შესაბამისობის გზის რუკა

1) დანიშვნა და პრინციპები

შესაბამისობის საგზაო რუკა არის 12-24 თვის ჰორიზონტზე მუშაობის ერთიანი გეგმა, რომელიც დაკავშირებულია რისკებთან, ლიცენზიებთან, სასურსათო სტრატეგიასთან და იურისდიქციების მოთხოვნებთან.

• Risk-first: პრიორიტეტი გავლენა ლიცენზიაზე, PII/ფინანსებზე, სანქციებზე და მარეგულირებლების პირობებზე.
• Evidence by Design: არტეფაქტები და მეტრიკები თავდაპირველად შედის გეგმაში.
• Policy-/Assurance-as-code: მოთხოვნები და კონტროლის ტესტები კოდია.
• One owner: თითოეულ ინიციატივას ჰყავს მფლობელი, SLA, ბიუჯეტი და წარმატების კრიტერიუმები.
• გამჭვირვალობა: ზოგადი ბაკალავრი, დაშბორდები, რეგულარული კომიტეტები, ესკალაცია.

2) ჰორიზონტები და გეგმის სტრუქტურა

სტრატეგიული (12-24 თვე): მიზნები, ლიცენზია/სერტიფიკაცია (ISO/SOC/PCI და ა.შ.), მარეგულირებელი ვადები, სიმწიფის სამიზნე მოდელი.
ტაქტიკური (კვარტალი, 3-6 თვე): ეპიკა და გამოშვებები: პოლიტიკოსები, მაკონტროლებელი, VRM, კონფიდენციალურობა, ტრენინგი, აუდიტის მზადყოფნა.
ოპერაციული (თვეები/კვირა): დავალებები ITSM/Jira, CCM წესები, ინტეგრაცია, მონაცემთა მიგრაცია, ტრენინგი.

არტეფაქტი: რუკა „ეპიკის თემები“ ფიჩი „დავალებები“ რისკების, კონტროლისა და მეტრიკის მითითებით.

3) ინიციატივების პორტფელი (რეფერენდუმის ჩონჩხი)

1. მთავრობის პოლიტიკა: საცავი, ტაქსონომია, lifecycle, ლოკალიზაცია.
2. CCM ასევე აკონტროლებს: საკონტროლო განცხადებების კატალოგს, ტესტებს, როგორც კოდს, ლოგებთან/მეტრიკებთან ინტეგრაციას.
3. კონფიდენციალურობა (DSAR/retention/Legal Hold): პროცესები, ინსტრუმენტები, მოხსენებები.
4. VRM/პარტნიორები: due diligence, სარკის რენტგენოგრაფია, აუდიტის უფლება, დადასტურება.
5. ლიცენზიები/სერტიფიკატი: აუდიტის გეგმა, PBC სიები, „აუდიტის პაკეტი“.
6. AML/KYC/Payments: წესები, მონიტორინგი, chargeback ოპერაციები, მოხსენებები.
7. ტრენინგი და სერტიფიკაცია (LMS): ქურთუკები როლების/ქვეყნების მიხედვით, ხელახალი სერტიფიკაცია.
8. ინციდენტები/BCP/DR: playbuks, RTO/RPO ტესტები, post-mortem-CAPA.
9. იურიდიული ცვლილებების თვალყურის დევნება და ალერტა: რადარი, პრიორიტეტიზაცია, განხორციელება.
10. ანალიტიკა და დაშბორდები: KPI/KRI, risk heatmap, readiness.

4) პრიორიტეტიზაცია და შეფასება

მეთოდები: RICE + Risk, WSJF ერთად risk adjustment, მატრიქსი „Formula Formication × მარეგულირებელი ვადა“.

• ლიცენზიის/ჯარიმების/სანქციების საფრთხე (Critical/High/Medium/Low).
• დაზარალებული იურისდიქციები და კლიენტის ბაზის მასშტაბები.
• სწრაფი კომპენსაციის ზომების არსებობა.
• ღირებულება/რესურსები და კრიტიკული გზა.

გამოსავალი: დაანგარიშებული ბაკლოგი, რომელიც აღინიშნება რეგულატორების ვადებით და სავალდებულო აუდიტებით.

5) RACI და მენეჯმენტი

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

6) დამოკიდებულება და კრიტიკული გზა

მარეგულირებელი ვადები და აუდიტის/სერტიფიკაციის ფანჯრები.
ინტეგრაცია (SSO/ლოჯისტიკა/მონაცემები) და მიგრაცია.
ხელშეკრულების განახლება (DPA/SLA/addendums).
პროდუქტის და Techdolg- ის გამოშვებები (ბლოკირების კარიბჭეები CI/CD).
ინსტრუმენტები: Ganta/PERT დიაგრამა, „what-if“ სცენარები, მაღალი რისკების ბუფერები.

