Ներքին վերահսկում նրանց աուդիտը

1) Նշանակումներ և տարածք

Նպատակը 'ապահովել բիզնեսի նպատակներին ապահով և օրինական, նվազեցնելով վիրահատական, ֆինանսական, կոմպլենսային և հեղինակավոր ռիսկերը։

Մոսկվան 'պրոցեսորային և IT-վերահսկում են բոլոր օրինագծերում' վճարումներ/կասաուտներ, KYC/AML/սանկցիաներ, հակաֆրոդ, RG, մարքեթինգը/տվյալների ֆորումը, DevOps/MSE, SDH/BI, մասնավորություն/GDPR, TPRM։

2) Սկզբունքներն ու պաշտպանության մոդելը

Երեք պաշտպանական գծեր ՝ 1) գործընթացների սեփականատերերը (վիրահատություն/ապրանք), 2) ռիսկի/կոմպլանսի/անվտանգություն (մեթոդաբանություն, միացում), 3) անկախ ներքին աուդիտ։

Risk-based: Վերահսկողները կառուցվում են հիբրիդային ռիսկի գերակայությամբ։

Evidence-driven: Յուրաքանչյուր հսկողություն ունի չափելի չափանիշներ, տվյալների աղբյուրներ և արտեֆակտներ։

Automate-first: հնարավորության դեպքում 'ավտոմատ և շարունակական վերահսկումներ (SDM) ձեռքի փոխարեն։

3) Ռիսկերի քարտեզը ռազմավարական նպատակների վրա վերահսկվում էր

1. Ռիսկ-2019 'նույնականացնել պատճառները/իրադարձությունները/հետևանքները (ֆինանսներ, խաղացողներ, լիցենզիաներ)։

2. Վերահսկողության նպատակները 'ինչ պետք է կանխել/հայտնաբերել/շտկել (օրինակ ՝ «միջոցների անօրինական դուրսբերումը», «PII-ի անհապաղ հասանելիությունը»)։

3. Վերահսկողական գործունեություն 'հատուկ քաղաքական/ընթացակարգերի ընտրություն/ավտոմատացում նպատակին հասնելու համար։

Կառավարման տեսակները

Ինդուկտիվ ՝ RBAC/ABAC, SoD (4-eyes), limits և արագ, տվյալների validation, Intel Authn, mTLS։

Դետեկտիվ 'SIEM/alerts, reconciliae, dashbords SLA/SLO, աուդիտ-լոգներ (WORM), անոմալիայի վերահսկողություն։

Շտկող 'մեքենա-արգելափակումը, ածխաջրածինների վերացումը, պարամետրերի վերացումը, ձեռքի վերլուծությունները և բարձրացումները։

Փոխհատուցող 'եթե հիմնական վերահսկումը անհնար է' ուժեղացնող միջոցներ (դդդ.), կրկնակի ծալք)։

4) Կառավարման կատալոգը (Corl Library)

Յուրաքանչյուր վերահսկողության համար գրված է

ID/Անունը, նպատակը (objective), ռիսկը, տեսակը, հաճախականությունը, սեփականատերը, կատարողը, կատարման մեթոդը (ձեռքով/մեքենա/գուիդ), ապացույցների աղբյուրները, KPI/KRI, կապ քաղաքական գործիչների հետ/wwwer, կախված համակարգեր։

Վիճակը ՝ Snaft Actions Monitored to Retired. Տարբերակումը և փոփոխությունների ամսագիրը։

Ձայնագրությունների օրինակները (փխրուն)

«CTRL-IV-004» - 4-eyes approve վճարման համար> X (կարգապահ, ամենօրյա, Owner: Head of Payments, Evidence: 07/logy, KPI: 100% ծածկույթ)։

«CTRL-MSH-012» - PII դիմակավորում վիտրիններում (ֆոսֆորային, անընդհատ, Owner: Head of Live, Evidence: Թեստային հարցումներ, KPI: 3695 տոկոսը reads)։

«CTRL-SEC-021» - MFA ադմինի կոնսոլիայի համար (ֆոսֆոր; Evidence: IdP հաշվետվություններ; KPI: 100% adoption).

