Audit bazat pe risc

1) Esența auditului bazat pe risc (RBA)

• Prioritate în cazul în care combinația de probabilitate și influență este maximă.
• Evaluarea riscului inerent (fără controale) și a riscului rezidual (inclusiv controalele).
• Revizuirea continuă a evaluării ca modificări ale peisajului de risc (produs, piață, reglementare, incidente).

2) Termeni și cadru

Universul auditului - un catalog de procese, sisteme, locații, furnizori și responsabilități de reglementare potențial supuse auditului.
Heatmap de riscuri - „Probabilitatea × impact” vizualizare cu gradare de priorități.
Risc Apetit/Toleranță - dorința declarată a companiei de a accepta riscul în limitele specificate.
Niveluri de control - preventiv/detectiv/corectiv; proiectarea și eficiența operațională.
Linii de protecție - 1 (afaceri și operațiuni), 2 (risc/conformitate), 3 (audit intern).

3) Construirea unui univers de audit

• Procese: plăți, KYC/KYB, monitorizare AML, gestionarea incidentelor, DSAR, retenție.
• Sisteme: nucleul tranzacției, DWH/datalake, IAM, CI/CD, nori, DLP/EDRM.
• Jurisdicții și licențe, furnizori cheie și externalizatori.
• KPI/KRI, istoricul incidentelor/încălcărilor, constatări/sancțiuni externe.
• Efectul monetar și reputațional, criticitatea pentru autoritățile de reglementare (GDPR/PCI/AML/SOC 2).

4) Metodologia de evaluare a riscurilor

1. Risc inerent (IR): complexitatea proceselor, volumul datelor, fluxurile de numerar, dependențele externe.
2. Control design (CD): disponibilitate, acoperire, politica-ca-cod maturitate, automatizare.
3. Eficiența operațională (OE): stabilitatea execuției, metrica MTTD/MTTR, nivelul de derivă.
4. Risc rezidual (RR): 'RR = f (IR, CD, OE)' - normalizați pe o scală (ex. 1-5).
5. Factori modificatori: modificări de reglementare, incidente recente, rezultatele auditurilor anterioare, rotația personalului.

Exemplu de scară de influență: daune financiare, amenzi de reglementare, timpi de nefuncționare SLA, pierderi de date, consecințe reputaționale.
Un exemplu de scară de probabilitate: frecvența evenimentelor, expunerea, complexitatea atacurilor/abuzurilor, tendințele istorice.

5) Prioritizarea și planul anual de audit

Sortați unitățile de audit după riscul rezidual și importanța strategică.
Atribuirea frecvenței: anual (ridicat), o dată la 2 ani (mediu), prin monitorizare/subiecte (scăzut).
Includerea controalelor tematice (ex. Ștergerea datelor și anonimizarea, segregarea atribuțiilor (SoD), segmentarea PCI).
Planificați resursele: competențe, independență, evitați conflictele de interese.

6) RACI și roluri

(R - Responsabil; A - Responsabil; C - Consultat)

7) Abordări ale controalelor de testare

Walkthrough: urmăriți fluxul "tranzacției end-to-end'/date.
Eficacitatea proiectării: verificarea prezenței și a adecvării politicilor/controalelor.
Eficacitatea de operare - verificarea selectivă a execuției pentru o perioadă.
Re-performanță: reproducerea calculelor/semnalelor după regulile CaC.
CAATs/DA (tehnici de audit asistate de calculator/analiza datelor): scripturi SQL/python, cereri de control la vitrine de conformitate, compararea IaC ↔ configurații reale.
Auditare continuă - încorporarea testelor de control în magistrala de evenimente (flux/lot).

8) Prelevarea de probe

Statistică: aleatorie/stratificată, determină mărimea după nivelul de încredere și eroarea permisă.
Țintă (critică): valoare ridicată/risc ridicat, modificări recente, excepții (derogări).
Anormal: concluzie din analiză (outliers), incidente nejustificate, „violatori de top”.
End-to-end (100%): Dacă este posibil, utilizați verificarea automată a întregii matrice (de ex. SoD, TTL, screening de sancțiuni).

9) Surse de analiză și dovezi (dovezi)

Jurnale de acces (IAM), urme de schimbare (Git/CI/CD), configurații de infrastructură (Terraform/K8s), rapoarte DLP/EDRM.
Prezentări de conformitate, jurnale Legal Hold, registru DSAR, rapoarte AML (SAR/STR).
Instantanee de bord, export CSV/PDF, fixare hash și WORM/imutabilitate.
Protocoale de interviu, liste de verificare, artefacte de ticketing/escaladare.

10) Audit: SOP

1. Evaluare preliminară: clarificarea obiectivelor, criteriilor, limitelor, proprietarilor.
2. Cerere de date: lista de încărcări, accesări, configurații, perioada de eșantionare.
3. Munca pe teren: walkthrough, teste de control, analize, interviuri.
4. Calibrarea concluziilor: comparați cu apetitul de risc, cu reglementările și politicile.
5. Formarea constatărilor: fapt criteriu influență motiv recomandare proprietar termen.
6. Reuniunea de închidere - reconcilierea faptelor, a statutului și a planurilor de remediere.
7. Raport și follow-up: eliberare, evaluare, date de închidere, re-verificare.

