Kontrole wewnętrzne i audyty

1) Cel i obszar

Cel: zapewnienie bezpiecznego i prawnego osiągnięcia celów biznesowych, ograniczenie ryzyka operacyjnego, finansowego, zgodności i ryzyka reputacyjnego.
Zakres: kontrola procesu i IT we wszystkich dziedzinach: płatności/gotówki, KYC/AML/sankcje, zwalczanie nadużyć finansowych, RG, marketing/eksport danych, DevOps/SRE, DWH/BI, prywatność/RODO, TPRM.

2) Zasady i model ochrony

Trzy linie obrony: 1) właściciele procesów (operacje/produkt), 2) ryzyko/zgodność/bezpieczeństwo (metodologia, monitorowanie), 3) niezależny audyt wewnętrzny.
Oparte na ryzyku: kontrole są budowane zgodnie z priorytetem ryzyka rezydualnego.
Kontrola oparta na dowodach: Każda kontrola ma wymierne kryteria, źródła danych i artefakty sprawdzalności.
Automate-first: jeśli to możliwe - automatyczne i ciągłe sterowanie (CCM) zamiast ręcznego.

3) Mapa ryzyka → cele → kontrole

1. Rejestr ryzyka: identyfikacja przyczyn/zdarzeń/konsekwencji (finanse, gracze, licencje).
2. Cele kontroli: co należy zapobiegać/wykrywać/korygować (na przykład „nielegalne wycofywanie środków”, „nieuprawniony dostęp do PII”).
3. Działania kontrolne: wybór konkretnych polityk/procedur/automatyki w celu osiągnięcia celu.

• Zapobieganie: RBAC/ABAC, SoD (4-oczy), limity i punktacja, walidacja danych, WebAuthn, mTLS.
• Detektyw: SIEM/wpisy, pojednania, deski rozdzielcze SLA/SLO, dzienniki audytu (WORM), kontrola anomalii.
• Korektor: automatyczne blokady, rolki zwolnienia, obrót klucza, ręczne parsowanie i zwroty.
• Rekompensata: jeżeli główna kontrola jest niemożliwa - wzmocnienie środków (dodatkowy monitoring, podwójna weryfikacja).

4) Biblioteka kontrolna

• ID/Nazwa, cel, ryzyko, typ, częstotliwość, właściciel kontroli, wykonawca, metoda wykonania (instrukcja/auto/przewodnik), źródła dowodów, KPI/KRI, komunikacja z zasadami/procedurami, systemy zależne.
• Stany: Projekt → Aktywny → Monitorowany → Emerytowany. Wersioning i zmiana dziennika.

• „CTRL-PAY-004” - 4-oczy zatwierdzają płatności> X (prewencyjne, codzienne, Właściciel: szef płatności, Dowody: aplikacje/dzienniki, KPI: 100% pokrycie).
• „CTRL-DWH-012” - maskowanie PII w sklepach (prewencyjnych, trwałych, Właściciel: Head of Data, Dowody: wnioski testowe, KPI: ≥ 95% maskowane odczyty).
• „CTRL-SEC-021” - MFA dla konsoli administratora (zapobiegawczych; Dowody: raporty IdP; KPI: 100% przyjęcie).

5) RACI i właściciele

6) Audyty i testy planowania

Plan roczny jest zorientowany na ryzyko (wysokie ryzyko rezydualne, wymogi regulacyjne, incydenty, nowe systemy).

• Skuteczność projektowania (DE): czy kontrole są prawidłowo zaprojektowane w celu zmniejszenia ryzyka.
• Wydajność pracy (OE) - czy działa stabilnie i na danej częstotliwości.
• Kontrola tematyczna/procesowa: walidacja domeny od końca do końca (np. KYC/AML lub Cassouts).
• Monitorowanie/weryfikacja - potwierdzenie zamknięcia CAPA.

Podejście: Walkthrough (śledzenie), wywiad, przegląd artefaktu/dziennika, analityka, wydajność (powtarzanie).

7) Dowody i próbki

Rodzaje dowodów: logi przesyłane (podpis/hash), raporty IdP/SSO, bilety i dzienniki zatwierdzenia, konfiguracje, zrzuty ekranu ze znacznikami czasu, xls/csv z sklepów, zapisy sesji PAM.
Integralność: kopie WORM, łańcuchy/podpisy hash, określające 'ts _ utc'.
Pobieranie próbek: statystyczne/sądowe; wielkość zależy od częstotliwości kontroli i poziomu ufności.
Kryteria: pass/fail; dozwolone są progi de minimis dla operacji ręcznych.

8) Ocena i klasyfikacja niezgodności

Gradacje: krytyczne/wysokie/średnie/niskie.
Kryteria: wpływ (pieniądze/PII/licencje), prawdopodobieństwo, czas trwania, powtarzalność, kontrole wyrównawcze.
Raportowanie: znajdź kartę (ryzyko, opis, przykłady, przyczyna, wpływ, wymagane działania, czas, właściciel), status śledzenia.

9) CAPA i zarządzanie zmianami

Działania naprawcze i zapobiegawcze: eliminacja przyczyny korzenia, nie tylko objawy.
S.M.A.R.T.-mierniki: specyficzne, wymierne, datowane; odpowiedzialność i kamienie milowe.
Rada Doradcza ds. Zmian: Zmiany wysokiego ryzyka przechodzą CAB; aktualizacja polityk/procedur/ról.
Weryfikacja wydajności: ponowny audyt po N tygodniach/miesiącach.

