Ocena ryzyka i ustalanie priorytetów

1) Cel i wyniki

• porównywalne (ujednolicone wagi i wzory),
• przejrzyste (źródła danych i założenia są udokumentowane),
• wymierne (mierniki i KRI związane z kontrolami i incydentami),
• wykonalne (każde ryzyko odpowiada planowi CAPA/wyłączenia z datą wygaśnięcia).

Wyniki: ujednolicony rejestr ryzyka, priorytetowe zaległości w zakresie środków, mapy ciepła, sprawozdania dotyczące ryzyka rezydualnego, gotowe do kontroli artefakty.

2) Warunki i poziomy ryzyka

Ryzyko nieodłączne - ryzyko z wyłączeniem kontroli.
Ryzyko rezydualne - ryzyko uwzględniające bieżące kontrole (zweryfikowane ToD/ToE/CCM).
Ryzyko docelowe - poziom docelowy po zastosowaniu CAPA/środków wyrównawczych.
Prawdopodobieństwo (L) - prawdopodobieństwo wystąpienia scenariusza w horyzoncie oceny.
Wpływ (I) - największy z: finansów, licencji/prawa, prywatności/danych, operacji/SLO, reputacji.
KRI - wskaźniki ryzyka mające wpływ na L/I (na przykład dsar_response_p95, współczynnik obciążenia zwrotnego).

3) Wagi i podstawowe modele

3. 1 macierz dyskretna (5 × 5 lub 4 × 4)

Wynik = L × I → zakres 1-25 (lub 1-16).

• 20-25 = Krytyczny, 12-19 = Wysoki, 6-11 = Średni, 1-5 = Niski.
• Progi są publikowane w polityce punktacji i zawsze mają zastosowanie do wszystkich domen.

• 1 - raz w ciągu> 3 lat; 2 - raz na 1-3 lata; 3 - rocznie; 4 - co kwartał; 5 miesięcy/częściej.

• 1 - <10k €; 2 - 10-100k EUR; 3 - 100-300k EUR; 4 - 300k- €1m; 5 -> 1 mln EUR; przy ryzyku prawnym/licencyjnym poziom ten wzrasta do co najmniej 4-5.

3. 2 Modele ilościowe

ALE (Roczna oczekiwana strata): „ALE = SLE × ARO”, gdzie „SLE” jest średnim uszkodzeniem na zdarzenie, „ARO” to oczekiwana częstotliwość w ciągu roku.
SPRAWIEDLIWE podejście (w uproszczeniu): symulujemy częstotliwość (częstotliwość zdarzeń zagrożenia) i wartość strat (wielkość strat), wykorzystujemy percentyle (p50/p95) do podjęcia decyzji.
Monte Carlo: rozkład częstotliwości i uszkodzeń (lognorm/gamma itp.), 10-100k działa → krzywe strat (krzywa przekroczenia strat). Ubiegać się o najdroższe/regulacyjne zagrożenia krytyczne.

Zalecenie: 80% przypadków - macierz 5 × 5, 20% (najwyższe ryzyko) - ALE/FAIR/Monte Carlo.

4) Ryzyko rezydualne i docelowe

1. Oblicz Inherent z założeń „brak kontroli”.
2. Rozważyć skuteczność istniejących kontroli (testowane ToD/ToE/CCM) → Pozostałości.
3. Określenie celu z uwzględnieniem planowanych środków wyrównawczych/CAPA oraz daty osiągnięcia.
4. Jeśli cel ≤ próg tolerancji (apetyt ryzyka) - ok; jeżeli nie, wymagane jest zwolnienie z terminu ważności i wyrównanie kontroli.

5) Źródła danych i dowody

Mierniki i KRI (deski rozdzielcze, dzienniki, raporty incydentów).
Wyniki badań kontrolnych (CCM), audyty (wewnętrzne/zewnętrzne).
Raporty dostawcy: SLA/certyfikaty/incydenty/zmiany w lokalizacjach danych.
Analityka finansowa: grzywny, obciążenie zwrotne, utrata oszustw%.
Każdemu punktowi towarzyszą linki dowodowe ze znacznikiem czasu i potwierdzeniem skrótu (WORM).

6) Priorytetowe określenie inicjatyw (przeniesienie ryzyka → działanie)

6. 1 RYŻ (dostosowanie ryzyka)

„Ryż = (zasięg × Impact_adj × zaufanie )/wysiłek”

Sięgnij - ile klientów/transakcji/jurysdykcji ma wpływ.
Impact_adj - przekształcony I (lub ALE/strata p95).
Pewność - niezawodność ocen (0. 5/0. 75/1. 0).
Wysiłek - człowiek-tygodnie/koszt.
Sortowanie RICE → szybkie wygrywa.

6. 2 WSJF dostosowane do ryzyka

„WSJF = Koszt opóźnienia/Rozmiar zadania”, мла

„Koszt opóźnienia = zmniejszenie ryzyka + krytyka czasu + wartość biznesowa”.

Zmniejszenie ryzyka jest oczekiwanym spadkiem resztek/ALE.
Krytyczność czasu - terminy organów regulacyjnych/audytów.
Wartość biznesowa - dochody/oszczędności, pewność klienta.

