Rejestr ryzyka i metodologia oceny

1) Dlaczego i co jest wpisane do rejestru

Cel: ujednolicony system opisu, oceny, ustalania priorytetów i monitorowania ryzyka wpływającego na pieniądze (GGR/CF), licencji, graczy, danych i reputacji.
Zakres: Produkty/Inżynieria (SDLC/Incydenty), Finanse i Płatności (PSP/Ustalenia), KYC/AML/Sankcje, Prywatność (RODO), TPRM/Sprzedawcy, Marketing/SDK, Dane (DWM) H/BI), infrastruktura/chmury/DR, operacje wsparcia i VIP.

2) Taksonomia ryzyka (przykład)

Bezpieczeństwo informacji i prywatność: wycieki PII/KYC, nieautoryzowany dostęp, awaria rejestrowania, pliki DSAR.
Regulacja/zgodność: naruszenia warunków licencji, AML/KYC/sankcje, zakazy reklamy.
Działanie/technologia: przestoje PSP/KYC, wada uwalniania, degradacja opóźnienia, incydenty DR.
Oszustwa/nadużycia: depozyty oszustwa, nadużycia bonusowe, wzory atakowania płatności.
Finanse: płynność partnerska, wstrząsy zwrotne, koncentracja na jednym PSP.
Dostawca/łańcuch dostaw: podatne na zagrożenia SDK, procesory o niskim poziomie TOM.
Reputacja/klient: skok w reklamacjach, spadek NPS, naruszenia RG.
Strategiczne/geopolityczne: sankcje, zmiany podatkowe/prawne, blokady ruchu.

3) Karta ryzyka (wymagane pola)

Identyfikator/Nazwa ryzyka

Kategoria (z taksonomii)

Opis zdarzenia (co może się zdarzyć) i przyczyna

Aktywa/procesy/jurysdykcje pod wpływem

Właściciel i sponsor ryzyka

Dostępne kontrole (zapobiegawcze/detektywistyczne/naprawcze)

Prawdopodobieństwo (P) i uderzenie (I) przed kontrolą (nieodłączne)

Ryzyko rezydualne po przeprowadzeniu kontroli

Plan leczenia: zmniejszyć/uniknąć/zaakceptować/przenieść

Próg eskalacji/poziom zagrożenia (niski/średni/wysoki/krytyczny)

KRI i wyzwalacze, mierniki i źródła danych

Następny Status przeglądu i termin płatności związane CAPA/bilety

Powiązanie z rejestrem kontroli (ID kontroli) i polityką

Uwagi biegłego rewidenta/komitetu (najnowsze rezolucje)

4) Wagi ratingowe (domyślnie 5 × 5)

4. 1 Prawdopodobieństwo (P)

1 - Rzadko (<1/5 roku)

2 - Niski (1/2-5 lat)

3 - Średnia (rocznie)

4 - Wysoki (kwartał)

5 - Bardzo wysoki (miesiąc/częściej)

4. 2 Uderzenie (I) - wybierz maksymalnie z gałęzi

Finanse: 1: <€10k· 2: €10-100k· 3: €100k-1m· 4: €1-5m· 5:> €5m

Prywatność/Dane: 1: <1k records·...· 5:> 1M records/special categories

Regulator/Licencje: 1: Ostrzeżenie· 3: Kara/Przegląd· 5: Zawieszenie licencji

Dostępność (SLO/SLA): 1: <15 min·...· 5:> 8 h dla obszarów krytycznych

Końcowy wynik: 'R = P × I' → poziomy: 1-5 Low, 6-10 Medium, 12-16 High, 20-25 Critical.

(Progi mogą być dostosowane do firmy.)

5) Matryca mapy ciepła i apetyt ryzyka

Apetyt ryzyka: dokument z tolerancjami według domeny (na przykład wycieki PII - zerowa tolerancja; P95 przestoju - ≤ X min/miesiąc; współczynnik obciążenia zwrotnego - ≤ Y%).
mapa grzewcza: wizualizacja R przy 5 × 5; powyżej apetytu - wymagają planu CAPA i linii czasowej.
Budżet na ryzyko: kwoty na „zaakceptowane” ryzyko z uzasadnieniem (wykonalność ekonomiczna).

