Okresowe przeglądy i korekty

1) Cel i zasady

Okresowe przeglądy (Periodic Reviews) to regulowany cykl przeglądów, który potwierdza znaczenie polityk, poprawność dostępu, skuteczność kontroli i gotowość do audytu.

• Kalendarz i przewidywalność: stałe okna i terminy.
• Orientacja ryzyka: krytyczność i priorytety KRI.
• Automatyzacja-pierwsza: maksymalna ilość automatycznych kolekcji i automatycznych kontroli.
• Dowody według projektu: dowody są generowane automatycznie i niezmiennie (WORM).
• Jeden właściciel: Każda wersja ma właściciela, SLA i plan eskalacji.

2) Rodzaje okresowych przeglądów (portfel)

3) Role i RACI

(R - Odpowiedzialny; A - Odpowiedzialność; C - Konsultowane; I - Poinformowany)

4) Kalendarz roczny (przykład szablon)

Miesięcznie: sterowanie CCM, DSAR SLA, raporty dryfu/szyfrowania w chmurze, higiena zwolnienia.
Kwartalny (Q1/Q2/Q3/Q4): ponowny cert IAM, rejestr ryzyka, ćwiczenia DR, audyt na sucho, zatrzymywanie/usuwanie.
Corocznie: pełna weryfikacja polityk/procedur, przeglądy VRM dostawców krytycznych, BIA (wpływ na działalność gospodarczą), plan audytu/certyfikacji.

5) Proces (SOP) wszelkich zmian

1. Inicjacja: karta rewizji (zakres, cele, kryteria, terminy, właściciele).
2. Zbieranie danych: automatyczne przesyłanie/deski rozdzielcze, prezentacja dowodów, próbki.
3. Kontrole i badania: lista kontrolna, przepustka/awaria, nasilenie odchyleń.
4. CAPA/remediacja: lista luk z właścicielami i terminami, środki wyrównawcze.
5. Uaktualnienie i utrwalenie: protokół rozwiązania, potwierdzenia hash, archiwum WORM.
6. Komunikacja: zadania typu one-pager + w ITSM/GRC; eskalacja przez SLA.
7. Retrospektywne: lekcje, aktualizacja standardów/szablonów.

6) Szablony listy kontrolnej

6. 1 Polityka/procedury

• Znaczenie odniesień i terminów regulacyjnych
• Deklaracje kontroli mierzalności
• Powiązanie z SOP/normami i zasadami CCM
• Zsynchronizowane lokalizacje/dodatki
• Changelog i wersja, aktualizacja komitetu

6. 2 IAM ponownie cert

• Pełna lista aktywnych praw i właścicieli
• Konflikty SoD, konta osierocone, wyjątki JIT
• Dowody cofnięcia/demotji
• Dostęp sprzedawcy i federacje SSO
• Protokół o ponownej kwalifikacji i wskaźniki przestępczości

6. 3 VRM

• Bieżące sprawozdania SOC/ISO/PCI, zakres i wyjątki
• SLA/incydenty/kredyty za dany okres
• Podwykonawcy i lokalizacje danych - brak dryfu
• Lista luk i status rekultywacji
• Plan wyjścia i potwierdzenie zatrzymania lustra

6. 4 Retension/Hold prawny

• Naruszenia TTL = 0 krytyczne
• Raporty o usunięciu + Podsumowanie hash
• Aktywne wstrzymanie prawne - powody, daty, właściciele
• Retencja lustrzana u dostawców
• Logika DSAR nienaruszona

6. 5 DR/BCP

• Test RTO/RPO i odzyskiwanie próbek
• Odtwarzacze komunikacyjne i dyżury
• Wyniki ćwiczeń i CAPA
• Sprzedawcy uczestniczyli/potwierdzili gotowość
• Udokumentowane pośmiertnie

7) Mierniki portfela rewizji i SLO

Wskaźnik przeglądu na czas:% audytów zakończonych na czas (cel ≥ 95%).
Gotowość dowodów:% rewizji z pełnym zestawem artefaktów (100% cel).
CAPA On-time:% remediacji zamkniętych przez SLA (według ciężkości).
Powtarzające się ustalenia: odsetek powtarzających się komentarzy w ciągu 12 miesięcy (tendencja i).
Higiena dostępu: udział przestarzałych praw po ponownym certowaniu (cel ≤ 2%).
Świeżość certyfikatu dostawcy:% bieżących certyfikatów od dostawców krytycznych (100% cel).
Czas audytu: czas na zebranie „pakietu audytu” po audycie (≤ 8 godzin).

