چک های متقابل اداری

1) چک های متقابل اداری چیست

اعتبارسنجی میان بخشی (Cross-department validation) تأیید مشترک فرآیندها و کنترلهایی است که از چندین عملکرد عبور میکنند (برای مثال، Product → Engineering → SecOps → Legal/DPO → Payments → Support → Marketing). هدف این است که تأیید شود که اسکریپت پایان به پایان به درستی در حال اجرا است، الزامات سیاست برآورده شده و شواهد آماده حسابرسی.

• تشخیص خطرات «باسن» و درگیری های SoD ؛
• تفسیر یکپارچه از الزامات و حذف «مناطق خاکستری» مسئولیت ؛
• سرعت بخشیدن به CAPA ها و جلوگیری از تلاش مجدد.

2) هنگامی که برای شروع (ماشه)

الزامات قانونی جدید/تغییر یافته یا حوزه های قضایی.
انتشار/مهاجرت قابل توجه (معماری، پرداخت، داده ها).
حوادث (امنیت اطلاعات/حریم خصوصی/پرداخت) و پس از مرگ.
آماده سازی برای ممیزی/صدور گواهینامه خارجی.
تقویم منظم (سه ماهه/نیم سال) توسط دامنه های پر خطر.

3) اسکریپت (پایان به پایان) - چه چیزی را بررسی کنید

• حریم خصوصی/DSAR: درخواست موضوع → صادرات/حذف → اطلاع رسانی → ورود به سیستم.
• Access management: request → right to update → provisioning → admin log → re-cert.
• Chargeback: Trigger → جمع آوری شواهد → پاسخ به تقلب CAPA → ارائه دهنده.
• کمپین تبلیغاتی: تصویب مواد → هدف قرار دادن → ردیابی رد/موافقت → آرشیو شواهد.
• حادثه ایمنی: تشخیص → جداسازی → نگهداری قانونی → اطلاعیه ها → پس از مرگ → CAPA.
• نگهداری/حذف داده ها: راه اندازی TTL → تایید تخریب زیر پردازنده → گزارش.

4) نقش ها و RACI

(R - مسئول ؛ الف - مسئولیت پذیری ؛ C - مشاوره ؛ من - مطلع)

5) روش شناسی: نحوه انجام

پیاده روی: نمایشی از پرونده پایان به پایان «از سیاست به سیاهههای مربوط».
ToD (تست طراحی) - در دسترس بودن و کیفیت اظهارات کنترل، نقش ها، رویه ها، معیارها را بررسی کنید.
TOE (تست اثربخشی عملیات): تأیید ثبات کنترل در دوره (نمونه برداری برای 30-90 روز).
اصلاحات: تکرار مستقل عملیات (به عنوان مثال، صادرات DSAR، لغو دسترسی، مراحل پرداخت).
تست منفی: تلاش برای دور زدن کنترل (SoD، محدودیت، اسکن مخفی).

6) نمونه برداری و طبقه بندی

مبتنی بر ریسک: بیشتر n برای حوزه های قضایی/نقش/روش های پرداخت بحرانی.
طبقه بندی: بر اساس منطقه، نوع مشتری، کانال (وب/برنامه)، زمان روز/بار.
ترکیب: تصادفی + هدف (مرزهای آستانه، موارد لبه).

• بحرانی: n ≥ 25 در هر دامنه + مجموعه گام های کلیدی.
• بالا: n ≥ 15 ؛ متوسط: n ≥ 8 ؛ کم: n ≥ 5.

7) وابستگی و مدیریت SoD

ماتریس وابستگی: خدمات، فروشندگان، کلیدها، داده ها، نقش ها.
قانون تفکیک وظایف (SoD): ممنوعیت ترکیب Upruv و اقدامات انتقادی در یک فرد.
تغییر یخ در طول آزمون مدار بحرانی و یا نسخه روشن است.

8) شواهد و تغییرناپذیری

تمام مصنوعات (آپلود ها، پیکربندی ها، صفحه نمایش ها، گزارش ها) در WORM/Object Lock با رسید هش ذخیره می شوند.
زنجیره نگهداری: چه کسی/چه زمانی/چرا جمع آوری/خواندن شواهد.
هماهنگ سازی زمان و شناسه های ردیابی (trace_id، request_id).
هر مرحله را به یک بیانیه کنترل و یک متریک متصل می کند.

9) ادغام با CAPA و ممیزی مجدد

برای هر یافته - CAPA (اصلاحی/پیشگیرانه، شرایط، مالک، اقدامات جبرانی).
ممیزی مجدد اجباری در روزهای 30-90 برای موارد بحرانی.
به روز رسانی سیاست/اطمینان به عنوان کد: قوانین CCM، دروازه CI/CD، آستانه متریک.

10) معیارها و KRI

نرخ پوشش:٪ از سناریوهای کلیدی پایان به پایان در هر سه ماهه آزمایش شده است.

First-Pass Close: نسبت چک ها بدون یافته های مهم

در زمان CAPA:٪ تکمیل اقدامات در زمان (با شدت).
تکرار یافته ها (12 ماه): روند تکرار توسط دامنه/صلاحیت.
نرخ عبور کنترل: نسبت قوانین سبز CCM مرتبط با اسکریپت.
شواهد کامل (هدف 100٪ برای بحرانی/بالا).
نقض SoD: شناسایی/حل تعارض وظیفه.
فروشنده آینه SLA: تایید اقدامات آینه از ارائه دهندگان مهم.

