Controale și audituri interne

1) Scop și domeniu

Obiectiv: asigurarea realizării obiectivelor de afaceri în condiții de siguranță și legalitate, reducerea riscurilor operaționale, financiare, de conformitate și de reputație.
Acoperire: controale de proces și IT în toate domeniile: plăți/cassouts, KYC/AML/sancțiuni, anti-fraudă, RG, marketing/export de date, DevOps/SRE, DWH/BI, confidențialitate/GDPR, TPRM.

2) Principii și model de protecție

Trei linii de apărare: 1) proprietarii de procese (operațiuni/produs), 2) riscurile/conformitatea/securitatea (metodologie, monitorizare), 3) auditul intern independent.
Bazat pe riscuri: controalele sunt construite în funcție de prioritatea riscului rezidual.
Bazat pe dovezi: Fiecare control are criterii măsurabile, surse de date și artefacte de probabilitate.
Automatizați-primul: dacă este posibil - comenzi automate și continue (CCM) în loc de manual.

3) Harta riscurilor → obiective → controale

1. Registrul riscurilor: identificarea cauzelor/evenimentelor/consecințelor (finanțe, jucători, licențe).
2. Obiective de control: ceea ce trebuie prevenit/detectat/corectat (de exemplu, „retragerea ilegală a fondurilor”, „accesul neautorizat la PII”).
3. Activități de control: selectarea politicilor/procedurilor/automatizărilor specifice pentru atingerea obiectivului.

• Preventiv: RBAC/ABAC, SoD (4-ochi), limite și de notare, validarea datelor, WebAuthn, mTLS.
• Detectiv: SIEM/alerte, reconcilieri, tablouri de bord SLA/SLO, jurnale de audit (WORM), control anomalie.
• Corectiv: încuietori automate, rollback-uri de eliberare, rotație cheie, parsare manuală și returnări.
• Compensarea: în cazul în care controlul principal este imposibil - măsuri de consolidare (monitorizare suplimentară, verificare dublă).

4) Biblioteca de control

• ID/Nume, obiectiv, risc, tip, frecvență, proprietar de control, performer, metodă de execuție (manual/auto/ghid), surse de probe, KPI/KRI, comunicare cu politici/proceduri, sisteme dependente.
• State: Proiect → → activ monitorizat → pensionat. Versioning și schimbare jurnal.

• „CTRL-PAY-004” - 4 ochi aprobă plățile> X (preventiv, zilnic, Proprietar: șef de plăți, Dovezi: aplicații/jurnale, KPI: 100% acoperire).
• „CTRL-DWH-012” - Mascare PII în vitrine (preventiv, permanent, Proprietar: Șef de date, Dovezi: cereri de testare, KPI: ≥95% citiri mascate).
• „CTRL-SEC-021” - MFA pentru console de admin (preventiv; Dovezi: rapoarte IdP; KPI: 100% adopție).

5) RACI și proprietarii

6) Planificarea auditurilor și a testelor

Planul anual se formează orientat spre risc (risc rezidual ridicat, cerințe de reglementare, incidente, sisteme noi).

• Eficacitatea proiectării (DE): dacă controalele sunt corect concepute pentru a reduce riscul.
• Eficiență de operare (OE) - Dacă funcționează stabil și la o anumită frecvență.
• Audit tematic/de proces: validarea domeniului end-to-end (de ex. KYC/AML sau Cassouts).
• Follow-up/Verificare - confirmarea închiderii CAPA.

Abordare: Walkthrough (urmărire), interviu, revizuire artefact/jurnal, analiză, performanță (repetare).

7) Probe și probe

Tipuri de dovezi: încărcări de jurnal (semnătură/hash), rapoarte IdP/SSO, bilete și jurnale de aprobare, configurații, capturi de ecran cu marcaje temporale, xls/csv din storefronturi, înregistrări ale sesiunilor PAM.
Integritate: copii WORM, lanțuri/semnături hash, specificând 'ts _ utc'.
Eșantionare: statistică/judecătorească; dimensiunea depinde de frecvența de control și de nivelul de încredere.
Criterii: pass/fail; pragurile de minimis pentru operațiunile manuale sunt permise.

8) Evaluarea și clasificarea neconformităților

Gradații: critic/ridicat/mediu/scăzut.
Criterii: impact (bani/PII/licențe), probabilitate, durată, repetabilitate, controale compensatorii.
Raportare: găsiți cardul (risc, descriere, exemple, cauza principală, impact, acțiuni necesare, sincronizare, proprietar), starea de urmărire.

