Reauditări și monitorizare

1) Scopul și rolul re-auditurilor

• confirmă închiderea încălcărilor și reducerea riscului rezidual la nivelul apetitului;
• protejează împotriva repetiției (constatări repetate) prin măsuri preventive;
• formează o bază de probe semnificativă din punct de vedere juridic („audit-ready by button”).

2) Când se atribuie re-audit (declanșatoare)

Închiderea CAPA prin critică/ridicată (obligatorie), prin mediu - prin eșantion/risc.
Incident de gravitate ridicată sau prescripție de reglementare.
CCM/derivă de observabilitate.
Modificări de arhitectură/proces (versiuni, migrații, furnizori).
Ferestre calendaristice trimestriale/semianuale pentru domenii cu risc ridicat.

3) Domeniul de aplicare și metode

Test de proiectare: politica/standard/SOP actualizat, control formalizat.
Testul de eficiență operațională: controlul funcționează stabil în perioada (eșantion pentru 30-90 de zile).
Eșantion: bazat pe risc (creștere n pentru cazuri mari/critice), amestec de cazuri aleatorii și țintă.
Reperformă: dacă este posibil, repetați procedura/solicitarea de confirmare a rezultatului.
Dovezi: jurnale, configurații, încărcări, screencasturi, rapoarte de instrumente - cu chitanțe hash și WORM.

4) Roluri și RACI

(R - Responsabil; A - Responsabil; C - Consultat; I - Informat)

5) Ciclul de viață al re-auditului (POS)

1. Inițiere: card de re-audit (constatări, CAPA, risc, perioadă de eșantionare, termen limită).
2. Pregătirea: lista de teste, criterii de acceptare, lista de artefacte, acces „după caz”.
3. Colectarea datelor: încărcări automate, eșantionare, fixare hash, plasare în WORM.
4. Teste: proiectare (disponibilitate/corectitudine) → eficiență (eșantioane, reperforme).
5. Evaluare: risc rezidual, stabilitate, prezența derivei.
6. Decizia: Închidere/Extindere CAPA/Escalate (comitet, autoritate de reglementare).
7. Fixare: protocol, actualizare tablouri de bord, „audit pack” re-audit.
8. Supraveghere: observare 30-90 zile; atunci când derivă - re-deschide cu un nou CAPA.

6) Definiția Done

Măsuri corective implementate și confirmate.
Măsurile preventive reduc riscul de repetiție (antrenament, porți, detectări).
Dovezile sunt complete și consecvente (WORM, chitanțe hash).
Regulile CCM au fost actualizate, alertele sunt normale, nu există derivă.
Politicile/POS-urile/diagramele sunt sincronizate cu modificările reale.
Furnizorii au efectuat acțiuni în oglindă (retenție/ștergere/certificate).

7) Re-audit ↔ pachet CAPA

Păstrați planul de re-audit (perioadă, metrică de succes, proprietar) în cardul CAPA.
Un „succes parțial” → o prelungire a CAPA cu controale compensatorii și o dată de expirare.
Pentru probleme sistemice - epopee de prevenire (schimbarea arhitecturii, revizuirea procesului).

8) Metrics și KRI

Re-audit La timp:% finalizat la timp (obiectiv ≥ 95%).
First-Pass Închide:% din închideri fără reînnoire CAPA (mai mare este mai bine).
Constatări repetate (12 luni): proporția de repetări după domeniu/proprietar (tendință ↓).
Δ riscului rezidual: reducerea riscului după re-audit.
Dovezi Caracterul complet:% re-audit cu set complet de artefacte (obiectiv 100%).
Drift After Fix: cazuri de derivă de control în 30-90 de zile (țintă 0 critică).
Furnizor Mirror SLA: confirmări de la contractori (obiectiv 100% pentru critic).

9) Tablouri de bord (minim)

Re-audit Pipeline: Planificat → în curs de desfășurare → închide/extinde → observa.
Heatmap se repetă: pe domenii (IAM, date, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: starea pachetelor, întârzieri, zone vulnerabile.
Dovezi Pregătirea: prezența WORM/hashes, prospețimea probelor.
Drift & CCM: încălcări post-fix, frecvență de alertă.
Vendor Assurance: retenție/îndepărtare oglindă, certificate, SLA.