7) ბიუჯეტი და რესურსები

FTE/მოვაჭრე საათების/ლიცენზიების დაგეგმვა; გაერთიანება Build/Buy/Partner.
რეზერვები აუდიტის/პენტესტის/იურიდიული მომსახურებისთვის.
ROI/TCV: ჯარიმების შემცირება/chargeback, აუდიტის დაჩქარება, სახელმძღვანელო ოპერაციების დაზოგვა.

8) Policy-/Assurance-as-code

საკონტროლო განცხადებები და ბარიერები - YAML/JSON (id, მეტრიკა, threshold, წყაროები).
საცავში CCM (Rego/SQL) წესები ვერსიებით და PR პროცესით.
კარიბჭეები CI/CD და მანქანის გრაფიკი; WORM საცავი evidence.

9) Milstones და მიღების კრიტერიუმები (DoD)

• განახლებული პოლიტიკოსები/სტანდარტები/SOP ვერსიებით და changelog.
• შემოღებული კონტროლები/წესები CCM, pass-rate - სამიზნე.
• მტკიცებულებები (ლოგოები/გადმოტვირთვის/სკრინკასტები) ჰაშის ქვითრებით.
• ტრენინგი (LMS) და read- & attest დაზარალებულ როლებზე.
• დადასტურებული ვენდორის სარკე (მესამე მხარის თანდასწრებით).
• გეგმა re-audit და დაკვირვება 30-90 დღის განმავლობაში (დრიფტის შემოწმება).

10) მეტრიკა და KPI/KRI საგზაო რუქა

On time Milestones (კვარტლების მიხედვით), მიზანი 90-95% -ს შეადგენს.
Risk Reduction Index (მთლიანი რისკი).
Controls Pass Rate და Evidence Completeness (სავალდებულო 100% მიზანი).
Time-to-Audit-Ready (საათის შეგროვება „audit pack“).
Vendor Certificate Freshness (კრიტიკული პარტნიორები - 100%).
Training Completion и Refresher Lag.
Repeat Findings и CAPA On-time.
რეგულირება რეგულატორის ვადამდე).

11) დაშბორდი (მინიმალური ნაკრები)

Roadmap View: ეპიკური/კვარტალი, სტატუსები (პლანეტარული - Verify - Done).
Risk Heatmap: ინიციატივების დაწყებამდე/მის შემდეგ, ნარჩენი რისკი.
Controls & Evidence: pass-rate, „წითელი“ წესები, completeness.
რეგულარული კლოკი: ნორმების ვადა, შეფერხების ალბათობა.
VRM Mirror: პროვაიდერების და ქვე-პროცესორების დადასტურება.
Training & Attestations: გაშუქება და შეფერხება როლების/ქვეყნების მიხედვით.

12) კომუნიკაციები და buy-in

ერთი პაგერი ეპიკაზე: „რა/რატომ/როდის/წარმატების კრიტერიუმები“.
ყოველკვირეული battle-rhythm: სტატუსის/რისკების/ბლოკერების განახლება.
არხი Q&A და ოფისის საათი გუნდებისა და რეგიონებისთვის.
აუდიტების/ვადების საჯარო კალენდარი.

13) საგზაო რუქის რისკების მართვა

ინიციატივების რისკების რეესტრი: ალბათობა/გავლენა/გამომწვევი/მფლობელები.
ანაზღაურებადი ზომები და ვადები გასვლის თარიღით.
„Stop-the-line“ წესები ლიცენზიის/ჯარიმების საფრთხის ქვეშ: კომიტეტის სწრაფი გადაწყვეტილებები.
რეგულარული re-baseline მნიშვნელოვანი სამართლებრივი ცვლილებებით.

14) SOP (სტანდარტული პროცედურები)

SOP-1: საგზაო რუქის ფორმირება

მოთხოვნების შეგროვება (რისკები/მარეგულირებელი/პოსტ-mortema/აუდიტები) - ესკიზი RICE/WSJF - განცხადება კომიტეტის მიერ Roadmap- ის გამოქვეყნების შესახებ.

SOP-2: კვარტალური დაგეგმვა (PI დაგეგმვა)

ეპიკების დაშლა - კვარტლის მიზნები - დამოკიდებულების/კრიტიკული გზა გამოშვებისა და ტრენინგის სლოტისთვის, ბიუჯეტების კოორდინაცია.

