Ռիսկերի սկորինգը և գերակայությունը
1) Նպատակը և արդյունքները
Նպատակը այն է, որ ռիսկերների գնահատումն ու դասակարգումը վերարտադրելի և ստուգելի դարձնելն է, որպեսզի լուծվեն վճարումների/ժամկետի/ռեսուրսների լուծումները
համեմատելի (միասնական մասշտաբներ և բանաձևեր),
թափանցիկ (տվյալների աղբյուրները և սխալները ազդում են),
չափելի (չափումներ և KRI կապված են վերահսկողությունների և միջադեպերի հետ),
կատարվող (յուրաքանչյուր ռիսկի համապատասխանում է CAPA/waiver պլանին 'մրցույթի ամսաթվով)։
Ելքերը 'ռիսկերների մի փաթեթ, առաջնահերթություն միջոցառումների, ջերմային քարտեզների, հիբրիդային ռիսկի հաշվետվությունների, «audit-ready» արտեֆակտների մասին։
2) Տերմինները և ռիսկի մակարդակները
Inherent Risk-ը ռիսկն է առանց վերահսկման։
Residae Risk-ը ռիսկն է, հաշվի առնելով ներկա վերահսկումները (VLD/WindE/MSM)։
Target Risk-ը SARA/փոխհատուցող միջոցներից հետո ռուսական մակարդակն է։
Likelihood (L) - գնահատականների հորիզոնում սցենարի առաջխաղացման հավանականությունը։
Impact (I) - ամենամեծ ֆինանսները, լիցենզիաները/իրավունքները, գաղտնիությունը/տվյալները, վիրահատությունները/SLO, հեղինակությունը։
KRI-ը ռիսկի ցուցիչներ են, որոնք ազդում են L/I-ի վրա (օրինակ, Dsar _ response _ p95, chargeback ratio)։
3) Մասշտաբներ և հիմնական մոդելներ
3. 1 Դիսկրետ մատրիցա (5-5 կամ 4-4)
Score = L 35I-ն 1-25 (կամ 1-16) միջակայքն է։
Կատեգորիաներ (օրինակ 5-5)
20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
Շեմի արժեքները հրապարակվում են «Սկորինգի քաղաքականության» մեջ և անընդհատ օգտագործվում են բոլոր բյուջեների համար։
Likelihood-ի սանդղակը (օրինակ, 5 մակարդակ)
1 - անգամ> 3 տարեկանում; 2-3 տարին մեկ։ 3 - ամեն տարի; 4 - եռամսյակային; 5 - ամսական/ավելի հաճախ։
Impact-ի սանդղակը (մակս չափանիշով, օրինակ)
1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; իրավաբանական/ֆոսֆորային ռիսկերի դեպքում մակարդակը բարձրանում է առնվազն 4-5։
3. 2 Քանակական մոդելներ
ALE (Annualized Loss Expectancy): «ALE = SLE no ARO», որտեղ «SLE» -ը իրադարձության միջին վնասն է, «ARO» -ը տարեկան ակնկալելի հաճախությունն է։
FOX մոտեցումը (պարզեցնելով) 'մենք մոդելավորում ենք հաճախականությունը (Threat Event Frequency) և շարժիչների արժեքը (Loss Magnitude), մենք օգտագործում ենք (p50/p95) որոշումներ կայացնելու համար։
Monte Carlo: բաշխումը հաճախականության և վնասի համար (lognorm/gamma և այլն), 10-100k progons wwww.ru (loss eneeedroncurve)։ Օգտագործել ամենաթանկ/կարգավորող քննադատական ռիսկերի համար։
Առաջարկություն '80 տոկոսը 5-5, 20 տոկոսը (top-ռիսկեր) - ALE/FOX/Monte-Carlo։
4) Արբիտրաժային և ռուսական ռիսկը
1. Հաշվարկել Inherent-ը «առանց վերահսկման»։
2. Հաշվի առնել գոյություն ունեցող վերահսկողության արդյունավետությունը (ստուգվել է WinD/Wind E/MSM) Windows Residae-ը։