10) Metode de eșantionare și de testare

Stratificarea riscurilor: mai multe cazuri pentru controale/jurisdicții critice.
Teste combinate: verificarea documentelor + reperforma efectivă (ex. Exportul DSAR, revocarea accesului, ștergerea TTL).
Scenarii negative: o încercare de a ocoli controlul (ABAC/SoD, limitele ratei, scanarea secretă).
Testul de stabilitate: se repetă după 30 de zile pe un subsample (control de sănătate mintală).

11) Automatizare și asigurare-ca-cod

Cazuri de testare pentru controale ca cod (Rego/SQL/YAML), programat autorun.
Auto-generație „audit pack re-audit” de la caseta de prezentare a probelor cu o chitanță.
Auto-escaladarea de către SLA (întârzieri CAPA/re-audit).
Integrarea cu CI/CD: eliberarea blocurilor de porți sub controale roșii.

12) Furnizori și lanțul de aprovizionare

Contractele includ dreptul de a re-audita și calendarul furnizării de artefacte.
Păstrarea oglinzilor și confirmarea distrugerii/remedierilor.
În caz de încălcare - împrumuturi/SLA, off-rampă și planul de migrație.
certificate externe (SOC/ISO/PCI) - în stare proaspătă; în cazul în care „aviz calificat” - re-audit este îmbunătățită.

13) Modele artefact

13. 1 Card de re-audit

Constatări ID/CAPA, risc/jurisdicții, perioada de eșantionare

Teste de proiectare/performanță, criterii de acceptare

Lista artefactelor (sursă, format, hash)

Rezultate, risc rezidual, recomandări

Soluție (Închidere/Extindere/Escaladare), proprietar/datorat, legături de dovezi

13. 2 Raport de reaudit (tabelul conținutului)

1. Rezumat și context

2. Metodologia și domeniul de aplicare

3. Rezultatele testelor (tabele de probă)

4. Risc rezidual și concluzii

5. Soluții și provocări (CAPA/derogări)

6. Aplicații: chitanțe hash, capturi de ecran, încărcări

13. 3 Lista de verificare a acceptării

• Politici/POS/Controale actualizate
• Dovezile colectate și WORM/hash confirmate
• Regulile CCM activate, alerte valabile
• Instruire/comunicare finalizată (LMS, citire-primire)
• Confirmările furnizorului primite
• Nici un plan de re-deschidere necesară/expansiune în loc

14) Gestionarea excepțiilor (derogări)

Permis numai sub restricții obiective; data de expirare și controalele compensatorii sunt obligatorii.
Publicitate în tabloul de bord, memento-uri 14/7/1 zi, escaladarea la Comitet.

15) Antipattern

„Închiderea hârtiei” fără un test de eficacitate.
Dovezi fără WORM/hashes - controverse de audit.
Nu CAPA ↔ re-audit ↔ CCM link-ul - controale nu sunt fixate.
Domeniul de aplicare restrâns (jurisdicții/vânzători/roluri critice neacoperite).
Cecuri unice neobservate 30-90 de zile → repetări.
Prelungiri CAPA fără un plan de măsuri compensatorii și termen limită.

16) Modelul de maturitate (M0-M4)

M0 Hell-hoc: controale rare „punct”, fără criterii de acceptare.
M1 Programat: calendar de re-audit, șabloane de bază și rapoarte.
M2 Managed: link către CAPA, tablouri de bord/metrici, dovezi WORM.
M3 Integrated: assurance-as-code, reperform, automatic „audit pack”.
M4 Continuous Assurance: KRI-uri predictive, auto-re-planificare, post-fix de monitorizare a stabilității.

17) Articole wiki înrudite

Planuri de remediere (CAPA)

Audit bazat pe risc (RBA)

Monitorizarea continuă a conformității (CCM)

Exploatarea forestieră și traseul de audit

Stocarea dovezilor și a documentației

Managementul schimbării politicii de conformitate

Due Diligence și riscurile de externalizare

Comitetul de gestionare și conformitate a riscurilor

Total

Re-auditurile sunt verificarea robusteței, nu a formalității: un test de proiectare și eficiență, o bază robustă de dovezi, soluții transparente (Close/Extend/Escalate) și observarea în derivă. Cu un astfel de sistem, riscul nu este „returnat”, iar conformitatea rămâne măsurabilă și previzibilă.