ניקוד סיכונים ותעדוף

1) מטרה ותוצאות

• ניתן להשוות (קשקשים ונוסחאות מאוחדים),
• שקוף (מקורות נתונים והנחות מתועדים),
• מדידה (מדדים ו-KRI קשורים לבקרות ותקריות),
• (כל סיכון מתאים לתוכנית CAPA/ויתור עם תאריך תפוגה).

יציאות: רשימת סיכונים מאוחדת, מדידה בעדיפות גבוהה, מפות חום, דוחות סיכון שייריים, חפצים מוכנים לביקורת.

2) מונחים ורמות סיכון

סיכון טבוע - סיכון שלא כולל בקרות.
סיכון שיורי - סיכון לקחת בחשבון בקרות נוכחיות (TOD/TOE/CCM מאומת).
סיכון מטרה - רמת יעד לאחר CAPA/אמצעי פיצוי.
סבירות (L) - הסתברות של תרחיש התרחשות באופק ההערכה.
השפעה (I) - הגדולה ביותר של: פיננסים, רישיונות/חוק, פרטיות/נתונים, מבצעים/SLO, מוניטין.
KRI - מדדי סיכון המשפיעים על L/I (לדוגמה, יחס dsar_response_p95, chargback).

3) קשקשים ומודלים בסיסיים

3. מטריצה בדידה (5 × 5 או 4 × 4)

ציון = L × I = טווח 1-25 (או 1-16).

• 20-25 = קריטי, 12-19 = גבוה, 6-11 = בינוני, 1-5 = נמוך.
• הסף מתפרסם במדיניות הניקוד וחל תמיד על כל התחומים.

• 1 - פעם ב> 3 שנים; 2 - פעם ב-1-3 שנים; 3 - מדי שנה; 4 - רבעון; 5 חודשי/יותר תכוף.

• 1 - <אירו 10k; 2 - 10-100 אלף יורו; 3 - 100-300 אלף אירו; 4 - 300- אירו 1; 5 -> אירו 1; עם סיכונים משפטיים/רישיוניים, הרמה עולה ל-4-5 לפחות.

3. 2 מודלים כמותיים

'ALE = SLE × ARO', שבו 'SLE' הוא הנזק הממוצע לכל אירוע, 'ARO' הוא התדר הצפוי לשנה.
גישה הוגנת (בהפשטה): אנו מדמים את התדר (תדירות אירוע איום) ואת הערך של הפסדים (גודל הפסד), משתמשים באחוזים (p50/p95) כדי לקבל החלטה.
מונטה קרלו (Monte Carlo): הפצות עבור תדירות ונזק (lognorm/gamma וכו '), 10-100K רצים * עקומות הפסד (exclence curve). להגיש בקשה לסיכונים הקריטיים הכי יקרים/רגולטוריים.

המלצה: 80% מהמקרים - מטריצה 5 × 5, 20% (סיכונים עליונים) - ALE/FAIR/Monte Carlo.

4) סיכון שיורי ומטרה

1. לחשב את ההנחות של ”אין פקדים”.
2. חשוב על יעילותם של פקדים קיימים (TOD/TOE/CCM).
3. קביעת יעד תוך התחשבות באמצעים המתוכננים של CAPA/פיצוי ותאריך ההישג.
4. אם המטרה סימנה את סף הסובלנות (תיאבון סיכון) - בסדר; אם לא, יש צורך בוויתור על תאריך תפוגה ובבקרה מפצה.

5) מקורות נתונים וראיות

Metrics ו-KRI (לוחות מחוונים, יומנים, דיווחים על אירוע).
תוצאות בדיקת בקרה (CCM), ביקורת (פנימי/חיצוני).
דו "חות ספק: SLA/תעודות/תקריות/שינויים במיקומי נתונים.
אנליטיקה פיננסית: קנסות, גב מטען, הפסד הונאה%.
כל ציון מלווה בראיות הקשורות לחותמת זמן וקבלת חשיש (WORM).

6) עדיפות ליוזמות (העברת סיכון * פעולה)

6. 1 רייס (הסתגלות סיכון)

אורז = (להגיע × Impact_adj × ביטחון עצמי )/מאמץ &fost

הגעה - כמה לקוחות/עסקאות/תחום שיפוט מושפעים.
שינוי Impact_adj I (או ALE/lost p95).
אמון - אמינות הדירוגים (0. 5/0. 75/1. 0).
מאמץ - שבועות-אדם/עלות.
מיון רייס כפול ניצחונות מהירים.

6. 2 WSJF מותאם לסיכון

WSJF = עלות השהייה/גודל עבודה ', Lough Your

עלות השהייה = הורדת סיכונים + ביקורתיות בזמן + ערך עסקי.

הפחתת סיכונים היא הירידה הצפויה ב-Residual/ALE.
ביקורתיות בזמן - מועדי יעד של רגולטורים/ביקורת.
ערך עסקי - הכנסה/חיסכון, ביטחון לקוחות.

6. 3 עדיפות רגולטורית

אם הסיכון קשור לרישיונות/חוק ויש תאריך יעד קשה, הוא נופל אוטומטית ל-Critical/High, ללא קשר לניקוד ה ”כלכלי”.

