KPI және комплаенс өлшемдері

1) Комплаенс метрикасының қажеті

• сәйкестік мәртебесін уақыт бойынша ашық және салыстырмалы етеді;
• комплаенс жұмысын бизнес-нәтижемен байланыстырады (шығындарды/айыппұлдарды/релиздерді кідіртуді азайту);
• сезім бойынша емес, фактілер бойынша басымдықтар мен ресурстарды басқаруға мүмкіндік береді;
• аудитті жеңілдетеді: трассаланатын формулалар, көздер және өзгермейтін артефактілер (evidence) бар.

• KPI - орындау көрсеткіштері (үдерістердің тиімділігі).
• KRI - тәуекел көрсеткіштері (оқиғалардың ықтималдығы/әсері).
• SLO/SLA - мерзімдері бойынша сервистің/міндеттемелердің нысаналы деңгейлері.
• Leading vs Lagging: күтілетін (leading) және кешігетін (lagging) индикаторлар.

2) Домендер бойынша метрика картасы (референс-матрица)

3) «Солтүстік жұлдыздар» (North Star) комплаенс

1. N сағат ішінде Audit-ready (барлық evidence автоматты түрде жинақталған).
2. Zero Critical Violations (қауіпсіздік/реттеуіш бойынша нөлдік сыни сәйкессіздіктер).
3. ≥ 90% автоматтандырылған бақылау (policy-as-code + CCM).

4) Метриктердің таксономиясы

4. 1 Coverage (қамту)

Control Coverage: бақыланатын жүйелер/барлық күрделі жүйелер.
Evidence Coverage: артефактілер жиналды/аудит парағы бойынша.
Policy Adoption: талаптар енгізілген процестер ,/барлық мақсатты процестер.

4. 2 Effectiveness (бақылау тиімділігі)

Pass Rate бақылау тестілері: кезеңнің барлық тесттерінен өтті.
FPR/TPR (жалған/шынайы) детективтік ережелер үшін.
Incidents Prevented: алдын алу бақылауларымен алдын алынған кейстер.

4. 3 Efficiency (шығындар/жылдамдық)

MTTD/MTTR бұзушылықтар: детекторға/жоюға дейінгі уақыт.
Cost per Case (AML/DSAR): сағат × мөлшерлеме + инфрақұрылымдық шығындар.
Automation Ratio: авто-шешімдер/барлық шешімдер.

4. 4 Timeliness (мерзімдер)

Орындау SLA (DSAR/STR/оқыту): мерзімінде/барлығы.
Lead Time саясаткер: триггерден жарияланымға дейін.
Change Lead Time (DevSecOps-гейттер): PR-ден комплаенс-тексеру кезінде шығарылымға дейін.

4. 5 Quality (деректер/процестер сапасы)

Evidence Integrity: WORM-дегі хеш-мәліметтері бар артефактілер%.
Data Defects: есеп/есеп берудегі қателер.
Training Score: тесттің орташа балы, бірінші реттен%.

4. 6 Risk Impact (тәуекелге әсер ету)

Risk Reduction Index: ремедиациядан кейінгі жиынтық тәуекел-скор ∆.
Regulatory Exposure: ашық сыни гэптер vs лицензия/сертификаттау талаптары.
$ Avoided Losses (бағалау): гэптердің жабылуымен алдын алынған айыппұлдар/шығындар.

5) Есептеу формулалары мен мысалдары

5. 1 DSAR SLA

'DSAR _ SLA = (жабық өтінімдер саны ≤ 30 күн )/( өтінімдер саны)'

Мақсаты: ≥ 98%; қызыл аймақ <95%, сары 95-97. 9.

5. 2 Access Hygiene

'AH = ескірген _ құқықтар (иесі жоқ/мерзімі өткен )/барлық _ құқықтар'

Табалдырық: ≤ 2% (қызыл аймақ> 5%).

5. 3 Drift Rate (IaC/Cloud)

'DR = дрейфтер (сәйкессіздіктер IaC, факт )/ай'

Тренд: 3 ай қатарынан тұрақты төмендеу.

5. 4 Time-to-Remediate (по severity)

High: медиана ≤ 30 күн; Critical: ≤ 7 күн. Кешіктіру → авто-эскалация.

5. 5 AML FPR

'FPR = жалған оң _ алерталар/барлық _ алерталар'

TPR және өңдеу шығындарымен теңестіріңіз.

5. 6 Evidence Coverage (аудит)

'EC = жиналған _ артефактілер/міндетті _ чек-парақ бойынша'

Мақсаты: аудиттің D-күніне 100%; операциялық мақсат - 95% ≥ тұрақты.

6) Деректер мен дәлелдемелердің көздері (evidence)

Compliance DWH витринасы: DSAR, Legal Hold, TTL, аудит-логтар, алерта.
IAM/IGA: рөлдер, иелер, аттестаттау науқандары.
CI/CD/DevSecOps: SAST/DAST/SCA, құпия-сканер, лицензиялар, гейттер.
Cloud/IaC: конфигурация снапшоттары, дрейф-репорттар, KMS/HSM-логтар.
SIEM/SOAR/DLP/EDRM: корреляциялар, плейбуктер, блоктаулар.
GRC: талаптар, бақылаулар, waivers және аудиттер тізілімі.
WORM/Object Lock: өзгермейтін артефактілер мұрағаты + хеш-мәліметтер.

