Töwekgelçilikleri hasaplamak we ileri tutmak

1) Maksady we netijeleri

• deňeşdirip boljak (ýekeje şkalalar we formulalar),
• aç-açan (maglumat çeşmeleri we çaklamalar resminamalaşdyryldy),
• ölçegli (metrikler we KRI-ler gözegçiliklere we hadysalara bagly),
• ýerine ýetirilýär (her töwekgelçilige möhleti geçen CAPA/waiver meýilnamasy laýyk gelýär).

Çykyş: töwekgelçilikleriň ýeke-täk sanawy, çäreleriň ileri tutulýan belligi, ýylylyk kartalary, galyndy töwekgelçiligi baradaky hasabatlar, "audit-ready" artefaktlary.

2) Töwekgelçilik şertleri we derejeleri

Inherent Risk - gözegçilikleri hasaba almazdan töwekgelçilik.
Residual Töwekgelçilik - häzirki gözegçilikleri (ToD/ToE/CCM tarapyndan tassyklanan) göz öňünde tutup töwekgelçilik.
Maksat töwekgelçiligi - SARS/öwezini dolmak çärelerinden soň maksat derejesi.
Likelihood (L) - baha beriş gözýetiminde ssenariýanyň döremek ähtimallygy.
Impact (I) - maliýe, ygtyýarnamalar/hukuk, gizlinlik/maglumatlar, amallar/SLO, abraý.
KRI - L/I täsir edýän töwekgelçilik görkezijileri (mysal üçin dsar_response_p95, chargeback ratio).

3) Şkalalar we esasy modeller

3. 1 Diskret matrisa (5 × 5 ýa-da 4 × 4)

Score = L × I → diapazon 1-25 (ýa-da 1-16).

• 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
• Bosagaly gymmatlyklar "Skoring syýasatynda" çap edilýär we ähli domenlere hemişe ulanylýar.

• 1 - her gezek> 3 ýyl; 2 - 1-3 ýylda bir gezek; 3 - her ýyl; 4 - çärýekde; 5 - her aý/ýygy-ýygydan.

• 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; ýuridik/ygtyýarnama töwekgelçiliklerinde dereje azyndan 4-5-e çenli ýokarlanýar.

3. 2 Mukdar modelleri

ALE (Annualized Loss Expectancy): 'ALE = SLE × ARO', bu ýerde 'SLE' - waka üçin ortaça zyýan, 'ARO' - ýylda garaşylýan ýygylyk.
FAIR çemeleşmesi (ýönekeýleşdirilen): ýygylygy (Threat Event Frequency) we ýitgileriň mukdaryny (Loss Magnitude) modelleýäris, karar bermek üçin percentili (p50/p95) ulanýarys.
Monte-Karlo: ýygylyk we zyýan üçin paýlamalar (logorm/gamma we ş.m.), 10-100k yrgylar → ýitgileriň egri çyzyklary (loss exceedance curve). Iň gymmat/kadalaşdyryjy taýdan möhüm töwekgelçilikler üçin ulanmak.

Maslahat: 80% kazyýet işi - matrisa 5 × 5, 20% (top-töwekgelçilikler) - ALE/FAIR/Monte-Karlo.

4) Galyndy we maksatly töwekgelçilik

1. Inherenti "gözegçiliksiz" çaklamalar boýunça hasapla.
2. Bar bolan gözegçilikleriň netijeliligini göz öňünde tutuň (ToD/ToE/CCM tarapyndan barlandy) → Residual.
3. Meýilleşdirilen SARA/öwezini dolmak çärelerini we gazanylan senesini göz öňünde tutup, Nyşany kesgitlemek.
4. Eger Maksat çydamlylyk bosagasyny (risk appetite) ≤; ýok bolsa - gutarýan senesi we öwezini dolýan gözegçilikleri bolan waiver talap edilýär.

5) Maglumatlaryň çeşmeleri we subutnamalar

Metrikler we KRI (daşbordlar, loglar, hadysalaryň hasabatlary).
Gözegçilik synaglarynyň (CCM), auditleriň (içerki/daşarky) netijeleri.
Üpjün edijileriň hasabatlary: SLA/şahadatnamalar/hadysalar/maglumat ýerleşişindäki üýtgeşmeler.
Maliýe seljermesi: jerimeler, çargeback, fraud loss%.
Her baha bermek taýmstamply we heş-kwitansiýaly (WORM) evidence salgylanmalar bilen utgaşýar.

6) Başlangyçlary ileri tutmak (töwekgelçiligi geçirmek → hereket etmek)

6. 1 RICE (töwekgelçilige uýgunlaşmak)

`RICE = (Reach × Impact_adj × Confidence) / Effort`

Reach - näçe müşderi/geleşik/ýurisdiksiýa täsir etdi.
Impact_adj - üýtgedilen I (ýa-da ALE/p95 ýitgileri).
Confidence - bahalandyrmalaryň dogrulygy (0. 5/0. 75/1. 0).
Effort - adam-hepde/bahasy.
RICE boýunça sortlamak → Çalt ýeňişler.

6. 2 Töwekgelçilige düzedilen WSJF

`WSJF = Cost of Delay / Job Size`, где

`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.

Risk Reduction - Residual/ALE-iň garaşylýan azalmagy.
Time Criticality - düzgünleşdiriji/audit möhletleri.
Business Value - girdeji/tygşytlamak, müşderileriň ynamy.

6. 3 Kadalaşdyryjy ileri tutulýan ugur

Eger töwekgelçilik ygtyýarnama/kanun bilen baglanyşykly bolsa we gaty möhlet bar bolsa, ol "ykdysady" skoringe garamazdan awtomatiki usulda Critical/High-a girýär.

