Փոփոխությունների կառավարում կոմպլանսի քաղաքականության մեջ

1) Ինչո՞ ւ կառավարել փոփոխությունները

Կոմպլանսի քաղաքականության փոփոխությունները ազդում են գործընթացների, համակարգերի, դերի և իրավաբանական պարտավորությունների վրա։ Փոփոխությունների կառավարման ֆորմալ գործընթացը (Policy Change Express) երաշխավորում է

ժամանակին արձագանք կարգավորողի/ռիսկերի վրա.
պահանջների ներդաշնակությունն ու չափումը.

կանխատեսելի ներդրումը առանց ռեգրեսիայի և վիճահարույց մեկնաբանությունների;

ֆոսֆորների համար ապացույցային հիմքը (ով, երբ, ինչու և ինչպես փոխեց)։

2) Փոփոխական գործիքներ

Նոր/նորացված օրենքները, կարգավորող դելդաները, դիրքային նամակները։

Մրցույթի արդյունքները, միջադեպերը, Lessons Learned-ը, բարձրացված KRI-ն։

Արտադրանքի գործարկումը/փոփոխությունը, նոր իրավասությունների ելքը։

Տեխնոլոգիական տեղաշարժերը (ճարտարապետություն, ամպեր, ծածկագրում, IAM, DevSecOps)։

Ռիսկի-ախորժակի փոփոխությունը/ընկերության ռազմավարությունը։

3) Փոփոխությունների և չափանիշների տեսակները

4) Դերեր և RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Փոփոխությունների կառավարման գործընթացը (SOP)

1. Նախաձեռնություն 'փոփոխության քարտ (պատճառը, նպատակը, տեսակը, իրավասությունը, շահույթը, ռիսկը)։

2. Ազդեցության վերլուծություն (Impact Assessport): Ում/ինչ է ազդում (ծառայություններ, տվյալներ, դերեր, պայմանագրեր), արժեքը, կախվածությունը, հակամարտությունը գործող SOP/ստանդարտների հետ։

3. Դրամաշնորհ և գրգռում ՝ նոր/նորարարված խմբագրություն, ստատեմենտներ, mapping նորմերի/հավաստագրման վրա, չափված մետրերը։

4. Peer Review: Legal/DPO/SecOps/Business; մեկնաբանությունների և որոշումների արձանագրություն։

5. Aprov: Owner 2019 (Major) Policy Board/Executive։

6. Իրականացման պլանը 'ժամկետներ, փուլեր, համակարգերի/թիմերի պատրաստակամություն, միգրացիոն քայլեր։

7. Հաղորդակցություն ՝ one-pager/FAQ, դերերի, dedline և CTA (տե՛ ս «Կոմունիստական լուծումների հաղորդակցությունը»)։

8. Ուսուցում/հավաստագրում: Դասընթացներ/քվիզներ LFC-ում, որոնք պահանջում են անցման տոկոսը, մուտքի արգելափակում, երբ դուք չեք հասնում (ռիսկի)։

9. Ներդրումը և վերահսկումը 'CI/CD խաղացողները, DLP/EDRM/IAM/rententies-ի նորարարությունը, կատարման իրականացումը։

10. Evidence-ը և աուդիտը 'վարկածները, ուսուցման արտեֆակտները, որոշումների արձանագրությունները, WORM արխիվը։

11. Փոստի վրայով 'էֆեկտի գնահատումը, կանոնների/մետրերի ճշգրտումը, պոչերի հաստությունը։

6) Տարբերակումը և «քաղաքականությունը որպես կոդ»

Պահեստավորում (Git) 'քաղաքականություն/108/ընթացակարգ, ինչպես Markdown/YAML; PR-revew, տարբերակների թեգեր, changelog։

Պարզ www.l statements-ը թեստավորված չափանիշներով 'ավտոմատացման (Compliance-as-Code)։

«Քաղաքականության տարբերակը բացատրում է ստանդարտների/ընթացակարգերի տարբերակը մոնիտորինգի կանոնները (PPM)»։

Emergency-ի համար hotfix + -ը պարտադիր PR-ի հետադարձ ֆակտուրա է, որը լի է։

7) Իրավաբանության և իրավասության պաշտպանությունը

Winter-տարբերակը + Country Disendum: Տեղական բջիջները առանց թուլացման։

Տերմինոլոգիական գլոսարիա, մեկ համարակալված տարբերակ (օրինակ ՝ 2։ 1-EE/2. 1-TR).

