რისკების სკორინგი და პრიორიტეტიზაცია

1) მიზანი და შედეგები

• შესადარებელი (ერთიანი მასშტაბები და ფორმულები),
• გამჭვირვალე (დოკუმენტირებულია მონაცემთა წყაროები და ნებართვები),
• გაზომილი (მეტრიკა და KRI უკავშირდება კონტროლსა და ინციდენტებს),
• შესრულებული (თითოეული რისკი შეესაბამება CAPA/waiver გეგმას გასვლის თარიღით).

გამოშვებები: რისკების ერთიანი რეესტრი, პრიორიტეტული ზომების ბაკალავრი, თერმული ბარათები, ნარჩენი რისკის შესახებ მოხსენებები, არტეფაქტების „აუდიტი“.

2) ტერმინები და რისკის დონე

Inherent Risk არის რისკი კონტროლის გარეშე.
Residual Risk არის რისკი მიმდინარე კონტროლის გათვალისწინებით (გადამოწმებული ToD/ToE/CCM).
Target Risk არის სამიზნე დონე SARA/კომპენსაციის ზომების შემდეგ.
Likelihood (L) - სცენარის ალბათობა შეფასების ჰორიზონტზე.
Impact (I) - ყველაზე დიდი: ფინანსები, ლიცენზიები/სამართალი, კონფიდენციალურობა/მონაცემები, ოპერაციები/SLO, რეპუტაცია.
KRI არის რისკის ინდიკატორები, რომლებიც გავლენას ახდენენ L/I- ზე (მაგალითად, dsar _ response _ p95, chargeback ratio).

3) მასშტაბები და ძირითადი მოდელები

3. 1 დისკრეტული მატრიცა (5 × 5 ან 4 × 4)

Score = L × I არის დიაპაზონი 1-25 (ან 1-16).

• 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
• ბარიერი ფასეულობები ქვეყნდება სკორინგის პოლიტიკაში და მუდმივად გამოიყენება ყველა დომენზე.

• 1 - ერთხელ> 3 წელიწადში; 2 - 1-3 წელიწადში ერთხელ; 3 - ყოველწლიურად; 4 - კვარტალურად; 5 - ყოველთვიურად/უფრო ხშირად.

• 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; იურიდიული/სალიცენზიო რისკებით, დონე იზრდება მინიმუმ 4-5-მდე.

3. 2 რაოდენობრივი მოდელები

ALE (Annualized Loss Expectancy): 'ALE = SLE × ARO', სადაც 'SLE' არის ღონისძიების საშუალო ზიანი, 'ARO "არის მოსალოდნელი სიხშირე წელიწადში.
FAIR მიდგომა (გამარტივებული): მოდელირებით სიხშირე და ზარალის ოდენობა (Loss Magnitude), ჩვენ ვიყენებთ P50/p95 გადაწყვეტილების მისაღებად.
Monte Carlo: განაწილება სიხშირისა და ზიანის (lognorm/gamma და ა.შ.), 10-100k პროგონის და მრუდი ზარალის (loss exceedance curve). გამოიყენეთ ყველაზე ძვირადღირებული/მარეგულირებელი კრიტიკული რისკები.

რეკომენდაცია: შემთხვევების 80% - მატრიცა 5 × 5, 20% (ტოპ რისკები) - ALE/FAIR/Monte Carlo.

4) ნარჩენი და მიზნობრივი რისკი

1. გამოთვალეთ ინჰერენტი „კონტროლის გარეშე“.
2. არსებული მაკონტროლებლების ეფექტურობის გათვალისწინებით (შემოწმებულია ToD/ToE/CCM) და Residual.
3. განსაზღვრეთ Target დაგეგმილი SARA/ანაზღაურებადი ზომებისა და მიღწევის თარიღების გათვალისწინებით.
4. თუ Target არის ტოლერანტობის ბარიერი (risk appetite) - დაახლოებით; თუ არა, საჭიროა ვივერი გასვლის თარიღით და კომპენსაციის კონტროლით.

