Punctaj de risc și prioritizare

1) Scop și rezultate

• comparabile (scale și formule unificate)
• transparent (sursele de date și ipotezele sunt documentate)
• măsurabile (valori și IRC legate de controale și incidente)
• executabil (fiecare risc corespunde unui plan CAPA/renunțare cu o dată de expirare).

Rezultate: registru de risc unificat, restanțe de măsură prioritizate, hărți de căldură, rapoarte de risc rezidual, artefacte gata de audit.

2) Termeni și niveluri de risc

Risc inerent - risc excluzând controalele.
Risc rezidual - risc luând în considerare controalele curente (verificate ToD/ToE/CCM).
Riscul țintă - nivelul țintă după măsurile CAPA/compensatorii.
Probabilitatea (L) - probabilitatea apariției scenariului în orizontul de evaluare.
Impact (I) - cea mai mare dintre: finanțe, licențe/lege, confidențialitate/date, operațiuni/SLO, reputație.
IRC - indicatori de risc care afectează L/I (de exemplu, dsar_response_p95, raportul chargeback).

3) Cântare și modele de bază

3. 1 Matrice discretă (5 × 5 sau 4 × 4)

Scor = L × I → intervalul 1-25 (sau 1-16).

• 20-25 = Critic, 12-19 = Ridicat, 6-11 = Mediu, 1-5 = Scăzut.
• Pragurile sunt publicate în politica de scoring și se aplică invariabil tuturor domeniilor.

• 1 - o dată în> 3 ani; 2 - o dată la 1-3 ani; 3 - anual; 4 - trimestrial; 5 luni/mai frecvente.

• 1 - <€10k; 2 - €10-100k; 3 - €100-300k; 4 - €300k - €1m; 5 -> 1 milion EUR; cu riscuri legale/de licențiere, nivelul crește la cel puțin 4-5.

3. 2 Modele cantitative

ALE (Anualized Loss Expectation): „ALE = SLE × ARO”, unde „LES” este dauna medie per eveniment, „ARO” este frecvența așteptată pe an.
Abordarea echitabilă (în simplificare): simulăm frecvența (frecvența evenimentului amenințării) și valoarea pierderilor (magnitudinea pierderii), utilizăm percentilele (p50/p95) pentru a lua o decizie.
Monte Carlo: distribuții pentru frecvență și deteriorare (lognorm/gamma etc.), 10-100k rulează curbe de pierdere a → (curba de depășire a pierderii). Se aplică pentru riscurile critice cele mai costisitoare/de reglementare.

Recomandare: 80% din cazuri - matrice 5 × 5, 20% (riscuri maxime) - ALE/FAIR/Monte Carlo.

4) Risc rezidual și țintă

1. Calculați inerente din ipotezele „fără controale”.
2. Luați în considerare eficacitatea controalelor existente (testate ToD/ToE/CCM) → Residual.
3. Determinați ținta ținând cont de măsurile CAPA/compensatorii planificate și de data realizării.
4. Dacă Target ≤ pragul de toleranță (apetitul de risc) - ok; dacă nu, este necesară renunțarea la data expirării și controalele compensatorii.

5) Surse de date și dovezi

Metrica și KRI (tablouri de bord, jurnale, rapoarte de incidente).
Rezultatele testelor de control (CCM), audituri (interne/externe).
Rapoarte furnizor: SLA/certificate/incidente/modificări în locațiile de date.
Analiza financiară: amenzi, chargeback, pierderea fraudei%.
Fiecare scor este însoțit de legături de probă cu un timestamp și o chitanță hash (WORM).

6) Prioritizarea inițiativelor (transferul de risc → acțiune)

6. 1 OREZ (adaptare la risc)

'RICE = (Reach × Impact_adj × Confidence )/Efort'

Reach - câți clienți/tranzacții/jurisdicții sunt afectați.
Impact_adj - transformată I (sau ALE/pierdere p95).
Încredere - fiabilitatea ratingurilor (0. 5/0. 75/1. 0).
Efort - om-săptămâni/cost.
Sortare orez → rapid câștigă.

6. 2 WSJF ajustat la risc

'WSJF = Costul întârzierii/Dimensiunea postului', где

'Costul întârzierii = Reducerea riscului + Criticalitatea timpului + Valoarea afacerii'.

Reducerea riscului este declinul așteptat în Residual/ALE.
Criticalitatea timpului - termene limită ale autorităților de reglementare/audituri.
Valoarea afacerii - venituri/economii, încrederea clienților.

6. 3 Prioritate de reglementare

Dacă riscul este legat de licențe/lege și există un termen greu, acesta se încadrează automat în Critic/Ridicat, indiferent de punctajul „economic”.