Համաժամացման գործընթացը 'Major-ը Corter-ում Dedline-ը լոկալների նորարարության վրա բացատրում է ռասինխրոնների վերահսկումը։

8) Հաղորդակցություն և փոփոխությունների կառավարում «դաշտերում»

Լսարանների մատրիցը 'Dev/ops/www.t/fin.ru/AML/HR/Exec։

Ձևանմուշները ՝ one-pager, թողարկման-նոութը, FAQ (6-10 հարցեր), PR-ձևաչափը, SQL/wwww.g-sinpets։

Ալիքները ՝ wiki/պորտալ քաղաքական, Slack/Teams, email-2019, LTS, vorkshops։

SLA հաղորդակցություն: Critical 3524 ժամ; High 7-14 օր առաջ։ Մոսկվան 14-30 օր է։

Պարտադիր ամրագրումը 'read-receipt/քվիզ + ամսագիր GRC-ում։

9) Վերահսկիչների և համակարգերի հետ

IAM/IGA: SoD/հասանելիության լուծարումը, դերերի հետ սովորելը։

Platform: TTL/retention, Legal Hold, դիմակավորում, lineage։

DevSecOps-ը ՝ ռուսական, SFC/DMS/SCA, OFC արտոնագրեր։

Cloud/IaC: Terraform/K8s ստուգումը նոր պահանջների համար։

SIEM/SOAR/DLP/EDRM 'կանոններ և պլեյբուսներ կատարման վերահսկման համար։

GRC: Ռուսական տարբերակներ, waivers, chek թերթիկներ, «Նորմալ վերահսկողություն» մատրիցը։

10) Բացառություններ (Waivers) և անցումային ժամանակահատվածներ

Հարցումը 'պատճառը, ռիսկը, որը փոխհատուցում է միջոցները, վճարման ամսաթիվը։

Կատեգորիաները 'տեխնիկական անհնարինություն, կախվածություն միգրանցներից, պայմանագրային սահմանափակումներից։

Տեսանելիությունը տաշբորդներում, ավտոմեքենաների հիշեցումներում, ժամկետանց էսկալացիայի մեջ։

Անցումային պատուհանները (grace period) ամրագրված են թվերի և KPI ներդրման հետ։

11) Մետրիկի և SLO փոփոխման գործընթացը

MTTU (Mean Time to Prodate) 'ձգողից մինչև հրապարակումը (Major 2430 օր)։

Communational SLA-ն 'ավելացված դերերի տոկոսը, որոնք ժամանակին ծանուցումներ են ստացել (498%)։

Training Coverage: Վերջին հավաստագրման տոկոսը ժամանակին (3695%)։

Adoption Rate-ը համակարգերի/գործընթացների մի մասն է, որտեղ պահանջները ներդրված են (պլանի ստանդարտ)։

Drift Post-Change-ը 'ներարկումից հետո վերահսկողների խախտումները (միտում)։

Waiver Hygiene: % waivers, որն ունի իրական մրցույթի ամսաթիվը (100%)։

Audit Readiness: evidence հավաքելու ժամանակը որոշակի տարբերակով (388 ժամ)։

12) Dashbords (նվազագույն հավաքածու)

Change Pipeline: стадия (Draft/Review/Approve/Comm/Train/Deploy).

