Επιτροπή Διαχείρισης Κινδύνων και Συμμόρφωσης

1) Διορισμός και θητεία

• Οικοδόμηση και διατήρηση της όρεξης κινδύνου και των αρχών συμμόρφωσης
• εγκρίνει βασικές πολιτικές/πρότυπα και τις αλλαγές τους·
• ελέγχει τους βασικούς κινδύνους (λειτουργικοί, κανονιστικοί, ασφάλεια πληροφοριών/ιδιωτική ζωή, οικονομικοί, τρίτοι)·
• καθορίζει μετρήσεις συμμόρφωσης και SLO/SLA και παρακολουθεί την επίτευξή τους·
• αντιμετωπίζει την κλιμάκωση και τις αντικρουόμενες προτεραιότητες·
• παρέχει κατάσταση ετοιμότητας ελέγχου (βάση αποδεικτικών στοιχείων, πρωτόκολλα λύσης).

2) Σύνθεση και ανεξαρτησία

• Μόλυβδος συμμόρφωσης/ΥΠΔ (συμπροέδρος)
• CISO/Αρχηγός Ασφαλείας (συμπρόεδρος)
• Προϊστάμενος Νομικής
• Κεφαλή κινδύνου/επιχειρηματικού κινδύνου
• CFO/Χρηματοδότηση (για την εκτίμηση επιπτώσεων)
• Αντιπρόσωπος επιχειρήσεων/προϊόντων (VP/Διευθυντής)
• Πλατφόρμα/Διαχειριστής υποδομής ή αντιπρόσωπος του CTO

• Εσωτερικός έλεγχος (παρατηρητής)
• HR/L & D (Κατάρτιση/αξιολογήσεις)
• Προμήθεια/Προμηθευτής Mgmt (τρίτοι)
• Δεδομένα/Πλατφόρμα (DWH/Γραμμή/CCM)

Αρχές ανεξαρτησίας: απουσία σύγκρουσης συμφερόντων, τεκμηρίωση αιτιολογικών σκέψεων, καθορισμός του ρόλου των παρατηρητών.

3) Επιτροπή RACI

(R - Υπεύθυνος, A - Υπόλογος· Γ - Ζητήθηκε η γνώμη I - Ενημερωμένο)

4) Κανονισμός και συχνότητα

Κανονική κατάσταση: μία φορά το μήνα (90 λεπτά) + εβδομαδιαία παρακολούθηση express KPI/KRI (15 λεπτά).
Κατάσταση κρίσης (περιστατικό/ρυθμιστής): συνεδριάσεις κάθε 24-48 ώρες μέχρι τη σταθεροποίηση.
Απαρτία: ≥ 2/3 των ψηφοφόρων, συμπεριλαμβανομένου ενός συμπροέδρου.
Λύσεις: απλή πλειοψηφία· σύμφωνα με τους υψηλούς κινδύνους - 2/3 και το δικαίωμα αρνησικυρίας των συμπροέδρων (στο καταστατικό).

5) Εισερχόμενα τεχνουργήματα (εισροές)

Μητρώο κινδύνου και χάρτης θερμότητας (επικαιροποιημένη KRI).
Συμμόρφωση KPI/SLO: DSAR/SLA, υγιεινή πρόσβασης, μετατόπιση, κάλυψη αποδεικτικών στοιχείων и др.
Αλλαγή ημερολογίου ανά πολιτική (μείζων/ήσσονος σημασίας/έκτακτης ανάγκης).
Μητρώο παρεκκλίσεων με ημερομηνίες λήξης και αντισταθμιστικούς ελέγχους.
Περιστατικά & ευρήματα: Sev1/Sev2, επαναληψιμότητα, κατάσταση αποκατάστασης.
Κίνδυνος πωλητή: κρίσιμοι πάροχοι, παραβίαση SLA/πιστοποιητικού.
Έλεγχος/αξιολογήσεις: στατιστικές καταστάσεις, ανοικτά σχόλια, ετοιμότητα κουμπιών.

6) Εκροές και τεχνουργήματα (εκροές)

Πρωτόκολλο απόφασης με ιδιοκτήτη, ημερομηνία λήξης, σοβαρότητα και αναμενόμενο αποτέλεσμα κινδύνου.
Επικαιροποιημένη Δήλωση και Προτεραιότητες για την Όρεξη Κινδύνου.
Επικαιροποίηση/απόρριψη πολιτικών και παρεκκλίσεων με όρους.
Επιστολές/λύσεις κλιμάκωσης για ΔΣ/Διευθύνοντα Σύμβουλο υψηλού κινδύνου.
Επικοινωνιακές συσκευές και καθήκοντα για εντολές (εισιτήρια σε ITSM/GRC).