7) Reguli de prag și escaladări

Critic: triaj imediat, CAPA ≤ 30 de zile, re-audit în 60-90 de zile; comitetul săptămânal.
Ridicat: CAPA ≤ 60 de zile, urmărire 90 de zile.
Mediu: Includerea în planul trimestrial.
Scăzut: monitorizarea + capacitatea sloturilor "tech debt'.
Praguri KRI: Amber (avertizare) și Red (escaladare obligatorie și CAPA).

8) Roluri și RACI

9) Tablouri de bord

Risc Heatmap: matrice 5 × 5, filtre după domeniu/țară/furnizor.
Pâlnie de risc: inerente → reziduale → ţintă.
Top-N după pierderea ALE/p95: riscuri cantitative.
Lista KRI: indicatori și praguri, alarme Amber/Red.
Impactul CAPA: reducerea preconizată/efectivă; progresul în ceea ce privește termenele.
Derogări: actualele excepții, termene și măsuri compensatorii.

10) Măsurători de performanță

Indicele reducerii riscului: rata medie ∆ risc ponderată (trimestru/trimestru).
CAPA la timp:% din măsuri la timp (prin severitate).
Constatări repetate (12 luni): proporția încălcărilor repetate.
Dovezi Caracterul complet:% riscuri cu pachet complet (obiectiv 100% pentru High +).
Precizia predicției: discrepanța pierderilor/frecvențelor estimate și reale.
Time-to-Triage/Time-to-Plan/Time-to-Target.

11) POS (proceduri standard)

SOP-1: Initializare si cantare

Definirea grilelor L/I și a pragurilor categoriilor → aprobă în evidența → a Comitetului în depozit (versionare).

SOP-2: Reevaluare trimestrială

Colectarea KRI/incidentelor → recalcularea L/I/ALE → revizuire de către proprietari → prioritizarea comitetului → publicarea foii de parcurs.

SOP-3: Incident de declanșare

În caz de incident critic/ridicat - recalculare neprogramată, ajustarea CAPA și priorități.

SOP-4: Analiza cantitativa (Top-riscuri)

Pregătiți distribuțiile de intrare → Monte Carlo (≥10k rulează) → curbe de pierdere → decizia Comitetului.

SOP-5: Arhivă și dovezi

Exportați felii (CSV/PDF) + chitanțe de hash → arhiva WORM → link-uri în cardurile GRC.

12) Șabloane și „as-code”

12. 1 Politica de scoring (fragment)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 Card de risc (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 Prioritizarea (exemplu WSJF)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Măsuri compensatorii și derogări

• introducem controale compensatorii (verificări manuale, limite, monitorizare suplimentară) cu măsurători de performanță;
• emitem derogare cu data expirării, proprietarul și planul de înlocuire;
• reexaminarea obligatorie în 30-90 de zile.

14) Antipattern

„Matrice frumoasă” fără nicio legătură cu KRI/controale/incidente.
Cântare plutitoare și „tuning manual” la rezultatul dorit.
Lipsa versionării calculelor și ipotezelor.
Revizuirile rare → hărții nu reflectă realitatea.
Derogări fără dată de expirare și fără măsuri compensatorii.
Lipsa analizei cantitative pentru riscuri de top.

15) Modelul de maturitate (M0-M4)

M0 Ad-hoc: estimările „de ochi”, nu există nici o politică unică.
M1 Planificat: matrice 5 × 5, actualizări trimestriale, tablouri de bord de bază.
M2 Managed: comunicare cu KRI/CCM, CAPA linking, dovezi WORM.
M3 Integrat: ALE/FAIR/Monte Carlo pentru riscuri maxime, WSJF/RICE în foaie de parcurs, porți CI/CD.
M4 Continuous Assurance: KRI predictiv, auto-recalculare, priorități de recomandare și dovezi de proiectare.

16) Articole wiki înrudite

Harta riscului termic

Audit bazat pe risc (RBA)

KPI-uri și măsurători de conformitate

Monitorizarea continuă a conformității (CCM)

Planuri de remediere (CAPA)

Depozit de politici și de conformitate

Foaie de parcurs privind conformitatea

Audituri externe efectuate de auditori externi

Total

Scorarea riscurilor și prioritizarea este o disciplină inginerească, nu o artă: scale și politici stabile, date dovedibile, metode cantitative pentru riscuri de vârf, praguri și escaladări explicite și o legătură directă cu CAPA și foaia de parcurs. Această abordare face deciziile previzibile, accelerează aprobările și reduce riscul general al afacerii.