Registro dei rischi e metodologia di valutazione

1) Perché e cosa fa parte del registro

Obiettivo: un unico sistema di descrizione, valutazione, priorità e monitoraggio dei rischi che influenzano il denaro (GGR/CF), licenze, giocatori, dati e reputazione.
Copertura: prodotto/ingegneria (SDLC/incidenti), finanza e pagamenti (PSP/conclusioni), KYC/AML/sanzioni, privacy (GDPR), TPRM/venditori, marketing/SDK, dati (DWH/BI), infrastruttura/cloud/DK R, operazioni di zapport e VIP.

2) Tassonomia dei rischi (esempio)

Sicurezza delle informazioni e privacy: fuoriuscite PII/KYC, accesso non autorizzato, mancata logica, fail DSAR.
Regolatori/Compilation: violazioni delle licenze, AML/KYC/sanzioni, divieti pubblicitari.
Operativi/tecnologici: downtime PSP/KYC, difetto di rilascio, degrado latency, incidenti DR.
Frode/abuso: depositi di frodo, abuse bonus, pattern di pagamento.
Finanziari: liquidità dei partner, chargeback-shock, concentrazione su un PSP.
Catena di fornitura Vendore/Vendor - SDK vulnerabili, sottoprocessori con TOMs bassi.
Reputazione/clienti: aumento delle denunce, calo NPS, violazioni RG.
Strategiche/geopolitiche: sanzioni, cambi di tasse/leggi, blocco del traffico.

3) Carta di rischio (campi obbligatori)

ID/Nome del rischio

Categoria (da tassonomia)

Descrizione evento (cosa può accadere) e cause

Asset/processi/giurisdizioni

Proprietario del rischio (Risk Owner) e responsabile (Sponsor)

Controlli disponibili (preventivo/investigativo/correttivo)

Probabilità (P) e Impatto (I) fino ai controlli (inherent)

Rischio residuo (residual) dopo il controllo

Piano di conversione (treatment): ridurre/evitare/accettare/trasmettere

Soglia di escalation/livello di minaccia (Low/Medium/High/Critical)

KRIs e trigger, metriche e origini dati

Stato e scadenza (Next Review) associati a SARA/ticket

Comunicazione con il registro dei controlli (ID dei controlli) e le regole

Commenti del revisore/comitato (ultime decisioni)

4) Scala di valutazione (impostazione predefinita 5 x 5)

4. 1 Probabilità (P)

1 - Raramente (<1/5 anni)

2 - Bassa (1/2-5 anni)

3 - Media (ogni anno)

4 - Alto (trimestre)

5 - Molto alta (mese/frequenza)

4. 2 Influencer (I) - Seleziona il massimo da rami

Finanza: 1: <€10k· 2: €10-100k· 3: €100k-1m· 4: €1-5m· 5:> €5m

Privacy/dati: 1: <1k record·...· 5:> 1M record/unità speciali

Regolatore/licenze: 1: avviso· 3: multa/controllo· 5: sospensione licenza

Disponibilità (SLO/SLA): 1: <15 min·...· 5:> 8 h per le zone critiche

Punteggio finale: «R = P x I» livelli 1-5 Low, 6-10 Medium, 12-16 High, 20-25 Critical.

(Le soglie possono essere adattate all'azienda.)

5) Matrice di griglie di calore e appetito per il rischio

Risk Appetite: documento con tolleranze di dominio (ad esempio, fuoriuscite PII - zero tolleranza; downtime P95 - ≤ X min/mes; chargeback rate — ≤ Y%).
Heatmap: visualizzazione R su 5 x 5; più appetito - richiedono un piano e tempi di CAPA.
Risk Budget: quote di rischi «accettati» con giustificazione (convenienza economica).

6) Metodologie di valutazione

6. 1 Qualità (partenza rapida)

Valutazioni di esperti su P/I + giustificazione, accoppiamento con la cronologia degli incidenti e i dati di KRIs.

6. 2 Quantitativo (prioritario per Top-10)

Approccio FAIR (semplificato): frequenza di eventi x probabile distribuzione dei danni (P10/P50/P90) utile per confrontare le opzioni di riduzione.
Monte Carlo (1000-10k test): variabilità dei danni e della frequenza di → Loss Exceedance Curve (possibilità di perdita> X).
TRA (Targeted Risk Analysis) - Analisi a punti per selezionare frequenze di monitoraggio/controllo (rilevanti per PCI/Vendor).

7) KRIs e sorgenti

• Disponibilità/operazioni: MTTR, errori 5xx, P95 latency, incidenti P1/P2,% scale automatico, capacità cluster.
• Sicurezza/privacy:% MFA coverage, tentativi di credential stuffing, esporti insoliti, DSAR SLA, bandiere antimalwar.
• Pagamenti: auth rate su PSP, chargeback rate, rifiuto della banca, quota di cassout manuali.
• KYC/AML: TAT, false positive rate, successi di sanzioni, percentuale di scalate.
• Vendor: SLA compliance, deriva della latitanza, frequenza degli incidenti, rilevanza dei certificati.

