Қайталама аудиттер және орындалуын бақылау

1) Қайталама аудиттердің мақсаты мен рөлі

• бұзушылықтардың жабылуын және қалдық тәуекелдің Appetite деңгейіне дейін төмендеуін растайды;
• алдын алу шаралары арқылы қайталанудан (repeat findings) қорғайды;
• заңды мәні бар дәлелдеу базасын қалыптастырады («кнопка бойынша audit-ready»).

2) Re-audit (триггерлер) қашан тағайындалады

CAPA-ны Critical/High бойынша (міндетті түрде), Medium бойынша - іріктеме/тәуекел бойынша жабу.
Күрделілігі жоғары инцидент немесе реттеуші ұйғарым.
CCM/observability деректері бойынша бақылау дрейфі.
Сәулет/процесс өзгерістері (релиздер, көші-қон, провайдерлер).
high-risk домендері үшін тоқсан сайынғы/жарты жылдық күнтізбелік терезелер.

3) Көлемі және әдістері (scope & methods)

Дизайн тесті: саясат/стандарт/SOP жаңартылған, бақылау рәсімделген.
Операциялық тиімділік тесті: бақылау кезеңінде тұрақты жұмыс істейді (30-90 күн бұрын іріктеу).
Іріктеме: risk-based (high/critical үшін n ұлғайтамыз), кездейсоқ және мақсатты кейстердің mix.
Реформалар: нәтижені растау үшін рәсімді/сұрауды мүмкіндігінше қайталау.
Дәлелдер: қобдишалар, конфигалар, түсірулер, скринкастар, құралдардың есептері - хеш-түбіртектермен және WORM.

4) Рөлдер және RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Re-audit (SOP) өмірлік циклі

1. Бастама: re-audit карточкасы (findings, CAPA, тәуекел, іріктеу кезеңі, мерзім).
2. Дайындау: тестілердің чек-парағы, қабылдау критерийлері, артефактілердің тізімі, «кейс бойынша» қолжетімділік.
3. Деректерді жинау: авто-түсіру, іріктеу, хеш-бекіту, WORM үй-жайы.
4. Тесттер: дизайн (болуы/дұрыстығы) → тиімділік (іріктемелер, реформалар).
5. Бағалау: қалдық тәуекел, тұрақтылық, дрейфтің болуы.
6. Шешім: Close/Extend CAPA/Escalate (комитет, реттеуші).
7. Бекіту: хаттама, дашбордтарды жаңарту, «audit pack» re-audit.
8. Қадағалау: 30-90 күн қадағалау; дрейфте - жаңа CAPA бар re-open.

6) Қабылдау критерийлері (Definition of Done)

Corrective шаралары енгізілді және расталды.
Preventive шаралар қайталану қаупін төмендетеді (оқыту, гейт, детекция).
Evidence толық және өзгеріссіз (WORM, хеш-түбіртектер).
CCM ережелері жаңартылған, алаңдар қалыпты, дрейф жоқ.
/ SOP/диаграммалары нақты өзгерістермен үндестірілген.
Вендорлар айна әрекеттерін орындады (ретенция/жою/сертификаттар).

7) Re-audit CAPA байланысы

CAPA карточкасында Re-audit Plan (кезең, жетістік метрикасы, owner) сақтау керек.
«Ішінара табыста» → CAPA-ны өтемдік бақылаулармен және аяқталу күнімен ұзарту.
Жүйелік проблемалар үшін - алдын алу эпиктері (архитектураны өзгерту, процестерді қайта қарау).

8) Метрика және KRI

Re-audit On-time: мерзімінде өткізілгендер% (мақсаты ≥ 95%).
First-Pass Close: CAPA ұзартусыз жабу% (жоғары - жақсы).
Repeat Findings (12 ай): домендер/иелер бойынша қайталау үлесі (тренд ↓).
Residual Risk Δ: re-auditтен кейін тәуекелді азайту.
Evidence Completeness: артефактілердің толық жиынтығымен% re-audit (мақсаты 100%).
Drift After Fix: 30-90 күндік бақылау дрейфі жағдайлары (0 сыни мақсаты).
Vendor Mirror SLA: мердігерлерден растаулар (мақсат сыни үшін 100%).

9) Дашбордтар (минимум)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Heatmap қайталаулары: домендер бойынша (IAM, деректер, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: байланыс мәртебесі, мерзімі өткен, осал аймақтар.
Evidence Readiness: WORM/хэштердің болуы, іріктемелердің жаңаруы.
Drift & CCM: постфикстің бұзылуы, алерт жиілігі.
Vendor Assurance: айна ретенциясы/жою, сертификаттар, SLA.

