Жауапкершілік матрицасы

1) Мақсаты және құндылығы

RACI матрицасы рөлдерді және шешім қабылдау нүктелерін процестің әрбір қадамы бойынша мөлдір етеді, операциялық тәуекелдерді төмендетеді және келісуді жеделдетеді.

• «сұр аймақтарды» жою және күш-жігерді қайталау;
• саясат пен бақылау талаптарының орындалуын қамтамасыз етуге;
• рөлдердің дәлелденетін тағайындаулары есебінен аудитті жеңілдету.

2) Терминдер мен нұсқалар

R (Responsible) - жұмыс/тапсырманы орындайды.
A (Accountable) - түпкілікті жауаптылықта болады, нәтижені бекітеді (бір тапсырмаға).
C (Consulted) - консультация береді, шешілгенге дейін тартылады (екі жақты байланыс).
I (Informed) - шешімнен кейін хабарланады (біржақты байланыс).

• RASCI: S (Support) қосады - орындаушының операциялық қолдауы.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) - драйверге екпін.
• RAPID: Recommend, Agree, Perform, Input, Decide - азық-түлік шешімдері үшін пайдалы.

3) RACI жобалау қағидаттары

1. Тапсырмаға бір А - айқын есептілік.
2. Қажет болғанша R, бірақ «барлығы бойынша R» -ден аулақ болыңыз.
3. С - шын мәнінде «жағдайға» емес (әйтпесе ағынды тежейміз).
4. I - атаулы: іс-әрекеті нәтижеге байланысты болғандарды хабардар етеміз.
5. DoA/SoD байланысы: өкілеттіктер мен міндеттерді бөлу RACI-мен қайшы келмеуі тиіс.
6. Нұсқалау: RACI → PR/ревью/хеш-түбіртек → жариялау.

4) Қайда қолдану керек

Тосын оқиғалар және дағдарыс (АҚ/төлемдер/жекешелiк).
DSAR/ретенция/деректерді жою.
VRM/онбординг және серіктестер аудиті.
CI/CD-дегі релиздер мен комплаенс-гейттер.
Маркетинг және жауапты жарнама.
Төлем даулары/chargeback.
BCP/DR-жаттығулар және Legal Hold.

5) Рөлдер (болжамды сөздік)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) RACI-матрицалардың мысалдары

6. 1 Құпиялылық инциденті (деректердің жылыстауы)

6. 2 DSAR: қатынау/жою

6. 3 Критикалық вендордың онбордингі (VRM)

6. 4 Комплаенс-гейт релизі

7) DoA/SoD және саясаткерлермен байланыс

DoA (Delegation of Authority): A DoA-да жазылған бекітуге өкілеттіктері болуы тиіс.
SoD (Separation of Duties): R және A сындарлы қадамдарда төлемдерді/әкімшілік әрекеттерді орындаумен біріктірілмейді.
Саясат/стандарттар: матрицаның әрбір жолы бақылау бекітулеріне және SOP-ке сілтеме жасайды.

8) RACI құру және өзгерту процесі

1. Ағымдағы процесті алып тастау (E2E-диаграмма, шешімдердің нүктелері).
2. Сөздіктен рөлдерді анықтау, домен иелерімен келісу.
3. Қадамдар/шешімдер деңгейінде RACI толтыру, DoA/SoD-мен келіспеушіліктерді тексеру.
4. Практикада валидациялау (table-top/симуляция).
5. Репозиторийде (Git) бекітілсін және жариялансын, вики/порталға енгізілсін.
6. Өзектілікті қолдау: триггерлер - ұйымдастыру құрылымын ауыстыру, юр. жаңартулар, аудит/инцидент нәтижесі.
7. Нұсқалау және дәлелдемелер: PR-тарихы, хеш-түбіртектер, WORM-мұрағаты.

