Тәуекелдердің скорингі және басымдығы

1) Мақсаты мен нәтижелері

• салыстырмалы (бірыңғай шкалалар мен формулалар),
• (деректер көздері мен жорамалдар құжатталған),
• (метриктер мен KRI бақылауларға және инциденттерге байланыстырылған),
• орындалатын (әрбір тәуекел мерзімі өткен CAPA/waiver жоспарына сәйкес келеді).

Шығулар: тәуекелдердің бірыңғай тізілімі, шаралардың басымдықты бэклогы, жылу карталары, қалдық тәуекел туралы есептер, «audit-ready» артефактілері.

2) Терминдер және тәуекел деңгейлері

Inherent Risk - бақылауды есептемегенде тәуекел.
Residual Risk - ағымдағы бақылауды ескере отырып тәуекел (верификацияланған ToD/ToE/CCM).
Target Risk - САРА/өтеу шараларынан кейінгі нысаналы деңгей.
Likelihood (L) - бағалау көкжиегінде сценарий басталу ықтималдығы.
Impact (I) - ең көбі: қаржы, лицензия/құқық, құпиялылық/деректер, операциялар/SLO, бедел.
KRI - L/I әсер ететін тәуекел индикаторлары (мысалы, dsar_response_p95, chargeback ratio).

3) Шкалалар және базалық модельдер

3. 1 Дискретті матрица (5 × 5 немесе 4 × 4)

Score = L × I → диапазоны 1-25 (немесе 1-16).

• 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
• Шекті мәндер «Скоринг саясатында» жарияланады және барлық домендерге үнемі қолданылады.

• 1 -> 3 жылда бір рет; 2 - 1-3 жылда бір рет; 3 - жыл сайын; 4 - тоқсан сайын; 5 - ай сайын/жиі.

• 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; заңды/лицензиялық тәуекелдер кезінде деңгей кемінде 4-5-ке дейін көтеріледі.

3. 2 Сандық модельдер

ALE (Annualized Loss Expectancy): 'ALE = SLE × ARO', мұнда 'SLE' - оқиға үшін орташа залал, 'ARO' - жылына күтілетін жиілік.
FAIR-тәсілі (жеңілдетілген): жиілікті (Threat Event Frequency) және шығын көлемін (Loss Magnitude) модельдейміз, шешім қабылдау үшін перцентилді (p50/p95) қолданамыз.
Монте-Карло: жиілік және зиян үшін бөлу (логнорм/гамма және т.б.), 10-100k прогондар → шығын қисықтары (loss exceedance curve). Ең қымбат/реттеуші тәуекелдер үшін қолдану.

Ұсыным: 80% кейстер - 5 × 5 матрицасы, 20% (top-тәуекелдер) - ALE/FAIR/Монте-Карло.

4) Қалдық және нысаналы тәуекел

1. Inherent дегенді «бақылаусыз» деп есептеңіз.
2. Қолданыстағы бақылаулардың тиімділігін ескеру (ToD/ToE/CCM тексерілген) → Residual.
3. Жоспарланған САРА/өтеу шараларын және қол жеткізу күнін ескере отырып, Target анықтау.
4. Егер Target ≤ шыдамдылық шегі (risk appetite) - шамамен; егер жоқ болса - аяқталу күні және өтемдік бақылаулары бар waiver талап етіледі.

5) Деректер көздері және дәлелдемелер

Метрика және KRI (дашбордтар, логтар, инциденттердің есептері).
Бақылау тестілерінің (CCM), аудиттердің (ішкі/сыртқы) нәтижелері.
Провайдерлердің есептері: SLA/сертификаттар/инциденттер/деректер орналасуының өзгерістері.
Қаржылық талдау: айыппұлдар, chargeback, fraud loss%.
Әрбір бағалау таймштамппен және хеш-квитанциямен (WORM) evidence сілтемелерімен сүйемелденеді.

6) Бастамаларға басымдық беру (тәуекелді аудару → әрекет)

6. 1 RICE (тәуекелге бейімделу)

`RICE = (Reach × Impact_adj × Confidence) / Effort`

Reach - қанша клиент/транзакция/юрисдикция зардап шекті.
Impact_adj - түрлендірілген I (немесе ALE/p95 шығындары).
Confidence - бағалаудың дұрыстығы (0. 5/0. 75/1. 0).
Effort - адам-апта/құн.
RICE бойынша сұрыптау → жоғары жылдам ұтыстар.

6. 2 WSJF тәуекелге түзетумен

`WSJF = Cost of Delay / Job Size`, где

`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.

Risk Reduction - күтілетін Residual/ALE төмендеуі.
Time Criticality - реттегіштердің/аудиттердің мерзімі.
Business Value - табыс/үнемдеу, клиенттердің сенімі.

6. 3 Реттеуші басымдық

Егер тәуекел лицензиялармен/заңмен байланысты болса және қатаң мерзім болса, ол автоматты түрде «экономикалық» скорингке қарамастан Critical/High-ке түседі.

