Тобокелдик эсеби жана артыкчылыктуу

1) Максаты жана натыйжалары

• салыштырууга болот (бирдиктүү шкалалар жана формулалар),
• ачык-айкын (маалымат булактары жана божомолдор документтештирилген),
• (метриктер жана KRI контролдоого жана окуяларга байланган),
• аткарылуучу (ар бир тобокелдик мөөнөтү бүткөн CAPA/waiver планына туура келет).

Чыгуулар: тобокелдиктердин бирдиктүү реестри, приоритеттүү чаралар бэклогу, жылуулук карталары, калдык тобокелдиктер жөнүндө отчеттор, "аудит-ready" артефакттары.

2) Терминдер жана тобокелдик деңгээли

Inherent Risk - көзөмөлдү эске албаганда тобокелдик.
Residual Risk - учурдагы контролдорду эске алуу менен тобокелдик (ToD/ToE/CCM текшерилген).
Максаттуу тобокелдик - SARA/компенсациялык чаралардан кийинки максаттуу деңгээл.
Likelihood (L) - баалоо горизонтунда сценарийдин ыктымалдыгы.
Impact (I) - эң чоңу: финансы, лицензиялар/укук, купуялык/маалыматтар, операциялар/SLO, репутация.
KRI - L/I таасир тобокелдик көрсөткүчтөрү (мисалы, dsar_response_p95, chargeback ratio).

3) Шкала жана негизги моделдер

3. 1 Discrete Matrix (5 × 5 же 4 × 4)

Score = L × I → диапазону 1-25 (же 1-16).

• 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
• Босого маанилери "Скоринг саясатында" жарыяланат жана бардык домендерге дайыма колдонулат.

• 1 - бир жолу> 3 жыл; 2 - 1-3 жылда бир жолу; 3 - жыл сайын; 4 - квартал сайын; 5 - ай сайын/көбүрөөк.

• 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; юридикалык/лицензиялык тобокелдиктер учурунда деңгээл кеминде 4-5ке чейин жогорулайт.

3. 2 сандык моделдер

ALE (Annualized Loss Expectancy): 'ALE = SLE × ARO', мында 'SLE' - окуяга орточо зыян, 'ARO' - жылына күтүлгөн жыштык.
FAIR ыкмасы (жөнөкөйлөштүрүлгөн): жыштыгын (Threat Event Frequency) жана жоготуу (Loss Magnitude) моделдештирүү, чечим кабыл алуу үчүн Pepper (p50/p95) колдонот.
Монте-Карло: жыштык жана зыян үчүн бөлүштүрүү (Логнорм/гамма ж.б.), 10-100k прогон → жоготуу ийри (loss exceedance curve). Эң кымбат/регулятивдик критикалык тобокелдиктерге колдонуу.

Сунуш: 80% учурларда - Matrix 5 × 5, 20% (Top-тобокелдиктер) - ALE/FAIR/Монте-Карло.

4) Калдык жана максаттуу тобокелдик

1. Инерентти "көзөмөлсүз" эсептөө.
2. учурдагы контролдоо натыйжалуулугун эске алуу (ToD/ToE/CCM тарабынан текшерилген) → Residual.
3. пландаштырылган SARA/ордун толтуруу чараларын жана жетишүү датасын эске алуу менен максаттуу аныктоо.
4. Эгерде Максат сабырдуулуктун босогосун ≤ (тобокелдик appetite) - болжол менен; жок болсо - мөөнөтү жана ордун толтуруу контролдоо менен waiver талап кылынат.

5) Маалымат булактары жана далилдер

Метрика жана KRI (dashboard, Логи, окуя отчеттор).
Контролдук тесттердин натыйжалары (CCM), аудиттер (ички/тышкы).
Провайдерлердин отчеттору: SLA/сертификаттар/инциденттер/маалымат ордун өзгөртүү.
Каржылык аналитика: айып, chargeback, fraud loss%.
Ар бир баа берүү тайм-штамп жана хеш-квитанция (WORM) менен evidence шилтемелер менен коштолот.

6) Демилгелерди артыкчылыктуу кылуу (которуу тобокелдик → аракет)

6. 1 RICE (тобокелге ылайыкташуу)

`RICE = (Reach × Impact_adj × Confidence) / Effort`

Reach - канча кардарлар/бүтүмдөр/юрисдикциялар жабыр тарткан.
Impact_adj - кайра I (же ALE/жоготуу p95).
Confidence - баалардын ишенимдүүлүгү (0. 5/0. 75/1. 0).
Effort - адам-жума/наркы.
RICE боюнча сорттоо → жогорку тез утуштарды.

6. 2 WSJF тобокелдик тууралоо менен

`WSJF = Cost of Delay / Job Size`, где

`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.

Risk Reduction - Residual/ALE күтүлгөн төмөндөшү.
Time Criticality - жөнгө салуучу/аудит мөөнөтү.
Business Value - киреше/үнөмдөө, кардарлардын ишеними.

6. 3 Жөнгө салуучу артыкчылык

Эгерде тобокелдик лицензиялар/мыйзам менен байланыштуу болсо жана катуу мөөнөт болсо - ал автоматтык түрдө "экономикалык" эсепти карабастан Critical/High кирет.