5) მონაცემთა წყაროები და მტკიცებულებები

მეტრიკა და KRI (დაშბორდები, ლოგოები, ინციდენტების მოხსენებები).
კონტროლის ტესტების შედეგები (CCM), აუდიტი (შიდა/გარე).
პროვაიდერების მოხსენებები: SLA/სერთიფიკატები/ინციდენტები/მონაცემთა ადგილმდებარეობის ცვლილებები.
ფინანსური ანალიტიკა: ჯარიმები, chargeback, fraud loss%.
თითოეულ შეფასებას თან ახლავს evidence მითითებები timestamp- ით და hash ქვითრით (WORM).

6) ინიციატივების პრიორიტეტი (გადარიცხვა რისკი - ეფექტი)

6. 1 RICE (რისკის ადაპტაცია)

`RICE = (Reach × Impact_adj × Confidence) / Effort`

Reach - რამდენი მომხმარებელი/გარიგება/იურისდიქცია უკანა მხარეს.
Impact _ adj - გარდაქმნილი I (ან ALE/p95 დაკარგვა).
Confidence - შეფასების სანდოობა (0. 5/0. 75/1. 0).
Effort არის კაცი-კვირა/ღირებულება.
RICE- ს დახარისხება - სწრაფი მოგება მაღლა.

6. 2 WSJF რისკის რეგულირებით

`WSJF = Cost of Delay / Job Size`, где

`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.

Risk Reduction არის Residual/ALE მოსალოდნელი შემცირება.
Time Criticality არის რეგულატორების/აუდიტის ვადა.
Business Value - შემოსავალი/დაზოგვა, მომხმარებელთა ნდობა.

6. 3 მარეგულირებელი პრიორიტეტი

თუ რისკი დაკავშირებულია ლიცენზიებთან/კანონთან და არსებობს მკაცრი ვადა - ის ავტომატურად მოხვდება Critical/High- ში, მიუხედავად „ეკონომიკური“ სკორინგისა.

7) ბარიერი წესები და ესკალაცია

კრიტიკული: დაუყოვნებლივი სამება, CAPA - 30 დღე, re-audit 60-90 დღის შემდეგ; ყოველკვირეული კომიტეტი.
მაღალი: CAPA - 60 დღე, დაკვირვება 90 დღე.
საშუალო: ჩართვა კვარტალურ გეგმაში.
დაბალი: მონიტორინგი + „tech debt“ სლოტის შესაძლებლობა.
KRI ბარიერები: Amber (გაფრთხილება) და Red (სავალდებულო ესკალაცია და CAPA).

8) როლები და RACI

9) დაშბორდი

Risk Heatmap: 5 × 5 მატრიცა, ფილტრები დომენებზე/ქვეყნებზე/პროვაიდერებზე.
Risk Funnel: Inherent - Residual - Target (შემცირების დელტა).
Top-N by ALE/p95 Loss: რაოდენობრივი რისკები.
KRI Watchlist: ინდიკატორები და ბარიერები, სიგნალიზაცია Amber/Red.
CAPA Impact: მოსალოდნელი/ფაქტობრივი ვარდნა; პროგრესი ვადებში.
Waivers: არსებული გამონაკლისები, ვადები და კომპენსაციის ზომები.

10) შესრულების მეტრიკა

Risk Reduction Index: საშუალო შეწონილი რისკი (კვარტალი/კვარტალი).
On-time CAPA: ზომების% დროულად (დროის მიხედვით).
Repeat Findings (12 თვე): განმეორებითი დარღვევების წილი.
Evidence Completeness:% რისკი სრული პაკეტით (მიზანი 100% მაღალი +).
Prediction Accuracy: შეფასებული და ფაქტობრივი ზარალის/სიხშირის შეუსაბამობა.
Time-to-Triage / Time-to-Plan / Time-to-Target.

11) SOP (სტანდარტული პროცედურები)

SOP-1: ინიციალიზაცია და მასშტაბები

L/I მასშტაბების დადგენა და კატეგორიების ბარიერების დადგენა კომიტეტში დამტკიცებულია საცავებში (ვერსია).