7) Τυπικές κλήσεις (60-90 λεπτά)

1. Σύνοψη των KPI/KRI και των αποκλίσεων (10").
2. και μαθήματα (15").
3. Πολιτικοί: Σημαντικές αλλαγές, αντικρουόμενες ερμηνείες, τοπικές προσαρμογές (15").
4. Τρίτοι: SLA/παραβιάσεις πιστοποιητικών, υπεργολάβοι (10").
5. Απαλλαγές: Επέκταση/κλείσιμο κόκκινων ζωνών (10").
6. Έλεγχος/αξιολογήσεις: κατάσταση ετοιμότητας και "πακέτο ελέγχου" (10").
7. Λύσεις και κατανομή καθηκόντων (10").

8) Διαδικασίες λήψης αποφάσεων και κλιμάκωσης

Κάρτα απόφασης (υπόδειγμα): πλαίσιο επιλογές αντίκτυπο στον κίνδυνο/κόστος σύστασης ψηφοφορία.
Κλιμάκωση: εάν υπάρχει κίνδυνος> Όρεξη ή εγκληματικότητα> SLA - αφομοίωση στο Εκτελεστικό/Διοικητικό Συμβούλιο.
Επανεξέταση: εκ των υστέρων εκτίμηση των επιπτώσεων της απόφασης μετά από 30-60 ημέρες (αξιολόγηση επιπτώσεων).

9) Ενοποιήσεις και διατερματικές ροές

RBA: πορίσματα → κλήτευση της επιτροπής → ιδιοκτήτη/οφειλόμενη → παύση του ελέγχου.
CCM (συνεχής παρακολούθηση): καταχωρίσεις/μετρήσεις → κανόνας/ιεράρχηση κατωφλίου.
Κύκλος ζωής/Αλλαγή πολιτικής: Μείζονες τροποποιήσεις → επικαιροποιήσεις, επικοινωνία, κατάρτιση.
Vendor DD/Outsourcing: μοντέλο βαθμολόγησης και κατάλογος κενών → συμβατικούς όρους/SLA.
Περιστατικό Mgmt: SOAR/PR/Νομικά βιβλία → αναφορές και μαθήματα.

10) Μετρήσεις επιδόσεων της επιτροπής

Έγκαιρη αποκατάσταση:% των καθηκόντων της επιτροπής που έχουν κλείσει εγκαίρως (λόγω σοβαρότητας).
Χρόνος λήψης απόφασης: διάμεσος χρόνος από την ανάδειξη του ζητήματος στην επίλυση.
Απαλλαγή από την υποχρέωση υγιεινής:% εξαιρέσεις με τρέχουσα ημερομηνία λήξης (στόχος: 100%).
Επαναλάβετε τα ευρήματα: το ποσοστό επαναλήψεων σε 12 μήνες (στόχος: ↓).
Χρόνος ετοιμότητας ελέγχου: Ώρες έως το πλήρες «πακέτο ελέγχου».
Δεν υπάρχουν διαθέσιμα δεδομένα σχετικά με τη χρήση του ∆ σε έγκυες γυναίκες.
Ανακοίνωση SLA:% των ρόλων που κοινοποιούνται εγκαίρως από μείζονες λύσεις.

11) Χάρτης της ΕΟΚΕ (υπόδειγμα)

Σκοπός: Εποπτεία κινδύνων και συμμόρφωσης. προστασία των συμφερόντων της εταιρείας και των πελατών.
Πεδίο εφαρμογής: όλες οι δικαιοδοσίες/επιχειρηματικοί τομείς/συστήματα ΤΠ/τρίτοι.
Αρχή: έγκριση πολιτικών/εξαιρέσεων· διερεύνηση δεδομένων/ελέγχων· κλιμάκωση του διοικητικού συμβουλίου.
Σύνθεση και απαρτία: (βλέπε παράγραφοι 2 και 4).
Σύγκρουση συμφερόντων: δηλώσεις, αιτιολογικές σκέψεις, εφημερίδα.
Πρωτόκολλα: πρότυπο πλήρων λεπτών (ημερήσια διάταξη, λύσεις, φωνές, ιδιοκτήτης, οφειλόμενη σύνδεση με αποδεικτικά στοιχεία).
Αναθεώρηση του χάρτη: ετησίως ή κατόπιν αιτήματος του Ενιαίου Συμβουλίου.

12) Υποδείγματα εγγράφων

12. 1 Κάρτα απόφασης

Θέμα/Πλαίσιο/Κανονισμοί/Κίνδυνοι

Δικαιώματα προαίρεσης και αποτίμηση (κόστος, χρονοδιάγραμμα, αντίκτυπος στην SLA/KRI)

Σύσταση μετά τη λήψη απόφασης και επίπεδο κινδύνου

Ιδιοκτήτης επιδόσεων και ημερομηνία λήξης

Αποτέλεσμα ψηφοφορίας (υπέρ/κατά/αποχή)

12. 2 Πρακτικά της συνεδρίασης

Ημερομηνία/απαρτία/συμμετέχοντες

Ημερήσια διάταξη

Συζήτηση (συνοπτικά, σημείο προς σημείο)

Λύσεις (ιδιοκτήτης, οφειλόμενη, μέτρηση επιτυχίας)