6. 3 Priorytet regulacyjny

Jeśli ryzyko jest związane z licencjami/prawem i istnieje trudny termin, automatycznie wchodzi w krytyczny/wysoki, niezależnie od „ekonomicznego” punktacji.

7) Zasady progowe i eskalacje

Krytyczny: natychmiastowy triage, CAPA ≤ 30 dni, ponowny audyt w 60-90 dni; cotygodniowy komitet.
Wysoka: CAPA ≤ 60 dni, obserwacja 90 dni.
Medium: Włączenie do planu kwartalnego.
Niski: monitorowanie + możliwość „tech debt” slot.
Progi KRI: bursztyn (ostrzeżenie) i czerwony (obowiązkowa eskalacja i CAPA).

8) Role i RACI

9) Deski rozdzielcze

Heatmap ryzyka: matryca 5 × 5, filtry według domeny/kraju/dostawcy.
Lejek ryzyka: Nieodłączny → Resztki → Cel.
Top-N według ALE/p95 Loss: ryzyko ilościowe.
Lista obserwacyjna KRI: wskaźniki i progi, alarmy bursztynowe/czerwone.
Wpływ CAPA: przewidywane/rzeczywiste zmniejszenie; postępy w zakresie terminów.
Zwolnienia: obecne wyjątki, terminy i środki wyrównawcze.

10) Wskaźniki wydajności

Wskaźnik redukcji ryzyka: średnia ważona stopa ryzyka (kwartał/kwartał).
CAPA w czasie:% środków na czas (według wagi).
Powtarzające się wyniki (12 miesięcy): odsetek powtarzających się naruszeń.
Kompletność dowodów:% ryzyka z pełnym pakietem (100% cel dla High +).
Dokładność prognozy: rozbieżność oszacowanych i rzeczywistych strat/częstotliwości.
Czas do Triage/Czas do planu/Czas do celu.

11) SOP (standardowe procedury)

SOP-1: Inicjalizacja i waga

Zdefiniuj wagi L/I i progi kategorii → zatwierdzić w Komitecie → rekord w repozytorium (wersioning).

SOP-2: kwartalna aktualizacja wyceny

Zbiór KRI/incydenty → ponowne obliczenie L/I/ALE → przegląd przez właścicieli → priorytetyzacja komisji → publikacja mapy drogowej.

SOP-3: Incydent spustowy

W przypadku krytycznego/wysokiego incydentu - nieplanowana ponowna kalkulacja, dostosowanie CAPA i priorytetów.

SOP-4: Analiza ilościowa (najwyższe ryzyko)

Przygotuj dystrybucje wejściowe → Monte Carlo (≥ 10k biegów) → krzywe straty → Decyzja Komitetu.

SOP-5: Archiwum i dowody

Plasterki eksportowe (CSV/PDF) + potwierdzenia hash → archiwum WORM → linki w kartach GRC.

12) Szablony i „kod uzupełniający”

12. 1 Polityka punktacji (snippet)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 karty ryzyka (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 Priorytety (przykład WSJF)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Środki wyrównawcze i zwolnienia

• wprowadzamy kontrole kompensacyjne (ręczne kontrole, limity, dodatkowe monitorowanie) z miernikami wydajności;
• wydajemy zwolnienie z datą wygaśnięcia, właścicielem i planem wymiany;
• obowiązkowy ponowny audyt w ciągu 30-90 dni.

14) Antypattery

„Piękna matryca” bez połączenia z KRI/sterowaniem/incydentami.
Pływające wagi i „ręczne dostrajanie” do pożądanego wyniku.
Brak weryfikacji obliczeń i założeń.
Rzadkie wersje → mapa nie odzwierciedla rzeczywistości.
Zwolnienia bez daty wygaśnięcia i bez środków wyrównawczych.
Brak analizy ilościowej najwyższego ryzyka.

15) Model zapadalności (M0-M4)

M0 Ad-hoc: szacunki „z oka”, nie istnieje jedna polityka.
M1 Planowane: matryca 5 × 5, aktualizacje kwartalne, podstawowe deski rozdzielcze.
M2 Managed: komunikacja z KRI/CCM, połączenie CAPA, dowody WORM.
M3 Zintegrowane: ALE/FAIR/Monte Carlo dla najwyższego ryzyka, WSJF/RICE w mapie drogowej, CI/CD bramy.
M4 Ciągłe zapewnienie: prognostyczne KRI, automatyczne ponowne obliczenie, priorytety rekomendacji i analiza dowodów.

16) Powiązane artykuły wiki

Mapa ryzyka ciepła

Audyt oparty na ryzyku (RBA)

KPI i wskaźniki zgodności

Ciągły monitoring zgodności (CCM)

Plany rekultywacji (CAPA)

Repozytorium polityki i zgodności

Plan działania w zakresie zgodności

Audyty zewnętrzne przeprowadzane przez audytorów zewnętrznych

Razem

Punktacja ryzyka i ustalanie priorytetów to dyscyplina inżynieryjna, a nie sztuka: stabilne skale i polityki, dające się udowodnić dane, metody ilościowe dla najwyższych zagrożeń, wyraźne progi i eskalacje oraz bezpośredni link do CAPA i mapy drogowej. Takie podejście sprawia, że decyzje są przewidywalne, przyspiesza zatwierdzanie i zmniejsza ogólne ryzyko działalności.