위험 점수 및 우선 순위

1) 목적과 결과

예산/타이밍/리소스에 대한 결정이 다음과 같도록 위험 평가 및 순위를 재현성 및 검증 가능하게하는 것이 목표입니다

비슷한 (통합 스케일 및 공식),

투명성 (데이터 소스 및 가정이 문서화되어 있음),

측정 가능 (통제 및 사고와 관련된 메트릭 및 KRI),

실행 파일 (각 위험은 만료 날짜가있는 CAPA/면제 계획에 해당) 에 해당합니다.

출력: 통합 위험 레지스터, 우선 순위 측정 백 로그, 히트 맵, 잔여 위험 보고서, 감사 준비 아티팩트.

2) 이용 약관 및 위험 수준

내재 위험-통제를 제외한 위험.
잔여 위험-현재 제어 (ToD/ToE/CCM 검증) 를 고려한 위험.
목표 위험-CAPA/보상 조치 후 목표 수준.
가능성 (L) -평가 영역에서 시나리오가 발생할 확률.
Impact (I) -금융, 라이센스/법률, 개인 정보 보호/데이터, 운영/SLO, 평판 중 가장 큰 것.
KRI - L/I에 영향을 미치는 위험 표시기 (예: dsar _ response _ p95, chargeback 비율).

3) 저울과 기본 모델

3. 1 개별 행렬 (5 × 5 또는 4 × 4)

점수 = L × I → 범위 1-25 (또는 1-16).

• 20-25 = 중요, 12-19 = 높음, 6-11 = 중간 값 1-5 = 낮음.
• 문제는 점수 정책에 게시되며 모든 도메인에 항상 적용됩니다.

• 1 년 -> 3 년 만에 한 번; 2-1-3 년마다 한 번씩; 3-매년; 4 - 분기 별; 매월 5 회/더 빈번합니다.

• 1 - <€10k; 2 - €10-100k; 3 - €100-300k; 4 - €300k- €1m; 5 -> €1m; 법적/라이센스 위험으로 인해 레벨은 최소 4-5로 상승합니다.

3. 양적 모델 2 개

ALE (연간 손실 기대): 'ALE = SLE × ARO', 여기서 'SLE' 은 이벤트 당 평균 피해, 'ARO' 는 연간 예상 빈도입니다.
FAIR 접근 방식 (단순화): 주파수 (위협 이벤트 주파수) 및 손실 값 (손실 크기) 을 시뮬레이션하고 백분위 수 (p50/p95) 를 사용하여 결정합니다.
몬테카를로: 주파수 및 손상 분포 (로그 노름/감마 등), 10-100k 실행 → 손실 곡선 (손실 초과 곡선). 가장 비싼/규제 중요한 위험을 신청하십시오.

추천: 사례의 80% - 매트릭스 5 × 5, 20% (최고 위험) -ALE/FAIR/Monte Carlo.

4) 잔여 및 목표 위험

1. "통제 없음" 가정에서 고유를 계산하십시오.
2. 기존 컨트롤 (테스트 된 ToD/ToE/CCM) → Residual의 효과를 고려하십시오.
3. 계획된 CAPA/보상 조치 및 성과 날짜를 고려한 Determine Target.
4. 목표 지정 경우 내성 임계 값 (위험 식욕) -확인; 그렇지 않은 경우 만료 날짜와 보상 제어가 필요한 경우 면제가 필요합니다.

5) 데이터 소스 및 증거

메트릭 및 KRI (대시 보드, 로그, 사고 보고서).
제어 테스트 결과 (CCM), 감사 (내부/외부).
공급자 보고서: 데이터 위치의 SLA/인증서/사건/변경.
재무 분석: 벌금, 청구 회수, 사기 손실%.
각 점수에는 타임 스탬프 및 해시 영수증 (WORM) 과 함께 증거 링크가 수반됩니다.

6) 이니셔티브의 우선 순위 지정 (위험 → 조치 이전)

6. 1 RICE (위험 적응)

'RICE = (Reach × Impact _ adj × Confidence )/Efforts'

도달-영향을받는 고객/거래/관할 구역 수

Impact _ adj-변환 I (또는 ALE/loss p95).
자신감-등급의 신뢰성 (0. 5/0. 75/1. 0).
노력-남자 주/비용.
RICE 정렬 → 빠른 승리.

6. 2 위험 조정 WSJF

'WSJF = 지연 비용/직업 크기',

'지연 비용 = 위험 감소 + 시간 비판 + 비즈니스 가치'.

위험 감소는 Residual/ALE의 예상 감소입니다.
시간 비판-규제 기관/감사 마감일.
사업 가치-소득/저축, 고객 신뢰.