3. Որոշել Target-ը 'հաշվի առնելով պլանավորված SARA/փոխհատուցող միջոցները և հասնելու ամսաթվերը։
4. Եթե Target-ը բացատրում է հանդուրժողականության շեմն (risk appetite) - ok; եթե ոչ, ապա պահանջվում է waiver ամսաթիվը և փոխհատուցող վերահսկումները։
5) Տվյալների և ապացույցների աղբյուրները
Metriki և KRI (dashbords, logs, զեկույցներ)։
Վերահսկման թեստերի արդյունքները (PPM), աուդիտները (ռոտր ./արտաքին)։
Պրովայդերների հաշվետվությունները ՝ SLA/հավաստագրեր/միջադեպեր/տվյալների հաղորդագրությունների փոփոխություն։
Ֆինանսական վերլուծություն 'տուգանքներ, chargeback, fraud loss%։
Յուրաքանչյուր գնահատական ուղեկցվում է evidence հղումներով թայմստամով և հեշ քվիտանիայով (WORM)։
6) Նախաձեռնությունների գերակայությունը (ռիսկի փոխանցումը իրավական գործողություն)
6. 1 RICE (ռիսկի հարմարեցում)
`RICE = (Reach × Impact_adj × Confidence) / Effort`
Reach-ը քանի հաճախորդներ/գործարքներ/միգրացիաներ են։
Impact _ adium - փոխակերպված I (կամ ALE/p95 կորուստ)։
Coridence-ը գնահատականների հուսալիությունն է (0։ 5/0. 75/1. 0).
Effect-ը մարդ-շաբաթ/արժեք է։
RICE-ի տեսակավորումը արագ հաղթանակներ է տալիս վերևում։
6. 2 WSJF ռիսկի փոփոխությամբ
`WSJF = Cost of Delay / Job Size`, где
`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.
Risk Reduction-ը Residae/ALE-ի ակնկալելի նվազումն է։
Time Criticality-ը կարգավորիչների/աուդիտների գլուխգործոցներն են։
Business Value-ը եկամուտ/խնայողություն է, հաճախորդների վստահությունը։
6. 3 Կարգավորող գերակայություն
Եթե ռիսկը կապված է օրենքների/օրենքի հետ և կա կոշտ dedline, այն ինքնաբերաբար ընկնում է Critical/High-ում, անկախ «տնտեսական» սկորինգից։
7) Շեմի կանոններ և էսկալացիա
Critical: չարտոնված եռյակը, CAPA 3830 օր, re-audit 60-90 օրվա ընթացքում; շաբաթական հանձնաժողովը։
High: CAPA 2460 օր, 90 օր դիտարկումը։
Ստանիսլավ 'կարդացեք զանգվածի պլանին։
Low: 07 + հնարավորություն «tech debt»։
KRI շեմերը ՝ Amert (նախազգուշացում) և Red (պարտադիր էսկալացիա և CAPA)։
8) Դերեր և RACI
9) Դաշբորդի
Risk Heatmap: մատրիցա 5-5, ֆիլտրեր ալյումինե/երկրներին/պրովայդերներին։
Risk Funnel: Inherent no Residations Target (նվազեցման դելտա)։
Top-N by ALE/p95 Loss: քանակական ռիսկեր։
KRI Watchlist: Պաշտպանողներ և շեմեր, Amert/Red անհանգստությունները։
CAPA Impact: Ակնկալելի/իրական նվազում; առաջընթաց ժամանակի ընթացքում։
Waivers: գործող բացառություններ, ժամկետներ և փոխհատուցող միջոցներ։
10) Արդյունավետության մետրերը
Risk Reduction Index: Միջին կշռված ռիսկի սկոր (քառորդ/քառորդ)։
On-time CAPA-ն 'միջոցառումների տոկոսը ժամանակին (severity)։
Repeat Findings (12 մեզ), կրկնվող խախտումների մասը։
Evidence Completeness: Ռիսկերի տոկոսը ամբողջական փաթեթով (նպատակը 100 տոկոսը High +)։
Cordiction Accuracy-ը գնահատված և հաճախականության տարբերությունն է։
Time-to-Triage / Time-to-Plan / Time-to-Target.