11) داشبورد (حداقل)

خط لوله سناریو: برنامه ریزی شده → در حال انجام → یافته ها → CAPA → ممیزی مجدد.
نقشه حرارتی دامنه: خطرات/یافته های عملکرد (IAM، حریم خصوصی، پرداخت، بازاریابی، پشتیبانی).
نقشه وابستگی: گره ها/فروشندگان/کنترل ها، مناطق «قرمز».
آمادگی شواهد: حضور WORM/hashes/screencasts بر اساس مورد.
CAPA & Drift: وضعیت اقدامات، مشاهده رانش 30-90 روز.

12) SOP (روش های استاندارد)

SOP-1: برنامه ریزی

موضوعات پر خطر را تعریف کنید → سناریوهای پایان به پایان 2-4 را در هر سه ماهه انتخاب کنید → صاحبان را اختصاص دهید → بر روی یک تقویم توافق کنید و پنجره ها را ببندید.

SOP-2: رفتار

Kick-off → walkthrough → ToD/ToE → اصلاح → تست منفی → جمع آوری شواهد → به روز رسانی همگام سازی روزانه.

SOP-3: گزارش و راه حل

Criteria → Fact → Impact → Recommendation Framework → Close/Extend/Escalate → Report and Metrics Publication را انتخاب کنید.

SOP-4: CAPA و پیگیری

CAPA را در GRC → اقدامات جبرانی (در صورت لزوم) → مهلت ها و RACI → داشبورد اجرا را ضبط کنید.

SOP-5: بازبینی و نظارت

پس از 30-90 روز - resampling و عقل چک → به روز رسانی قوانین JMA/سیاست → بسته شدن چرخه.

13) الگوهای مصنوعی

13. 1 طرح بازرسی (یک پیجر)

سناریو، اهداف، حوزه های قضایی

کنترل بازرسی/سیاست

نمونه ها و روش ها

خطرات/وابستگی ها/SoD

جدول زمانی، نقش ها، کانال های ارتباطی

13. 2 پیدا کردن کارت

معیار (سیاست/کنترل) → واقعی → تاثیر → توصیه

شدت، خطر باقی مانده

شواهد (لینک/هش)

CAPAs: اقدامات، مالک، به دلیل، KPI ها، کنترل جبران خسارت

13. 3 بسته شواهد

1. سیاست ها/استانداردها/SOP ها (نسخه ها، توزیع ها)

2. نمونه ورود/پیکربندی (CSV/JSON، رسید هش)

3. Screencasts/تصاویر با برچسب زمان

4. گزارش های JMA/Metrics and Test

5. گزارش نهایی و تصمیمات کمیته

14) ارتباطات و فرهنگ

کانال تک (پورتال/GRC) با شماره درخواست و SLA پاسخ.
«یک صدا» در جلسات خارجی/ممیزی، اسکریپت از مسائل پیچیده است.
بدون هزینه: تمرکز بر فرآیندها و جلوگیری از تکرار.
به اشتراک گذاری بهترین شیوه ها و الگوها، یک کتابخانه موردی داخلی.

15) ضد گلوله

چک کردن «در داخل بخش» بدون ردیابی پایان به پایان.
«کاغذ» اثبات بدون سیاهههای مربوط/هش/WORM.
بدون اتصال به اظهارات/معیارهای کنترل (غیر قابل اندازه گیری).
نادیده گرفتن SoD و وابستگی به یک فرد.
CAPA بدون اقدامات پیشگیرانه/جبرانی، بدون حسابرسی مجدد.
چک های یک بار بدون تقویم و اولویت بندی با ریسک.

16) مدل بلوغ (M0-M4)

M0 Ad-hoc: چک های گاه به گاه، بدون روش/معیارها.
M1 تقویم سه ماهه برنامه ریزی شده، قالب ها و نقش های اساسی.
M2 مدیریت: نمونه گیری مبتنی بر ریسک، شواهد WORM، داشبورد، اتصال CAPA.
M3 یکپارچه: سیاست/اطمینان به عنوان کد، دروازه CI/CD، گزارش های خودکار.
تضمین مداوم M4: KRI های پیش بینی شده، سناریوهای توصیه شده، بررسی سلامت روان و نظارت بر رانش.

17) مقالات ویکی مرتبط

ممیزی مجدد و پیگیری

برنامه های بازسازی (CAPAs)

نظارت بر انطباق مداوم (CCM)

سیاست و مخزن انطباق

پیگیری به روز رسانی قانونی/هشدارهای تغییر مقررات

پیگیری و حسابرسی

ممیزی های خارجی توسط حسابرسان مستقل

راهنمای پیروی از شریک

مجموع

بررسی های متقابل اداری «رابط» بین توابع را از یک منطقه خطر به یک منطقه کنترل تبدیل می کند: سناریوهای پایان به پایان، کنترل های قابل اندازه گیری، شواهد غیر قابل تغییر و یک حلقه بسته CAPA → دوباره حسابرسی. این رویکرد انطباق را قابل پیش بینی می کند، ممیزی های خارجی را سرعت می بخشد و احتمال تکرار نقض را کاهش می دهد.