6. 3 규제 우선 순위

위험이 라이센스/법과 관련이 있고 마감일이 어려운 경우 "경제적" 점수에 관계없이 자동으로 Critical/High에 속합니다.

7) 임계 값 규칙 및 에스컬레이션

중요: 즉각적인 심사, CAPA는 30 일, 60-90 일 후에 재감사; 주간위원회.
높음: CAPA는 60 일, 후속 90 일.
미디어: 분기 별 계획에 포함됩니다.
낮음: 모니터링 + "기술 부채" 슬롯 기능.
KRI 임계 값: Amber (경고) 및 Red (필수 에스컬레이션 및 CAPA).

8) 역할 및 RACI

9) 대시 보드

위험 히트맵: 행렬 5 × 5, 도메인/국가/공급자 별 필터.
위험 깔때기: 고유 → 잔류 → 목표.
ALE/p95 손실에 의한 Top-N: 정량적 위험.
KRI 감시자 목록: 지표 및 임계 값, Amber/Red 알람.
CAPA 영향: 예상/실제 감소; 타임 라인 진행.
면제: 현재 예외, 마감일 및 보상 조치.

10) 성능 지표

위험 감소 지수: 가중 평균 위험률 (분기/분기).
정시 CAPA: 시간에 따른 측정의% (심각도 별).
반복 결과 (12 개월): 반복 위반 비율.
증거 완전성: 전체 패키지로 인한% 위험 (High + 의 100% 목표).
예측 정확도: 예상 및 실제 손실/주파수의 불일치.
시간 간/시간/계획/시간 대 대상.

11) SOP (표준 절차)

SOP-1: 초기화 및 규모

위원회에서 L/I 스케일 및 범주 임계 값 → 승인을 정의하십시오.

SOP-2: 분기 별 재평가

KRI/사건 수집 → 소유자에 의한 L/I/ALE → 검토의 재 계산 → 위원회 우선 순위 → 로드맵 출판.

SOP-3: 방아쇠 사건

중요/높은 사고의 경우-예정되지 않은 재 계산, CAPA 조정 및 우선 순위.

SOP-4: 정량 분석 (최고 위험)

입력 분포 → Monte Carlo (10k 실행) → 손실 곡선 → 위원회 결정을 준비하십시오.

SOP-5: 보관 및 증거

GRC 카드에서 슬라이스 내보내기 + 해시 영수증 → WORM 아카이브 → 링크.

12) 템플릿 및 "코드"

12. 1 채점 정책 (스 니펫)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 위험 카드 (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 우선 순위 (WSJF 예)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) 보상 조치 및 면제

• 성능 지표와 함께 보상 제어 (수동 점검, 한계, 추가 모니터링) 를 도입합니다.
• 만료 날짜, 소유자 및 교체 계획으로 면제를 발행합니다.
• 30-90 일 후에 필수 재감사.

14) 안티 패턴

KRI/컨트롤/사고와 관련이없는 "아름다운 매트릭스".
원하는 결과에 대한 플로팅 스케일 및 "수동 튜닝".
계산 및 가정의 다양성 부족.
희귀 개정 → 맵은 현실을 반영하지 않습니다.
만료일이없고 보상 조치가없는 면제.
최고 위험에 대한 정량적 분석 부족.

15) 성숙도 모델 (M0-M4)

M0 Ad-hoc: "눈으로" 추정하면 단일 정책이 없습니다.
M1 계획: 매트릭스 5 × 5, 분기 별 업데이트, 기본 대시 보드.
M2 관리: KRI/CCM과의 통신, CAPA 링크, WORM 증거.
M3 통합: 최고 위험을위한 ALE/FAIR/Monte Carlo, 로드맵의 WSJF/RICE, CI/CD 게이트.
M4 연속 보증: 예측 KRI, 자동 재 계산, 권장 사항 우선 순위 및 설계 별 증거.

16) 관련 위키 기사

열 위험지도

위험 기반 감사 (RBA)

KPI 및 규정 준수 지표

연속 준수 모니터링 (CCM)

치료 계획 (CAPA)

정책 및 준수 저장소

준수 로드맵

외부 감사인의 외부 감사

합계

위험 점수 및 우선 순위는 안정적인 척도 및 정책, 입증 가능한 데이터, 최고 위험에 대한 정량적 방법, 명시 적 임계 값 및 에스컬레이션, CAPA 및 로드맵에 대한 직접적인 링크 등 예술이 아닌 엔지니어링 분야입니다. 이 접근 방식은 의사 결정을 예측하고 승인을 가속화하며 비즈니스의 전반적인 위험을 줄입니다.