Mapa ryzyka ciepła

1) Cel i wartość

Mapa ryzyka jest wizualnym narzędziem do rankingu i komunikowania ryzyka w matrycy prawdopodobieństwa × wpływu, powiązanym z kontrolą, metrykami i planami działania.

• jednolity język ustalania priorytetów (biznes, te, bloki prawne);
• przejrzyste decyzje dotyczące CAPA/inwestycji;
• śledzenie postępów (przed/po środkach), audyt gotowy.

2) Obszar taksonomii i zasięgu

• Regulacje/Licencje, Prywatność/Dane, Bezpieczeństwo Informacji/Procesy Techniczne, Płatności/AML/KYC, Operacje/Dostępność, Marketing/Odpowiedzialna Reklama, Dostawcy/VRM.

• Jurysdykcja/Rynki, Linie biznesowe/Produkty, Usługi/Platformy, Dostawcy Krytyczni.

3) Skala prawdopodobieństwa i uderzenia

3. 1 Prawdopodobieństwo (przykład skali 5-poziomowej)

1. Rzadko (raz na 3 lata/p <5%)

2. Niski (raz na 1-3 lata)

3. Średnia (rocznie)

4. Wysoki (kwartalny)

5. Bardzo wysoki (co miesiąc/częściej)

3. 2 Wpływ (multivariate)

• Finansowanie: straty bezpośrednie/kary/obciążenie zwrotne.
• Licencje/Skutki prawne: zawieszenia, zakazy, dochodzenia.
• Prywatność/Dane: zakres PII, powiadomienia, działania nadzorcze.
• Operacje/Uptime: MTTR, SLO, zakłócone wydania, RTO/RPO.
• Reputacja: media, sieci społecznościowe, sankcje partnerskie.
• Skala 1-5 z wyraźnymi progami (np. 1: <€10k, 5:> €1m).

4) Punktacja i poziomy ryzyka

Ryzyko indywidualne: „Wynik = prawdopodobieństwo × wpływ” (1-25).

• 20-25 - Krytyczne (czerwone)
• 12-19 - Wysoki (pomarańczowy)
• 6-11 - Średni (żółty)
• 1-5 - Niski (zielony)
• Ryzyko rezydualne: po uwzględnieniu obecnych kontroli (skuteczność potwierdzona przez ToD/ToE/CCM).
• Ryzyko docelowe: po planowanych środkach; data osiągnięcia jest ustalona.

5) Źródła danych i powiązania z kontrolą

Rejestr GRC: opisy ryzyka, właściciele, oceny bieżące/docelowe.
JMA/metryki: przepustowość zasad kontroli, incydenty, KRI.
Sprzedawcy/VRM: certyfikaty, SLA, incydenty, zmiany w lokalizacjach danych.
Finanse/płatności: grzywny, współczynnik obciążenia zwrotnego, utrata oszustw%.
Wszystkie wartości mające wpływ na wagę muszą posiadać linki dowodowe (dzienniki/raporty) i znaczniki czasu.

6) Agregacja i konsolidacja

Oddolny: od usług/jurysdykcji po domeny i przedsiębiorstwa.
Zasady agregacji: maksymalny wpływ, procentyl prawdopodobieństwa lub mediana ważona (według wolumenu działalności).
Oddzielne warstwy: Inherent (bez kontroli), Residual (z kontrolą), Target (po CAPA).
Odrębne ryzyka korelujące (np. słabość wspólnej infrastruktury) i niezależne.

7) Wizualizacja

Kolorowa macierz 5 × 5; interaktywne punkty ryzyka z kartami wyskakującymi (opis, właściciel, kontrole, CAPA).
Przełączniki warstwowe: nieodłączne/resztkowe/docelowe.
Filtry: jurysdykcja, produkt, domena, dostawca, okres.
Trendy „przed/po” i „dryfowanie” (dryfowanie) w 30-90 dni.

8) Role i RACI

9) KRI i progi eskalacji

• Prywatność: dsar_response_p95, usuwanie TTL, reklamacje/rzecznik praw obywatelskich.
• Bezpieczeństwo: luki TTR p95, udział krytycznych czerwonych zasad CCM, naruszenia SoD.
• Płatności: współczynnik obciążenia zwrotnego, utrata oszustw%, apelacje o zwycięstwo.
• Operacje: wskaźnik naruszenia SLO, incydenty p1/p2, testy RTO/RPO.
• Eskalacja: bursztyn podczas przekraczania progów ostrzegawczych, czerwony - obowiązkowe CAPA i „stop-the-line” dla obszarów krytycznych.

10) Podejmowanie decyzji i komunikacja z CAPA

Dla każdego „czerwonego” punktu wymagany jest plan działania: Korekta/Zapobieganie, właściciel, termin, budżet, KPI sukcesu.

• Krytyczny: CAPA ≤ 30 dni, ponowny audyt w 60-90 dni; komitet - co tydzień.
• Wysoka: CAPA ≤ 60 dni, obserwacja 90 dni.
• Średni/niski: W planie kwartalnym/półrocznym.
• Jeśli redukcja jest niemożliwa - zwolnienie z terminem ważności i wyrównanie kontroli.