7) Дашбордтар (ең аз жиынтық)

1. Compliance Heatmap - жүйелер × нормативтер × мәртебе.
2. SLA Center - DSAR/STR/оқыту: мерзімі өткен, болжам.
3. Access & SoD - уытты рөлдер, orphan-аккаунттар, аттестациялаудың ілгерілеуі.
4. Retention & Deletion - TTL-бұзушылықтар, Legal Hold блоктау, трендтер.
5. Infra/Cloud Drift - IaC сәйкессіздіктері, шифрлау, сегменттеу.
6. Findings Pipeline - иелері мен severity бойынша ашық/мерзімі өткен/жабық.
7. Audit Readiness - evidence жабу және «батырмамен» дайын болғанға дейінгі уақыт.

• Жасыл - мақсатқа қол жеткізілді/тұрақты.
• Сары - ауытқу қаупі, жоспар талап етіледі.
• Қызыл - күрделі ауытқу, дереу эскалация.

8) OKR-байламы (тоқсан мысалы)

Objective: релиздерді баяулатпай реттеуші және операциялық тәуекелді төмендету.

KR1: 72% → 88% -дан автоматтандырылған бақылау Coverage ұлғайту.
KR2: Access Hygiene төмендету 4. 5% → ≤ 2%.
KR3: мерзімінде 99% DSAR; медианалық жауап ≤ 10 күн.
KR4: Drift Rate бұлттар − 40% QoQ.
KR5: Time-to-Audit-Ready ≤ 8 сағат (dry-run).

9) Метриктер үшін RACI

10) Өлшеу жиілігі және рәсімдері

Күн сайын: CCM алерті, дрейф, құпиялар, сыни оқиғалар.
Апта сайын: SLA DSAR/STR, DevSecOps гейттері, Access Hygiene.
Ай сайын: pass rate бақылау, қайталама findings, Evidence Coverage.
Тоқсан сайын: OKR-сводка, Risk Reduction Index, аудит-репетиция (dry-run).

Шектерді қайта қарау рәсімі: трендтерді, шығындар мен тәуекелдерді талдау; табалдырықты өзгерту - Board арқылы.

11) Метриканың сапасы: ереже

Бірыңғай семантика: терминдер мен SQL үлгілер сөздігі.
Формулаларды нұсқалау: «метрика код ретінде» (репозиторий + ревью).
Қайталануын тексеру: Реперформат скрипттері аудиторларға арналған.
Артефактілердің иммутабельділігі: WORM + хеш-тізбектер.
Құпиялылық: минимизация, бүркемелеу, KPI витриналарына кіруді бақылау.

12) Сұрау үлгілері (SQL/жалған)

12. 1 DSAR SLA (30 күн):

sql
SELECT
COUNTIF(closed_at <= created_at + INTERVAL 30 DAY) / COUNT() AS dsar_sla_rate
FROM dsar_requests
WHERE created_at BETWEEN @from AND @to;

12. 2 Access Hygiene:

sql
SELECT
SUM(CASE WHEN owner IS NULL OR expires_at < CURRENT_DATE THEN 1 END)
/ COUNT() AS access_hygiene
FROM iam_entitlements
WHERE system_critical = TRUE;

12. 3 Drift (Terraform vs факт):

sql
SELECT COUNT() AS drifts
FROM drift_detections
WHERE detected_at BETWEEN @from AND @to
AND severity IN ('high','critical');

13) Шекті мәндер (референс-мысалдар, бейімдеу)

14) Антипаттерндер

Иесіз және іс-қимыл жоспарынсыз «есеп беру» өлшемдері.
Формулалар нұсқаларын араластыру → трендтердің салыстырмалылығы.
Тиімділігі жоқ қамту: жоғары Coverage, бірақ жоғары drift және қайталама findings.
AML/CCM-дегі жалған іске қосулар (FPR) құнының инноры.
Тәуекел контексінсіз метрика (KRI және лицензиялармен байланыс жоқ).

15) Чек парақтары

KPI жүйесін іске қосу

• Метрика сөздігі және «метриканың код ретінде» бірыңғай репозиторийі.
• Иелері тағайындалған (RACI) және жаңарту жиілігі.
• «Compliance» көздері мен витринасы қосылған.
• Дашбордтар мен түсті аймақтар, SLO/SLA және эскалациялар теңшелген.
• WORM мұрағаты және есептер хеш-фиксациясы.
• Dry-run реперформасы бар аудит үшін.

Тоқсандық есептің алдында

• Формулаларды верификациялау, аномалияларды бақылау.
• Реттеу шегін жаңарту.
• Cost/benefit FPR vs TPR талдауы.
• «Қызыл» аймақтар бойынша жақсарту жоспары.

16) Метриканың жетілу моделі (M0-M4)

M0 Қолмен есептеу: Excel кестелері, тұрақты емес есептер.
M1 Каталог: бірыңғай витрина, негізгі SLA және трендтер.
M2 Автоматтандырылған: нақты уақыттағы дашбордтар, эскалация.
M3 Orchestrated: policy-as-code, CCM, auto-evidence, реформалар.
M4 Continuous Assurance: «кнопка бойынша audit-ready», тәуекелдің болжамды (ML) метрикасы.

17) Байланысты wiki баптары

Үздіксіз сәйкестік мониторингі (CCM)

Комплаенс пен есептілікті автоматтандыру

Тәуекелге бағдарланған аудит

Саясаттар мен рәсімдердің өмірлік циклі

Legal Hold және деректерді мұздату

DSAR: деректер үшін пайдаланушы сұраулары

Деректерді сақтау және жою кестелері

Жиынтығы

Күшті KPI комплаенс - бұл түсінікті формулалар, сенімді көздер, иелері мен табалдырықтары, автоматтандырылған витрина және ауытқу әрекеттері. Осылайша комплаенс бизнестің тәуекелі мен жылдамдығына өлшенетін әсері бар болжамды сервиске айналады.