위험 등록 및 평가 방법론
1) 레지스터에 포함 된 이유와 내용
목적: 돈에 영향을 미치는 위험 (GGR/CF), 라이센스, 플레이어, 데이터 및 평판에 대한 통합 설명 시스템, 평가, 우선 순위 지정 및 모니터링.
적용 범위: 제품/엔지니어링 (SDLC/사건), 재무 및 지불 (PSP/결과), KYC/AML/제재, 개인 정보 보호 (GDPR), TPRM/공급 업체, 마케팅/SDK, 데이터 (DWH/BI), 인프라/구름/DR, 지원 운영 및 VIP.
2) 위험 분류법 (예)
정보 보안 및 개인 정보 보호: PII/KYC 누출, 무단 액세스, 로깅 실패, DSAR 파일.
규제/준수: 라이센스 조건 위반, AML/KYC/제재, 광고 금지.
운영/기술: 다운 타임 PSP/KYC, 방출 결함, 대기 시간 저하, DR 사고.
사기/남용: 사기 예금, 보너스 남용, 지불 공격 패턴.
재무: 파트너 유동성, 청구 충격, 하나의 PSP에 대한 집중.
공급 업체/공급망: 취약한 SDK, TOM이 낮은 서브 프로세서.
평판/고객: 불만 급증, NPS 감소, RG 위반.
전략/지정 학적: 제재, 세금/법 변경, 교통 차단.
3) 위험 카드 (필요한 필드)
ID/위험 이름
카테고리 (분류법에서)
이벤트 설명 (발생할 수있는 일) 및 원인
의 영향을받는 자산/프로세스/관할 구역
위험 소유자 및 스폰서
사용 가능한 제어 (예방/탐정/수정)
제어 전 확률 (P) 및 영향 (I) (고유)
제어 후 잔여 위험
치료 계획: 감소/피하기/수락/전송
에스컬레이션 임계 값/위협 수준 (낮음/중간/높음/중요)
KRI 및 트리거, 메트릭 및 데이터 소스
다음 검토 상태 및 마감일 관련 CAPA/티켓
제어 레지스트리 (제어 ID) 및 정책과의 연계
감사/위원회 의견 (최신 결의)
4) 등급 척도 (기본 5 × 5)
4. 1 확률 (P)
1-희귀 (<1/5 년)
2-낮음 (1/2-5 년)
3-평균 (연간)
4-높음 (쿼터)
5-매우 높음 (월/더 자주)
4. 2 Impact (I) -가지에서 최대 선택
금융: 1: <€10k· 2: €10-100k· 3: €100k-1m· 4: €1-5m· 5:> €5m
개인 정보 보호/데이터: 1: <1k 레코드·...· 5:> 1M 레코드/특별 카테고리
규제 기관/라이센스: 1: 경고· 3: 페널티/검토· 5: 라이센스 정지
가용성 (SLO/SLA): 중요 영역의 경우 1: <15 min·...· 5:> 8 h
최종 점수: 'R = P × I' → 레벨: 1-5 Low, 6-10 Medium, 12-16 High, 20-25 Critical.
(임계치는 회사에 적용 할 수 있습니다.)
5) 열지도 매트릭스 및 위험 식욕
위험 식욕: 도메인 별 공차가있는 문서 (예: PII 누출 - 공차 없음); 다운 타임 P95 - 보통 X 분/월; 요금 환급 률-
히트 맵: 5 × 5에서 R의 시각화; 식욕 이상-CAPA 계획 및 타임 라인이 필요합니다.
위험 예산: 정당화 (경제적 타당성) 가있는 "허용 된" 위험에 대한 할당량.
6) 평가 방법론
6. 1 품질 (빠른 시작)
P/I 스케일 + 정당화, 사건 기록과의 조정 및 KRI 데이터에 대한 전문가 평가.
6. 2 양적 (Top-10의 우선 순위)
FAIR 접근 방식 (단순화): 이벤트 빈도 × 확률 적 손상 분포 (P10/P50/P90); 감소 옵션을 비교하는 데 유용합니다.
Monte Carlo (1000-10k 실행): 손상 및 주파수의 변동성 → 손실 Exceedance 곡선 (손실 확률> X).
TRA (Targeted Risk Analysis): 모니터링/제어 주파수 (PCI/공급 업체와 관련됨) 를 선택하기위한 포인트 분석.
7) KRI 및 출처
도메인의 예:- 가용성/작동: MTTR, 5xx 오류, P95 대기 시간, P1/P2 사건,% autoscale, 클러스터 용량.
- 보안/개인 정보 보호:% MFA 적용 범위, 자격 증명 채우기 시도, 비정상적인 수출, DSAR SLA, 반 알바 플래그.
- 지불: PSP, 요금 환급, 은행 고장, 수동 캐스트 하우트 점유율.
- KYC/AML: TAT, 오 탐지 율, 제재 조치, 에스컬레이션 점유율.
- 공급 업체: SLA 준수, 대기 시간 드리프트, 사고 빈도, 인증서 관련성.