8) Deski rozdzielcze (minimalny zestaw)

Widok kalendarza: Mapa korekt według kwartałów z SLA/przestępstwami.
Przegląd Rurociąg: статра (Planowane → W toku → CAPA → Zamknięte).
Ustalenia i CAPA: otwarte/wygasłe, właściciele, dotkliwość.
Higiena IAM: sierota/SoD/JIT wyjątki, trendy.
VRM Heatmap: dostawcy wskaźników ryzyka, certyfikaty, incydenty.
Retention & Hold: Naruszenia TTL, woluminy usuwania, aktywne przytrzymywanie.
Gotowość audytu: kompletność „za pomocą przycisku”, kotwice pakietu hash.

9) Artefakty i składowanie

Protokół rewizji (porządek obrad, wnioski, decyzje, właściciel/należny).
Wykaz kontroli/próbek i ich wyniki (przepustka/porażka).
Lista luk i CAPA z datami i metrykami sukcesu.
Skrót kwitów przesyłek i raportów; Blokada WORM/obiektu.

Aktualizacja wersji polityki/procedury i mapowanie do Kontrolowanie

10) Zarządzanie wyjątkiem (zwolnienia)

Wydany dla każdej stwierdzonej luki, jeżeli korekta nie jest możliwa na czas.
Zawiera powód, środki wyrównawcze, datę wygaśnięcia, właściciela/plan.
Widoczny w desce rozdzielczej; auto-eskalacja 14/7/1 dzień przed wygaśnięciem.

11) Integracja

CCM/Compliance-as-Code - Zasady testów kontrolnych są uruchamiane automatycznie w wersji.
GRC: rejestr audytu, ustalenia, CAPA, zwolnienia, SLA i sprawozdawczość.
Przechowywanie dowodów: automatyczne archiwizowanie wszystkich materiałów za pomocą mocowania hash.
ITSM: zadania i eskalacje dla właścicieli systemów.
VRM: ściąganie statusów dostawców/certyfikatów.
LMS: Główne kursy zmian/certyfikaty oparte na wynikach audytu.

12) Antypattery

Korekty „na pokaz” bez CAPA i właścicieli.
Brak kalendarza i przewidywalności → opóźnienia i tryb ognia.
Ręcznie przesyłane bez potwierdzeń hash i WORM → kontrowersyjne dowody.
Zakres mieszanki (zasady zmieniają wymagania, ale SOP/kontrole nie są aktualizowane).
„Wieczne” zwolnienia bez daty ważności i bez odszkodowania.
Brak powiązania z apetytem/komitetem ryzyka - decyzje nie mają skali.

13) Model zapadalności (M0-M4)

M0 Hell-hoc: nieprawidłowe kontrole, raporty w Excel, bez właścicieli.
M1 Zaplanowane: kalendarz i podstawowe listy kontrolne, przechowywanie artefaktów.
M2 Zarządzany: rejestr GRC, deski rozdzielcze, SLA/eskalacja, archiwum WORM.
M3 Zintegrowany: JMA/ascode, automatyczny dowód, audyt przycisków na sucho.
M4 Ciągłe zapewnienie: prognoza KRI, automatyczna zmiana harmonogramu, końcowe ryzyko CAPA → CAPA → korekty.

14) Powiązane artykuły wiki

KPI i wskaźniki zgodności

Audyt oparty na ryzyku (RBA)

Ciągły monitoring zgodności (CCM)

Przechowywanie dowodów i dokumentacji

Ścieżka rejestrowania i audytu

Zarządzanie zmianami w polityce zgodności

Należyta staranność i ryzyko outsourcingu

Komitet ds. Zarządzania Ryzykiem i Zgodności

Razem

Okresowe przeglądy i korekty przekształcają zgodność z „odpowiedzią na problemy” w przejrzysty rurociąg ulepszeń: stały kalendarz, zautomatyzowane inspekcje, artefakty jakościowe, terminowe certyfikaty CAPA oraz przewidywalną gotowość do wszelkich audytów.