5) RACI և սեփականատերերը

6) Աուդիտների և թեստերի պլանավորումը

Տարեկան պլանը ձևավորվում է ռիսկային (բարձր հիբրիդային ռիսկ, կարգավորող պահանջներ, միջադեպեր, նոր համակարգեր)։

Ստուգումների տեսակները

Design Effectiveness (DE). Արդյո՞ ք ճիշտ նախագծված է ռիսկի նվազեցման համար։

Operating Effectiveness (OE), արդյոք աշխատում է կայուն և տվյալ հաճախականությամբ։

Thematic/Process Audit: տիրույթի միջոցով (օրինակ, KYC/AML կամ կասաուտներ)։

Follow-up/Verifox: CAPA-ի փակման ապացույց։

Մոտեցում ՝ Walkthrough (ուղի), հարցազրույցներ, արտեֆակտների/լոգարանների, վերլուծության, ռեպերֆորմացիայի (կատարման խոհարար)։

7) Ապացույցներ և նմուշներ

Evidence: (ստորագրություն/hash), IDP/SSO զեկույցներ, տիկետներ և հավանությունների ամսագրեր, դելեգներ, սկրինշոտներ թայմշտամներով, x.ru/cv. վիտրիններից, PAM նստաշրջանների ձայնագրությունները։

Ամբողջականությունը 'WORM պատճենները, հեշ շղթաները/ստորագրությունները, «ts _ utc» նշումը։

Նմուշը 'վիճակագրական/դատողական; չափը կախված է վերահսկման հաճախությունից և վստահության մակարդակից։

Չափանիշները ՝ pass/fail; թույլատրվում է de minimis շեմեր ձեռքով վիրահատությունների համար։

8) Անհամապատասխանության գնահատումը և դասակարգումը

Աստիճանները ՝ Critical/High/Windows/Low։

Չափանիշները ՝ ազդեցությունը (գումար/PII/լիցենզիա), հավանականությունը, տևողությունը, կրկնությունը, փոխհատուցող։

Հաշվետվություններ ՝ հայտնաբերման քարտեզ (risk, նկարագրություն, օրինակներ, առաջընթացներ, ազդեցություն, պահանջվող գործողություններ, ժամկետներ, սեփականատեր), թրքինգի կարգավիճակ։

9) CAPA-ն և փոփոխությունների կառավարումը

Direrective and Corventive Actions: Ռուսական առաջին (root cause), ոչ միայն ախտանիշներ։

S.M.A.R.T.T.T.M. միջոցներ 'հատուկ, չափված, թվագրված։ պատասխանատվություն և վերահսկողական կետեր։

Change Advisory Board: Բարձր ռիսկի փոփոխությունները անցնում են CAB; նորարարություն/ընթացակարգեր/դերեր։

Արդյունավետության վերաֆինանսավորումը 'երկրորդ հաշիվը N շաբաթից/ամիս հետո։

10) Շարունակական ֆորումը (MSM) և վերլուծությունը

MSM թեկնածուներ 'բարձր հաճախականության և ձևավորված վերահսկումներ' SoD հակամարտություններ, JIT-2019, աննորմալ օրինագծեր, MFA-coverage, հիբրիդային լիմիտներ, սանկցիոն հիթեր։

Գործիքներ 'SIEM/UEBA կանոնները, dashbords System/BI, սխեմաների/դիմակների վալիդատորներ, հասանելիության թեստեր (policy-as-code)։

Ազդանշաններ/ալերտներ ՝ շեմի/վարքագծային; tiketes SOAR; Avto բլոկները կրիտիկական շեղումներով։

Առավելությունները 'հայտնաբերման արագությունը, ձեռքի բեռի նվազումը, լավագույն ապացուցումը։

11) Մետրիկի (KPI/KRI)

KPI (կատարումը)

Coverage վերահսկում է կրիտիկական գործընթացները 3,95 տոկոսը

On-time execution ձեռքով վերահսկումներ 2498 տոկոսը

CAPA closed ժամանակում (High/Critical) 3895 տոկոսը

Ավտոմատացված կառավարման մասնաբաժինը MoM

KRI (ռիսկեր)

SoD = 0 խախտումներ

Հասանելի է PII-ին առանց «purpose» = 0

Արտահոսքերը/միջադեպերը տեղեկացված են 2472 ժամ '100 տոկոսը

Fail-rate վիրահատական վերահսկումներ <2% (տենդենցը նվազում է)

12) Հաճախությունն ու օրացույցը

Ամեն օր/անընդհատ 'MSM, հակաֆրոդ ազդանշաններ, լիմիտներ, դիմակավորում։

Շաբաթը ՝ վճարումների/արբիտրաժների իջեցում, ածխաջրածինների վերահսկում, ալերտների վերլուծություն։

