کنترل های داخلی و ممیزی

1) هدف و منطقه

هدف: اطمینان از دستیابی به اهداف کسب و کار با خیال راحت و قانونی، کاهش خطرات عملیاتی، مالی، انطباق و شهرت.
پوشش: فرآیند و کنترل فناوری اطلاعات در تمام حوزه ها: پرداخت/cassouts، KYC/AML/تحریم ها، ضد تقلب، RG، بازاریابی/صادرات داده ها، DevOps/SRE، DWH/BI، حریم خصوصی/GDPR، TPRM.

2) اصول و مدل حفاظت

سه خط دفاع: 1) صاحبان فرآیند (عملیات/محصول)، 2) ریسک/انطباق/امنیت (روش، نظارت)، 3) حسابرسی داخلی مستقل.
مبتنی بر ریسک: کنترل ها با توجه به اولویت ریسک باقیمانده ساخته می شوند.
شواهد محور: هر کنترل دارای معیارهای قابل اندازه گیری، منابع داده و مصنوعات قابل اثبات است.
خودکار اول: در صورت امکان - کنترل اتوماتیک و مداوم (CCM) به جای دستی.

3) نقشه ریسک → اهداف → کنترل

1. ثبت ریسک: شناسایی علل/رویدادها/عواقب (امور مالی، بازیکنان، مجوزها).
2. اهداف کنترل: چه چیزی باید جلوگیری/شناسایی/اصلاح شود (به عنوان مثال، «خروج غیرقانونی وجوه»، «دسترسی غیر مجاز به PII»).
3. فعالیت های کنترل: انتخاب سیاست های خاص/رویه ها/اتوماسیون برای دستیابی به هدف.

• پیشگیرانه: RBAC/ABAC، SoD (4 چشم)، محدودیت ها و امتیاز دهی، اعتبار سنجی داده ها، WebAuthn، mTLS.
• کارآگاه: SIEM/هشدارها، آشتی، داشبورد SLA/SLO، گزارش های حسابرسی (WORM)، کنترل ناهنجاری.
• اصلاحی: قفل خودکار، چرخش آزاد، چرخش کلید، تجزیه دستی و بازده.
• جبران: اگر کنترل اصلی غیر ممکن باشد - اقدامات تقویت (نظارت اضافی، تأیید دوگانه).

4) کتابخانه کنترل

• ID/نام, هدف, خطر, نوع, فرکانس, صاحب کنترل, مجری, روش اجرای (دستی/خودکار/راهنمای), منابع شواهد, KPI/KRI, ارتباط با سیاست/روش, سیستم های وابسته.
• ایالتها: پیشنویس فعال → نظارت شده → بازنشسته. نسخه و تغییر ورود به سیستم.

• 'CTRL-PAY-004' - 4 چشم برای پرداخت> X (پیشگیرانه، روزانه، مالک: رئیس پرداخت، شواهد: برنامه ها/سیاهههای مربوط، KPI: پوشش 100٪).
• 'CTRL-DWH-012' - PII پوشش در مغازه ها (پیشگیرانه، دائمی، مالک: رئیس داده ها، شواهد: درخواست های آزمون، KPI: ≥95٪ ماسک خواندن).
• 'CTRL-SEC-021' - MFA برای کنسول های مدیریت (پیشگیرانه; شواهد: گزارش IdP ؛ KPI: 100٪ تصویب).

5) RACI و صاحبان

6) ممیزی برنامه ریزی و آزمون

برنامه سالانه ریسک گرا است (ریسک باقی مانده بالا، الزامات قانونی، حوادث، سیستم های جدید).

• اثربخشی طراحی (DE): آیا کنترل ها به درستی برای کاهش خطر طراحی شده اند.
• کارایی عملیاتی (OE) - این که آیا آن را پایدار و در یک فرکانس داده شده کار می کند.
• حسابرسی موضوعی/فرآیند: اعتبار سنجی دامنه پایان به پایان (به عنوان مثال KYC/AML یا Cassouts)
• پیگیری/تأیید - تأیید بسته شدن CAPA.

رویکرد: پیاده سازی (ردیابی)، مصاحبه، بررسی مصنوعات/ورود به سیستم، تجزیه و تحلیل، عملکرد (تکرار).

7) شواهد و نمونه ها

انواع شواهد: log uploads (signature/hash), IdP/SSO reports, tickets and approval logs, configs, screenshots with timestamps, xls/csv from storefronts, records of PAM sessions.
یکپارچگی: نسخه های WORM، زنجیره های هش/امضا، مشخص کردن 'ts _ utc'.
نمونه گیری: آماری/قضاوت ؛ اندازه بستگی به فرکانس کنترل و سطح اطمینان دارد.
معیارهای: عبور/شکست ؛ حداقل آستانه برای عملیات دستی مجاز است.

8) ارزیابی و طبقه بندی عدم انطباق

درجه بندی: بحرانی/بالا/متوسط/پایین.
معیارها: تاثیر (پول/PII/مجوز)، احتمال، مدت زمان، تکرارپذیری، کنترل جبران.
گزارش: پیدا کردن کارت (خطر، شرح، نمونه، علت ریشه، تاثیر، اقدامات مورد نیاز، زمان بندی، مالک)، وضعیت ردیابی.

9) CAPA و مدیریت تغییر

اقدامات اصلاحی و پیشگیرانه: حذف علت ریشه ای، نه تنها علائم.