9) Метриктер мен дашбордтар

RACI Coverage: жаңа матрицасы бар негізгі процестер%.
Single-A Compliance: дәл бір A тапсырмаларының үлесі (мақсат 100%).
C/I Noise Ratio: артық келісуші/хабарлаушы (тренд ↓).
Time-to-Decision: RACI-қадамдар бойынша медиана келісу.
SoD Conflicts: анықталған және жабық рөлдер бойынша қайшылықтар.
Audit-Ready: саясаттарға/бақылауларға/SOP және evidence байланыстырылған матрицалардың үлесі.

Дашбордтар: Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (келісудің тар орындары).

10) SOP (стандартты рәсімдер)

SOP-1: RACI жобалау

Картаға түсіру процесі → матрица жобасы → DoA/SoD тексеру → ұшқыш/симуляция → Комитеттің бекітуі → жариялау.

SOP-2: Тоқсан сайынғы шолу

Ұйымдық құрылым/саясат өзгерістерін жинау → матрицаларды тексеру → PR-жаңарту → read- & -attest қозғалған рөлдер үшін.

SOP-3: Оқиға-триггер

Оқыс оқиғаның қорытындысы бойынша - RACI түзету (мысалы, A/C күшейту, R ықшамдау) → SOP/бақылауларды жаңарту → ретест.

SOP-4: Оқыту

Матрица мен кейстерді оқу бойынша микро-курс; A/R рөлдері үшін міндетті.

11) Үлгілер

11. 1 RACI (Markdown) кестесі

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 YAML-артефакт (policy-as-code байламы)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 RACI өзгерту карточкасы

Негіздеме (инцидент/аудит/заңды жаңарту)

Рөлдердің ескі/жаңа мақсаты

DoA/SoD әсері

Оқыту/коммуникация жоспары

PR/хэш түбіртектеріне сілтемелер

12) Интеграция

Саясат репозиторийі: матрицалардан бақылау бекітулеріне сілтемелер.
GRC: нұсқаларын сақтау және read- & -attest.
HRIS/LMS: A/R үшін рөлдік профильдер → оқыту.
ITSM/Jira: RACI-қадамдар бойынша келісу және SLA міндеттері.
CCM: әрекеттер метадеректерінде A/R болуын автопроверка (мысалы, әкімшілік журналдар, релиздер).

13) Антипаттерндер

Тапсырмаға екі және одан көп А.
«R барлығында» және «Белгі үшін C/I» → арналарды қайта тиеу және кідірту.
DoA/SoD және бақылаумен байланыссыз RACI.
Ревизиясыз және нұсқасыз бір реттік матрица.
Тірі артефактілердің орнына скриншоттар (дәлелденуі жоқ).
A/R → «қағаз» сәйкестігі үшін оқытудың болмауы.

14) Жетілу моделі (M0-M4)

M0 Ad-hoc: рөлдер бекітілмеген, келісу хаотикалық.
M1 Негізгі: негізгі процестер бойынша RACI, қолмен жаңартулар.
M2 Басқарылатын: DoA/SoD-мен байланыс, репозиторий, тоқсандық тексерулер, read- & -attest.
M3 Интеграцияланған: YAML матрицалары, PR процесі, бақылау/ССМ және ITSM-SLA.
M4 Continuous Assurance: оңтайландыру бойынша ұсынымдар (тар орындар), SoD автопроверки, Lead Time және «what-if» бойынша талдаушы.

15) Байланысты wiki баптары

Корпоративтік басқару фреймворкі

Өкілеттіктерді табыстау матрицасы (DoA) және міндеттерді бөлу (SoD)

Үздіксіз сәйкестік мониторингі (CCM)

Саясат пен нормативтердің репозиторийі

Кросс-департаменттік тексерулер

Дағдарыстық басқару және коммуникация

Комплаенс жол картасы

KPI және комплаенс өлшемдері

Жиынтық

RACI матрицасы - жай ғана кесте емес, басқару тетігі: нәтижеге бір жауапты адам, айқын орындаушылар мен қатысушылар, өкілеттіктермен және бақылаулармен дәлелденетін байланыс, тұрақты тексерулер мен оқыту. Мұндай жүйе кідірістерді жояды, тәуекелдерді азайтады және әдепкі «audit-ready» процестерін жасайды.