Матрица ответственности

1) Назначение и ценность

Матрица RACI делает роли и точки принятия решений прозрачными по каждому шагу процесса, снижает операционные риски и ускоряет согласования.

• устранить «серые зоны» и дублирование усилий;
• обеспечить исполнимость политик и контрольных требований;
• упростить аудит за счет доказуемых назначений ролей.

2) Термины и варианты

R (Responsible) — выполняет работу/задачу.
A (Accountable) — несет конечную ответственность, утверждает результат (один на задачу).
C (Consulted) — консультирует, вовлекается до решения (двусторонняя связь).
I (Informed) — уведомляется после решения (односторонняя связь).

• RASCI: добавляет S (Support) — операционная поддержка исполнителя.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) — акцент на драйвере.
• RAPID: Recommend, Agree, Perform, Input, Decide — полезно для продуктовых решений.

3) Принципы проектирования RACI

1. Один A на задачу — недвусмысленная подотчетность.
2. Столько R, сколько нужно, но избегайте «R по всем».
3. C — по сути, а не «на всякий случай» (иначе тормозим поток).
4. I — адресный: информируем тех, чьи действия зависят от результата.
5. Связь с DoA/SoD: полномочия и разделение обязанностей не должны конфликтовать с RACI.
6. Версионирование: изменения RACI → PR/ревью/хеш-квитанция → публикация.

4) Где применять

Инциденты и кризис (ИБ/платежи/приватность).
DSAR/ретенция/удаление данных.
VRM/онбординг и аудит партнеров.
Релизы и комплаенс-гейты в CI/CD.
Маркетинг и ответственная реклама.
Платежные споры/chargeback.
BCP/DR-учения и Legal Hold.

5) Роли (примерный словарь)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) Примеры RACI-матриц

6.1 Инцидент приватности (утечка данных)

6.2 DSAR: доступ/удаление

6.3 Онбординг критичного вендора (VRM)

6.4 Комплаенс-гейт релиза

7) Связь с DoA/SoD и политиками

DoA (Delegation of Authority): A должен иметь полномочия на утверждение, прописанные в DoA.
SoD (Separation of Duties): R и A на критичных шагах не совмещаются с исполнением платежей/админ-действий.
Политики/стандарты: каждая строка матрицы ссылается на контрольные утверждения и SOP.

8) Процесс создания и изменения RACI

1. Снять текущий процесс (E2E-диаграмма, точки решений).
2. Определить роли из словаря, согласовать с владельцами доменов.
3. Заполнить RACI на уровне шагов/решений, проверить коллизии с DoA/SoD.
4. Валидировать на практике (table-top/симуляция).
5. Утвердить и опубликовать в репозитории (Git), включить в вики/портал.
6. Поддержка актуальности: триггеры — смена оргструктуры, юр.обновления, результат аудита/инцидента.
7. Версионирование и доказательства: PR-история, хеш-квитанции, WORM-архив.

9) Метрики и дашборды

RACI Coverage: % ключевых процессов со свежей матрицей.
Single-A Compliance: доля задач с ровно одним A (цель 100%).
C/I Noise Ratio: лишние согласующие/уведомляемые (тренд ↓).
Time-to-Decision: медиана согласования по RACI-шагам.
SoD Conflicts: выявленные и закрытые конфликты по ролям.
Audit-Ready: доля матриц с привязкой к политикам/контролям/SOP и evidence.

Дашборды: Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (узкие места согласований).

10) SOP (стандартные процедуры)

SOP-1: Проектирование RACI

Картирование процесса → черновик матрицы → проверка DoA/SoD → пилот/симуляция → утверждение Комитетом → публикация.

SOP-2: Ежеквартальный обзор

Сбор изменений оргструктуры/политик → ревизия матриц → PR-обновления → read-&-attest для затронутых ролей.

SOP-3: Инцидент-триггер

По итогам инцидента — корректировка RACI (например, усиление A/C, разукрупнение R) → обновление SOP/контролей → ретест.

SOP-4: Обучение

Микро-курс по чтению матрицы и кейсам; обязательный для ролей A/R.

11) Шаблоны

11.1 Таблица RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11.2 YAML-артефакт (policy-as-code привязка)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11.3 Карточка изменения RACI

Обоснование (инцидент/аудит/юридическое обновление)

Старое/новое назначение ролей

Влияние на DoA/SoD

План обучения/коммуникаций

Ссылки на PR/хеш-квитанции

12) Интеграции

Репозиторий политик: ссылки из матриц на контрольные утверждения.
GRC: хранение версий и read-&-attest.
HRIS/LMS: ролевые профили → обучение для A/R.
ITSM/Jira: задачи согласований и SLA по RACI-шагам.
CCM: автопроверки наличия A/R в метаданных действий (например, админ-журналы, релизы).

13) Антипаттерны

Два и более A на задачу.
«R у всех» и «C/I для галочки» → перегруз каналов и задержки.
RACI без связи с DoA/SoD и контролями.
Одноразовая матрица без ревизий и версионирования.
Скриншоты вместо живых артефактов (нет доказуемости).
Отсутствие обучения для A/R → «бумажное» соответствие.

14) Модель зрелости (M0–M4)

M0 Ad-hoc: роли нефиксированы, согласования хаотичны.
M1 Базовый: RACI по ключевым процессам, ручные обновления.
M2 Управляемый: связь с DoA/SoD, репозиторий, квартальные ревизии, read-&-attest.
M3 Интегрированный: YAML-матрицы, PR-процесс, привязка к контролям/CCM и ITSM-SLA.
M4 Continuous Assurance: рекомендации по оптимизации (узкие места), автопроверки SoD, аналитика по Lead Time и «what-if».

15) Связанные статьи wiki

Фреймворк корпоративного управления

Матрица делегирования полномочий (DoA) и Разделение обязанностей (SoD)

Непрерывный мониторинг соответствия (CCM)

Репозиторий политик и нормативов

Кросс-департаментные проверки

Кризисное управление и коммуникации

Дорожная карта комплаенса

KPI и метрики комплаенса

Итог

Матрица RACI — не просто таблица, а механизм управляемости: одно ответственное лицо за результат, ясные исполнители и участники, доказуемая связь с полномочиями и контролями, регулярные ревизии и обучение. Такая система убирает задержки, снижает риски и делает процессы «audit-ready» по умолчанию.