7) Шекті ережелер мен эскалациялар

Critical: дереу триаж, CAPA ≤ 30 күн, 60-90 күннен кейін re-audit; апта сайынғы комитет.
High: CAPA ≤ 60 күн, бақылау 90 күн.
Medium: тоқсандық жоспарға қосу.
Low: слоттың «tech debt» мониторингі + мүмкіндігі.
KRI-табалдырықтар: Amber (ескерту) және Red (міндетті эскалация және CAPA).

8) Рөлдер және RACI

9) Дашбордтар

Risk Heatmap: 5 × 5 матрицасы, домендер/елдер/провайдерлер бойынша сүзгілер.
Risk Funnel: Inherent → Residual → Target (дельта төмендеуі).
Top-N by ALE/p95 Loss: сандық тәуекелдер.
KRI Watchlist: индикаторлар мен табалдырықтар, Amber/Red дабылдары.
CAPA Impact: күтілетін/нақты төмендеу; мерзімдері бойынша ілгерілеу.
Waivers: қолданыстағы ерекшеліктер, мерзімдер және өтеу шаралары.

10) Тиімділік өлшемдері

Тәуекел Reduction Index: орташа өлшенген тәуекел-жиын ∆ (тоқсан/тоқсан).
On-time CAPA: мерзімінде шаралар% (severity бойынша).
Repeat Findings (12 ай): қайталанған бұзушылықтар үлесі.
Evidence Completeness: толық пакеті бар тәуекелдер% (High + үшін 100% мақсат).
Prediction Accuracy: бағаланған және нақты шығындар/жиіліктер айырмашылығы.
Time-to-Triage / Time-to-Plan / Time-to-Target.

11) SOP (стандартты рәсімдер)

SOP-1: Баптандыру және шкала

L/I шкаласын және → санаттарының шегін анықтау → Комитетте бекітілсін → репозиторийде белгілеу (нұсқалау).

SOP-2: Тоқсандық қайта бағалау

KRI/инциденттерді жинау → L/I/ALE қайта санау → иелерінің ревю → комитетке басымдық беру → Roadmap жариялау.

SOP-3: Оқиға-триггер

Critical/High инцидент кезінде - жоспардан тыс қайта есептеу, CAPA және басымдықтарды түзету.

SOP-4: Сандық талдау (Top-тәуекелдер)

Кіріс бөлуді дайындау → Монте-Карло (≥ 10k прогондар) → қисық шығындар → Комитет шешімі.

SOP-5: Мұрағат және дәлелдемелер

Кесінділерді экспорттау (CSV/PDF) + хеш-түбіртектер → WORM-архив → GRC карточкаларындағы сілтемелер.

12) Үлгілер және «as-code»

12. 1 Скоринг саясаты (фрагмент)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 Тәуекел карточкасы (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 Басымдылығы (WSJF мысал)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Өтеу шаралары және waivers

• тиімділік өлшемдерімен өтемдік бақылау (қолмен тексеру, лимиттер, қосымша мониторинг) енгіземіз;
• аяқталу күні, иесі және ауыстыру жоспары бар waiver ресімдейміз;
• міндетті re-audit 30-90 күннен кейін.

14) Антипаттерндер

KRI/бақылау/инциденттермен байланыссыз «әдемі матрица».
Қалаған нәтижеге қарай қалқымалы шкала және «қолмен тюнинг».
Есептеулер мен жорамалдарды нұсқалаудың болмауы.
Сирек қайта қарау → карта шындықты көрсетпейді.
Waivers мерзімі аяқталмаған және өтемдік шаралар.
Top-тәуекелдер үшін сандық талдаудың болмауы.

15) Жетілу моделі (M0-M4)

M0 Ad-hoc: көзбен бағалау, бірыңғай саясат жоқ.
M1 Жоспарлы: 5 × 5 матрицасы, тоқсандық жаңартулар, базалық дашбордтар.
M2 Басқарылатын: KRI/CCM, CAPA-линковка, WORM-evidence.
M3 Интеграцияланған: ALE/FAIR/Monte-Carlo top-тәуекелдерге арналған, WSJF/RICE Roadmap, CI/CD гейттері.
M4 Continuous Assurance: болжамды KRI, авто-қайта есептеу, ұсынымдық басымдықтар және «evidence-by-design».

16) Байланысты wiki баптары

Тәуекелдердің жылу картасы

Тәуекелге бағдарланған аудит (RBA)

KPI және комплаенс өлшемдері

Үздіксіз сәйкестік мониторингі (CCM)

Бұзушылықтарды жою жоспарлары (CAPA)

Саясат пен нормативтердің репозиторийі

Комплаенс жол картасы

Сыртқы аудиторлардың сыртқы тексерулері

Жиынтығы

Тәуекелдерді бағалау және басымдық беру - бұл өнер емес, инженерлік пән: тұрақты шкала мен саясат, дәлелденген деректер, top-тәуекелдерге арналған сандық әдістер, айқын шектер мен эскалациялар, сондай-ақ CAPA және жол картасымен тікелей байланыс. Мұндай тәсіл шешімдерді болжамды етеді, келісуді жеделдетеді және бизнестің жиынтық тәуекелін төмендетеді.