განმეორებითი აუდიტი და შესრულების კონტროლი

1) განმეორებითი აუდიტის მიზანი და როლი

• დადასტურებულია დარღვევების დახურვა და ნარჩენი რისკის შემცირება Appetite- ის დონეზე;
• იცავს გამეორებას პროფილაქტიკური ზომების საშუალებით;
• ქმნის იურიდიულად მნიშვნელოვან მტკიცებულებას („ღილაკზე audit ready“).

2) როდესაც დანიშნეთ re-audit (გამომწვევი)

CAPA დახურვა Critical/High (რა თქმა უნდა), საშუალო - ნიმუშით/რისკით.
მაღალი სერიოზულობის ან მარეგულირებელი ბრძანების ინციდენტი.
კონტროლის დრიფტი CCM/observability მიხედვით.
არქიტექტურის/პროცესის ცვლილებები (გამოშვებები, მიგრაცია, პროვაიდერები).
კვარტალური/ექვსთვიანი კალენდარული ფანჯრები მაღალი დონის დომენებისთვის.

3) მოცულობა და მეთოდები (scope & methods)

დიზაინის ტესტი: პოლიტიკა/სტანდარტი/SOP განახლებულია, კონტროლი ფორმალიზებულია.
ოპერაციული ეფექტურობის ტესტი: კონტროლი სტაბილურად მუშაობს პერიოდში (ნიმუში 30-90 დღეში).
ნიმუში: risk-based (გაზარდეთ n high/critical), mix შემთხვევითი და მიზნობრივი შემთხვევები.
განმეორებითი: თუ ეს შესაძლებელია, გაიმეოროთ პროცედურა/მოთხოვნა შედეგის დასადასტურებლად.
მტკიცებულებები: ლოგოები, კონფიგურაცია, გადმოტვირთვა, სკრინკასტები, ინსტრუმენტების მოხსენებები - ჰაშის ქვითრებით და WORM.

4) როლები და RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) ცხოვრების ციკლი re-audit (SOP)

1. ინიციაცია: re-audit ბარათი (findings, CAPA, რისკი, შერჩევის პერიოდი, ვადა).
2. ტრენინგი: ტესტების შემოწმების სია, მიღების კრიტერიუმები, არტეფაქტების სია, წვდომა „საქმესთან დაკავშირებით“.
3. მონაცემთა შეგროვება: გადმოტვირთვის მანქანა, ნიმუში, ჰაშის ფიქსაცია, ოთახი WORM- ში.
4. ტესტები: დიზაინი (არსებობა/სისწორე) - ეფექტურობა (ნიმუშები, რეპერფორმები).
5. შეფასება: ნარჩენი რისკი, სტაბილურობა, დრიფტის არსებობა.
6. გამოსავალი: Close/Extend CAPA/Escalate (კომიტეტი, რეგულატორი).
7. ფიქსაცია: ოქმი, დაშბორდის განახლება, „audit pack“ re-audit.
8. ზედამხედველობა: დაკვირვება 30-90 დღე; დრიფტის დროს - re-Open ახალი CAPA- სთან.

6) მიღების კრიტერიუმები

შემოღებულია და დადასტურებულია Corrective ზომები.
წინასწარი ზომები ამცირებს გამეორების რისკს (ტრენინგი, კარიბჭე, გამოვლენა).
Evidence სავსეა და მუდმივად (WORM, ჰაშის ქვითრები).
CCM წესები განახლებულია, ალერტები ნორმალურია, დრიფტი არ არის.
პოლიტიკოსები/SOP/დიაგრამები სინქრონიზებულია ფაქტობრივი ცვლილებებით.
გამყიდველებმა შეასრულეს სარკის მოქმედებები (რეტენსია/მოცილება/სერთიფიკატები).

7) re-audit Capa

CAPA ბარათში შეინახეთ Re-audit Plan (პერიოდი, წარმატების მეტრიკა, owner).
„ნაწილობრივი წარმატებით“, CAPA- ს გახანგრძლივება კომპენსაციური კონტროლით და გასვლის თარიღით.
სისტემური პრობლემებისთვის - პრევენციის ეპიკა (არქიტექტურის ცვლილება, პროცესების გადასინჯვა).

8) მეტრიკი და KRI

Re-audit On-time:% დროულად (მიზანი 95%).
First-Pass Close: დახურვის% CAPA- ს გახანგრძლივების გარეშე (რაც უფრო მაღალია, მით უკეთესი).
Repeat Findings (12 თვე): გამეორების წილი დომენებში/მფლობელებში (ტენდენცია).
Residual Risk R: რისკის შემცირება re-audit- ის შემდეგ.
Evidence Completeness:% re-audit სრული არტეფაქტებით (მიზანი 100%).
Drift After Fix: საკონტროლო დრიფტის შემთხვევები 30-90 დღეში (მიზანი 0 კრიტიკული).
Vendor Mirror SLA: დადასტურება კონტრაქტორებისგან (მიზანი კრიტიკულია 100%).

9) დაშბორდი (მინიმალური)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
გამეორებების Heatmap: დომენების მიხედვით (IAM, მონაცემები, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: ლიგატების სტატუსი, დაგვიანება, დაუცველი ზონები.
Evidence Readiness: WORM/hashes- ის არსებობა, შერჩევის სიახლე.
Drift & CCM: პოსტფიქსის დარღვევა, ალერტების სიხშირე.
Vendor Assurance: სარკის რენტგენაცია/მოცილება, სერთიფიკატები, SLA.