I KRIs si collegano ai rischi e fanno scattare l'escalation al di là delle soglie.

8) Ciclo di vita del rischio (workflow)

1. Identificazione e registrazione della tessera.
2. Valutazione (inherent) controllori di controllo → →.
3. Soluzione di conversione (treatment) e piano CAPA (data/proprietari).
4. Monitoraggio di KRIs/incidenti, aggiornamento della scheda.
5. Comitato Trimestrale dei Rischi - Revisione Top-N, ridefinizione dell'appetito.
6. Chiudere/consolidare o tradurre in sorveglianza (watchlist).

9) Comunicazione con i controlli e l'auditing

• Preventivi: RBAC/ABAC, SoD, limiti, crittografia, WebAuthn, segmentazione.
• Detective: SIEM/alert, controlli, logi WORM, UEBA.
• Correzioni: rimborsi, blocchi di pagamento, revoca delle chiavi, patch urgenti.
• Il controllo DE/OE verifica che i controlli riducono il rischio all'appetito e funzionano stabilmente.

10) Esempi di carte (YAML, frammenti)

10. 1 Perdita di PII tramite SDK (Tier-1)

yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5  # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-15

10. 2 Degrado PSP: fallimento dell'autorizzazione dei pagamenti

yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"

11) Aggregazione e gestione in portafoglio

Top-N (Risk Registrer View) - Ordinamento per residual R e «superiore all'appetito».
Temi (Risk Themes) - I cluster (vendor, privacy, PSP) sono i proprietari dei temi.

• Scenari e test di stress: e se «PSP # 1 e KYC # 1 non fossero disponibili per due ore?» - la valutazione dei danni complessivi e il piano d'azione.
• LEC (Loss Exceedance Curve) - Profilo annuale delle perdite per il consiglio/borgo.

12) Soglie di escalation e segnali

Operational: SLO/SLA violazioni del → Incident P1/P2.
Compliance/Privacy: eccesso di ritocchi, inattività DSAR, esportazione senza «purpose», escalation immediata DPO/Legale.
Vendor: reimpostazioni SLA del fornitore, rinegoziazione del contratto.
Financial: Esci proveback> soglia di controllo manuale, regolazione dei limiti/bonus.

13) RACI (ingrandito)

14) Metriche (KPI/KRI) di gestione dei rischi

Coverage: il 100% dei processi critici presenta rischi registrati e proprietari.
Review On-Time: il 95% delle schede sono riviste entro la data di scadenza.
Above Appetite è una quota di rischio superiore all'appetito.
CAPE Closure (High/Critical): ≥ 95% entro il termine.
Detection Lag - La mediana del tempo dalla deviazione del KRI all'escalation (cerca il ↓).
Incident Recordence - Ripetuti incidenti per un motivo: 0.

15) Assegno fogli

15. 1 Creazione di una carta

• Categoria e descrizione dell'evento/causa
• Beni/processi/giurisdizioni segnati
• Valutati P/I (inherent) e residual con giustificazione
• Controllo mapping (ID), KRIs e origini dati
• Piano SARA/scadenze/proprietari
• Soglia di escalation e livello di minacce

15. 2 Comitato trimestrale

• Top 10 per residual e sopra l'appetito
• Rischi nuovi/emergent, modifiche alle leggi/venditori
• Stato CAPA e ritardo
• Decisioni: accettare/ridurre/trasmettere/evitare; aggiornare l'appetito/soglie

16) Road map di implementazione (4-6 settimane)

Settimane 1-2: approvare tassonomia, scala, appetito; Selezionare uno strumento (tabella/BI/IRM). Crea 10-15 schede iniziali per processi critici.
Settimane 3-4: collegare i rischi ai controlli e ai KRIs; costruire un cerchio termico/dashboard; Avviare un comitato per i rischi.
Settimane 5-6: implementare la quantificazione per Top-5 (FAIR/Monte Carlo Light), automatizzare la raccolta di KRIs, formalizzare l'escalation e la segnalazione del borgo.

17) Sezioni wiki collegate

I controlli interni e il loro controllo, ISO , SOC2, PCI DSS, IGA/RBAC/Least Privilege, TPRM e SLA, Incidenti e fughe, DR/BCP, Politica logistica e WORM - per un ciclo completo di "rischio" Il controllo della metrica è una prova ".

TL; DR

Il registro dei rischi di lavoro = tassonomia nitida + scala standardizzata + appetito/soglie di carta di credito con proprietari, controllori e KRIs di sistema termico e comitati di quantificazione prioritaria per Top Risk e CAPA entro il termine. Ciò rende i rischi gestibili, paragonabili e dimostrabili per il borgo e i regolatori.