Ամեն ամիս, MFA/SSO զեկույցները, հասանելի, գենդեր-2019, KRI միտումները։

Եժեքվարտալ 'իրավունքների ռև հավաստագրում, թեմատիկ ակնարկներ, BCP/DR սթրեսային թեստեր։

Ամեն տարի, աուդիտի ամբողջական պլանը և ռիսկի քարտեզի նորացումը։

13) Մոսկվան գոյություն ունեցող քաղաքական գործիչների հետ

RBAC/ABAC/Least Privilege, Հասանելիության և սեգմենտացիայի քաղաքականությունը միգրացիոն վերահսկողության աղբյուրն է։

Գոլորշի քաղաքականությունը և MFA-ը ադմինների/քննադատական վիրահատությունների պարտադիր պահանջներն են։

Լսողական ամսագրերը/լոգերի քաղաքականությունը դետեկտիվ և ապացուցող վերահսկումներ են։

TPRM-ը և երրորդ կողմերի պայմանագրերը 'արտաքին վերահսկողները' SLA, DPA/SCCs, իրավունքի պաշտպանությունը։

14) Չեկ թերթերը

14. 1 Նոր վերահսկողության դիզայն

• Նկարագրված է նպատակը և կապված ռիսկը
• Մոսկովյան տիպ (ստանդարտ/դետեկտիվ/ուղղիչ)
• Նշանակված են սեփականատերը/կատարողը և հաճախականությունը
• Տվյալների աղբյուրները և evidence ձևաչափը
• Ներկառուցված մետրերը (KPI/KRI) և ալտերտերը։
• Նշված են քաղաքական գործիչների հետ կապերը/2019
• DE/OE թեստավորման պլանը []

14. 2 Անցկացում

• Sco.ru և DE/OE չափանիշները համաձայնեցված են
• Արտեֆակտների և մատչելի ցուցակների ցուցակ 2019
• Նմուշը համաձայնեցված է և ամրագրված է
• Արդյունքները և գտածոները դասակարգվում են
• CAPA, ժամանակը և սեփականատերերը հաստատված են
• Զեկույցը հրատարակված է և փոխանցվում է սթեյքոլդերներին

14. 3 Ֆեդեգրաֆիա և հաշվետվություններ (ամսական)

• KPI/KRI բոլոր քննադատական վերահսկումներով
• Միտումներ ձախողումների/կեղծ աշխատանքի վերաբերյալ
• CAPA կարգավիճակը և ժամկետները
• Ավտոմատացման/SSM առաջարկներ

15) Տիպիկ սխալներ և ինչպես խուսափել դրանցից

Վերահսկումը առանց նպատակի/մետրիկայի 'ձևավորել objective և KPI/KRI։

Ձեռքերը վերահսկում էին առանց ապացույցների 'ստանդարտացնել ձևերը/ջութակները և պահել արտեֆակտները WORM-ում։

Բացառությունների ավելացում 'բացառություններ, որոնք կապված են պարամետրերի ամսաթվի և փոխհատուցման հետ։

«Թղթի վրա» աշխատում է, իրականում ոչ։

Անպաշտպան CAPA-ն 'ավտոմատ էսկալացիա և ռիսկի ամսական հանձնաժողովի կարգավիճակը։

16) Իրականացման ճանապարհային քարտեզը

Շաբաթներ 1-2: նորարարել ռիսկերի քարտեզը, կազմել վերահսկման կատալոգ, նշանակել սեփականատերերին, հաստատել evidence ձևանմուշները։

Շաբաթներ 3-4: սկանավորել KPI/KRI հրթիռները, ընտրել 5-10 վերահսկողություն ավտոմատացման համար (PPM), հաստատել տարեկան աուդիտի պլանը։

Մեկ ամիս 2 'անցկացնել 1-2 հազար ռուբլիներ (բարձր ռիսկ), ներդնել SOAR-alerts, տեղադրել տեղեկությունները։

Մեկ ամիս 3 +: ընդլայնել PPM, անցկացնել զանգվածային ակնարկներ, կրճատել ձեռքի վերահսկումները, բարձրացնել DE/OE-2019 մասնաբաժինը և CAPA-ի փակման արագությունը։

TL; DR

Արդյունավետ ներքին վերահսկումները = ռիսկի քարտեզը նպատակին ցույց է տալիս հստակ գործողություններ սեփականատիրոջ և ապացույցների հետ, գումարած DE/OE թեստերը, CAPA և MSM ավտոմատիզացիան։ Սա ռիսկերների կառավարումը չափելի է դարձնում, աուդիտը կանխատեսելի է, իսկ համապատասխանությունը ապացուցված է։