Macierz odpowiedzialności

1) Cel i wartość

Macierz RACI zapewnia przejrzystość ról i punktów decyzyjnych na każdym etapie procesu, zmniejsza ryzyko operacyjne i przyspiesza zatwierdzanie.

• wyeliminowanie „obszarów szarych” i powielanie wysiłków;
• Egzekwowanie polityki i wymogów kontroli
• uproszczenie audytu poprzez wykonywanie udowodnionych zadań.

2) Warunki i opcje

R (Odpowiedzialny) - wykonuje pracę/zadanie.
A (Odpowiedzialność) - ponosi ostateczną odpowiedzialność, zatwierdza wynik (jeden na zadanie).
C (Konsultowane) - konsultacje, angażuje się przed podjęciem decyzji (dwukierunkowa komunikacja).
I (Informed) - jest notyfikowana po decyzji (komunikat w jedną stronę).

• RASCI: dodaje S (Wsparcie) - wsparcie operacyjne dla wykonawcy.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) - nacisk na kierowcę.
• RAPID: Polecaj, Zgadzaj się, Wykonuj, Wejdź, Zdecyduj - przydatne dla rozwiązań produktowych.

3) Zasady projektowania RACI

1. Jeden A na jedno zadanie to jednoznaczna odpowiedzialność.
2. Tyle R ile potrzeba, ale unikać „R dla wszystkich”.
3. C - w rzeczywistości, a nie „tylko na wypadek” (w przeciwnym razie spowalniamy przepływ).
4. I - adres: informujemy tych, których działania zależą od wyniku.
5. Połączenie DoA/SoD: Uprawnienia i rozdzielenie obowiązków nie powinny być sprzeczne z RACI.
6. Wersioning: RACI zmienia → PR/review/hash receipt → publikacja.

4) Gdzie stosować

Incydenty i kryzys (bezpieczeństwo informacji/płatności/prywatność).
DSAR/zatrzymanie/usunięcie danych.
Audyty VRM/pokładowe i partnerskie.
Wydania i bramki zgodności w CI/CD.
Marketing i odpowiedzialna reklama.
Spory dotyczące płatności/obciążenie zwrotne.
Ćwiczenia BCP/DR i Hold.

5) Role (przykładowy słownik)

Zarząd/Комитей, CEO/ExCom, Szef Zgodności, Legal/DPO, Biuro Ryzyka, Audyt Wewnętrzny, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operacje, HR/L & D, Product/Engineering, Regional Leads.

6) Przykłady matryc RACI

6. 1 Incydent dotyczący prywatności (naruszenie danych)

6. 2 Dostęp/usunięcie DSAR

6. 3 Krytyczny sprzedawca na pokładzie (VRM)

6. 4 Wydanie bramy zgodności

7) DoA/SoD i komunikat polityczny

DoA (Delegacja Organu): Musi posiadać organ zatwierdzający DoA.
SoD (rozdzielenie obowiązków): R i A na etapach krytycznych nie są połączone z realizacją płatności/działań administratora.
Zasady/Standardy: Każdy wiersz aprobat kontrolnych macierzy odniesienia i SOP.

8) proces tworzenia i modyfikacji RACI

1. Usuń bieżący proces (E2E schemat, punkty decyzji).
2. Definiuj role ze słownika, koordynuj je z właścicielami domeny.
3. Wypełnić RACI na poziomie kroku/decyzji, sprawdzić kolizje z DoA/SoD.
4. Walidacja w praktyce (tabela-top/symulacja).
5. Zatwierdzać i publikować do repozytoriów (Git), w tym w wiki/portalu.
6. Wsparcie adekwatności: wyzwalacze - zmiana struktury organizacyjnej, aktualizacje jurajskie, wynik audytu/incydentu.
7. Wersioning i dowody: historia PR, kwity hash, archiwum WORM.

