Revizuiri și revizuiri periodice

1) Scop și principii

Periodic Reviews (Periodic Review) este un ciclu reglementat de revizuiri care confirmă relevanța politicilor, corectitudinea accesului, eficacitatea controalelor și disponibilitatea pentru audit.

• Calendar și predictibilitate: ferestre fixe și termene limită.
• Orientarea spre risc: criticalitatea și prioritățile IRK.
• Automatizare-primul: maximum de auto-colectii si auto-verificari.
• Dovezi prin design: dovezile sunt generate automat și invariabil (WORM).
• Un proprietar: Fiecare revizie are un proprietar, un SLA și un plan de escaladare.

2) Tipuri de revizuiri periodice (portofoliu)

3) Roluri și RACI

(R - Responsabil; A - Responsabil; C - Consultat; I - Informat)

4) Calendar anual (șablon exemplu)

Lunar: controale CCM, DSAR SLA, cloud drift/criptare rapoarte, renunțarea la igiena.
Trimestrial (Q1/Q2/Q3/Q4): IAM re-cert, Registrul riscurilor, exerciții DR, Audit uscat, retenție/ștergeri.
Anual: revizuirea completă a politicilor/procedurilor, revizuirile VRM ale furnizorilor critici, BIA (impactul afacerii), planul de audit/certificare.

5) Procesul (POS) de orice revizuire

1. Inițiere: card de revizuire (domeniu de aplicare, obiective, criterii, termene limită, proprietari).
2. Colectarea datelor: încărcări automate/tablouri de bord, casete de prezentare a probelor, mostre.
3. Verificări și teste: listă de verificare, trecere/eșec, severitatea abaterilor.
4. CAPA/remediere: lista decalajelor cu proprietarii și termenele limită, măsuri compensatorii.
5. Upgrade și fixare: protocol de soluție, chitanțe hash, arhivă WORM.
6. Comunicare: sarcini one-pager + în ITSM/GRC; escaladarea de către SLA.
7. Retrospectivă: lecții, actualizarea standardelor/șabloanelor.

6) Șabloane de listă de verificare

6. 1 Politici/Proceduri

• Relevanța referințelor și termenilor de reglementare
• Declarații de control al măsurabilității
• Legarea la SOP/Standarde și Reguli CCM
• Localizări/addendums sincronizate
• Changelog și versiunea, actualizarea comitetului

6. 2 IAM re-cert

• Lista completă a drepturilor active și a proprietarilor
• Conflicte SoD, conturi orfane, excepții JIT
• Dovezi de revocare/demotivare
• Accesele furnizorilor și federațiile SSO
• Protocol de re-calificare și metrici de delincvență

6. 3 VRM

• Rapoartele actuale SOC/ISO/PCI, domeniul de aplicare și excepțiile
• SLAs/Incidente/Credite pentru perioada
• Sub-procesoare și locații de date - nici o derivă
• Lista de decalaje și starea de remediere
• Planul de ieșire și confirmarea retenției oglinzii

6. 4 Retensiune/Reținere legală

• Încălcări TTL = 0 critice
• Rapoarte de ștergere + Rezumat Hash
• Active Legal Hold - Motive, Date, Proprietari
• Păstrarea oglinzilor în furnizori
• Logica DSAR intactă

6. 5 DR/BCP

• RTO/RPO de testare și de recuperare a probei
• Playbook-uri de comunicare și de gardă
• Exercitarea și rezultatele CAPA
• Furnizorii au participat/au confirmat disponibilitatea
• Documentat post-mortem

7) Revizuirea portofoliu Metrics și SLOs

Rata de revizuire la timp:% din auditurile finalizate la timp (obiectiv ≥ 95%).
Pregătirea dovezilor: revizuiri% cu set complet de artefacte (obiectiv 100%).
CAPA La timp:% din remedierile închise de SLA (prin severitate).
Constatări repetate: proporția comentariilor repetate în 12 luni (tendința ↓).
Igiena accesului: ponderea drepturilor învechite după re-cert (obiectiv ≤ 2%).
Prospețimea certificatului de vânzător:% din certificatele actuale de la furnizorii critici (obiectiv 100%).
Audit-gata timp: timp pentru a colecta „pachetul de audit” după audit (≤ 8 ore).

