiriş.

9) Pilot Daşbordları

Pilot Overview: status, vaxt, sahibləri, KPI/KRI, «Regulatory Clock».
Controls Readiness: pass/fail CCM, qırmızı geytalar.
Privacy & Data: PII-həcmi, DSAR p95, TTL-çıxarılması.
AI Fairness (mümkünsə): bias-qrafiklər, explainability hesabatlar.
Evidence Tracker: completeness, hash zəncirləri, accessories.

10) SOP (standart prosedurlar)

SOP-1: Seçim və müraciət

One-pager (məqsəd/dəyər/risklər/həcm) → Legal/DPO/Risk qiymətləndirilməsi → Komitənin qərarı → müqavilələrin hazırlanması.

SOP-2: Pilot dizaynı

Policy-/assurance-as-code, KRI/KPI, fiziki və limitlər, geri qaytarma planı, PR-revyu və heş-qəbz.

SOP-3: Başlanğıc və monitorinq

Kick-off tənzimləyici → CCM və telemetriya daxil → həftəlik hesabatlar/sink.

SOP-4: Hadisələr/eskalasiya

Amber/Red həddi → fəaliyyət, qeydlər, Legal Hold (lazım olduqda), CAPA.

SOP-5: Bağlama/Ölçmə

Hesabat: məqsədlər → faktlar → metrika → nəticələr → risklər → CAPA → tövsiyələr.
Həll: ölçmək/uzatmaq/dayandırmaq; control rules məhsuldar köçürülməsi.

SOP-6: Təmizləmə və arxiv

TTL-silmə, satıcılardan təsdiqlər, «Pilot Pack» WORM arxivi.

11) Artefaktlar və «Pilot Pack»

Pilot sazişi/çərçivəsi (scope, şərtlər, limitlər, DoA/SoD).
DPIA/hüquqi qiymətləndirmə (tələb olunursa).
Control statements (YAML/JSON), CCM qaydaları, fitness.
Log/metrika/KRI/KPI, bias-/explainability-hesabatlar.
Nəticələr üzrə hesabat, Komitənin qərarları, miqyas planı.
Satıcıların təsdiqləri (güzgü retensiyası/çıxarılması).
Hash zənciri və WORM arxivi.

12) Pilot sonra miqyaslı

Nəzarət və telemetriyanın əsas mühitə keçirilməsi;

Siyasət/prosedurlar/SOP yenilənməsi;

Təsirlənmiş rollar üzrə təlim (LMS) və read- & attest;

KRI-nin yenidən baxılması və davamlı monitorinqə (CCM) daxil edilməsi;

Xarici sertifikatlaşdırma/audit planı (mümkünsə).

13) Antipattern

«Qumsuz qum qutusu»: limitlərin olmaması və həcmə nəzarət.
PII emalında DPIA/hüquqi əsas yoxdur.
evidence və WORM olmadan əl yoxlamaları.
Waivers heç bir müddət və kompensasiya tədbirləri.
Vendor güzgüsünə məhəl qoymamaq → uyğunluq zəncirinin qırılması.
Geri çəkilmə planı və təcili dayanma yoxdur.

14) Qum qutusunun yetkinlik modeli (S0-S4)

S0 Ad-hoc: çərçivə və ölçü olmadan birdəfəlik təcrübələr.
S1 Baza: müraciət şablonu, həcm limitləri, əl hesabatı.
S2 idarə: policy-/assurance-as-code, CCM, WORM, KRI/KPI dashboard.
S3 Inteqrasiya: müntəzəm pilot portfeli, tənzimləyici ilə razılaşmalar, auto-rollback, vendor mirror.
S4 Davamlı İnnovasiya: tövsiyə pilotları, proqnozlaşdırılan KRI, «qutudan» şablonla ölçmək.

15) Əlaqəli wiki məqalələr

Hüquqi yeniləmələrin izlənməsi/Tənzimləmə dəyişiklikləri

Davamlı uyğunluq monitorinqi (CCM)

Privacy by Design/DSAR/Retence və Legal Hold

Risklərin hesablanması və prioritetləşdirilməsi/Risk istilik xəritəsi

Risk Yönümlü Audit (RBA)

Tərəfdaşlar üçün Komplayens Təlimatı (VRM)

Komplayens yol xəritəsi/Komplayens yetkinlik səviyyələri

Yekun

Tənzimləyici qum qutusu idarə olunan bir yenilikdir: məhdud miqyaslı, rəsmiləşdirilmiş qaydalar, avtomatik yoxlamalar, sübut edilə bilən metriklər və tənzimləyici ilə şəffaf dialoq. Bu yanaşma uyğunluğu itirmədən sürətli insaytlar verir və uğurlu pilotları məhsulun təhlükəsiz miqyasına çevirir.