6) Metody wyceny

6. 1 Jakość (szybki start)

Oceny ekspertów dotyczące skali P/I + uzasadnienie, uzgodnienie z historią incydentów i danymi KRI.

6. 2 Ilościowe (priorytet dla Top-10)

podejście FAIR (uproszczone): częstotliwość zdarzeń × rozkład probabilistyczny uszkodzeń (P10/P50/P90); przydatne do porównywania opcji redukcji.
Monte Carlo (biegi 1000-10k): zmienność uszkodzeń i częstotliwości → Krzywa przekroczenia strat (prawdopodobieństwo utraty> X).
TRA (ukierunkowana analiza ryzyka): analiza punktowa przy wyborze częstotliwości monitorowania/kontroli (dotyczy PCI/dostawców).

7) KRI i źródła

• Dostępność/Operacje: MTTR, błędy 5xx, opóźnienie P95, incydenty P1/P2,% autoskale, pojemność klastra.
• Bezpieczeństwo/prywatność:% pokrycie MFA, próbami nadziewania, nietypowy eksport, DSAR SLA, flagi anty-alvar.
• Płatności: automatyczna stawka według PSP, stopa obciążenia zwrotnego, awaria banku, udział w ręcznych gotówkach.
• KYC/AML: TAT, fałszywa stawka dodatnia, trafienia w sankcje, udział w eskalacji.
• Sprzedawcy: zgodność SLA, opóźnienie dryfu, częstotliwość incydentów, znaczenie certyfikatów.

KRI kojarzą się z ryzykiem i wywołują eskalację, gdy wykraczają poza progi.

8) Cykl życia ryzyka (przepływ pracy)

1. Identyfikacja → rejestracja karty.
2. Nieodłączne → Mapowanie kontroli → Resztki.
3. Decyzja w sprawie leczenia i plan CAPA (daty/właściciele).
4. KRI/monitoring incydentów, aktualizacja kart.
5. Kwartalna Komisja Ryzyka: rewizja Top-N, ponowne oznakowanie apetytu.
6. Zamknij/skonsoliduj lub zobacz listę.

9) Komunikacja z kontrolą i audytem

• Proaktywny: RBAC/ABAC, SoD, limity, szyfrowanie, WebAuthn, segmentacja.
• Detektyw: SIEM/wpisy, pojednania, dzienniki WORM, UEBA.
• Korekta: rolki, blokady wypłat, odwołanie klucza, pilne plastry.
• Kontrola DE/OE sprawdza, czy kontrola zmniejsza ryzyko dla apetytu i stabilnej pracy.

10) Przykładowe karty (YAML, fragmenty)

10. 1 wyciek PII przez sprzedawcę SDK (Tier-1)

yaml id: R-PRIV-001 title: "Утечка PII через SDK маркетинга"
category: privacy/vendor assets: [pii_profiles, sdk_mobile]
owner: privacy_lead inherent:
likelihood: 3 impact: 5  # >1M записей / регуляторные штрафы controls:
preventive: [cmp_enforced, data_minimization, sdk_allowlist, tokenization]
detective: [worm_logs, export_signing, siem_anomaly_exports]
corrective: [sdk_kill_switch, key_rotation, incident_comm_plan]
residual:
likelihood: 2 impact: 4 treatment: reduce kri:
- name: "Anomalous export volume"
threshold: ">P99 baseline"
- name: "SDK version drift"
threshold: "N-1 only"
status: active next_review: 2026-01-15

10. 2 Degradacja PSP: Awaria autoryzacji płatności

yaml id: R-PAY-007 title: "Падение конверсии авторизации у PSP#1"
category: payments/availability owner: head_of_payments inherent: {likelihood: 4, impact: 4}
controls:
preventive: [multi_psp_routing, rate_limits, timeout_policies]
detective: [auth_rate_dashboard, p95_latency_alerts]
corrective: [failover_to_psp2, traffic_shaping, incident_swar_rm]
residual: {likelihood: 2, impact: 3}
kri:
- name: "Auth rate PSP1"
threshold: "< baseline-3σ for 15m"
escalation: "Incident P1 if <X% for 30m"