Coverage & Adoption: Ուսուցում, պահանջների ընդունումը, տիկետները։

Drift & Violae: Խախտումներ փոփոխությունից հետո (by owner/severity)։

Waivers & Deadlines: ակտիվ բացառություններ, ժամկետներ, էսկալացիա։

Mastalization Cornc-ը 'լոկալների և ռասինխրոնների կարգավիճակը։

Audit Pack: արտեֆակտների հավաքածու «կոճակի վրա» ընտրված տարբերակի վրա։

13) Չեկ թերթերը

Նախքան փոփոխությունը սկսելը

• Քարտը 7W (What/Why/Who/When/Where/How/Win)։
• Impact-գնահատումը, կախվածությունը, կոնֆլիկտը-մատրիցը։
• Carvization նորմերի/հավաստագրման վրա + չափված www.l statements։
• Peer review (Legal/DPO/SecOps/Business) փակված է, GRC-ում արձանագրություն։
• Հաղորդակցության և ուսուցման պլանը. նյութեր one-pager/FAQ/
• Իրականացման պլանը և թեստերը (staging no.), հակառակը։
• Evidence-ցուցակը 'ինչ ամրագրել և որտեղ պահել (WORM)։

Միանալուց հետո

• Վերահսկման համակարգի ստուգում (PPM) և դաշնամուր։
• Ուսուցանելու և ծածկելու զեկույց։
• Dreef/2019 վերլուծությունը, կանոնների իրականացումը։
• SOP/ստանդարտների/պլեյբուսի նորարարությունը։
• Փոստի հեղափոխությունը և դասերի ձայնագրությունը (Lessons Learned)։

14) Անտիպատերնի

«Փոստով» փոփոխությունը առանց հաշվարկների, տարբերակների և evidence-ի։

Անբարոյական ձևակերպումները («պետք է բավականաչափ»), որոնք անպիտան են ավտոմատացման համար։

Impact գնահատման և հակամարտությունների բացակայությունը հարակից փաստաթղթերի հետ։

Հաղորդակցություն առանց dedlins/STA-ի և առանց կարդալու/ուսուցման։

«Հավերժական» waivers և անցումային ժամանակահատվածներ։

Գոյություն չունի տեղայնացման համաժամացում տարածաշրջաններում տարբեր պահանջներ։

15) Հասունության մոդելը (M0-M4)

M0 Փաստագրական 'հազվագյուտ թարմացումներ, ձեռքով հաղորդագրություններ։

M1 Կատալոգը 'տարբերակների միասնական տարբերակը, apruva հիմնական գործընթացը։

M2 Կառավարվող ՝ RACI, dashbords, ուսուցում, waivers-2019։

M3 Ինտեգրված ՝ քաղաքականությունը որպես կոդ, CI/CD, SDM-վերահսկում, WORM-evidence-ում։

M4 Medinuous Assurance-ը 'ռուսական ավտոմեքենաների հաղորդակցության փոփոխությունը բացատրում է ռուսական վերահսկողությունը «audit-ready կոճակի վրա»։

16) Կապված wiki հոդվածները

Քաղաքական և ընթացակարգերի կյանքի ցիկլը

Կոմունիստական լուծումների հաղորդակցությունը թիմերում

Շարունակական կոմպոզիցիա (MSM)

Կոմպլանսի և հաշվետվությունների ավտոմատիզացիան

Legal Hold-ը և տվյալների սառեցումը

KPI և կոմպլանսի մետրերը

Due Diligence-ը և աուտսորսինգի ռիսկերը

Արդյունքը

Փոփոխությունների ուժեղ կառավարումը թափանցիկ և վերարտադրված գործընթաց է 'պարզ ձգումներ, չափված պահանջներ, կարգապահված հաղորդակցություններ և ուսուցում, տեխնոլոգիական վերահսկման համակարգի ինտեգրում և evidence ամբողջական հավաքածու։ Այսպիսով, կոմպլանսի քաղաքականությունը մնում է կենդանի, հասկանալի և «անբարոյական» 'առանց բիզնեսի անակնկալների։