Периодические обзоры и ревизии

1) Цель и принципы

Периодические обзоры и ревизии (Periodic Reviews) — это регламентированный цикл проверок, подтверждающий актуальность политик, корректность доступов, эффективность контролей и готовность к аудиту.

• Календарность и предсказуемость: фиксированные окна и дедлайны.
• Риск-ориентированность: приоритеты по критичности и KRI.
• Automation-first: максимум автосборов и автопроверок.
• Evidence by design: доказательства формируются автоматически и неизменяемо (WORM).
• One owner: у каждой ревизии есть владелец, SLA и план эскалаций.

2) Типы периодических обзоров (портфель)

3) Роли и RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Годовой календарь (пример шаблона)

Ежемесячно: CCM-контроли, DSAR SLA, отчеты по дрейфу облака/шифрованию, waiver-гигиена.
Ежеквартально (Q1/Q2/Q3/Q4): IAM re-cert, Risk Register, DR-учения, Audit dry-run, ретенция/удаления.
Ежегодно: полный пересмотр политик/процедур, VRM-обзоры критичных провайдеров, BIA (бизнес-влияние), план аудитов/сертификаций.

5) Процесс (SOP) любой ревизии

1. Инициация: карточка ревизии (scope, цели, критерии, дедлайны, владельцы).
2. Сбор данных: авто-выгрузки/дашборды, витрина evidence, выборки.
3. Проверки и тесты: контрольный список, pass/fail, severity отклонений.
4. CAPA/ремедиация: гап-лист с владельцами и сроками, компенсирующие меры.
5. Апрув и фиксация: протокол решения, хеш-квитанции, WORM-архив.
6. Коммуникация: one-pager + задачи в ITSM/GRC; эскалации по SLA.
7. Ретроспектива: уроки, обновление стандартов/шаблонов.

6) Шаблоны контрольных списков

6.1 Политики/процедуры

• Актуальность нормативных ссылок и терминов
• Измеримость control statements
• Связка с SOP/стандартами и CCM-правилами
• Локализации/аддендумы синхронизированы
• Changelog и версия, апрув Комитета

6.2 IAM re-cert

• Полный список активных прав и владельцев
• SoD-конфликты, orphan-аккаунты, JIT-исключения
• Доказательства отзыва/понижения прав
• Вендорские доступы и федерации SSO
• Протокол ре-аттестации и метрики просрочек

6.3 VRM

• Актуальные SOC/ISO/PCI отчеты, scope и исключения
• SLA/инциденты/кредиты за период
• Субпроцессоры и локации данных — без дрейфа
• Gap-лист и статус ремедиаций
• Exit-план и подтверждение зеркальной ретенции

6.4 Ретенция/Legal Hold

• TTL-нарушения = 0 критических
• Отчеты по удалениям + хеш-сводка
• Активные Legal Hold — причины, даты, владельцы
• Зеркальная ретенция у провайдеров
• DSAR-логика не нарушена

6.5 DR/BCP

• Тест RTO/RPO и восстановление выборки
• Коммуникационные плейбуки и on-call
• Результаты учений и CAPA
• Вендоры участвовали/подтвердили готовность
• Документированное post-mortem

7) Метрики и SLO портфеля ревизий

On-time Review Rate: % ревизий, завершенных в срок (цель ≥ 95%).
Evidence Readiness: % ревизий с полным набором артефактов (цель 100%).
CAPA On-time: % ремедиаций закрытых по SLA (по severity).
Repeat Findings: доля повторных замечаний за 12 мес (тренд ↓).
Access Hygiene: доля устаревших прав после re-cert (целевой ≤ 2%).
Vendor Certificate Freshness: % актуальных сертификатов у критичных провайдеров (цель 100%).
Audit-Ready Time: время на сбор «audit pack» после ревизии (≤ 8 часов).

8) Дашборды (минимальный набор)

Calendar View: карта ревизий по кварталам с SLA/просрочками.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA: открытые/просроченные, владельцы, severity.
IAM Hygiene: orphan/SoD/JIT-исключения, тренды.
VRM Heatmap: риск-скор провайдеров, сертификаты, инциденты.
Retention & Hold: TTL-нарушения, объемы удалений, активные hold.
Audit Readiness: completeness «по кнопке», якоря хеш-пакетов.

9) Артефакты и хранение

Протокол ревизии (agenda, выводы, решения, owner/due).
Список проверок/выборок и их результаты (pass/fail).
Gap-лист и CAPA с датами и метриками успеха.
Хеш-квитанции выгрузок и отчетов; WORM/Object Lock.
Обновленные версии политик/процедур и мэппинг на контроллинг.

10) Управление исключениями (waivers)

Оформляется на каждый выявленный gap, если исправление невозможно в срок.
Содержит причину, компенсирующие меры, дату истечения, владелец/план.
Виден в дашборде; авто-эскалация за 14/7/1 день до истечения.

11) Интеграции

CCM/Compliance-as-Code: правила тестов контролей запускаются авто при ревизии.
GRC: реестр ревизий, findings, CAPA, waivers, SLA и отчетность.
Evidence Storage: автоматическое архивирование всех материалов с хеш-фиксацией.
ITSM: задачи и эскалации владельцам систем.
VRM: подтягивание статусов провайдеров/сертификатов.
LMS: курсы/аттестации при Major-изменениях по итогам ревизии.

12) Антипаттерны

Ревизии «для галочки» без CAPA и владельцев.
Отсутствие календаря и предсказуемости → просрочки и пожарный режим.
Ручные выгрузки без хеш-квитанций и WORM → спорность доказательств.
Смешение scope (политики меняют требования, но SOP/контроли не обновляются).
«Вечные» waivers без даты истечения и компенсаций.
Нет связи с риск-аппетитом/комитетом — решения не масштабируются.

13) Модель зрелости (M0–M4)

M0 Ад-hoc: нерегулярные проверки, отчеты в Excel, без owners.
M1 Плановый: календарь и базовые чек-листы, хранение артефактов.
M2 Управляемый: GRC-реестр, дашборды, SLA/эскалации, WORM-архив.
M3 Интегрированный: CCM/аскод, auto-evidence, dry-run аудита по кнопке.
M4 Continuous Assurance: прогнозные KRI, авто-перепланирование, сквозные капабилити «риски → ревизии → CAPA».

14) Связанные статьи wiki

KPI и метрики комплаенса

Риск-ориентированный аудит (RBA)

Непрерывный мониторинг соответствия (CCM)

Хранение доказательств и документации

Ведение журналов и Audit Trail

Управление изменениями в политике комплаенса

Due Diligence и риски аутсорсинга

Комитет по управлению рисками и комплаенсу

Итог

Периодические обзоры и ревизии превращают комплаенс из «реакции на проблемы» в прозрачный конвейер улучшений: фиксированный календарь, автоматизированные проверки, качественные артефакты, своевременные CAPA и предсказуемая готовность к любым аудитам.