შიდა კონტროლი და მათი აუდიტი

1) დანიშვნა და რეგიონი

მიზანი: ბიზნეს მიზნების მიღწევის უსაფრთხო და კანონიერად უზრუნველყოფა, ოპერაციული, ფინანსური, შესაბამისობის და რეპუტაციის რისკების შემცირება.
გაშუქება: პროცესორის და IT კონტროლის ყველა დომენში: გადახდა/კასაუტები, KYC/AML/სანქციები, ანტიფროდი, RG, მარკეტინგი/მონაცემთა ექსპორტი, DevOps/SRE, DWH/BI, კონფიდენციალურობა/GDPR, TR.

2) დაცვის პრინციპები და მოდელი

სამი თავდაცვის ხაზი: 1) პროცესების მფლობელები (ოპერაციები/პროდუქტი), 2) რისკი/შესაბამისობა/უსაფრთხოება (მეთოდოლოგია, მონიტორინგი), 3) დამოუკიდებელი შიდა აუდიტი.
Risk-based: კონტროლდება ნარჩენი რისკის პრიორიტეტი.
Evidence-driven: თითოეულ კონტროლს აქვს გაზომილი კრიტერიუმები, მონაცემთა წყაროები და მტკიცებულების არტეფაქტები.
Automate-first: თუ ეს შესაძლებელია - ავტომატური და უწყვეტი კონტროლი (CCM) ხელის ნაცვლად.

3) რისკებისა და მიზნების რუკა

1. რისკის რეესტრი: მიზეზების/მოვლენების/შედეგების იდენტიფიცირება (ფინანსები, მოთამაშეები, ლიცენზიები).
2. კონტროლის მიზნები: რა არის საჭირო თავიდან აცილება/აღმოჩენა/გამოსწორება (მაგალითად, „თანხების უკანონო გაყვანა“, „PII უნებართვო წვდომა“).
3. საკონტროლო საქმიანობა: კონკრეტული პოლიტიკოსის/პროცედურების/ავტომატიზაციის არჩევა მიზნის მისაღწევად.

• პროფილაქტიკური: RBAC/ABAC, SoD (4-eyes), limites და scoring, მონაცემთა შესაბამისობა, WebAuthn, mTLS.
• დეტექტივი: SIEM/alerty, reconciliations, SLA/SLO დაშბორდები, აუდიტის ლოგოები (WORM), ანომალიების კონტროლი.
• კორექტირება: მანქანების ბლოკირება, გამოშვებების გამოტოვება, კლავიშების როტაცია, სახელმძღვანელო ანალიზი და ანაზღაურება.
• კომპენსაცია: თუ ძირითადი კონტროლი შეუძლებელია - გამაძლიერებელი ზომები (დამატებითი მონიტორინგი, ორმაგი შერიგება).

4) კონტროლის ბიბლიოთეკა

• ID/სახელი, მიზანი, რისკი, ტიპი, სიხშირე, მფლობელი, შემსრულებელი, შესრულების მეთოდი (სახელმძღვანელო/ავტო/გუიდი), მტკიცებულებების წყაროები, KPI/KRI, კავშირი პოლიტიკოსებთან/პროცედურებთან, დამოკიდებული სისტემები.
• სახელმწიფოები: Draft - Active - Monitored - Retired. ვერსია და ცვლილების ჟურნალი.

• 'CTRL-PAY-004' - 4-eyes approve გადასახადებისთვის> X (პრევენციული, ყოველდღიური, Owner: Head of Payments, Evidence: განაცხადები/ლოგები, KPI: 100% საფარი).
• 'CTRL-DWH-012' - PII- ის შენიღბვა ფანჯრებში (პროფილაქტიკური, მუდმივი, Owner: Head of Data, Evidence: ტესტის მოთხოვნები, KPI: 95% -იანი გამოცდა).
• 'CTRL-SEC-021' - MFA Admin კონსოლებისთვის (პრევენციული; Evidence: IdP მოხსენებები; KPI: 100% adoption).

5) RACI და მფლობელები

6) აუდიტის და ტესტების დაგეგმვა

წლიური გეგმა იქმნება რისკზე ორიენტირებული (მაღალი ნარჩენი რისკი, მარეგულირებელი მოთხოვნები, ინციდენტები, ახალი სისტემები).

