Мезгил-мезгили менен карап чыгуу жана текшерүү

1) Максаты жана принциптери

Мезгил-мезгили менен карап чыгуулар жана ревизиялар (Periodic Reviews) - бул саясаттын актуалдуулугун, жеткиликтүүлүктүн тууралыгын, көзөмөлдүн натыйжалуулугун жана аудитке даярдыгын тастыктаган текшерүүлөрдүн жөнгө салынган цикли.

• календарлык жана алдын ала: белгиленген терезелер жана мөөнөтү.
• Тобокелдик багыты: критикалуулук жана KRI боюнча артыкчылыктар.
• Automation-first: максималдуу автосборчулар жана autoprectors.
• Evidence by design: далилдер автоматтык түрдө түзүлөт жана өзгөрүлбөйт (WORM).
• One owner: ар бир текшерүү ээси бар, SLA жана эскалация планы.

2) Мезгилдүү сын-пикирлердин түрлөрү (портфель)

3) Ролдору жана RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Жылдык календары (үлгү үлгүсү)

Ай сайын: CCM-Controls, DSAR SLA, булут дрейф/шифрлөө, waiver-гигиена отчеттору.
Квартал сайын (Q1/Q2/Q3/Q4): IAM re-cert, Risk Register, DR-машыгуулар, Аудит dry-run, Retence/алып салуу.
Жыл сайын: саясаттарды/жол-жоболорду толук кайра карап чыгуу, VRM сын провайдерлер, BIA (бизнес таасири), аудит/тастыктоо планы.

5) Процесс (SOP) ар кандай текшерүү

1. Демилге: ревизия картасы (scope, максаттары, критерийлери, мөөнөтү, ээлери).
2. Маалыматтарды чогултуу: auto-разгрузка/dashboard, evidence витринасы, үлгүлөрү.
3. Текшерүү жана тесттер: контролдук тизме, pass/fail, severity четтөөлөр.
4. SARA/ремедиация: ээлери жана мөөнөттөрү менен гап тизмеси, компенсациялык чаралар.
5. Апрув жана бекитүү: чечим протоколу, хеш-дүмүрчөктөр, WORM-архив.
6. Байланыш: ITSM/GRC бир-pager + милдеттери; SLA боюнча эскалация.
7. Ретроспектива: сабактар, стандарттарды/шаблондорду жаңыртуу.

6) контролдук тизме үлгүлөрү

6. 1 Саясат/жол-жоболор

• ченемдик шилтемелер жана терминдер актуалдуулугу
• өлчөө control statements
• SOP/стандарттары жана CCM эрежелери менен байланыш
• Локализациялар/аддендумдар синхрондоштурулган
• Changelog жана версия, апрув комитети

6. 2 IAM re-cert

• активдүү укуктар жана ээлеринин толук тизмеси
• SoD чыр-чатактар, orphan эсептери, JIT өзгөчөлүктөрү
• Укуктарды жокко чыгаруу/төмөндөтүү далилдери
• Vendor Access жана SSO федерациялары
• Кайра аттестациялоо жана мөөнөтү өтүп кеткен метрика протоколу

6. 3 VRM

• Учурдагы SOC/ISO/PCI отчеттор, scope жана өзгөчөлүктөр
• Мезгил ичинде SLA/окуялар/кредиттер
• Субпроцессорлор жана маалыматтарды жайгаштыруу - дрейфсиз
• Gap тизмеси жана ремедиация статусу
• Exit планы жана күзгү ретенциясын ырастоо

6. 4 Retence/Legal Hold

• TTL бузуулар = 0 маанилүү
• Өчүрүүлөр боюнча отчеттор + хеш-кыскача
• Active Legal Hold - себептер, даталар, ээлери
• Провайдерлердин күзгү ретенциясы
• DSAR логикасы бузулган эмес

6. 5 DR/BCP

• RTO/RPO сыноо жана үлгү калыбына келтирүү
• Байланыш Playbook жана on-call
• Машыгуу жана CAPA натыйжалары
• Сатуучулар катышты/даяр ырастады
• документтештирилген пост-mortem

7) Метрика жана SLO текшерүү куржунунун

On-time Review Rate: өз убагында аяктаган текшерүү% (максаты ≥ 95%).
Evidence Readiness: экспонаттардын толук топтому менен текшерүү% (максаты 100%).
CAPA On-time:% SLA боюнча жабылган ремедиация (severity).
Repeat Findings: 12 ай ичинде кайталанган сын-пикирлердин үлүшү (тенденция ↓).
Access Hygiene: re-cert кийин эскирген укуктардын үлүшү (максаттуу ≤ 2%).
Vendor Certificate Freshness: критикалык провайдерлердин учурдагы сертификаттарынын% (максаты 100%).
Audit-Ready Time: текшерүү кийин "аудит пакетин" чогултуу үчүн убакыт (≤ 8 саат).