Ανοικτά ζητήματα/κλιμακώσεις

Εφαρμογές (ταμπλό, εκθέσεις, σύνδεσμοι με το αρχείο WORM)

12. Risk Appetite Matrix (παράδειγμα)

13) Ταμπλό της ΕΟΚΕ (ελάχιστο)

Θερμικός χάρτης κινδύνου: πιθανότητα × επίπτωση × υπολειπόμενος κίνδυνος.
Κέντρο συμμόρφωσης KPI: DSAR, υγιεινή πρόσβασης, Drift, κάλυψη αποδεικτικών στοιχείων.
Περιστατικά & ευρήματα: Sev1/Sev2, MTTR, επαναληψιμότητα.
Αλλαγές πολιτικής: μείζων/ήσσονος σημασίας/αγωγός έκτακτης ανάγκης και κατάσταση εκπαίδευσης.
Κίνδυνοι πωλητές: πιστοποιητικά, SLA, υπεργολάβοι επεξεργασίας, περιστατικά.
Παραίτηση & Προθεσμίες: ενεργός/έληξε, κλιμακώσεις.
Ετοιμότητα ελέγχου: ποσοστό «πακέτο ελέγχου» ανά έλεγχο/πιστοποίηση.

14) Ημερολόγιο του έτους επιτροπής

Μηνιαία: τακτική ημερήσια διάταξη (§ 7).
Τριμηνιαία: Αναθεώρηση της όρεξης για κινδύνους, τάσεις KPI/KRI, συνολικά ευρήματα.
Εξάμηνο: αναθεώρηση βασικών πολιτικών και παραίτηση από το χαρτοφυλάκιο.
Ετήσια: Χάρτης της Επιτροπής, Σχέδιο Ελέγχου/Πιστοποίησης, Διδάγματα.

15) Τρόπος κρίσης (Sev1/Regulatory)

Άμεση σύγκληση, επικαιροποιήσεις του ρυθμού μάχης (π.χ. κάθε 4 ώρες).
Ενοποιημένη Επικοινωνία (Νομικό/PR), Έλεγχος νομικής κατοχής.
Λύσεις για έλεγχο πρόσβασης/ενσωμάτωση απενεργοποίησης/απομόνωση δεδομένων.
Χωριστό πρωτόκολλο συμβάντων και μεταθανάτια με ενέργειες.

16) Αντιπατερίδια

Επιτροπή ως «γραμματοκιβώτιο» χωρίς εξουσία και προθεσμίες.
Έλλειψη πρωτοκόλλων και αποδεικτικών στοιχείων - αντιπαράθεση στον έλεγχο.
Αέναες απαλλαγές χωρίς ημερομηνία λήξης και αντισταθμιστικούς ελέγχους.
Άλυτες ημερήσιες διατάξεις: χωρίς κάρτες λήψης αποφάσεων, χωρίς επιλογές και χωρίς εκτιμήσεις επιπτώσεων.
KPI χωρίς ιδιοκτήτες και σύνδεση με την όρεξη κινδύνου.
Συγκρούσεις συμφερόντων χωρίς τη διαχείριση αιτιολογικών σκέψεων.

17) Πρότυπο ληκτότητας της ΕΟΚΕ (M0-M4)

M0 Hell-hoc: σπάνιες συναντήσεις, χωρίς μετρήσεις και πρωτόκολλα.
M1 Επισημοποιήθηκε: χάρτης, απαρτία, βασικά πρακτικά, μηνιαίες συνεδριάσεις.
M2 Διαχειρίσιμα: Ταμπλό KPI/KRI, κάρτες απόφασης, παραίτηση από τον έλεγχο.
M3 Ολοκληρωμένη: επικοινωνία με την CCM/RBA/Policy-as-Code, «έλεγχος-έτοιμος ανά κουμπί».
M4 Εξασφαλισμένες: προβλέψεις KRI, αυτόματη κλιμάκωση, τακτικές αποφάσεις επανεξέτασης αντικτύπου.

18) Συναφή άρθρα wiki

Έλεγχος βάσει κινδύνων (RBA)

Συνεχής παρακολούθηση της συμμόρφωσης (CCM)

KPI και μετρήσεις συμμόρφωσης

Διαχείριση της πολιτικής συμμόρφωσης

Πολιτικές και διαδικασίες Κύκλος ζωής

Κίνδυνος δέουσας επιμέλειας και εξωτερικής ανάθεσης

Νόμιμη κράτηση και δέσμευση δεδομένων

Σύνολο

Μια ισχυρή επιτροπή δεν είναι μια «συνεδρίαση», αλλά ένας μηχανισμός διαχείρισης κινδύνων: μια σαφής εντολή, ανεξαρτησία και απαρτία, δεδομένα στα ταμεία, αποφάσεις με ιδιοκτήτες και προθεσμίες, βάση επιβολής και αποδεικτικών στοιχείων. Η συμμόρφωση γίνεται τότε ένας προβλέψιμος πυλώνας στρατηγικής και όχι μια τροχοπέδη στις επιχειρήσεις.