• Design Effectiveness (DE): სწორად არის შექმნილი კონტროლი რისკის შესამცირებლად.
• Operating Effectiveness (OE): მუშაობს სტაბილურად მოცემულ სიხშირეში.
• Thematic/Process Audit: დომენის ტესტირება (მაგალითად, KYC/AML ან კასაუტები).
• Follow-up/Verification: CAPA- ს დახურვის დადასტურება.

მიდგომა: Walkthrough (ტრეკერი), ინტერვიუები, არტეფაქტების/ლოგოების რეპროდუქცია, ანალიტიკა, რეპროდუქცია (რეპლიკა).

7) მტკიცებულებები და ნიმუშები

სახეობები evidence: logs (ხელმოწერა/hesh) გადმოტვირთვის, IDP/SSO ანგარიშები, ticets და ჟურნალები, კონფიგურაცია, ეკრანის ეკრანის კადრები, xls/csv ფანჯრებიდან, PAM სესიების ჩანაწერები.
მთლიანობა: WORM ასლები, ჰეშის ჯაჭვები/ხელმოწერები, მითითება 'ts _ utc'.
ნიმუში: სტატისტიკური/განსაზღვრული; ზომა დამოკიდებულია კონტროლის სიხშირეზე და ნდობის დონეზე.
კრიტერიუმები: pass/fail; ნებადართულია de minimis ბარიერები სახელმძღვანელო ოპერაციებისთვის.

8) შეუსაბამობების შეფასება და კლასიფიკაცია

გრადაცია: Critical/High/Medium/Low.
კრიტერიუმები: გავლენა (ფული/PII/ლიცენზია), ალბათობა, ხანგრძლივობა, განმეორება, კომპენსაცია.
ანგარიში: აღმოჩენის ბარათი (რიკი, აღწერა, მაგალითები, ძირითადი მიზეზი, გავლენა, საჭირო მოქმედებები, ვადები, მფლობელი), ტრეკინგის სტატუსი.

9) CAPA და ცვლილების მენეჯმენტი

Corrective and Preventive Actions: ძირითადი მიზეზის აღმოფხვრა, არა მხოლოდ სიმპტომები.
S.M.A.R.T.-ზომები: კონკრეტული, გაზომილი, დათარიღებული; პასუხისმგებლობა და საკონტროლო წერტილები.
Change Advisory Board: მაღალი რისკის ცვლილებები გადის CAB; პოლიტიკის/პროცედურების/როლების განახლება.
ეფექტურობის გადამოწმება: ხელახალი აუდიტი N კვირის/თვის შემდეგ.

10) უწყვეტი მონიტორინგი (CCM) და ანალიტიკა

CCM კანდიდატები: მაღალი სიხშირის და ოფიციალურად კონტროლირებადი - SoD კონფლიქტები, JIT ექსტრადიცია, არანორმალური ექსპორტები, MFA-coverage, გადახდის ლიმიტები, სანქციების ჰიტები.
ინსტრუმენტები: SIEM/UEBA წესები, data/BI დაშბორდები, სქემების/ნიღბების შემსრულებლები, წვდომის ტესტები (policy-as-code).
სიგნალები/ალერტები: ბარიერი/ქცევა; SOAR ticets; ავტო ბლოკები კრიტიკულ გადახრებში.
უპირატესობები: აღმოჩენის სიჩქარე, სახელმძღვანელო დატვირთვის დაქვეითება, საუკეთესო დადასტურება.

11) მეტრიკი (KPI/KRI)

• კრიტიკული პროცესების კონტროლი 95% -ს შეადგენს
• სახელმძღვანელო კონტროლის ერთჯერადი გადაანგარიშება 98%
• CAPA Closed დროულად (High/Critical) - 95%
• ავტომატური კონტროლის წილი MoM

• დარღვევები SoD = 0
• წვდომა PII- ს გარეშე 'purpose' = 0
• გაჟონვა/ინციდენტები აცნობეს 72 საათს - 100%
• Fail-rate ოპერაციული კონტროლები <2% (ტენდენცია მცირდება)

12) სიხშირე და კალენდარი

ყოველდღიურად/მუდმივად: CCM, ანტიფროდიული სიგნალები, გადახდის შეზღუდვები, შენიღბვა.
ყოველკვირეულად: გადახდების/რეესტრების შერიგება, ექსპორტის კონტროლი, ალერტების ანალიზი.
ყოველთვიურად: MFA/SSO ანგარიშები, წვდომის რეესტრი, მოვაჭრე მონიტორინგი, KRI ტენდენციები.
კვარტალურად: უფლებების რესტრუქტურიზაცია, თემატური მიმოხილვები, სტრესის ტესტები BCP/DR.
ყოველწლიურად: სრული აუდიტის გეგმა და რისკების ბარათის განახლება.

