Кросс-департаменттик текшерүүлөр

1) кросс-департамент текшерүү деген эмне

Cross-департамент текшерүү - бул бир нече функциялар аркылуу өткөн процесстерди жана контролдорду биргелешкен текшерүү (мисалы, Product → Engineering → SecOps → Legal/DPO → Payments → Support → Marketing). Максаты - толук сценарий туура аткарылып, саясатчылардын талаптары аткарылып, далилдер audit-ready экенин ырастоо.

• "туташ" тобокелдиктерди жана SoD-чыр-чатактарды аныктоо;
• талаптарды бирдиктүү чечмелөө жана жоопкерчиликтин "боз зоналарын" жоюу;
• CAPA тездетүү жана кайталоону алдын алуу.

2) Качан ишке киргизүү (триггерлер)

Жаңы/өзгөртүлгөн жөнгө салуучу талаптар же юрисдикциялар.
Олуттуу релиздер/миграция (архитектура, төлөмдөр, маалыматтар).
Инциденттер (МБ/купуялык/төлөмдөр) жана пост-мортемалар.
тышкы аудит/тастыктоо даярдоо.
Жогорку тобокелдик домендери боюнча үзгүлтүксүз календар (чейрек/жарым жыл).

3) Сценарийлер (end-to-end) - эмнени текшерүү керек

• Privacy/DSAR: суроо-талап → экспорттук/алып салуу → эскертүү → журнал.
• Access Management: укук → апрув → provizhining → башкаруу-иш-аракет журналы → re-cert.
• Төлөм кайтаруу/chargeback: триггер → далилдерди чогултуу → жөнөтүүчүгө жооп → CAPA frod.
• Жарнамалык кампания: материалдарды макулдашуу → максаттуу → ийгиликсиздиктерди/макулдуктарды көзөмөлдөө → далилдер архиви.
• Коопсуздук окуясы: детекция → обочолонуу → Юридикалык Hold → билдирүүлөр → пост-мортем → CAPA.
• Retention/маалыматтарды өчүрүү: ишке TTL → субпроцессорлор жок ырастоо → отчеттуулук.

4) Ролдору жана RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Методология: кантип жүргүзүү керек

Walkthrough: "саясаттан ийиндерине" аркылуу иш көрсөтүү.
ToD (Test of Design): контролдук билдирүүлөрдүн, ролдордун, жол-жоболордун, метриктердин болушун жана сапатын текшерүү.
ToE (Test of Operating Effectiveness): мезгил контролдоо туруктуулугун текшерүү (30-90 күндүн ичинде тандоо).
Reperform: операцияны көз карандысыз кайталоо (мисалы, DSAR-экспорт, кирүү мүмкүнчүлүгүн кайтарып алуу, төлөм аппалары).
Терс тестирлөө: көзөмөлдү айланып өтүү аракети (SoD, лимиттер, жашыруун сканерлөө).

6) Үлгү жана стратификация

Тобокелдик-негизделген: критикалык юрисдикциялар/ролдор/төлөм ыкмалары үчүн көбүрөөк n.
Стратификация: региондор, кардарлардын түрлөрү, каналдар (web/app), сутка/жүк убактысы боюнча.
Комбинациялар: кокустук + максаттуу (босоголордун чектери, edge-кейстер).

• Critical: n ≥ 25 доменге + негизги кадамдарды кайра.
• High: n ≥ 15; Medium: n ≥ 8; Low: n ≥ 5.

7) Көз карандылыкты башкаруу жана SoD

Көз карандылык матрицасы: кызматтар, сатуучулар, ачкычтар, маалыматтар, ролдор.
Милдеттерди бөлүштүрүү эрежеси (SoD): апрусту айкалыштырууга жана бир адамдын сынчыл аракеттерин аткарууга тыюу салуу.
Change freeze критикалык контурлар же так чыгаруу боюнча сыноо учурунда.

8) далилдер жана өзгөрүлбөстүгү

Бардык артефакттар (жүктөр, конфигалар, скринкасттар, отчеттор) WORM/Object Lock 'та хеш-квитанциялар менен сакталат.
Chain of Custody: ким/качан/эмне үчүн чогултулган/окуган evidence.
Убакыт синхрондоштуруу жана жол аныктоо (trace_id, request_id).
Ар бир кадамды Control Statement жана метрикага байланыштыруу.

9) CAPA жана re-аудит менен бириктирүү

Ар бир акча табуу үчүн - CAPA (Corrective/Preventive, мөөнөттөрү, ички, компенсациялык чаралар).
критикалык учурларда 30-90 күндүн ичинде милдеттүү кайра-аудит.
policy-/assurance-as-code жаңыртуу: CCM эрежелери, CI/CD гейтс, метрикалык босоголор.

10) Метрика жана KRI

Coverage Rate: чейрек ичинде текшерилген негизги арибин%.
First-Pass Close: критикалык findings жок текшерүү үлүшү.
On-time CAPA:% өз убагында иш-чаралар (severity).
Repeat Findings (12 ай): домендер/юрисдикциялар боюнча кайталоо тенденциясы.
Controls Pass Rate: сценарий менен байланышкан "жашыл" CCM эрежелеринин үлүшү.
Evidence Completeness: пакеттердин толуктугу (Critical/High үчүн 100% максаттуу).
SoD Violations: аныкталган/жок милдеттердин чыр-чатактар.
Vendor Mirror SLA: сынчыл провайдерлердин күзгү чараларын ырастоо.