8) Tablouri de bord (set minim)

Calendar View: Harta revizuirilor pe trimestre cu SLA/delincvențe.
Conductă de revizuire: (planificată în curs CAPA închis).
Constatări și CAPA: deschis/expirat, proprietari, severitate.
Igiena IAM: excepții orfane/SoD/JIT, tendințe.
Heatmap VRM: furnizori de rate de risc, certificate, incidente.
Retenție & Hold: încălcări TTL, volume de eliminare, așteptare activă.
Pregătirea auditului: completitudinea „prin buton”, ancorele pachetului hash.

9) Artefacte și depozitare

Protocolul de revizuire (ordinea de zi, concluzii, decizii, proprietar/scadent).
Lista verificărilor/eșantioanelor și rezultatele acestora (trecere/eșec).
Lista Gap și CAPA cu date și valori de succes.
Chitanțe hash de încărcări și rapoarte; WORM/Object Lock.

Actualizarea versiunilor de politică/procedură și maparea la Control

10) Gestionarea excepțiilor (derogări)

Eliberat pentru fiecare decalaj identificat în cazul în care corectarea nu este posibilă la timp.
Conține motiv, măsuri compensatorii, data expirării, proprietar/plan.
Vizibil în tabloul de bord; auto-escaladare 14/7/1 zi înainte de expirare.

11) Integrări

CCM/Compliance-as-Code - Regulile de testare a controlului sunt rulate automat la revizuire.
GRC: Registrul de audit, constatări, CAPA, derogări, SLA și raportare.
Stocarea dovezilor: arhivarea automată a tuturor materialelor cu fixare hash.
ITSM: sarcini și escaladări către proprietarii de sisteme.
VRM: ridicarea statutului furnizorilor/certificatelor.
LMS: Cursuri de schimbare majore/certificări bazate pe rezultatele auditului.

12) Antipattern

Revizuiri „pentru spectacol” fără CAPA și proprietari.
Lipsa calendarului și predictibilitatea → întârzieri și modul de incendiu.
Încărcări manuale fără chitanțe hash și WORM-uri → dovezi controversate.
Amestec de domenii (politicile modifică cerințele, dar POS/controalele nu sunt actualizate).
Derogări „eterne” fără dată de expirare și fără compensație.
Nici o legătură cu apetitul de risc/comitet - deciziile nu scalează.

13) Modelul de maturitate (M0-M4)

M0 Hell-hoc: controale neregulate, rapoarte în Excel, fără proprietari.
M1 Programat: calendar și liste de verificare de bază, depozitarea artefactelor.
M2 Gestionat: registru GRC, tablouri de bord, SLA/escaladare, arhivă WORM.
M3 Integrat: JMA/ascode, auto-probe, uscat-run buton de audit.
M4 Continuous Assurance: RCI-urile prognozate, reprogramarea automată, riscurile CAPA end-to-end → revizuirile CAPA →.

14) Articole wiki înrudite

KPI-uri și măsurători de conformitate

Audit bazat pe risc (RBA)

Monitorizarea continuă a conformității (CCM)

Stocarea dovezilor și a documentației

Exploatarea forestieră și traseul de audit

Managementul schimbării politicii de conformitate

Due Diligence și riscurile de externalizare

Comitetul de gestionare și conformitate a riscurilor

Total

Revizuirile și revizuirile periodice transformă conformitatea de la un „răspuns la probleme” la o conductă transparentă de îmbunătățiri: un calendar fix, inspecții automate, artefacte de calitate, CAPA în timp util și disponibilitate previzibilă pentru orice audit.