KRI는 임계 값을 초과 할 때 위험과 관련이 있으며 에스컬레이션을 유발합니다.
8) 위험 수명주기 (워크 플로)
1. 식별 → 카드 등록.
2. 고유 → 제어 매핑 → 잔류 물.
3. 치료 결정 및 CAPA 계획 (날짜/소유자).
4. KRI/사고 모니터링, 카드 업데이트.
5. 분기 별 위험위원회: Top-N 개정, 식욕 재 라벨링.
6. 닫기/통합 또는 감시 목록.
9) 통제 및 감사를 통한 커뮤니케이션
각 위험은 특정 컨트롤을 참조해야합니다 (내부 컨트롤 및 감사 참조)
사전 예방: RBAC/ABAC, SoD, 한계, 암호화, WebAuthn, 세분화.
형사: SIEM/경고, 조정, WORM 로그, UEBA.
수정: 롤백, 지불 잠금 장치, 주요 취소, 긴급 패치.
DE/OE 감사는 통제가 식욕에 대한 위험을 줄이고 안정적으로 작동한다는 것을 확인합니다.
10) 샘플 카드 (YAML, 조각)
10. 공급 업체 SDK를 통한 1 PII 누출 (Tier-1)
yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5 # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-1510. 2 PSP 분해: 지불 승인 실패
yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"11) 집계 및 포트폴리오 관리
Top-N (Risk Register View): 잔여 R 및 "위의 식욕" 으로 정렬됩니다.
주제 (위험 테마): 클러스터 (공급 업체, 개인 정보 보호, PSP) → 주제 소유자.
의존성 맵: riski shon kontroli 겠습니다.
시나리오 및 스트레스 테스트: "PSP # 1 및 KYC # 1을 2 시간 동안 사용할 수 없습니까?" -누적 피해 평가 및 행동 계획.
LEC (Loss Exceedance Curve): 협의회/보드의 연간 손실 프로파일.
12) 에스컬레이션 임계 값 및 신호
운영: SLO/SLA 위반 → 사건 P1/P2.
준수/개인 정보 보호: 보존 초과, DSAR 실패, '목적' 없이 내보내기 → 즉각적인 DPO/법적 에스컬레이션.
공급 업체: 공급 업체의 반복 된 SLA 실패 → CAPA, 계약 개정.
재무: 종료 요금 지불> 임계 값 → 수동 점검, 한도/보너스 조정.
13) RACI (확대)
14) 위험 관리 시스템의 지표 (KPI/KRI)
적용 범위: 중요한 프로세스의 100% 가 등록 된 위험과 소유자입니다
정시 검토: 카드의 95% 이상이 정시에 수정됩니다.
식욕을 자극하는 위의 식욕을 돋우기 위해서는 위험의 비율이 식욕보다 높습니다.
CAPA 폐쇄 (높은/중요): 시간에 95% 이상.
탐지 래그: KRI 편차에서 에스컬레이션으로의 평균 시간 (네이션 경향이 있음).
사고 재발: 한 가지 이유로 반복 된 사건-0.
15) 점검표
15. 1 카드 만들기
- 이벤트/원인 카테고리 및 설명
- 자산/프로세스/관할 구역 표시
- 예상 P/I (고유) 및 정당성으로 잔류
- 제어 매핑 (ID), KRI 및 데이터 소스
- CAPA 계획/날짜/소유자
- 에스컬레이션 임계 값 및 위협 수준
15. 2 분기위원회
- 잔류 및 식욕을위한 톱 10
- 새로운/긴급 위험, 법률/공급 업체의 변경
- CAPA 및 연체 상태
- 결정: 수락/감소/전송/피하기; 식욕/임계 값 업데이트
16) 구현 로드맵 (4-6 주)
1-2 주: 분류, 규모, 식욕 승인; 도구를 선택하십시오 (표/BI/IRM). 중요한 프로세스를 위해 10-15 개의 시작 카드를 만듭
3-4 주: 위험을 통제 및 KRI와 연관시킵니다. 히트 맵/대시 보드를 만듭니다. 위험위원회를 시작합니다.
5-6 주: Top-5 (FAIR/Monte Carlo light), KRI 수집 자동화, 에스컬레이션 및 보드보고에 대한 정량화를 구현하십시오.
17) 관련 위키 섹션
내부 제어 및 감사, ISO 27001/27701, SOC 2, PCI DSS, IGA/RBAC/최소 특권, TPRM 및 SLA, 사건 및 누출, DR/BCP, 로그 정책 및 WORM-전체 사이클 "위험 → 제어 → 메트릭 → 증거".
TL; DR
워킹 리스크 레지스터 = 명확한 분류법 + 표준화 된 스케일 + 식욕/임계 값 → 소유자, 통제 및 KRI → 히트 맵 및위원회 → 정시에 최고 위험 및 CAPA에 대한 우선 순위 정량화. 이를 통해 이사회와 규제 기관은 위험을 관리 가능하고 비교할 수 있으며 입증 할 수 있습니다.