10) Monitorowanie ciągłe (CCM) i analityka

Kandydaci CCM: wysoka częstotliwość i sformalizowane kontrole - konflikty SoD, kwestie JIT, nieprawidłowy eksport, zasięg MFA, limity płatności, trafienia sankcji.
Narzędzia: zasady SIEM/UEBA, deski rozdzielcze danych/BI, walidatory obwodów/maskujące, testy dostępu (policy-as-code).
Sygnały/wpisy: próg/zachowanie; bilety SOAR; automatyczne bloki dla krytycznych odchyleń.
Zalety: szybkość wykrywania, zmniejszenie obciążenia ręcznego, lepsza wydajność.

11) Wskaźniki (KPI/KRI)

• Objęcie kontrolą procesów krytycznych ≥ 95%
• Terminowe wykonanie sterowania ręcznego ≥ 98%
• CAPA zamknięta na czas (wysoka/krytyczna) ≥ 95%
• Udział zautomatyzowanych urządzeń sterujących MoM

• Zaburzenia SoD = 0
• Dostęp PII bez „celu” = 0
• Zgłoszone przecieki/incydenty ≤ 72 h - 100%
• Nieprawidłowy wskaźnik kontroli operacyjnych <2% (tendencja malejąca)

12) Częstotliwość i kalendarz

Dzienny/ciągły: CCM, sygnały przeciwdziałające oszustwom, limity płatności, maskowanie.
Tygodnik: uzgodnienie płatności/rejestrów, kontrola eksportu, analiza alarmowa.
Miesięcznie: raporty MFA/SSO, rejestr dostępu, monitorowanie dostawców, trendy KRI.
Kwartał: ponowna certyfikacja praw, recenzje tematyczne, testy warunków skrajnych BCP/DR.
Roczne: pełny plan audytu i aktualizacja mapy ryzyka.

13) Integracja z istniejącą polityką

RBAC/ABAC/Least Privilege, Access Policies and Segmentation - źródło kontroli zapobiegawczych.
Zasady haseł i MFA są obowiązkowe wymagania dla administratorów/operacji krytycznych.
Dzienniki audytu/polityka dziennika - kontrole detektywistyczne i dowodowe.
TPRM i umowy stron trzecich - kontrole zewnętrzne: SLA, DPA/SCC, prawa audytu.

14) Listy kontrolne

14. 1 Nowy projekt sterowania

• Opisane ryzyko obiektywne i powiązane
• Zdefiniowany typ (zapobiegawczy/detektywistyczny/korekcyjny)
• Przypisany właściciel/wykonawca i częstotliwość
• Określone źródła danych i format dowodów
• Wbudowane mierniki (KPI/KRI) i wpisy
• Powiązania z polityką/procedurami
• Zdefiniowany plan badania DE/OE

14. 2 Audyt

• Uzgodnione kryteria zakresu i DE/OE
• Wykaz odzyskanych artefaktów i akcesoriów
• Uzgodnione i ustalone pobieranie próbek
• Wyniki i wyniki sklasyfikowane
• Zatwierdzone umowy CAPA, terminy i właściciele
• Sprawozdanie wydane i przekazane zainteresowanym stronom

14. 3 Monitorowanie i sprawozdawczość (miesięczna)

• KPI/KRI dla wszystkich kontroli krytycznych
• Niepowodzenie/fałszywie pozytywne tendencje
• Status CAPA i przestępczości
• Propozycje dotyczące automatyzacji/JMA

15) Typowe błędy i jak je uniknąć

Kontrola bez celu/metryki: sformalizować cel i KPI/KRI.
Ręczne sterowanie bez dowodów: standaryzacja formularzy/skryptów i przechowywanie artefaktów w WORM.
Liczba wyjątków: rejestr wyjątków z datą wygaśnięcia i środkami wyrównawczymi.
„Na papierze” - w rzeczywistości nie: regularne testy OE i CCM.
Otwarte umowy CAPA: automatyczna eskalacja i status w comiesięcznym komitecie ds. ryzyka.

16) Plan działania w zakresie wdrażania

Tygodnie 1-2: zaktualizować mapę ryzyka, skompilować katalog kontroli, wyznaczyć właścicieli, zatwierdzić szablony dowodów.
Tygodnie 3-4: rozpocząć monitorowanie KPI/KRI, wybrać 5-10 kontroli automatyzacji (CCM), zatwierdzić roczny plan audytu.
Miesiąc 2: przeprowadzenie 1-2 audytów tematycznych (wysokiego ryzyka), wdrożenie wpisów SOAR, ustanowienie raportu zarządu.
Miesiąc 3 +: Rozszerzyć CCM, przeprowadzać kwartalne recenzje, zmniejszyć ręczne sterowanie, zwiększyć zasięg DE/OE i wskaźnik zamknięcia CAPA.

TL; DR

Skuteczne kontrole wewnętrzne = karta ryzyka → cele → jasne działania z właścicielem i dowody, plus regularne testy DE/OE, CAPA i automatyzacji CCM. Dzięki temu można zmierzyć zarządzanie ryzykiem, przewidzieć audyt i udowodnić zgodność.