10) ნიმუშებისა და ტესტების მეთოდები

რისკის სტრატიფიკაცია: უფრო მეტი შემთხვევები კრიტიკული კონტროლისთვის/იურისდიქციებისთვის.
კომბინირებული ტესტები: დოკუმენტური შემოწმება + ფაქტობრივი რეპერფორმისთვის (მაგალითად, DSAR ექსპორტი, წვდომის მიმოხილვა, TTL- ზე მოცილება).
უარყოფითი სცენარები: კონტროლის გვერდის ავლით მცდელობა (ABAC/SoD, საბაზო ლიმიტები, საიდუმლო სკანირება).
სტაბილურობის ტესტი: გამეორება 30 დღის შემდეგ კვარცხლბეკზე.

11) ავტომატიზაცია და „assurance-as-code“

საკონტროლო ტესტის შემთხვევები, როგორც კოდი (Rego/SQL/YAML), განრიგი.
Audit pack re-audit- ის ავტომატური წარმოება evidence ფანჯრიდან ქვითრით.
მანქანების ესკალაცია SLA- ს მიხედვით (CAPA/re-audit შეფერხებები).
ინტეგრაცია CI/CD- სთან: კარიბჭეები ბლოკავს გამოშვებას „წითელ“ კონტროლებში.

12) მოვაჭრეები და მიწოდების ჯაჭვი

ხელშეკრულებები მოიცავს re-audit- ის უფლებას და არტეფაქტების მიწოდების ვადებს.
სარკის გადაკეთება და განადგურების/შესწორების დადასტურება.
დარღვევებში - სესხები/SLA shtrafs, off-ramp გეგმა და მიგრაცია.
გარე სერთიფიკატები (SOC/ISO/PCI) - fresh სტატუსში; „qualified opinion“ - re-audit გაძლიერებულია.

13) არტეფაქტების შაბლონები

13. 1 re-audit ბარათი

ID findings/CAPA, რისკი/იურისდიქცია, შერჩევის პერიოდი

დიზაინის/ეფექტურობის ტესტები, მიღების კრიტერიუმები

არტეფაქტების სია (წყარო, ფორმატი, ჰაში)

შედეგები, ნარჩენი რისკი, რეკომენდაციები

გამოსავალი (Close/Extend/Escalate), owner/due, ბმულები evidence

13. 2 ანგარიში re-audit (შინაარსი)

1. რეზიუმე და კონტექსტი

2. მეთოდოლოგია და მოცულობა

3. ტესტის შედეგები (ნიმუშის ცხრილი)

4. ნარჩენი რისკი და დასკვნები

5. გადაწყვეტილებები და ამოცანები (CAPA/waivers)

6. პროგრამები: ჰაშის ქვითრები, ეკრანის კადრები, გადმოტვირთვა

13. 3 მიმღების სიის სია

• პოლიტიკოსები/SOP/განახლებულია
• Evidence შეიკრიბა და WORM/hash დადასტურებულია
• CCM წესები შედის, ალერტები ნამდვილი
• ტრენინგი/კომუნიკაციები დასრულებულია (LMS, read-receipt)
• ვენდორის დადასტურებები
• Re-Open არ არის საჭირო/არსებობს გაფართოების გეგმა

14) გამონაკლისების მენეჯმენტი

ნებადართულია მხოლოდ ობიექტური შეზღუდვებით; სავალდებულო ვადის გასვლის თარიღი და კომპენსაციის კონტროლი.
საჯაროობა დაშბორდში, შეხსენებები 14/7/1 დღეს, ესკალაცია კომიტეტში.

15) ანტიპატერები

„ქაღალდის დახურვა“ ეფექტურობის ტესტის გარეშე.
Evidence გარეშე WORM/hash - საკამათო აუდიტზე.
CAPA - re-audit - CCM- ს კავშირი არ არის - კონტროლდება.
შემცირებული სკოპი (არ არის დაფარული იურისდიქცია/გამყიდველები/კრიტიკული როლები).
ერთჯერადი შემოწმება დაკვირვების გარეშე 30-90 დღე გამეორება.
CAPA- ს გახანგრძლივება კომპენსაციისა და ვადა გეგმის გარეშე.

16) სიმწიფის მოდელი (M0-M4)

M0 Ad-hoc: იშვიათი „წერტილოვანი“ შემოწმება, არ არსებობს მიღების კრიტერიუმები.
M1 დაგეგმილი: re-audit კალენდარი, ძირითადი შაბლონები და მოხსენებები.
M2 კონტროლირებადი: თაიგული CAPA- სთან, დაშბორდები/მეტრიკა, WORM-evidence.
M3 ინტეგრირებული: assurance-as-code, reperforms, ავტომატური „audit pack“.
M4 Continuous Assurance: პროგნოზები KRI, ავტო-დაგეგმვა, პოსტფიქსის სტაბილურობის მონიტორინგი.

17) ვიკის დაკავშირებული სტატიები

დარღვევების აღმოფხვრის გეგმები (CAPA)

რისკზე ორიენტირებული აუდიტი (RBA)

შესაბამისობის უწყვეტი მონიტორინგი (CCM)

ჟურნალების მართვა და Audit Trail

მტკიცებულებებისა და დოკუმენტაციის შენახვა

კომპლექსის პოლიტიკაში ცვლილებების მენეჯმენტი

Due Diligence და აუთსორსინგის რისკები

რისკებისა და შესაბამისობის მართვის კომიტეტი

შედეგი

განმეორებითი აუდიტები არის სტაბილურობის გადამოწმება და არა ფორმალობა: დიზაინის და ეფექტურობის ტესტი, საიმედო მტკიცებულებათა ბაზა, გამჭვირვალე გადაწყვეტილებები (Close/Extend/Escalate) და დრიფტის მონიტორინგი. ასეთი სისტემით, რისკი არ ბრუნდება და შესაბამისობა რჩება გაზომილი და პროგნოზირებადი.