7) כללי סף והסלמה

קריטי: מיון מיידי, CAPA/30 ימים, ביקורת מחדש ב 60-90 ימים; ועדה שבועית.
CAPA: 60 ימים, מעקב 90 ימים.
הכללה בתוכנית רבעונית.
נמוך: ניטור + ”חוב טק” יכולת חריץ.
סף KRI: אמבר (אזהרה) ורד (הסלמה חובה ו CAPA).

8) תפקידים ו ־ RACI

9) לוחות מחוונים

סיכון מפת חום: מטריצה 5 × 5, מסננים על ידי תחום/מדינה/ספק.
Trust Funel: Resident Lough Residual Lag Target.
Top-N by ALE/p95 Loss: סיכונים כמותיים.
KRI Watchlist: אינדיקטורים וסף, אזעקות אמבר/אדום.
השפעת CAPA: צפוי/הפחתה בפועל; התקדמות על צירי זמן.
ויתור: חריגים עכשוויים, מועדים ואמצעים לפיצוי.

10) מדדי ביצועים

מדד הפחתת סיכונים: שיעור סיכון ממוצע משוקלל (רבע).
CAPA בזמן:% של אמצעים בזמן (בחומרה).
ממצאים חוזרים (12 חודשים): שיעור ההפרות החוזרות ונשנות.
השלמות ראיות:% סיכונים עם חבילה מלאה (100% יעד עבור High +).
דיוק חיזוי: אי התאמה של אובדן/תדרים משוער וממשי.
זמן למיון/זמן לתכנית/זמן למטרה.

11) SOP (נהלים סטנדרטיים)

SOP-1: אתחול ומאזניים

הגדר מאזני L/I וסף קטגוריה _ לאשר בוועדה # שיא במאגר (versioning).

SOP-2: חידוש רבעוני

אוסף של KRI/תקריות * חישוב מחדש של L/I/ALE # סקירה ע "י בעלים * עדיפויות לוועדה.

SOP-3: תקרית הדק

במקרה של אירוע קריטי/גבוה - חישוב מחדש לא מתוכנן, התאמת CAPA וסדרי עדיפויות.

SOP-4: ניתוח כמותי (סיכונים עליונים)

הכן התפלגויות קלט # Monte Carlo (ריצות של 10k) = עקום הפסד = = החלטת הוועדה.

SOP-5: ארכיון וראיות

ייצוא פרוסות (CSV/PDF) + קבלות חשיש * * קישורים בארכיון תולעת * בכרטיסי GRC.

12) תבניות ו ”כקוד”

12. מדיניות ניקוד 1 (קטע)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 כרטיס סיכון (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 עדיפות (דוגמה ל ־ WSJF)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) אמצעי פיצוי וויתורים

• אנו מפצים על בקרות (צ 'קים ידניים, גבולות, ניטור נוסף) עם מדדי ביצועים;
• אנו מוציאים כתב ויתור עם תאריך תפוגה, בעלים ותוכנית החלפה;
• ביקורת חובה בעוד 30-90 יום.

14) תרופות אנטי ־ פטריות

”מטריצה יפהפייה” ללא קשר ל-KRI/בקרה/תקריות.
קשקשים צפים ו ”כוונון ידני” לתוצאה הרצויה.
חוסר איוש של חישובים והנחות.
תיקונים נדירים של המפה אינה משקפת את המציאות.
ויתור ללא תאריך תפוגה וללא אמצעי פיצוי.
חוסר ניתוח כמותי לסיכונים עליונים.

15) מודל בגרות (M0-M4)

M0 אד-הוק: הערכות ”לפי העין”, אין מדיניות אחת.
M1 מתוכנן: מטריצה 5 × 5, עדכונים רבעוניים, לוחות מחוונים בסיסיים.
M2 מנוהל: תקשורת עם KRI/CCM, קישור CAPA, ראיות תולעת.
M3 Integrated: ALE/FAIR/Monte Carlo עבור סיכונים עליונים, WSJF/RICE ב-Roadmap, CI/CD Gates.

M4 הבטחה רציפה: חיזוי KRI, חישוב אוטומטי, סדרי עדיפויות המלצה

16) מאמרים הקשורים לוויקי

מפת סיכון חום

ביקורת חשבונות מבוססת סיכון (RBA)

KPIs ומדדי ציות

ניטור ציות רציף (CCM)

תוכניות תיקון (CAPAs)

מדיניות ומאגר ציות

מפת דרכים צייתName

ביקורת חיצונית על ידי רואי חשבון חיצוניים

סך הכל

ניקוד סיכונים ותעדוף הם משמעת הנדסית, לא אמנות: קשקשים יציבים ומדיניות, נתונים מספקים, שיטות כמותיות לסיכונים עליונים, סף מפורש והסלמה, וקשר ישיר ל-CAPA ולמפת הדרכים. גישה זו מקבלת החלטות צפויות, מאיצה אישורים, ומפחיתה את הסיכון הכללי של העסק.