7) Босого эрежелери жана эскалациялар

Critical: тез триаж, CAPA ≤ 30 күн, 60-90 күндөн кийин кайра аудит; жумалык комитет.
Жогорку: CAPA ≤ 60 күн, байкоо 90 күн.
Medium: чейректик планга киргизүү.
Low: мониторинг + мүмкүнчүлүгү "tech debt" слот.
KRI босоголору: Amber (эскертүү) жана Red (милдеттүү эскалация жана CAPA).

8) Ролдору жана RACI

9) Дашборд

Risk Heatmap: Matrix 5 × 5, домендер/өлкөлөр/провайдерлер боюнча чыпкалар.
Risk Funnel: Inherent → Residual → Максат (Delta төмөндөшү).
Top-N by ALE/p95 Loss: сандык тобокелдиктер.
KRI Watchlist: көрсөткүчтөр жана босоголор, тынчсыздануу Amber/Red.
CAPA Impact: күтүлгөн/иш жүзүндө төмөндөшү; мөөнөттөрү боюнча прогресс.
Waivers: учурдагы өзгөчөлүктөр, мөөнөттөр жана компенсациялык чаралар.

10) натыйжалуулугун Метрика

Risk Reduction Index: орточо салмактанып алынган тобокелдик- ∆ (чейрек/чейрек).
On-time CAPA:% өз убагында чаралар (сүйүү боюнча).
Repeat Findings (12 ай): кайталанган бузуулар үлүшү.
Evidence Completeness:% толук пакети менен тобокелдиктер (максаты 100% жогорку + үчүн).
Prediction Accuracy: бааланган жана иш жүзүндө жоготуу/жыштык айырмачылыктар.
Time-to-Triage / Time-to-Plan / Time-to-Target.

11) SOP (стандарттык жол-жоболор)

SOP-1: Инициалдаштыруу жана шкала

L/I шкаласын жана категориялардын босогосун аныктоо → Комитетте бекитүү → репозиторийде бекитүү (версиялоо).

SOP-2: Кварталдык кайра баалоо

KRI/инциденттерди чогултуу → L/I/ALE кайра саноо → ревю ээлери → комитеттин артыкчылыгы → Roadmap жарыялоо.

SOP-3: Окуя-триггер

Critical/High окуя - пландан тышкаркы кайра эсептөө, CAPA жана артыкчылыктарын тууралоо.

SOP-4: Сандык талдоо (Top-тобокелдиктер)

Монте-Карло → кириш бөлүштүрүү даярдоо (≥ 10k прогон) → жоготуу ийри → Комитеттин чечими.

SOP-5: Архив жана далилдер

Экспорт тилкелери (CSV/PDF) + хеш-дүмүрчөктөр → WORM-Archive → GRC карта шилтемелер.

12) Шаблондор жана "as-code"

12. 1 балл саясаты (үзүндү)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 Тобокелдик картасы (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 артыкчылыктуу (WSJF мисал)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Компенсациялык чаралар жана waivers

• натыйжалуулук көрсөткүчтөрү менен компенсациялык көзөмөлдү (кол менен текшерүү, лимиттер, кошумча мониторинг) киргизебиз;
• мөөнөтү, ээси жана алмаштыруу планы менен waiver кооздоп;
• милдеттүү re-аудит 30-90 күндөн кийин.

14) Антипаттерндер

"Beautiful Matrix" KRI/Controls/окуялар менен байланышы жок.
Сууда сүзүүчү шкалалар жана каалаган натыйжага ылайык "кол менен тюнинг".
Эсептөөлөрдү жана божомолдорду версиялоонун жоктугу.
Сейрек карап → карта чындыкты чагылдырбайт.
мөөнөтү жана ордун толтуруу чаралары жок Waivers.
жогорку тобокелдиктер үчүн сандык талдоо жоктугу.

15) Жетилүү модели (M0-M4)

M0 Ad-hoc: "көз" баа, бирдиктүү саясат жок.
M1 пландаштырылган: Matrix 5 × 5, чейректик жаңыртуулар, базалык дашборддор.
M2 Башкарылуучу: KRI/CCM, CAPA-linking, WORM-evidence менен байланыш.
M3 Integrated: ALE/FAIR/Монте-Карло жогорку тобокелдик, WSJF/RICE Roadmap, гейт CI/CD.
M4 Туруктуу жардам: алдын ала KRI, auto-кайра эсептөө, сунуш артыкчылыктары жана "evidence-by-design".

16) Байланыштуу макалалар wiki

Жылуулук тобокелдик картасы

Тобокелдик-багытталган аудит (RBA)

KPI жана комплаенс метрикасы

Үзгүлтүксүз шайкештик мониторинг (CCM)

Мыйзам бузууларды жоюу пландары (CAPA)

Саясатчылардын жана нормативдердин репозиторийи

Комплаенс жол картасы

Үчүнчү жактын аудиторлору тарабынан тышкы текшерүүлөр

Жыйынтык

Тобокелдик эсеби жана артыкчылык берүү - бул искусство эмес, инженердик дисциплина: туруктуу шкалалар жана саясатчылар, далилденген маалыматтар, жогорку тобокелдиктер үчүн сандык ыкмалар, ачык босоголор жана эскалациялар, ошондой эле CAPA жана жол картасы менен түз байланыш. Мындай мамиле чечимдерди алдын ала айтууга болот, макулдашууну тездетет жана бизнестин жалпы тобокелдигин азайтат.