8) Dashboard (минималдуу топтому)

Calendar View: SLA/кечиктирүүлөр менен чейректерди текшерүү картасы.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA: ачык/мөөнөтү өтүп кеткен, ээлери, severity.
IAM Hygiene: orphan/SoD/JIT өзгөчөлүктөрү, тенденциялар.
VRM Heatmap: тобокелдик-Skor провайдерлер, күбөлүктөр, окуялар.
Retention & Hold: TTL-бузуулар, өчүрүү көлөмү, активдүү hold.
Audit Readiness: completeness "баскычы боюнча", хеш-пакеттердин казык.

9) Экспонаттар жана сактоо

Аудит протоколу (agenda, корутундулар, чечимдер, owner/due).
Текшерүүлөрдүн/тандоолордун тизмеси жана алардын натыйжалары (pass/fail).
Gap-тизмеси жана CAPA даталары жана ийгилик көрсөткүчтөрү менен.
Жүктөрдүн жана отчеттордун хеш-квитанциялары; WORM/Object Lock.
Саясат/жол-жоболордун жаңыланган версиялары жана контролдоо боюнча мэппинг.

10) Өзгөчө башкаруу (waivers)

Эгерде оңдоо өз убагында мүмкүн болбосо, ар бир аныкталган gap үчүн таризделет.
Себепти, компенсациялык чараларды, мөөнөтү бүткөн күндү, ээси/планды камтыйт.
Дашборддо көрүнүп турат; 14/7/1 күн мурда авто эскалация.

11) Интеграция

CCM/Compliance-as-Code: контролдоо сыноо эрежелери текшерүү учурунда Auto башталат.
GRC: текшерүү реестри, findings, CAPA, waivers, SLA жана отчеттуулук.
Evidence Storage: хеш бекитүү менен бардык материалдарды автоматтык архивдөө.
ITSM: системалардын ээлеринин милдеттери жана эскалациясы.
VRM: провайдерлердин/сертификаттардын статусун көтөрүү.
LMS: текшерүүнүн жыйынтыгы боюнча Major-өзгөрүүлөр боюнча курстар/аттестациялар.

12) Антипаттерндер

Текшерүүлөр "үчүн" жок CAPA жана ээлери.
Календардын жоктугу жана алдын ала → кечигүү жана өрт режими.
Хеш-дүмүрчөктөр жана WORM → далилдер талаш-тартыш жок кол менен түшүрүү.
Аралаштыруу scope (саясат талаптарды өзгөртөт, бирок SOP/controls жаңыланбайт).
"Түбөлүк" waivers мөөнөтү жана ордун толтуруу жок.
тобокелдик-табити/комитет менен эч кандай байланышы жок - чечимдер масштабдуу эмес.

13) Жетилүү модели (M0-M4)

M0 Ad-hoc: үзгүлтүксүз текшерүү, Excel отчеттор, owners жок.
M1 Пландаштырылган: календар жана негизги чек барактар, артефакттарды сактоо.
M2 Башкарылуучу: GRC реестри, дашборддор, SLA/эскалация, WORM архиви.
M3 Integrated: SSM/аскод, auto-evidence, dry-run текшерүү баскычы боюнча.
M4 Туруктуу жардам: болжолдонгон KRI, auto-кайра, капабилити аркылуу "тобокелдиктер → текшерүү → CAPA".

14) Байланыштуу макалалар wiki

KPI жана комплаенс метрикасы

Тобокелдик-багытталган аудит (RBA)

Үзгүлтүксүз шайкештик мониторинг (CCM)

Далилдерди жана документтерди сактоо

Журнал жүргүзүү жана Audit Trail

Комплаенс саясатындагы өзгөрүүлөрдү башкаруу

Due Diligence жана аутсорсинг тобокелдиктери

Тобокелдиктерди башкаруу жана комплаенс боюнча комитет

Жыйынтык

Мезгилдүү карап чыгуулар жана кайра карап чыгуулар комплаенсти "көйгөйлөргө жооп берүүдөн" жакшыртуунун ачык-айкын конвейерине айландырат: белгиленген календар, автоматташтырылган текшерүүлөр, сапаттуу экспонаттар, өз убагында CAPA жана ар кандай аудитке болжолдуу даярдык.