11) SOP (տեխնիկական ընթացակարգ)
SOP-1 'Նախաձեռնություն և մասշտաբներ
Որոշեք L/I մասշտաբները և կատեգորիաների շեմերը առաջարկվում է հաստատել Հանձնաժողովում, որը պետք է ամրագրվի կրկնօրինակում (տարբերակումը)։
SOP-2: Եռամսյակային վերագնահատում
KRI/2019-ի հավաքումը L- ի/I/ALE-ի վերահաշվարկումն է իրական սեփականատերերի կողմից, որոնք նշում են Roadmap-ի հրապարակումը։
SOP-3: Պատահականություն-տրիգեր
Critical/High-ի դեպքում պատահականությունը չնախատեսված վերահաշվարկ է, CAPA-ի և գերակայությունների կարգավորումը։
SOP-4: Քանակական վերլուծություն (Top-ռիսկեր)
Monte-Carlo (No. 10k Progons) հյուրանոցների մուտքային բաշխումները պատրաստելու համար կորերը հաստատեցին Հանձնաժողովի որոշումը։
SOP-5: Արխիվը և ապացույցները
Կտրվածքների էքսպորտը (CSV/PDF) + հեշ քվիտանիան WORM արխիվը մեջբերում է հղումները GRC քարտերում։
12) Ձևանմուշներ և «as-code»
12. 1 Սկորինգի քաղաքականություն (հատված)
scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"12. 2 Ռիսկի քարտ (YAML)
yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]12. 3 Գերակայություն (WSJF օրինակ)
yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 213) Փոխհատուցող միջոցներ և waivers
Եթե արագ ֆիքսը անհնար է
մենք վերահսկում ենք փոխհատուցիչները (ձեռքով ստուգումներ, լիմիտներ, ավելացված ճշգրտումներ) արդյունավետության չափումներով։
մենք պատրաստվում ենք waiver-ը, որի ամսաթիվը, սեփականատերը և փոխարինման պլանը.
պարտադիր re-audit 30-90 օրվա ընթացքում։
14) Անտիպատերնի
«Գեղեցիկ մատրիցա» առանց KRI/վերահսկման/միջադեպերի։
Լողացող մասշտաբները և «ձեռքի թյունինգը» ցանկալի արդյունքի տակ։
Տարբերակման և թույլատրությունների բացակայությունը։
Ռուսական քարտեզի հազվագյուտ վերանայումները իրականություն չեն արտացոլում։
Waivers-ը առանց մրցույթի ամսաթվի և փոխհատուցող միջոցառումների։
Քանակական վերլուծության բացակայությունը top ռիսկերի համար։
15) Հասունության մոդելը (M0-M4)
M0 Ad-hoc: Գնահատականներ «աչքերի վրա», չկա միասնական քաղաքականություն։
M1 Plane: մատրիցա 5-5, եռամսյակային նորարարություններ, հիմնական dashbords։
M2 Կառավարվող 'կապը KRI/MSM, CAPA-լինկովկա, WORM-evidence-ի հետ։
M3 Ինտեգրված ՝ ALE/FOX/Monte-Carlo top ռիսկերի համար, WSJF/RICE Roadmap, CI/CD խաղերը։
M4 Enginuous Assurance-ը 'կանխատեսելի KRI, auto-վերահաշվարկ, առաջարկական գերակայություններ և «evidence-by-design»։
16) Կապված wiki հոդվածները
Ռիսկի ջերմային քարտեզը
Ռիսկային աուդիտ (RBA)
KPI և կոմպլանսի մետրերը
Շարունակական կոմպոզիցիա (MSM)
Խախտումները վերացնելու պլանները (CAPA)
Ռեպոզիտորիա քաղաքական և ստանդարտներ
Կոմունայի ճանապարհային քարտեզը
Արտաքին ստուգումները կողմնակի ագրեսորներին
Արդյունքը
Ռիսկերի սկորինգը և գերակայությունը ինժեներական առարկան են, ոչ թե արվեստը 'կայուն մասշտաբներ և քաղաքականություններ, ապացուցված տվյալներ, քանակական մեթոդներ top ռիսկերի համար, ակնհայտ շեմեր և էսկալացիա, ինչպես նաև ուղիղ կապ CAPA-ի և ճանապարհային քարտեզի հետ։ Այս մոտեցումը լուծում է տալիս կանխատեսվող, արագացնում է համակարգումը և նվազեցնում բիզնեսի ընդհանուր ռիսկը։