11) Clasificarea constatărilor și ratingul de risc

Severitate: Critic/High/Medium/Low (legătură cu impactul asupra securității, conformității, finanțelor, operațiunilor, reputației).
Probabilitate: Frecvente/posibile/rare.
Scor de risc: matrice sau funcție numerică (de exemplu, 1-25).
Etichete temă: IAM, confidențialitatea datelor, AML, PCI, DevSecOps, DR/BCP.

12) Măsurători și KRI/KPI pentru auditul riscurilor

Acoperire: Cota universului de audit acoperit în anul.
Remedierea la timp:% din remedieri la timp (prin severitate).

Constatări repetate: Procentul de repetări în 12 luni

Constatări MTTR: timpul median până la închidere.
Tendința eficacității de control: procentul de teste trecute/eșuate pe perioadă.
Timp de pregătire pentru audit: Timp pentru colectarea probelor.
Indicele de reducere a riscului: ∆ ratei de risc total după remediere.

13) Tablouri de bord (set minim)

Risk Heatmap: procese × probabilitate/impact × risc rezidual.
Constatări conductă: starea (Deschis/În curs/Restante/Închis) × proprietari.
Teme de top: categorii frecvente de încălcare (IAM/Privacy/PCI/AML/DevSecOps).
Îmbătrânire și SLA: delincvențe și termene apropiate.
Repeat Issues: repetability by command/system.
Rezultatele testelor de control: rata de trecere, tendințe, FPR/TPR pentru regulile de detectivi.

14) Modele artefact

Domeniul de aplicare al auditului

Scop și criterii (standarde/politici).

Domeniu de aplicare: Sisteme/Perioada/Locatii/Furnizori

Metode: eșantionare, analiză, interviuri, walkthrough.
Excepții și limitări (dacă există).

Card de găsire

ID/Subiect/Severitate/Probabilitate/Scor.
Descrierea faptului și a criteriului neconformității.
Risc și impact (afaceri/reglementare/siguranță).
Recomandare și plan de acțiune.
Proprietarul şi data scadenţei.
Dovezi (link-uri/hashes/arhivă).

Raport de audit (Structura)

1. Rezumat executiv.
2. Context și domeniu de aplicare.
3. Metodologie și surse de date.
4. Concluzii și evaluarea controalelor.
5. Constatări și priorități.
6. Planul de remediere și follow-up.

15) Comunicarea cu monitorizarea continuă (CCM) și conformitatea-as-code

Utilizați rezultatele CCM ca intrare pentru evaluarea riscurilor și planificarea auditului.
Politicile ca și cod permit reexaminarea testelor de către auditori, sporind reproductibilitatea.
Implementarea auditului continuu pentru zonele cu risc ridicat cu telemetrie disponibilă.

16) Antipattern

Audit „uniform” fără risc → pierderea concentrării și a resurselor.
Rapoarte fără recomandări măsurabile și proprietari.
Metodologia opacă de rating de risc.
Ignorarea furnizorilor și a lanțului de servicii.
Nicio urmărire - problemele revin.

17) Modelul de maturitate RBA (M0-M4)

M0 Documentar: verificări unice, eșantionare manuală.
M1 Catalog: universul de audit și harta termică de bază.
M2 Politici și teste: liste de verificare standardizate și cereri de urmărire.
M3 Integrat: comunicarea cu datele CCM, SIEM/IGA/DLP, colectarea probelor semiautomate.
M4 Continuous: audit continuu, prioritizare în timp real, reperforme automate.

18) Sfaturi practice

Calibrarea baremelor de risc care implică întreprinderile și conformitatea - o singură „monedă” de risc.
Mențineți transparența: metoda și greutățile documentelor, păstrați istoricul schimbărilor.
Aliniați planul de audit cu strategia și apetitul de risc.
Încorporați procesul de formare proprietar - audit ca salvarea incidentelor viitoare.
Reducerea „zgomotului” cu ajutorul analizelor: stratificare, reguli de excludere, prioritizare prin deteriorare.

19) Articole wiki înrudite

Monitorizarea continuă a conformității (CCM)

Automatizarea conformității și raportării

Păstrarea legală și înghețarea datelor

Programele de păstrare și ștergere a datelor

DSAR: solicitări de date pentru utilizatori

PCI DSS/SOC 2 de control și certificare

Planul de continuitate a afacerilor (BCP) și DRP

Rezultat

Auditurile bazate pe risc se concentrează pe cele mai semnificative amenințări, măsoară eficacitatea controalelor și accelerează acțiunile corective. Puterea sa constă în date și metodologie transparentă: atunci când prioritizarea este înțeleasă, testele sunt reproductibile, iar recomandările sunt măsurabile și închise la timp.