11) Agregacja i zarządzanie portfelem

Top-N (Widok rejestru ryzyka): posortowane według resztek R i „powyżej apetytu”.
Tematy (tematy ryzyka): klastry (sprzedawcy, prywatność, PSP) → właściciele tematów.
Mapy zależności: riski, plaster, kontrola, sprzedaż, protsessy.
Scenariusze i testy warunków skrajnych: Co zrobić, jeśli „PSP # 1 i KYC # 1 nie są dostępne przez 2 godziny?” - skumulowana ocena szkód i plan działania.
LEC (krzywa przekroczenia strat): Roczny profil strat dla rady/rady.

12) Progi i sygnały eskalacji

Operacyjne: naruszenie SLO/SLA → Incydent P1/P2.
Zgodność/Prywatność: przekroczenie retencji, awaria DSAR, eksport bez „celu” → natychmiastowy DPO/eskalacja prawna.
Sprzedawca: powtarzające się awarie SLA → CAPA u dostawcy, zmiana umowy.
Financial: exit chargeback> threshold → manual checks, adjustment of limits/bonuses.

13) RACI (rozszerzony)

14) Wskaźniki (KPI/KRI) systemu zarządzania ryzykiem

Zasięg: 100% procesów krytycznych ma zarejestrowane ryzyko i właścicieli.
Przegląd Na czas: ≥ 95% kart jest aktualizowanych na czas.
Powyżej Apetyt: Na przykład QoQ, odsetek ryzyka jest wyższy niż apetyt.
Zamknięcie CAPA (wysokie/krytyczne): ≥ 95% na czas.
Detekcja Lag: mediana czasu od odchylenia KRI do eskalacji (tendencja do α).
Incydent Nawrót: powtarzające się incydenty z jednego powodu - 0.

15) Listy kontrolne

15. 1 Tworzenie karty

• Kategoria i opis zdarzenia/przyczyny
• Aktywa/procesy/jurysdykcje oznaczone
• Szacunkowe P/I (nieodłączne) i pozostałości z uzasadnieniem
• Mapowanie kontroli (ID), KRI i źródła danych
• Plan CAPA/Daty/właściciele
• Próg eskalacji i poziom zagrożenia

15. 2 Komitet kwartalny

• Top 10 dla resztek i powyżej apetytu
• Nowe/pojawiające się zagrożenia, zmiany w prawie/sprzedawcy
• Status CAPA i przestępczości
• Decyzje: akceptować/zmniejszać/przekazywać/unikać; aktualizacja apetytu/progów

16) Plan działania na rzecz realizacji (4-6 tygodni)

Tygodnie 1-2: zatwierdzić taksonomię, wagi, apetyt; Wybierz narzędzie (tabela/BI/IRM). Utwórz 10-15 kart startowych dla procesów krytycznych.
Tygodnie 3-4: powiązanie ryzyka z kontrolą i KRI; zbudować mapę ciepła/deski rozdzielcze; uruchomić komitet ds. ryzyka.
Tygodnie 5-6: wdrożenie kwantyfikacji dla Top-5 (light FAIR/Monte Carlo), zautomatyzowanie kolekcji KRI, sformalizowanie eskalacji i raportowania zarządu.

17) Powiązane sekcje wiki

Kontrole wewnętrzne i ich audyty, ISO 27001/27701, SOC 2, PCI DSS, IGA/RBAC/Least Privilege, TPRM i SLA, Incydenty i przecieki, DR/BCP, Log Policy i WORM - dla pełnego ryzyka cyklu → kontrola → metryczne → dowody ".

TL; DR

Rejestr ryzyka pracy = jasna taksonomia + znormalizowane wagi + apetyt/progi → karty z właścicielami, kontrole i KRI → mapa ciepła i komitety → kwantyfikacja priorytetowa dla najwyższego ryzyka i CAPA na czas. Dzięki temu ryzyko jest zarządzalne, porównywalne i możliwe do udowodnienia przez zarząd i organy regulacyjne.