Уровни зрелости комплаенса

1) Цель и область

• единые критерии и метрики по функциям;
• скоринг и тепловые карты зрелости;
• привязка к дорожной карте (инициативы → эффекты → доказательства);
• «audit-ready» подтверждения прогресса.

2) Модель зрелости (M0–M4)

3) Домены оценки и критерии

Оценивайте каждый домен по шкале 0–4 (M0–M4).

1. Политики и управление (Governance)

M0: разрозненные документы без версий

M1: репозиторий, RACI, календарь ревизий

M2: мэппинг на нормы/юрисдикции, changelog, read-&-attest

M3: policy-as-code (идентификаторы, контрол-стейтменты), PR-процесс

M4: авто-локализации, рекомендательные апдейты

2. Контроли и CCM

M0: «бумажные» проверки

M1: список контролей, ручные тесты

M2: метрики/pass-fail отчеты, ToD/ToE

M3: continuous control monitoring, CI/CD-гейты, авто-артефакты

M4: предиктивные проверки и self-healing гейты

3. Приватность и данные (DSAR, ретенция, Legal Hold, трансграничность)

4. VRM/поставщики (due diligence, право аудита, зеркальная ретенция, вендор-evidence)

5. Лицензии/сертификации (ISO/SOC/PCI; PBC-готовность)

6. AML/KYC/Payments (правила, мониторинг, chargeback, антифрод)

7. Инциденты/BCP/DR (плейбуки, учения, post-mortem → CAPA, RTO/RPO)

8. Обучение и этика (куррикулумы по ролям/странам, переаттестации, whistleblowing)

9. Отслеживание юридических изменений (радар, алерты, имплементация)

10. Отчетность и дашборды (KPI/KRI, risk heatmap, evidence completeness)

(Для каждого из доменов — применяйте аналогичную градацию M0–M4.)

4) Методика скоринга зрелости

4.1 Индивидуальные оценки

Шкала: 0..4 (M0..M4).
Атрибуты оценки: процессы, инструменты, доказательства (вес 40/30/30).

4.2 Сводный балл

MaturityScore_total = Σ (Weight_domain × Score_domain) / Σ Weight_domain

Рекомендуемые веса (пример): Governance 12%, Controls/CCM 15%, Privacy 10%, VRM 10%, Licenses 8%, AML/KYC 10%, Incidents/BCP 10%, Training/Ethics 8%, Legal Updates 7%, Reporting 10%.

4.3 Классы готовности

1.5–2.5 — «Желтый»: стабилизация процессов и метрик.

5) Процесс самооценки (SOP)

SOP-1: Подготовка

Собрать артефакты (политики, метрики, отчеты аудита, доказательства) → назначить владельцев доменов → согласовать веса.

SOP-2: Оценка

Интервью + выборки ToD/ToE → выставить баллы 0..4 по атрибутам → зафиксировать источники (хеш-квитанции).

SOP-3: Калибровка

Кросс-функциональная сессия → устранение расхождений → финализация.

SOP-4: Публикация и план

Тепловая карта зрелости → «Top-5 гэпов» → дорожная карта на 2–3 квартала (эпики, KPI, DoD).

SOP-5: Повторение цикла

Квартально (или после значимых инцидентов/регуляторных изменений) → сверка прогресса → обновление Roadmap.

6) Дашборды зрелости

Maturity Heatmap: домены × уровни (цвета M0–M4).
Δ-прогресс: изменения за Q–Q, закрытые гэпы, достигнутые цели.
Controls/Evidence Readiness: pass-rate CCM и полнота пакетов.
Regulatory Clock: дедлайны норм против текущего уровня доменов.
Vendor Mirror: соответствие критичных провайдеров целевым уровням.
Audit-Ready Index: время на сбор «audit pack» (цель — часы, не дни).

7) Привязка к дорожной карте

• Репозиторий политик с версиями и локализациями;
• DSAR/ретенция — метрики p95, алерты;
• WORM-архив доказательств;
• Обучение по ролям с read-&-attest ≥ 95%.

• Control statements в YAML;
• Rego/SQL-правила CCM;
• Гейты CI/CD;
• Отчеты pass/fail и автосбор evidence.

