Laýyklyk derejesi
1) Maksady we sebiti
Compliance Maturity Model häzirki ýagdaýa baha bermegiň, ileri tutulýan ugurlary saýlamagyň we indiki derejä geçmegi meýilleşdirmegiň umumy dilini berýär. Çykyş:- funksiýalar boýunça ýeke-täk ölçegler we metrikler;
- skoring we kämillik ýylylyk kartalary;
- ýol kartasyna baglanyşyk (başlangyçlar → effektler → subutnamalar);
- "audit-ready" ösüş tassyklamasy.
2) Kämillik modeli (M0-M4)
3) Baha bermek domenleri we ölçegleri
Her bir domeni 0-4 (M0-M4) ölçegi boýunça bahalandyryň.
1. Syýasatlar we dolandyryş (Governance)
M0: wersiýasyz dürli resminamalar
M1: ammar, RACI, barlaglar senenamasy
M2: kadalara/ýurisdiksiýalara, changelog, read- & -attest
M3: policy-as-code (kesgitleýjiler, gözegçilik statmentleri), PR prosesi
M4: awto-lokalizasiýa, maslahat beriş täzelenmeleri
2. Gözegçilik we CCM
M0: "kagyz" barlaglary
M1: gözegçilik sanawy, el synaglary
M2: metrikler/pass-fail hasabatlary, ToD/ToE
M3: continuous control monitoring, CI/CD-geýtlar, awto-artefaktlar
M4: Öňünden barlamak we öz-özüňi bejermek
3. Gizlinlik we maglumatlar (DSAR, retensiýa, Legal Hold, serhetçilik)
4. VRM/üpjün edijiler (due diligence, audit hukugy, aýna retensiýasy, wendor-evidence)
5. Ygtyýarnamalar/sertifikatlar (ISO/SOC/PCI; PBC taýynlygy)
6. AML/KYC/Payments (düzgünler, gözegçilik, chargeback, antifrod)
7. Wakalar/BCP/DR (oýunlar, maşklar, post-mortem → CAPA, RTO/RPO)
8. Okuw we ahlak (rollar/ýurtlar boýunça kurrikulumlar, gaýtadan sertifikatlaşdyrmalar, whistleblowing)
9. Kanuny üýtgeşmeleri yzarlamak (radar, alert, implementasiýa)
10. Hasabat we dashbordlar (KPI/KRI, risk heatmap, evidence completeness)
(Her bir domen üçin şuňa meňzeş derejäni ulanyň M0-M4.)
4) Kämillik derejesiniň skoring usuly
4. 1 Aýratyn bahalandyrmalar
Şkala: 0.. 4 (M0.. M4).
Baha bermegiň atributlary: prosesler, gurallar, subutnamalar (40/30/30 agramy).
4. 2 Jemleýji bal
MaturityScore_total = Σ (Weight_domain × Score_domain) / Σ Weight_domainMaslahat berilýän agram (mysal): Dolandyryş 12%, Gözegçilik/CCM 15%, Gizlinlik 10%, VRM 10%, Ygtyýarnamalar 8%, AML/KYC 10%, Hadysalar/BCP 10%, Okuw/etika 8%, Kanuny Updates 7%, Hasabat 10%
4. 3 Taýýarlyk synplary
1. 5–2. 5 - "Sary": prosesleri we metrikleri durnuklaşdyrmak.
5) Öz-özüňe baha bermek prosesi (SOP)
SOP-1: Taýýarlyk
Artefaktlary (syýasatlar, metrikler, audit hasabatlary, subutnamalar) ýygnamak → domen eýelerini bellemek → agramlary utgaşdyrmak.
SOP-2: Baha bermek
Söhbetdeşlik + ToD/ToE nusgalary → atributlar boýunça 0.. 4 bal goýmak → çeşmeleri düzetmek (heş-kwitansiýalar).
SOP-3: Kalibrlemek
Kross-funksional sessiýa → tapawutlary ýok etmek → gutarmak.
SOP-4: Neşir etmek we meýilnama
Kämillik ýylylyk kartasy → "Gaplaryň Top-5" → 2-3 çärýek üçin ýol kartasy (epikler, KPI, DoD).
SOP-5: Aýlawyň gaýtalanmagy
Çärýek (ýa-da möhüm hadysalardan/kadalaşdyryjy üýtgeşmelerden soň) → ösüş barlagy → Roadmap täzelenmesi.
6) Kämillik ýaşyna ýeten daşbordlar
Maturity Heatmap: domenler × derejeler (M0-M4 reňkleri).
Δ-progress: Q-Q-nyň aňyrsyndaky üýtgeşmeler, ýapyk gaplar, ýetilen maksatlar.
Controls/Evidence Readiness: pass-rate CCM we paketleriň dolulygy.
Regulatory Clock: Häzirki domen derejesine garşy çäkler.
"Vendor Mirror": möhüm üpjün edijileriň maksatly derejelere laýyklygy.
Audit-Ready Index: "audit pack" ýygnamak wagty (maksat - sagatlar, günler däl).
7) Ýol kartasyna baglanyşyk
Her gap üçin DoD epikini dörediň: M1 → M2 (Privacy) -den geçmek üçin DoD mysaly:- Wersiýalary we lokalizasiýalary bolan syýasatçylaryň ammary;
- DSAR/retensiýa - metrikler p95, alertler;
- WORM-subutnamalar arhiwi;
- Read- & -attest bilen rollar boýunça okuw ≥ 95%.
- Control statements в YAML;
- Rego/SQL CCM düzgünleri;
- CI/CD geýtleri;
- Pass/fail hasabatlary we evidence.
