リスクレジスタとアセスメントの方法論

1）なぜ、何がレジスタに含まれているのか

目的：マネー（GGR/CF）、ライセンス、プレーヤー、データおよび評判に影響を与えるリスクの説明、評価、優先順位付けおよび監視の統一されたシステム。
適用範囲：製品/エンジニアリング（SDLC/インシデント）、財務および支払い（PSP/調査結果）、KYC/AML/制裁、プライバシー（GDPR）、 TPRM/ベンダー、 マーケティング/SDK、データ（DWH I）、 インフラ/クラウド/DR、サポートオペレーション、VIP。

2）リスクタクソノミ（例）

情報セキュリティとプライバシー：PII/KYC漏洩、不正アクセス、ロギング障害、DSARファイル。
規制/コンプライアンス：ライセンス条項の違反、AML/KYC/制裁、広告禁止。
動作/技術：ダウンタイムPSP/KYC、リリースディフェクト、レイテンシー劣化、DRインシデント。
詐欺/乱用：詐欺の預金、ボーナスの乱用、支払い攻撃パターン。
財務：パートナー流動性、チャージバック・ショック、1つのPSPの集中。
ベンダー/サプライチェーン：TOMが低いSDK、サブプロセッサに脆弱性があります。
評判/顧客：苦情のスパイク、NPSドロップ、RG違反。
戦略的/地政学的：制裁、税金/法律の変更、交通封鎖。

3）リスクカード（必須項目）

ID/リスク名

カテゴリー（分類法から）

イベントの説明（何が起こるかもしれない）と原因

の影響下にある資産/プロセス/管轄

リスクオーナーとスポンサー

使用可能なコントロール（予防/探偵/矯正）

コントロール前の確率（P）とインパクト（I）（固有）

コントロール後の残留リスク

治療計画： 削減/回避/受け入れ/転送

エスカレーションのしきい値/脅威レベル（Low/Medium/High/Critical）

KRIとトリガー、メトリックとデータソース

次のレビューステータスと期日関連CAPA/チケット

コントロールレジストリ（コントロールID）とポリシーへのリンク

監査役・委員会コメント（最新決議）

4）評価のスケール（デフォルト5 × 5）

4.1確率（P）

1-レア（<1/5年）

2-低い（1/2-5年）

3-平均（年間）

4-高（四半期）

5-非常に高い（月/より頻繁に）

4.2インパクト（I）-枝から最大を選択

ファイナンス： 1： <€10k· 2： €10-100k· 3： €100k-1m· 4： €1-5m· 5：> €5m

プライバシー/データ： 1： <1kレコード·……·5：> 1Mレコード/特別カテゴリ

レギュレーター/ライセンス： 1：警告·3：ペナルティ/レビュー·5：ライセンス停止

可用性（SLO/SLA）： 1：<15分·……·5：>重要な領域のための8 h

最終スコア：'R=P × I'→レベル：1-5 Low、 6-10 Medium、 12-16 High、 20-25 Critical。

（しきい値は会社に合わせることができます。）

5）ヒートマップマトリックスとリスク食欲

リスクアペタイト：ドメインごとの許容誤差（例えば、PIIリーク-許容誤差ゼロ；ダウンタイムP95-≤ X分/月；チャージバック率-≤ Y％）。
ヒートマップ：5 × 5のRの視覚化；食欲の上-CAPA計画とタイムラインが必要です。
リスク予算：正当化（経済的実現可能性）による「受け入れられた」リスクのクォータ。

6）評価方法論

6.1質（速い開始）

P/Iスケール+正当化、インシデント履歴との和解、KRIデータに関する専門家の評価。

6.2定量的（Top-10優先）

FAIRアプローチ（簡略化）：イベントの頻度×損傷の確率分布（P10/P50/P90）；減らす選択を比較するために有用。
モンテカルロ（1000-10k実行）：損傷と周波数の変動→損失超過曲線（損失確率>X）。
TRA （Targeted Risk Analysis）：モニタリング/制御周波数を選択するためのポイント分析（PCI/ベンダーに関連）。

7） KRIとソース

• 可用性/操作：MTTR、 5xxエラー、P95レイテンシ、P1/P2インシデント、％autoscale、クラスタ容量。
• セキュリティ/プライバシー：％MFAカバレッジ、資格情報の詰め込み試行、珍しいエクスポート、DSAR SLA、アンチアルバーフラグ。
• 支払い：PSPによる認証率、チャージバック率、銀行の故障、手動キャッシュアウトのシェア。
• KYC/AML： TAT、偽陽性率、制裁の打撃、エスカレーションシェア。
• ベンダー：SLA準拠、レイテンシードリフト、インシデントの頻度、証明書の関連性。