S.M.A.R.T. اقدامات: خاص، قابل اندازه گیری، تاریخ ؛ مسئولیت و نقاط عطف

هیئت مشاوره تغییر: تغییرات با خطر بالا عبور CAB ؛ به روز رسانی سیاست ها/رویه ها/نقش ها.
تأیید عملکرد: ممیزی مجدد پس از N هفته/ماه.

10) نظارت مستمر (CCM) و تجزیه و تحلیل

نامزدهای CCM: کنترل های فرکانس بالا و رسمی - درگیری های SoD، مسائل JIT، صادرات غیر طبیعی، پوشش MFA، محدودیت های پرداخت، تحریم ها.
ابزار: قوانین SIEM/UEBA، داشبورد داده/BI، اعتبار سنج مدار/ماسک، تست دسترسی (سیاست به عنوان کد).
سیگنال ها/هشدارها: آستانه/رفتاری ؛ بلیط های SOAR ؛ خودکار بلوک برای انحرافات بحرانی.
مزایای استفاده: سرعت تشخیص، کاهش بار دستی، قابلیت اثبات بهتر.

11) معیارها (KPI/KRI)

• پوشش کنترل فرآیندهای بحرانی ≥ 95٪
• اجرای به موقع کنترل های دستی ≥ 98٪
• CAPA در زمان بسته (بالا/بحرانی) ≥ 95٪
• سهم کنترل خودکار ↑ MoM

• اختلالات SoD = 0
• PII دسترسی بدون «هدف» = 0
• نشت/حوادث اطلاع ≤ 72 ساعت - 100٪
• نرخ شکست کنترل های عملیاتی <2٪ (روند کاهش می یابد)

12) فرکانس و تقویم

روزانه/مداوم: CCM، سیگنال های ضد تقلب، محدودیت پرداخت، پوشش.
هفتگی: تطبیق پرداخت/ثبت، کنترل صادرات، تجزیه و تحلیل هشدار.
ماهانه: گزارش MFA/SSO، ثبت نام دسترسی، نظارت بر فروشنده، روند KRI.
سه ماهه: صدور گواهینامه مجدد حقوق، بررسی موضوعی، تست استرس BCP/DR.
سالانه: برنامه حسابرسی کامل و به روز رسانی نقشه ریسک.

13) ادغام با سیاست های موجود

RBAC/ABAC/حداقل امتیاز، سیاست های دسترسی و تقسیم بندی - منبع کنترل های پیشگیرانه.
سیاست رمز عبور و MFA الزامات اجباری برای مدیران/عملیات بحرانی است.
گزارش های حسابرسی/سیاست ورود به سیستم - کنترل کارآگاه و شواهد.
TPRM و قراردادهای شخص ثالث - کنترل های خارجی: SLA، DPA/SCCs، حقوق حسابرسی.

14) چک لیست

14. 1 طراحی کنترل جدید

• هدف و ریسک مرتبط توصیف شده است
• نوع تعریف شده (پیشگیرانه/کارآگاهی/اصلاحی)
• مالک/عملکرد و فرکانس اختصاص داده شده
• منابع داده ها و فرمت شواهد مشخص شده است
• ساخته شده در معیارهای (KPI/KRI) و هشدار
• پیوند به سیاست ها/رویه ها
• طرح آزمون DE/OE تعریف شده است

14. 2 حسابرسی

• محدوده و معیارهای DE/OE توافق شده است
• فهرست مصنوعات و دسترسی های بازیابی شده
• نمونه برداری توافق شده و ثابت شده است
• نتایج و یافته های طبقه بندی شده
• CAPAs، مهلت و صاحبان تایید شده است
• گزارش صادر شده و ابلاغ شده به ذینفعان

14. 3 نظارت و گزارش (ماهانه)

• KPI/KRI برای همه کنترل های بحرانی
• شکست/روند مثبت کاذب
• CAPA و وضعیت بزهکاری
• اتوماسیون/JMA پیشنهادات

15) اشتباهات معمول و نحوه اجتناب از آنها

کنترل بدون هدف/متریک: اهداف و KPI/KRI را رسمی کنید.
کنترل دستی بدون شواهد: استاندارد کردن فرم ها/اسکریپت ها و ذخیره مصنوعات در WORM.
رشد استثنائات: ثبت استثنائات با تاریخ انقضا و اقدامات جبرانی.
«بر روی کاغذ» کار می کند - در واقع نه: آزمون های منظم OE و CCM.
CAPA های باز: افزایش خودکار و وضعیت در کمیته ریسک ماهانه.

16) نقشه راه پیاده سازی

هفته 1-2: به روز رسانی نقشه خطر، تدوین یک کاتالوگ از کنترل، تعیین صاحبان، تصویب قالب شواهد.
هفته 3-4: شروع نظارت KPI/KRI، انتخاب 5-10 کنترل برای اتوماسیون (CCM)، تصویب برنامه حسابرسی سالانه.
ماه 2: انجام 1-2 حسابرسی موضوعی (خطر بالا)، اجرای هشدار SOAR، ایجاد گزارش هیئت مدیره.
ماه 3 +: گسترش CCM، انجام بررسی سه ماهه، کاهش کنترل دستی، افزایش پوشش DE/OE و میزان بسته شدن CAPA.

TL ؛ دکتر متخصص

کنترل های داخلی موثر = کارت خطر → اهداف → فعالیت های روشن با مالک و شواهد، به علاوه آزمون های DE/OE به طور منظم، اتوماسیون CAPA و CCM. این باعث می شود مدیریت ریسک قابل اندازه گیری، حسابرسی قابل پیش بینی و انطباق قابل اثبات باشد.