8) Derejeler boýunça çalt ýeňişler (Quick Wins)
M0-dan M1-e: syýasatlaryň sanawy, eýeleriň bellenilmegi, esasy RACI we barlaglaryň senenamasy.
M1-den M2-e: esasy gözegçilikler boýunça metrikler we KRI, WORM-ewidence, meýilleşdirilen barlaglar, VRM-anketalar.
M2-den M3-e: policy-/assurance-as-code, CCM IAM/retensiýa/marketing, CI/CD-geýt relizleri.
M3-den M4-e: öňünden aýdylýan KRI, ssenariýa seljermesi, barlaglaryň maslahat beriş meýilnamasy, awtomatiki refresher kurslary.
9) Gözegçilik sanawynyň mysaly (bölek)
Governance (0..4):- Wersiýalary we lokalizasiýalary bolan syýasatçylaryň sanawy
- Syýasatçylaryň kadalar bilen baglanyşygy (ýurisdiksiýalar, standartlar)
- Aç-açan RACI/DoA/SoD
- Komitetler we mejlisleriň senenamasy + teswirnamalar
- Policy-as-code (ID, controls mapping)
- Gözegçilik katalogy + ToD/ToE
- Metrikler/KRI, maksat çäkleri
- CCM düzgünleri we pass/fail hasabatlary
- CI/CD geýtleri
- "Audit pack" ≤ 4 sagatda
(Beýleki domenler üçin gurluşy köpeldiň.)
10) Kämillik ölçegleri we çäkleri
MaturityScore_total we domenler.
"Evidence Completeness" (Ýokary töwekgelçilikli domenler üçin 100% maksat).
Controls Pass-rate (maksat ≥ 95%).
Regulatory On-time (≥ 95%).
On-time CAPA (≥ 90–95% по Critical/High).
Vendor Certificate Freshness (kritikler üçin 100%).
"Training Completion" (98% -den ≥, 5% -den ≤).
Wagt-to-Audit-Ready (sagat).
11) Rollar we jogapkärçilik (ýokary derejeli RACI)
12) Antipatternler
"Göz bilen baha bermek" evidence we ToD/ToE bolmazdan.
Gözegçiliksiz syýasatlar/metrikler (ýa-da tersine).
Çärýek siklsiz bir gezeklik maşk.
VRM we wendor aýnasyna üns bermezlik.
Waivers möhleti we öwezini dolmak çäreleri bolmazdan.
Galyndy töwekgelçiligini azaltmagyň ýerine "ýaşyl suratlary" yzarlamak.
13) Töwekgelçilikler we auditler bilen baglanyşyk
Töwekgelçilikleriň ýylylyk kartasy domenleriň kämillik derejesine salgylanmalydyr (pes kämillik Likelihood-y ýokarlandyrýar).
Daşarky/içerki audit-meýilnamalar saýlawlaryň ünsüni çekmek üçin kämillik derejelerini ulanýarlar.
Kämillik ösüşi "audit-ready" bukjasynda ýazylýar: syýasatçylaryň diffleri, CCM hasabatlary, metrikler, komitetleriň teswirnamalary, okuw şahadatnamalary, wendorlaryň tassyklamalary.
14) 12 aýlyk maksatly modeliň mysaly (bölek)
15) Artefaktlaryň şablonlary
15. 1 Domen kartoçkasy (YAML)
yaml domain: "Privacy"
owner: "Head of Privacy"
level_current: 2 level_target: 3 evidence:
- "hash://policy/privacy-v2. 1. pdf"
- "hash://metrics/dsar_sla_q3. csv"
gaps: ["No CCM by retention," "No automatic Legal Hold"]
initiatives:
- id: EP-PRIV-CCM-01 name: "CCM Retention & Deletion"
due: "2025-04-30"
dod: ["Rego rules", "Pass-rate ≥95%", "WORM exports"]
kpi:
- key: "dsar_response_p95_days"
target: 2015. 2 Kämillik hasabaty (one-pager)
Jemleýji bal we tendensiýa
Iň gowy 5 gapy we ýol kartasy
Ygtyýarnamalara/PII/Maliýe töwekgelçilikleri we täsiri
"Ýolbaşçydan näme gerek" (çözgüt/çeşmeler)
16) Kämillik modeli vs. maýa goýumlary
M0 → M1: az çykdajy, jerime töwekgelçiligine çalt täsir.
M1 → M2: orta maýa goýumlary, öňünden aýdylýanlygy we "görünmegi".
M2 → M3: awtomatlaşdyrmaga maýa goýumlary → TCO auditleri/hadysalary azaltmak.
M3 → M4: analitika/ML/KRI → töwekgelçilikleri öňünden dolandyrmak.
17) Baglanyşykly wiki maddalary
Gabat geliş ýol kartasy
Töwekgelçilikleriň ýylylyk kartasy/Töwekgelçilikleriň skoringi we ileri tutulmagy
Yzygiderli laýyklyk gözegçiligi (CCM)
Syýasatlaryň we ülňüleriň ammary
Töwekgelçilige gönükdirilen audit (RBA)
Kadalaşdyryjy üýtgetmeleriň aladalary/Kanuny täzelenmeleri yzarlamak
Hyzmatdaşlar üçin ylalaşyk gollanmasy (VRM)
Düzgün bozmalary düzetmek meýilnamalary (CAPA) we gaýtalanýan barlaglar
Jemi
Komplayensiň kämillik derejesi "nämüçindir işleýäris" dolandyrylýan kämilleşdiriş maksatnamasyna öwrülýär: ylalaşylan ölçegler, ölçelip boljak ädimler we barlanylýan subutnamalar. Bu çözgütleri çaltlaşdyrýar, galyndy töwekgelçiligini peseldýär we "audit-ready" kompaniýasyny hemişelik esasda edýär.