9) CAPA și managementul schimbărilor

Acțiuni corective și preventive: eliminarea cauzei rădăcinii, nu numai a simptomelor.
S.M.A.R.T.- măsuri: specifice, măsurabile, datate; responsabilitate și repere.
Schimbare Consiliu consultativ: Modificări de risc ridicat trece CAB; actualizarea politicilor/procedurilor/rolurilor.
Verificarea performanței: re-audit după N săptămâni/luni.

10) Monitorizarea continuă (CCM) și Analytics

Candidații CCM: controale de înaltă frecvență și formalizate - conflicte SoD, probleme JIT, exporturi anormale, acoperire MAE, limite de plată, sancțiuni.
Instrumente: reguli SIEM/UEBA, tablouri de bord date/BI, validatoare de circuit/mascare, teste de acces (policy-as-code).
Semnale/alerte: prag/comportamental; Bilete SOAR; blocuri automate pentru abateri critice.
Avantaje: viteza de detectare, reducerea sarcinii manuale, o mai bună provabilitate.

11) Valori (KPI/KRI)

• Acoperirea prin controale a proceselor critice ≥ 95%
• Executarea la timp a comenzilor manuale ≥ 98%
• CAPA închis la timp (ridicat/critic) ≥ 95%
• Cota de comenzi automate de ↑ MoM

• Tulburări SoD = 0
• PII accesează fără 'scop' = 0
• Scurgeri/incidente notificate ≤ 72 h - 100%
• Rata de eșec a controalelor operaționale <2% (scăderea tendinței)

12) Frecvență și calendar

Zilnic/continuu: CCM, semnale antifraudă, limite de plată, mascare.
Săptămânal: reconcilierea plăților/registrelor, controlul exporturilor, analiza alertei.
Lunar: rapoarte MFA/SSO, registru de acces, monitorizarea furnizorilor, tendințe KRI.
Trimestrial: re-certificare a drepturilor, recenzii tematice, teste de stres BCP/DR.
Anual: planul complet de audit și actualizarea hărții riscurilor.

13) Integrări cu politicile existente

RBAC/ABAC/Less Privilege, Access Policies and Segmentation - o sursă de controale preventive.
Politica de parole și MAE sunt cerințe obligatorii pentru administratori/operațiuni critice.
Busteni de audit/politica de jurnal - controale detectiv și probatorii.
Contracte TPRM și terțe părți - controale externe: SLA, DPA/SCC, drepturi de audit.

14) Liste de verificare

14. 1 Design nou de control

• Obiectiv și risc asociat descris
• Tip definit (preventiv/detectiv/corectiv)
• Proprietar/interpret și frecvență atribuite
• Sursele de date și formatul dovezilor specificate
• Măsurători încorporate (KPI/KRI) și alerte
• Legături către politici/proceduri
• Planul de testare DE/OE definit

14. 2 Audit

• Domeniul de aplicare și criteriile DE/OE convenite
• Lista artefactelor și acceselor recuperate
• Eșantionare convenită și fixă
• Rezultatele și constatările clasificate
• CAPAs, termene limită și proprietarii au aprobat
• Raport emis și comunicat părților interesate

14. 3 Monitorizare şi raportare (lunar)

• KPI/KRI pentru toate controalele critice
• Eșec/tendințe fals pozitive
• Statutul CAPA și al delincvenței
• Automatizare/Propuneri JMA

15) Erori tipice și cum să le evitați

Control fără obiectiv/metric: formalizați obiectivul și KPI/KRI.
Controale manuale fără dovezi: standardizarea formelor/scripturilor și depozitarea artefactelor în WORM.
Depășirea excepțiilor: un registru al excepțiilor cu o dată de expirare și măsuri compensatorii.
„Pe hârtie” funcționează - în realitate nu: teste regulate OE și CCM.
CAPA-uri deschise: escaladarea automată și statutul în comitetul de risc lunar.

16) Foaia de parcurs privind implementarea

Săptămânile 1-2: actualizați harta riscurilor, compilați un catalog de controale, numiți proprietarii, aprobați șabloanele de probe.
Săptămânile 3-4: începeți monitorizarea KPI/KRI, selectați comenzile 5-10 pentru automatizare (CCM), aprobați planul anual de audit.
Luna 2: efectuarea auditurilor tematice 1-2 (risc ridicat), implementarea alertelor SOAR, stabilirea raportării consiliului.
Luna 3 +: Extindeți CCM, efectuați revizuiri trimestriale, reduceți controalele manuale, creșteți acoperirea DE/OE și rata de închidere CAPA.

TL; DR

Controale interne eficiente = card de risc → obiective → activități clare cu proprietarul și dovezi, plus teste regulate DE/OE, automatizare CAPA și CCM. Acest lucru face ca gestionarea riscurilor să fie măsurabilă, auditul previzibil și conformitatea să fie dovedită.