7) Çäk düzgünleri we eskalasiýalar

Critical: derrew triaj, CAPA ≤ 30 gün, 60-90 günden soň re-audit; hepdelik komitet.
High: CAPA ≤ 60 gün, 90 gün gözegçilik.
Orta: çärýek meýilnamasyna goşulýar.
Low: gözegçilik + "tech debt" slot mümkinçiligi.
KRI bosagalary: Amber (duýduryş) we Red (hökmany eskalasiýa we CAPA).

8) Rollar we RACI

9) Daşbordlar

Töwekgelçilik Heatmap: 5 × 5 matrisa, domenler/ýurtlar/üpjün edijiler boýunça süzgüçler.
Töwekgelçilik Funnel: Inherent → Residual → Target (pese gaçmak deltasy).
Top-N by ALE/p95 Loss: mukdar töwekgelçiligi.
KRI Watchlist: indikatorlar we bosagalar, Amber/Red aladalary.
CAPA Impact: garaşylýan/hakyky azalma; möhletler boýunça ösüş.
Waivers: hereket edýän kadadan çykmalar, möhletler we öwezini dolmak çäreleri.

10) Netijelilik metrikasy

Töwekgelçilik Reduction Index: Ortaça agramly töwekgelçilik-skor ∆ (çärýek/çärýek).
On-time CAPA:% wagtynda (severity).
Repeat Findings (12 aý): gaýtalanýan düzgün bozmalaryň paýy.
"Evidence Completeness": doly bukjaly töwekgelçilikleriň% -i (High + üçin maksat 100%).
Prediction Accuracy: baha berlen we hakyky ýitgileriň/ýygylyklaryň tapawudy.
Time-to-Triage / Time-to-Plan / Time-to-Target.

11) SOP (standart amallar)

SOP-1: Başlangyç we şkalalar

L/I şkalalaryny we kategoriýalaryň çäklerini kesgitlemek → Komitetde tassyklamak → repozitoriýada bellemek (wersiýalaşdyrmak).

SOP-2: Çärýekleýin gaýtadan bahalandyrmak

KRI/hadysalary ýygnamak → L/I/ALE sanamak → eýeleri tarapyndan rewyu → komitet ileri tutmak → Roadmap neşir etmek.

SOP-3: Trigger hadysasy

Critical/High hadysasynda - meýilleşdirilmedik gaýtadan hasaplamak, CAPA we ileri tutulýan ugurlary düzetmek.

SOP-4: Mukdar seljermesi (Top-töwekgelçilikler)

Giriş paýlanyşyny taýýarlamak → Monte-Karlo (10k ≥) → ýitgileriň egri çyzyklary → Komitetiň karary.

SOP-5: Arhiw we subutnamalar

Eksport dilimleri (CSV/PDF) + heş-kwitansiýalar → WORM-arhiw → GRC kartoçkalaryndaky baglanyşyklar.

12) Şablonlar we "as-code"

12. 1 Skoring syýasaty (bölek)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 Töwekgelçilik kartoçkasy (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 ileri tutulýan (WSJF mysal)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Öwezini dolmak çäreleri we waivers

• netijelilik ölçegleri bilen öwezini dolmak gözegçiligini (el bilen barlaglar, çäkler, goşmaça gözegçilik) girizýäris;
• waiver-i gutarýan senesi, eýesi we çalyşmak meýilnamasy bilen resmileşdirýäris;
• hökmany re-audit 30-90 günden soň.

14) Antipatternler

KRI/gözegçilik/hadysalar bilen aragatnaşyksyz "owadan matrisa".
Ýüzýän şkalalar we islenýän netijä "el bilen sazlamak".
Hasaplamalaryň we çaklamalaryň wersiýalanmagynyň ýoklugy.
Seýrek gözden geçirmeler → kartoçka hakykaty görkezmeýär.
Waivers möhleti gutaran senesi we öwezini dolmak çäreleri bolmazdan.
Top töwekgelçilikler üçin mukdar seljermesiniň ýoklugy.

15) Kämillik modeli (M0-M4)

M0 Ad-hoc: göz bilen baha bermek, ýekeje syýasat ýok.
M1 Meýilleşdirilen: 5 × 5 matrisa, çärýekleýin täzelenmeler, esasy daşbordlar.
M2 Dolandyrylýan: KRI/CCM, CAPA-linkowka, WORM-evidence bilen aragatnaşyk.
M3 Integrated: Top-töwekgelçilikler üçin ALE/FAIR/Monte-Karlo, Roadmapda WSJF/RICE, CI/CD geýtleri.
M4 Continuous Assurance: öňünden aýdylýan KRI, awto-sanamak, maslahat beriş ileri tutulýan ugurlar we "evidence-by-design".

16) Baglanyşykly wiki maddalary

Töwekgelçilikleriň ýylylyk kartasy

Töwekgelçilige gönükdirilen audit (RBA)

KPI we laýyklyk metrikleri

Yzygiderli laýyklyk gözegçiligi (CCM)

Düzgün bozmalary ýok etmek meýilnamalary (CAPA)

Syýasatlaryň we ülňüleriň ammary

Gabat geliş ýol kartasy

Daşarky auditorlar tarapyndan daşarky barlaglar

Jemi

Töwekgelçilikleri hasaplamak we ileri tutmak sungat däl-de, in engineeringenerçilik düzgünidir: durnukly şkalalar we syýasatlar, subut edilýän maglumatlar, top-töwekgelçilikler üçin mukdar usullary, aç-açan çäkler we güýçlenmeler, şeýle hem CAPA we ýol kartasy bilen göni baglanyşyk. Şeýle çemeleşme çözgütleri çaklamaly edýär, ylalaşmagy çaltlaşdyrýar we işewürligiň umumy töwekgelçiligini peseldýär.