8) Быстрые победы (Quick Wins) по уровням

Из M0 в M1: инвентаризация политик, назначение владельцев, базовые RACI и календарь ревизий.
Из M1 в M2: метрики и KRI по ключевым контролям, WORM-evidence, плановые ревизии, VRM-анкеты.
Из M2 в M3: policy-/assurance-as-code, CCM на IAM/ретенцию/маркетинг, CI/CD-гейты релизов.
Из M3 в M4: предиктивные KRI, сценарный анализ, рекомендательный план проверок, автоматические refresher-курсы.

9) Пример контрольного списка (фрагмент)

• Регистр политик с версиями и локализациями
• Связь политик с нормами (юрисдикции, стандарты)
• Четкие RACI/DoA/SoD
• Комитеты и календарь заседаний + протоколы
• Policy-as-code (ID, controls mapping)

• Каталог контролей + ToD/ToE
• Метрики/KRI, целевые пороги
• CCM-правила и отчеты pass/fail
• CI/CD-гейты
• «Audit pack» за ≤ 4 часа

(Дублируйте структуру для остальных доменов.)

10) Метрики и пороги зрелости

MaturityScore_total и по доменам.
Evidence Completeness (цель 100% по High-risk доменам).
Controls Pass-rate (целевые ≥ 95%).
Regulatory On-time (≥ 95%).
On-time CAPA (≥ 90–95% по Critical/High).
Vendor Certificate Freshness (100% для критичных).
Training Completion (≥ 98% охвата, ≤ 5% просрочек).
Time-to-Audit-Ready (часы).

11) Роли и ответственность (RACI высокого уровня)

12) Антипаттерны

«Оценка на глаз» без evidence и ToD/ToE.
Политики без контролей/метрик (или наоборот).
Разовое упражнение без квартальных циклов.
Игнорирование VRM и вендорского зеркала.
Waivers без срока и компенсирующих мер.
Погоня за «зелеными картинками» вместо снижения остаточного риска.

13) Связь с рисками и аудитами

Тепловая карта рисков должна ссылаться на уровни зрелости доменов (низкая зрелость повышает Likelihood).
Внешние/внутренние аудит-планы используют уровни зрелости для фокуса выборок.
Прогресс зрелости фиксируется в «audit-ready» пакете: диффы политик, отчеты CCM, метрики, протоколы комитетов, сертификаты обучения, подтверждения вендоров.

14) Пример целевой модели на 12 месяцев (фрагмент)

15) Шаблоны артефактов

15.1 Карточка домена (YAML)

yaml domain: "Privacy"
owner: "Head of Privacy"
level_current: 2 level_target: 3 evidence:
- "hash://policy/privacy-v2. 1. pdf"
- "hash://metrics/dsar_sla_q3. csv"
gaps: ["No CCM by retention," "No automatic Legal Hold"]
initiatives:
- id: EP-PRIV-CCM-01 name: "CCM Retention & Deletion"
due: "2025-04-30"
dod: ["Rego rules", "Pass-rate ≥95%", "WORM exports"]
kpi:
- key: "dsar_response_p95_days"
target: 20

15.2 Отчет зрелости (one-pager)

Сводный балл и тренд

Топ-5 гэпов и дорожная карта

Риски и влияние на лицензии/PII/финансы

«Что нужно от руководства» (решения/ресурсы)

16) Модель зрелости vs. инвестиции

M0→M1: низкие затраты, быстрый эффект на штрафные риски.
M1→M2: средние инвестиции, предсказуемость и «видимость».
M2→M3: капитальные вложения в автоматизацию → снижение TCO аудитов/инцидентов.
M3→M4: аналитика/ML/KRI → опережающее управление рисками.

17) Связанные статьи wiki

Дорожная карта комплаенса

Тепловая карта рисков / Скоринг рисков и приоритизация

Непрерывный мониторинг соответствия (CCM)

Репозиторий политик и нормативов

Риск-ориентированный аудит (RBA)

Алерты регуляторных изменений / Отслеживание юридических обновлений

Руководство по комплаенсу для партнеров (VRM)

Планы устранения нарушений (CAPA) и Повторные аудиты

Итог

Уровни зрелости комплаенса превращают «как-то работаем» в управляемую программу улучшений: согласованные критерии, измеримые шаги и проверяемые доказательства. Это ускоряет решения, снижает остаточный риск и делает компанию «audit-ready» на постоянной основе.