11) Deski rozdzielcze (minimum)

Widok mapy ciepła: macierz prądowa + warstwy resztkowe/docelowe.
Trend ryzyka: przed/po CAPA.
Steruje Linkage: CCM pass-rate według ryzyka, czerwone bramy.
Ekspozycja regulacyjna: ryzyko według jurysdykcji i licencji.
Ryzyko dostawcy: mapa ciepła dostawców krytycznych (certyfikaty, SLA, incydenty).
Gotowość do audytu: dowody kompletności/wpływy z haszu z tytułu ryzyka.

12) Wskaźniki wydajności

Wskaźnik redukcji ryzyka: w odniesieniu do średniej ważonej stopy ryzyka według kwartałów.
CAPA w czasie:% środków na czas (według wagi).
Powtarzające się ustalenia (12 miesięcy): udział powtórzeń związanych z ryzykiem.
Kompletność dowodów:% ryzyka z pełnym pakietem dowodów.
Drift After Fix: przypadki powrotu do „czerwonej” strefy po 30-90 dniach.
Zakres: Udział aktywów/jurysdykcji przedsiębiorstw odzwierciedlony na mapie.

13) SOP (standardowe procedury)

SOP-1: Wszczęcie postępowania

Określić wagi i progi → uzgodnić w Komitecie → fix w repozytorium (wersioning).

SOP-2: Cykl kwartalny

Gromadzenie danych wejściowych/KRI → ponowne obliczenie ratingów → przegląd przez właścicieli → decyzje komisji → publikacja desek rozdzielczych → eksport „pakiet audytu”.

SOP-3: Incydent spustowy

W krytycznym/wysokim incydencie nieplanowana aktualizacja mapy, wiążący plan CAPA i plan ponownego audytu.

SOP-4: pętla dostawcy

Badanie/certyfikaty VRM → Aktualizacja ryzyka dostawcy → Potwierdzenie lustra dostawcy

SOP-5: Archiwum i dowody

Mapa grzewcza migawek (PDF/PNG/CSV) + potwierdzenia hash → archiwum WORM → linki w GRC.

14) Wzory artefaktów

14. 1 Karta ryzyka (fragment)

ID/Nazwa, właściciel, domena/jurysdykcja

Prawdopodobieństwo/wpływ/nieodłączny/resztkowy/docelowy

Sterowanie (identyfikator, mierniki, zasady CCM)

KRI i wartości rzeczywiste

CAPA/zwolnienia, daty, budżet, KPI

Linki dowodowe i potwierdzenia skrótu

14. 2 Polityka skalowania (prędkość migawki)

Likelihood:
1: p<5% / >3y
3: annual
5: monthly+
Impact (finance):
1: <€10k
3: €100k–€300k
5: >€1m
Escalation:
Critical: CAPA≤30d; Committee weekly
High: CAPA≤60d; Committee bi-weekly

14. 3 Sprawozdanie przed/po

Zrzuty ekranu Heatmap (Residual vs Target)

Tabela i zmiany według ryzyka

Zakończone CAPA, wskaźniki odporności

15) Antypattery

„Piękny obraz” bez odniesienia do sterowania/KRI i CAPA.
Niejasne skale → manipulacja szacunkami.
Brak wersji/dowodów na zmianę wyniku.
Podsumowanie różnego ryzyka bez zasad agregacji.
Rzadkie aktualizacje → mapa nie odzwierciedla rzeczywistości.
Zwolnienia bez terminów i środki wyrównawcze.

16) Model zapadalności (M0-M4)

M0 Ad-hoc: jednorazowy obraz, brak metod/metryk.
M1 Planowane: uzgodnione wagi, aktualizacje kwartalne.
M2 Managed: link z sterownikami/KRI, CAPA, deski rozdzielcze, archiwum WORM.
M3 Zintegrowane: automatyczne przeliczanie (CCM), policja-/zapewnienie-as-code, plasterki według jurysdykcji/sprzedawcy.
M4 Ciągłe zapewnienie: prognostyczne KRI, modelowanie scenariuszy, co-jeśli, zalecenia priorytetowe.

17) Powiązane artykuły wiki

Audyt oparty na ryzyku (RBA)

KPI i wskaźniki zgodności

Ciągły monitoring zgodności (CCM)

Plany rekultywacji (CAPA)

Ponowne audyty i działania następcze

Repozytorium polityki i zgodności

Plan działania w zakresie zgodności

Przewodnik zgodności partnera/VRM

Razem

Mapa zagrzewania ryzyka nie jest sprawozdaniem, lecz mechanizmem zarządzania: jednolitymi skalami, komunikacją z kontrolami i KRI, regularnymi aktualizacjami, możliwymi do udowodnienia decyzjami oraz kontrolami zrównoważonego rozwoju po wprowadzeniu środków. Podejście to nadaje priorytet celowi, przyspiesza decyzje komisji i utrzymuje gotowość do przeprowadzania audytu.