SOP-2: კვარტალური გადაფასება

KRI/ინციდენტების შეგროვება - L/I/ALE დათვლა - რეპროდუქციის მფლობელები - კომიტეტის პრიორიტეტი - Roadmap- ის გამოქვეყნება.

SOP-3: ტრიგერის ინციდენტი

Critical/High ინციდენტის დროს - დაუგეგმავი გადაანგარიშება, CAPA- ს კორექტირება და პრიორიტეტები.

SOP-4: რაოდენობრივი ანალიზი (ტოპ რისკები)

მოამზადეთ შეყვანის განაწილებები მონტე კარლოს (10k Gones) მიერ, ზარალის მრუდი, კომიტეტის გადაწყვეტილება.

SOP-5: არქივი და მტკიცებულებები

ნაჭრების ექსპორტი (CSV/PDF) + ჰაშის ქვითრები - WORM არქივი - ბმულები GRC ბარათებში.

12) შაბლონები და „as-code“

12. 1 სკორინგის პოლიტიკა (ფრაგმენტი)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 რისკის ბარათი (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 პრიორიტეტი (WSJF მაგალითი)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) ანაზღაურებადი ზომები და waivers

• შემოიღეთ კომპენსაციის მაკონტროლებელი (სახელმძღვანელო შემოწმებები, ლიმიტები, დამატებითი მონიტორინგი) ეფექტურობის მეტრებით;
• ჩვენ ვაწარმოებთ ვადის გასვლის თარიღს, მფლობელს და ჩანაცვლების გეგმას;
• სავალდებულო re-audit 30-90 დღეში.

14) ანტიპატერები

„ლამაზი მატრიცა“ KRI/კონტროლთან/ინციდენტებთან კავშირის გარეშე.
მცურავი მასშტაბები და „სახელმძღვანელო tuning“ სასურველი შედეგის ქვეშ.
გაანგარიშებისა და ვარაუდების ვერსიის არარსებობა.
იშვიათი გადასინჯვები და რუკა არ ასახავს რეალობას.
Waivers გასვლის თარიღის გარეშე და კომპენსაციის ზომების გარეშე.
რაოდენობრივი ანალიზის არარსებობა ტოპ რისკებისთვის.

15) სიმწიფის მოდელი (M0-M4)

M0 Ad-hoc: შეფასებები „თვალისთვის“, არ არსებობს ერთიანი პოლიტიკა.
M1 პლენოვი: მატრიცა 5 × 5, კვარტალური განახლებები, ძირითადი დაშბორდები.
M2 კონტროლირებადი: კავშირი KRI/CCM, CAPA-link, WORM-evidence.
M3 ინტეგრირებული: ALE/FAIR/Monte Carlo ტოპ რისკებისთვის, WSJF/RICE Roadmap, კარიბჭეები CI/CD.
M4 Continuous Assurance: წინამორბედი KRI, გადაანგარიშება, რეკომენდაციის პრიორიტეტები და „evidence-by-design“.

16) ვიკის დაკავშირებული სტატიები

რისკის თერმული რუკა

რისკზე ორიენტირებული აუდიტი (RBA)

KPI და კომპლექსის მეტრიკა

შესაბამისობის უწყვეტი მონიტორინგი (CCM)

დარღვევების აღმოფხვრის გეგმები (CAPA)

საცავი პოლიტიკოსი და სტანდარტები

შესაბამისობის გზის რუკა

გარე აუდიტი მესამე მხარის აუდიტორების მიერ

შედეგი

რისკების სკორინგი და პრიორიტეტიზაცია არის საინჟინრო დისციპლინა და არა ხელოვნება: სტაბილური მასშტაბები და პოლიტიკა, დადასტურებული მონაცემები, ტოპ რისკების რაოდენობრივი მეთოდები, აშკარა ბარიერები და ესკალაცია, ასევე პირდაპირი კავშირი CAPA- სთან და საგზაო რუქასთან. ეს მიდგომა გადაწყვეტილებებს პროგნოზირებს, აჩქარებს კოორდინაციას და ამცირებს ბიზნესის მთლიან რისკს.