13) ინტეგრაცია არსებულ პოლიტიკოსებთან

RBAC/ABAC/Least Privilege, წვდომის პოლიტიკოსები და სეგმენტები პრევენციული კონტროლის წყაროა.
პაროლის პოლიტიკა და MFA სავალდებულო მოთხოვნებია admins/კრიტიკული ოპერაციებისთვის.
აუდიტორული ჟურნალები/ლოგოების პოლიტიკა - დეტექტიური და მტკიცებულებები.
TPRM და მესამე მხარის კონტრაქტები - გარე კონტროლი: SLA, DPA/SCCs, აუდიტის უფლებები.

14) ჩეკის ფურცლები

14. 1 ახალი კონტროლის დიზაინი

მიზანი და რისკი აღწერილია

• განსაზღვრულია ტიპი (პრევენციული/დეტექტიური/კორექტირება)
• დანიშნულია მფლობელი/შემსრულებელი და სიხშირე
• მოცემულია მონაცემთა წყაროები და evidence ფორმატი
• ჩაშენებული მეტრიკები (KPI/KRI) და ალერტები
• ასახულია კავშირები პოლიტიკოსებთან/პროცედურებთან
• განსაზღვრულია DE/OE ტესტირების გეგმა

14. 2 აუდიტი

• სკოპი და DE/OE კრიტერიუმები შეთანხმებულია
• არტეფაქტებისა და წვდომის სია
• ნიმუში შეთანხმებულია და ჩაწერილია

შედეგები და აღმოჩენები კლასიფიცირებულია

• CAPA, დამტკიცებულია ვადები და მფლობელები
• ანგარიში გამოვიდა და გადაეცა steikholders- ს

14. 3 მონიტორინგი და ანგარიშგებები (ყოველთვიურად)

• KPI/KRI ყველა კრიტიკული კონტროლისთვის
• წარუმატებლობის/ცრუ მოქმედების ტენდენციები
• CAPA სტატუსი და დაგვიანება
• წინადადებები ავტომატიზაციისთვის/SSM

15) ტიპიური შეცდომები და როგორ მოვერიდოთ მათ

კონტროლი მიზნის/მეტრიკის გარეშე: objective და KPI/KRI ფორმირება.
ხელით კონტროლირება მტკიცებულების გარეშე: ფორმების/სკრიპტების სტანდარტიზაცია და არტეფაქტების შენახვა WORM- ში.
გამონაკლისების ზრდა: გამონაკლისების რეესტრი გასვლის თარიღით და კომპენსაციის ზომებით.
„ქაღალდზე“ მუშაობს - სინამდვილეში არ არსებობს: რეგულარული OE ტესტები და CCM.
ღია CAPA: ავტომატური ესკალაცია და სტატუსი ყოველთვიურ რისკების კომიტეტზე.

16) გზის განხორციელების რუკა

კვირეული 1-2: განაახლეთ რისკების რუკა, შეადგინეთ კონტროლების კატალოგი, დანიშნეთ მფლობელები, დაამტკიცეთ evidence შაბლონები.
კვირა 3-4: დაიწყეთ KPI/KRI მონიტორინგი, შეარჩიეთ 5-10 ავტომატიზაციის კონტროლი (CCM) და დაამტკიცეთ წლიური აუდიტის გეგმა.
თვე 2: 1-2 თემატური აუდიტის ჩატარება (მაღალი რისკი), SOAR ალერტების დანერგვა, ბორდის ანგარიშგების დამყარება.
თვე 3 +: გააფართოვოს CCM, განახორციელოს კვარტალური მიმოხილვები, შეამციროს ხელის კონტროლი, გაზარდოს DE/OE საფარის წილი და CAPA- ს დახურვის სიჩქარე.

TL; DR

ეფექტური შიდა კონტროლი = რისკის რუკა - მიზნები - მკაფიო საქმიანობა მფლობელთან და მტკიცებულებებთან, პლუს რეგულარული DE/OE ტესტები, CAPA და CCM ავტომატიზაცია. ეს რისკების მართვას გაზომავს, აუდიტი პროგნოზირებს, ხოლო შესაბამისობა დადასტურებულია.