KRIは、しきい値を超えたときにリスクを関連付け、エスカレーションを引き起こします。

8）リスクライフサイクル（ワークフロー）

1.身分証明書→カードの登録。
2.固有→コントロールマッピング→残留。
3.治療の決定とCAPA計画（日付/所有者）。
4.KRI/インシデント監視、カード更新。
5.四半期リスク委員会：トップNリビジョン、食欲再ラベル付け。
6.閉じる/統合またはウォッチリスト。

9）制御および監査とのコミュニケーション

各リスクは、特定のコントロールを参照する必要があります（内部統制とその監査を参照してください）

プロアクティブ：RBAC/ABAC、 SoD、制限、暗号化、WebAuthn、セグメンテーション。
探偵：SIEM/アラート、和解、WORMログ、UEBA。
修正：ロールバック、ペイアウトロック、キーの失効、緊急パッチ。
DE/OE監査は、食欲を減らし安定的に働くリスクをコントロールすることを検証します。

10）サンプルカード（YAML、フラグメント）

10.1ベンダーSDK （Tier-1）によるPIIリーク)

yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5  # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-15

10.2 PSPの劣化：支払い承認の失敗

yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"

11）集計およびポートフォリオ管理

Top-N （Risk Register View）：残留Rと「食欲の上」でソート。
トピック（リスクテーマ）：クラスター（ベンダー、プライバシー、PSP）→トピックオーナー。
依存関係マップ：riski↔kontroli↔vendory↔protsessy。
シナリオとストレステスト：「PSP#1とKYC#1が2時間使用できない場合はどうなりますか？」-累積的な損傷評価と行動計画。
LEC（損失超過曲線）：評議会/理事会の年間損失プロファイル。

12）エスカレーションのしきい値と信号

運用：SLO/SLA違反→インシデントP1/P2。
コンプライアンス/プライバシー：保持、DSAR障害、「目的」なしのエクスポート→即時DPO/法的エスカレーション。
ベンダー：サプライヤでのSLA障害→CAPAの繰り返し、契約の改訂。
財務：チャージバックを終了>しきい値→手動チェック、制限/ボーナスの調整。

13） RACI（拡大）

14）リスクマネジメントシステムの指標（KPI/KRI）

カバレッジ：重要なプロセスの100％がリスクと所有者を登録しています。
レビューオンタイム：カードの≥ 95％は時間通りに改訂されます。
食欲の上：QoQ、リスクの割合は食欲よりも高いです。
CAPA閉鎖（High/Critical）：時間通りに95％ ≥。
検出遅延：KRI偏差からエスカレーションまでの時間の中央値。
インシデントの再発：1つの理由で繰り返しインシデント-0。

15）チェックリスト

15.1カードの作成

• イベント/原因カテゴリと説明
• マークされた資産/プロセス/管轄
• 推定P/I（固有）と正当化の残留
• コントロールマッピング（ID）、 KRI、データソース
• CAPAプラン/日付/所有者
• エスカレーションのしきい値と脅威レベル

15.2四半期委員会

• 残りおよび食欲の上のための上10
• 新規/新興リスク、法律/ベンダーの変更
• CAPAと非行状態
• 意思決定：受け入れる/減らす/転送/避ける；アップデート食欲/しきい値

16）導入ロードマップ（4〜6週間）

週1-2：分類、スケール、食欲を承認する。ツール（テーブル/BI/IRM）を選択します。重要なプロセスのための10-15の開始カードを作成します。
週間3-4：コントロールとKRIとリスクを関連付ける。ヒートマップ/ダッシュボードを構築する。リスク委員会を立ち上げる。
週5-6： Top-5 （FAIR/Monte Carlo light）の定量化を実装し、KRIコレクションを自動化し、エスカレーションとボードレポートを正式化します。

17）関連するwikiセクション

内部統制と監査、ISO 27001/27701、 SOC 2、 PCI DSS、 IGA/RBAC/Lest Privilege、 TPRMおよびSLA、インシデントとリーク、DR/BCP、ログポリシーおよびWORM-リスク→コントロール→メトリック→エビデンス"

TL；DRについて

ワーキングリスクレジスタ=明確な分類法+標準化されたスケール+食欲/しきい値→所有者、コントロールおよびKRIのカード→ヒートマップと委員会→トップリスクとCAPAの優先度の定量化。これにより、取締役会および規制当局にとって、リスクを管理しやすく、同等かつ実証可能になります。