11) Dashbord (минималдуу)

Scenario Pipeline: Planned → In Progress → Findings → CAPA → Re-audit.
Cross-Domain Heatmap: тобокелдиктер/өзгөчөлүктөрү боюнча табылгалар (IAM, Privacy, Payments, Marketing, Support).
Dependency Map: түйүндөр/сатуучулар/контролдоо, "кызыл" зоналар.
Evidence Readiness: WORM/хештер/скринкасттар болушу.
CAPA & Drift: чаралардын статусу, 30-90 күн drift байкоо.

12) SOP (стандарттык жол-жоболор)

SOP-1: пландаштыруу

High-тобокелдик темаларды аныктоо → чейрек үчүн 2-4 аркылуу жагдайды тандоо → ээлерин дайындоо → календарды жана freeze терезелерди макулдашуу.

SOP-2: Өткөрүү

Kick-off → walkthrough → ToD/ToE → reperform → negative testing → evidence чогултуу → күнүмдүк sync-апдейттер.

SOP-3: Отчет жана чечимдер

Структура "критерий → факт → таасир → сунуш" → Комитет (Close/Extend/Escalate) → отчет жана метрика жарыялоо.

SOP-4: CAPA жана аткаруу контролдоо

CAPA GRC → ордун толтуруу чараларын баштоо (зарыл болсо) → мөөнөттөрү жана RACI → dashboard аткаруу.

SOP-5: Re-аудит жана байкоо

30-90 күндөн кийин - кайра тандоо жана sanity-check → SSM эрежелерин жаңыртуу/саясат → цикл жабуу.

13) Артефакттардын үлгүлөрү

13. 1 Текшерүү планы (one-pager)

Сценарий, максаттар, юрисдикциялар

Контролдоо/текшерүү саясаты

Үлгүлөрү жана ыкмалары

Тобокелдиктер/көз карандылык/SoD

Таймлайн, ролдор, байланыш каналдары

13. 2 Finding карта

Критерийи (policy/control) → Факт → Таасир → Сунуш

Severity, калдык тобокелдик

Далилдер (шилтемелер/хэш)

CAPA: чаралар, ОУООООООООООООООООООООООООООООООООООООООООООООООООО

13. 3 Evidence pack

1. Саясат/стандарттар/SOP (версиялар, диффалар)

2. Логин/конфигурациялардын үлгүлөрү (CSV/JSON, хеш-квитанциялар)

3. Скриншоттор/Таймстампалар менен скриншоттор

4. SSM отчеттор/метрика жана тесттер

5. Комитеттин корутунду отчету жана чечимдери

14) Байланыш жана маданият

Бирдиктүү канал (портал/GRC) суроо-талаптарды жана жоопторго SLA номери менен.
"One voice" тышкы сессиялар/аудиттер, татаал маселелер скрипт.
Айыпсыз: процесстерге жана кайталоолордун алдын алууга басым жасоо.
Мыкты тажрыйбаларды жана үлгүлөрдү бөлүшүү, ички китепкана иштери.

15) Антипаттерндер

"Департаменттин ичиндеги" текшерүү.
"Кагаз" эч кандай Логин/Hashes/WORM далилдерди.
Эч кандай байланыш control statements/метрика (ченелбестик).
SoD жана бир адамга көз карандылыкты четке кагуу.
CAPA Preventive/компенсациялык чаралар жок, кайра аудитсиз.
Календары жана тобокелдик боюнча артыкчылыктары жок бир жолку текшерүүлөр.

16) Жетилүү модели (M0-M4)

M0 Ad-hoc: эпизоддук текшерүү, эч кандай ыкма/метрика.
M1 пландаштырылган: чейрек календары, негизги үлгүлөрү жана ролдору.
M2 Башкарылуучу: тобокелдик-негизделген үлгүлөрү, WORM-evidence, dashboard, CAPA-линк.
M3 Integrated: policy-/assurance-as-code, CI/CD-гейтс, автоматтык отчеттор.
M4 Туруктуу жардам: алдын ала KRI, сунуш жагдайлар, үзгүлтүксүз sanity-текшерүү жана мониторинг drift.

17) Байланыштуу макалалар wiki

Кайталап аудиттер жана аткарылышын контролдоо

Мыйзам бузууларды жоюу пландары (CAPA)

Үзгүлтүксүз шайкештик мониторинг (CCM)

Саясатчылардын жана нормативдердин репозиторийи

Юридикалык жаңыртууларды көзөмөлдөө/Жөнгө салуучу өзгөрүүлөрдүн шарттары

Журнал жүргүзүү жана Audit Trail

Үчүнчү жактын аудиторлору тарабынан тышкы текшерүүлөр

Өнөктөштөр үчүн комплаенс колдонмо

Жыйынтык

Кросс-департаменттик текшерүүлөр тобокелдик зонасынан функциялардын ортосундагы "муундарды" контролдук зонага айландырат: толук сценарийлер, өлчөнүүчү контролдуктар, өзгөрүлбөс далилдер жана CAPA → re-audit жабык цикли. Мындай ыкма шайкештикти алдын ала айтууга болот, тышкы аудиттерди тездетет жана кайталап бузуулар ыктымалдыгын азайтат.