10) Іріктеу және тест әдістемелері

Тәуекел бойынша стратификация: сыни бақылаулар/юрисдикциялар үшін көп кейстер.
Құрама тесттер: құжаттық тексеру + нақты реформалар (мысалы, DSAR-экспорт, рұқсатты қайтарып алу, TTL бойынша жою).
Жағымсыз сценарийлер: бақылауды айналып өту әрекеті (ABAC/SoD, rate limits, secret-сканер).
Орнықтылық тесті: 30 күннен кейін қайта іріктеу (sanity check).

11) Автоматтандыру және «assurance-as-code»

Бақылау үшін тест-кейстер код ретінде (Rego/SQL/YAML), кесте бойынша автоматты түрде іске қосу.
evidence витринасынан түбіртегі бар «audit pack re-audit» автогенерациясы.
SLA бойынша авто-эскалациялар (CAPA/re-audit мерзімі өткен).
CI/CD интеграциясы: «қызыл» бақылау кезінде гейттер шығарылымды бұғаттайды.

12) Вендорлар және жеткізу тізбегі

Шарттарда - re-audit құқығы және артефактілерді ұсыну мерзімдері.
Айналы ретенция және жоюды/түзетуді растау.
Бұзушылықтар кезінде - кредиттер/SLA-штрафтар, off-ramp және көші-қон жоспары.
Сыртқы сертификаттар (SOC/ISO/PCI) - fresh-мәртебесінде; «qualified opinion» - re-audit кезінде күшейеді.

13) Артефактілердің үлгілері

13. 1 Re-audit карточкасы

ID findings/CAPA, тәуекел/юрисдикция, іріктеу кезеңі

Дизайн/тиімділік тестілері, қабылдау критерийлері

Артефактілер тізімі (дереккөз, формат, хеш)

Нәтижелер, қалдық тәуекел, ұсынымдар

Шешім (Close/Extend/Escalate), owner/due, evidence сілтемелері

13. 2 re-audit есебі (мазмұны)

1. Түйіндеме және мәтін мәнері

2. Әдіснама және көлем

3. Тест нәтижелері (таңдау кестелері)

4. Қалдық тәуекел және қорытындылар

5. Шешімдер мен міндеттер (CAPA/waivers)

6. Қосымшалар: хеш-түбіртектер, скриншоттар, түсірулер

13. 3 Қабылдау чек-парағы

• Саясаттар/SOP/бақылаулар жаңартылды
• Evidence жинақталған және WORM/хеш расталған
• CCM-ережелер қосылған, алерталар дұрыс
• Оқу/коммуникация аяқталды (LMS, read-receipt)
• Вендорлық растаулар алынды
• Қайта ашу қажет емес/кеңейтім жоспары бар

14) Ерекшеліктерді басқару (waivers)

Тек объективті шектеулер кезінде ғана рұқсат етіледі; аяқталу күні және өтемдік бақылау міндетті.
Дашбордта жариялылық, ескертулер 14/7/1 күн, Комитетке эскалация.

15) Антипаттерндер

Тиімділік тестісіз «қағаз жүзінде жабу».
WORM/хешсіз Evidence - аудиттегі дау.
CAPA, re-audit, CCM байланысы жоқ - бақылау бекітілмейді.
Тарылған scope (юрисдикциялар/вендорлар/сыни рөлдер қамтылмаған).
Бақылаусыз бір реттік тексеру 30-90 күн → қайталау.
Өтеу шараларының жоспарынсыз және мерзімсіз CAPA-ны ұзарту.

16) Жетілу моделі (M0-M4)

M0 Ад-hoc: сирек «нүктелік» тексерулер, қабылдау өлшемдері жоқ.
M1 Жоспарлы: re-audit күнтізбесі, негізгі үлгілер мен есептер.
M2 Басқарылатын: CAPA байланысы, дашбордтар/метриктер, WORM-evidence.
M3 Біріктірілген: assurance-as-code, реформалар, автоматты «audit pack».
M4 Continuous Assurance: болжамды KRI, автожоспар, пост-фикс тұрақтылығының мониторингі.

17) Байланысты wiki баптары

Бұзушылықтарды жою жоспарлары (CAPA)

Тәуекелге бағдарланған аудит (RBA)

Үздіксіз сәйкестік мониторингі (CCM)

Журналдар мен Audit Trail жүргізу

Дәлелдемелер мен құжаттаманы сақтау

Комплаенс саясатындағы өзгерістерді басқару

Due Diligence және аутсорсинг тәуекелдері

Тәуекелдерді басқару және комплаенс комитеті

Жиынтығы

Қайталама аудиттер - бұл формальдылық емес, тұрақтылықты тексеру: дизайн және тиімділік тесті, сенімді дәлелдеу базасы, мөлдір шешімдер (Close/Extend/Escalate) және дрейфті бақылау. Мұндай жүйе кезінде тәуекел «қайтарылмайды», ал комплаенс өлшенетін және болжамды болып қалады.