9) Mierniki i deski rozdzielcze

RACI Coverage:% kluczowych procesów ze świeżą matrycą.
Zgodność pojedyncza A: Procent zadań z dokładnie jednym A (100% cel).
Współczynnik hałasu C/I: dodatkowy dopasowujący/możliwy do zgłoszenia (trend).
Czas do decyzji: mediana dopasowania kroku RACI.
Konflikty SoD: Zidentyfikowane i zamknięte konflikty według roli.
Audyt-Ready: udział matryc wiążących dla polityk/kontroli/SOP i dowodów.

Deski rozdzielcze: Mapa procesu + Nakładka RACI, Czas realizacji na krok RACI, Org Heatmap (wąskie gardła koordynacyjne).

10) SOP (standardowe procedury)

SOP-1: Projekt RACI

Mapowanie procesu → projekt matrycy → weryfikacja DoA/SoD → pilot/symulacja → Zatwierdzenie komitetu → publikacja.

SOP-2: Przegląd kwartalny

Zbierz zmiany organizacyjne/polityki → przegląd macierzy → Aktualizacje PR → read- & -wszystkie dla poszkodowanych ról.

SOP-3: Incydent spustowy

W wyniku incydentu - korekta RACI (na przykład przyrost A/C, dezagregacja R) → aktualizacja SOP/control → retest.

SOP-4: Szkolenia

Mikro-kurs na odczyt matrycy i przypadki; wymagane dla ról A/R.

11) Szablony

11. 1 Tabela RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 Artefakt YAML (wiążący dla polityki jako kod)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 Karta zmiany RACI

Uzasadnienie (incydent/audyt/aktualizacja prawa)

Stary/nowy przydział ról

Wpływ na DoA/SoD

Plan szkolenia/komunikacji

Linki do paragonów PR/Hash

12) Integracja

Profile ról HRIS/LMS → Szkolenia dla A/R

Repozytorium zasad - linki od macierzy do roszczeń kontrolnych.
GRC: przechowywanie wersji i czytanie- i -wszystkie.
ITSM/Jira: zadania pojednawcze i SLA na etapach RACI.
CCM: automatyczne kontrole A/R w metadanych działalności (np. dzienniki administratora, wydania).

13) Antypattery

Dwa lub więcej A za problem.
„R dla wszystkich” i „C/I dla show” → przeciążenie kanałów i opóźnień.
RACI bez połączenia z DoA/SoD i sterowania.
Matryca jednorazowa bez korekt i wersji.
Zrzuty ekranu zamiast artefaktów na żywo (brak provability).
Brak szkoleń dla A/R → zgodność „papieru”.

14) Model zapadalności (M0-M4)

M0 Ad-hoc: role nie są stałe, pojednania są chaotyczne.
M1 Basic: RACI o kluczowych procesach, aktualizacjach ręcznych.
M2 Zarządzany: komunikacja DoA/SoD, repozytorium, korekty kwartalne, read- i -attest.
M3 Zintegrowane: matryce YAML, proces PR, powiązanie z sterownikami/CCM i ITSM-SLA.
M4 Ciągłe zalecenia optymalizacji zapewnienia (wąskie gardła), SoD AutoChecks, Lead Time Analytics i co-if.

15) Powiązane artykuły wiki

Ramy ładu korporacyjnego

Przekazanie uprawnień Matrix (DoA) i podział obowiązków (SoD)

Ciągły monitoring zgodności (CCM)

Repozytorium polityki i zgodności

Kontrole międzysektorowe

Zarządzanie kryzysowe i komunikacja

Plan działania w zakresie zgodności

KPI i wskaźniki zgodności

Wynik

Matryca RACI to nie tylko stół, ale mechanizm kontroli: jedna osoba odpowiedzialna za wynik, jasni wykonawcy i uczestnicy, udowodnione powiązanie z uprawnieniami i kontrolą, regularne audyty i szkolenia. Taki system usuwa opóźnienia, zmniejsza ryzyko i sprawia, że proces audytu jest gotowy.