SOP-3: Roadmap ცვლილების მენეჯმენტი

ცვლილების მოთხოვნა (reason/impact) - რისკების/რესურსების ანალიზი - კომიტეტის გადაწყვეტილება გეგმების/დაშბორდის განახლების შესახებ.

SOP-4: ინიციატივის დახურვა

DoD შემოწმება - ღონისძიების პაკეტის შეგროვება - გაკვეთილების ჩაწერა - პოლიტიკოსის/კონტროლის საცავის განახლება - re-audit გეგმა.

15) არტეფაქტების შაბლონები

15. 1 ეპიკური ბარათი (მაგალითი)

ID/სახელი/იურისდიქცია/ვადა

ბიზნესის მიზანი და რისკის დიეტა

პოლიტიკოსები/მაკონტროლებელი/SOP ცვლილება

წარმატების მეტრიკა და მიზნობრივი ბარიერები

დამოკიდებულება/კრიტიკული გზა

ბიუჯეტი/რესურსები/მოვაჭრეები

სასწავლო გეგმა და კომუნიკაცია

DoD და evidence სია

15. 2 Quarterly Roadmap (ქსელი)

15. 3 Evidence Pack (ხელმძღვანელობა)

1. პოლიტიკოსი/მაკონტროლებელი (2) CCM მოხსენებები (3) Logs/Skrinkasts (4) LMS/attestations (5) ვენდორის დადასტურება (6) კომიტეტის ოქმი.

16) კვარტალური გეგმის მაგალითი (ფრაგმენტი)

Q1: პოლიტიკოსის საცავი (M2), CCM გაშვება IAM/რეტენციისთვის, DSAR-SLA dashboard, onboarding VRM, ეთიკის ძირითადი კურსები.
Q2: ლოკალიზაცია EEA/UK- სთვის, Legal Hold და WORM არქივისთვის, აუდიტის დრამის რუნი, Payment chargeback პროცესები.
Q3: ISO/SOC ფაზის სერტიფიკაცია fieldwork, DR სწავლებები, ანტიფროგრამის წესები და მონიტორინგი, პარტნიორობა.
Q4: გარე შემოწმება/რეპორტაჟი, CAPA, re-audit, refresh ქურთუკები, 2026 გეგმა.

17) ანტიპატერები

„სურვილების სია“ რისკებისა და ვადების გარეშე.
პოლიტიკოსები გაზომილი კონტროლისა და მეტრიკის გარეშე.
სახელმძღვანელო შემოწმებები evidence და WORM გარეშე.
ბიზნესის და რეგიონების არარსებობა.
არ არსებობს ტრენინგი/კომუნიკაცია, დაბალი მიღება.
მარადიული ტალღები, ტრანსფერები რისკის ანალიზის გარეშე.
არ არსებობს re-audit - განმეორებითი დარღვევები.

18) სიმწიფის მოდელი (M0-M4)

M0 Ad-hoc: თვითმფრინავის ფიქსაცია, არ არსებობს საერთო გეგმა, „ხანძარი“.
M1 კატალოგი: ინიციატივების სია, ძირითადი ვადები და მფლობელები.
M2 კონტროლირებადი: რისკის ესკიზი, კვარტალური გეგმები, დაშბორდები და ევიდაცია.
M3 ინტეგრირებული: policy-/assurance-as-code, CI/CD კარიბჭეები, ღილაკზე „audit pack“, ვენდორის სარკე.
M4 Continuous Assurance: პროგნოზები KRI, ავტომობილების დაგეგმვა, რეკომენდაციის პრიორიტეტები, უწყვეტი შემოწმება.

19) ვიკის დაკავშირებული სტატიები

საცავი პოლიტიკოსი და სტანდარტები

შესაბამისობის უწყვეტი მონიტორინგი (CCM)

იურიდიული განახლების თვალყურის დევნება/მარეგულირებელი ცვლილებების ალერტა

KPI და კომპლექსის მეტრიკა

დარღვევების აღმოფხვრის გეგმები (CAPA) და განმეორებითი აუდიტი

გარე აუდიტი მესამე მხარის აუდიტორების მიერ

შესაბამისობის სახელმძღვანელო პარტნიორებისთვის

მტკიცებულებებისა და დოკუმენტაციის შენახვა

შედეგი

შესაბამისობის საგზაო რუკა არის კონტროლირებადი ცვლილების პროგრამა, სადაც რისკები და მარეგულირებელი ვადები გადადის კონკრეტულ ეპიკებში, აკონტროლებს მტკიცებულებებს. ამ მიდგომით, შესაბამისობა ხდება პროგნოზირებადი, გაზომილი და მასშტაბური - და კომპანია „audit-ready“ ნებისმიერ დროს.