Risk bazlı denetim

1) Risk bazlı denetimin özü (RBA)

• Olasılık ve etki kombinasyonunun maksimum olduğu öncelik.
• Doğal riskin (kontroller olmadan) ve artık riskin (kontroller dahil) değerlendirilmesi.
• Risk alanı değiştikçe değerlendirmenin sürekli gözden geçirilmesi (ürün, pazar, düzenleyici, olaylar).

2) Şartlar ve çerçeve

Denetim evreni - potansiyel olarak denetime tabi olan süreçlerin, sistemlerin, konumların, tedarikçilerin ve düzenleyici sorumlulukların bir kataloğu.
Risklerin ısı haritası - Önceliklere göre derecelendirmeyle "Olasılık × Etki" görselleştirme.
Risk İştahı/Tolerans - Şirketin belirtilen limitler dahilinde riski kabul etme isteği.
Kontrol seviyeleri - önleyici/dedektif/düzeltici; Tasarım ve operasyonel verimlilik.
Koruma hatları - 1. (Iş ve operasyonlar), 2. (Risk/uyum), 3. (Iç denetim).

3) Bir denetim evreni oluşturmak

• Süreçler: ödemeler, KYC/KYB, AML izleme, olay yönetimi, DSAR, tutma.
• Sistemler: işlem çekirdeği, DWH/datalake, IAM, CI/CD, bulutlar, DLP/EDRM.
• Yetki alanları ve lisanslar, önemli satıcılar ve dış satıcılar.
• KPI/KRI, olay/ihlal geçmişi, dış Bulgular/yaptırımlar.
• Para ve itibar etkisi, düzenleyiciler için kritiklik (GDPR/PCI/AML/SOC 2).

4) Risk değerlendirme metodolojisi

1. Doğal risk (IR): süreç karmaşıklığı, veri hacmi, nakit akışları, dış bağımlılıklar.
2. Kontrol tasarımı (CD): kullanılabilirlik, kapsama alanı, kod olarak politika olgunluğu, otomasyon.
3. Operasyonel verimlilik (OE): yürütme kararlılığı, MTTD/MTTR metrikleri, sürüklenme seviyesi.
4. Kalıntı risk (RR): 'RR = f (IR, CD, OE)' - bir ölçekte normalleşir (örn. 1-5).
5. Değiştirici faktörler: düzenleyici değişiklikler, son olaylar, geçmiş denetimlerin sonuçları, personel rotasyonu.

Etki ölçeği örneği: finansal hasar, düzenleyici para cezaları, SLA kesinti süresi, veri kaybı, itibar sonuçları.
Bir olasılık ölçeği örneği: olay sıklığı, maruz kalma, saldırıların/suistimallerin karmaşıklığı, tarihsel eğilimler.

5) Önceliklendirme ve yıllık denetim planı

Denetim birimlerini artık risk ve stratejik öneme göre sıralayın.
Sıklık atayın: Yıllık (yüksek), her 2 yılda bir (orta), izleme/konular (düşük).
Tematik kontrolleri dahil edin (örn. Veri Silme ve Anonimleştirme, Görev Ayrımı (SoD), PCI Segmentasyonu).
Kaynakları planlayın: beceriler, bağımsızlık, çıkar çatışmalarından kaçının.

6) RACI ve roller

(R - Sorumlu; A - Sorumlu; C - Danışılan)

7) Test kontrollerine yaklaşımlar

Walkthrough: "uçtan uca işlem "/veri akışını izleyin.
Tasarım etkinliği: Politikaların/kontrollerin varlığını ve uygunluğunu kontrol etmek.
Çalışma etkinliği - bir süre için yürütmenin seçici kontrolü.
Yeniden performans: Hesaplamaların/sinyallerin CaC kurallarına göre çoğaltılması.
CAATs/DA (computer-assisted audit techniques/data analytics): SQL/python betikleri, Compliance showcase'lere gelen denetim istekleri, IaC ↔ gerçek yapılandırmaların karşılaştırılması.
Sürekli denetim - kontrol testlerini olay yoluna gömme (akış/toplu iş).

8) Örnekleme

İstatistiksel: Rastgele/tabakalı, boyutu güven seviyesine ve izin verilen hataya göre belirler.
Hedef (yargılayıcı): yüksek değer/yüksek risk, son değişiklikler, istisnalar (feragatler).
Anormal: analizlerden elde edilen sonuç (aykırı değerler), neredeyse kaçırılmış olaylar,'en iyi ihlal edenler ".
Uçtan uca (%100): Mümkün olduğunda, tüm dizinin otomatik doğrulamasını kullanın (örn. SoD, TTL, yaptırım taraması).

9) Analitik ve kanıt kaynakları (kanıt)

Erişim günlükleri (IAM), değişim izleri (Git/CI/CD), altyapı yapılandırmaları (Terraform/K8s), DLP/EDRM raporları.
"Uyumluluk" vitrinleri, Legal Hold dergileri, DSAR kayıt defteri, AML (SAR/STR) raporları.
Pano anlık görüntüleri, CSV/PDF dışa aktarma, hash sabitleme ve WORM/değişmezlik.
Görüşme protokolleri, kontrol listeleri, biletleme/tırmanma artifaktları.

10) Denetim: SOP

1. Ön değerlendirme: Hedefleri, kriterleri, sınırları, sahipleri netleştirmek.
2. Veri isteği: yüklemelerin listesi, erişimler, yapılandırmalar, örnekleme dönemi.
3. Saha çalışması: adım adım, kontrol testleri, analizler, röportajlar.
4. Sonuçların kalibrasyonu: Risk İştahı ile yönetmelikler ve politikalar ile karşılaştırın.
5. Bulguların Oluşumu: olgu, kriter, etki, sebep, öneri, sahip, terim.
6. Kapanış toplantısı - gerçeklerin uzlaştırılması, statü ve iyileştirme planları.
7. Rapor ve takip: yayın, derecelendirme, kapanış tarihleri, yeniden doğrulama.

11) Bulgular Sınıflandırma ve Risk Değerlendirmesi

Önem Derecesi: Kritik/Yüksek/Orta/Düşük (güvenlik, uyumluluk, finans, operasyonlar, itibar üzerindeki etkiye bağlantı).
Olasılık: Sık/Olası/Nadir.
Risk skoru: matris veya sayısal fonksiyon (örneğin, 1-25).
Tema etiketleri: IAM, Veri Gizliliği, AML, PCI, DevSecOps, DR/BCP.

12) Risk denetimi için metrikler ve KRI/KPI

Kapsam: Yıl içinde kapsanan denetim evreninin payı.
Zamanında İyileştirme: Zamanında düzeltmelerin %'si (ciddiyete göre).

Tekrar Bulguları: 12 ayda tekrarların oranı

MTTR Bulguları: Ortalama kapanma süresi.
Kontrol Etkinliği Eğilimi: Geçmiş/Başarısız testlerin döneme göre yüzdesi.
Denetim Hazırlık Süresi: Kanıt toplama zamanı.
Risk Azaltma İndeksi: İyileştirme sonrası toplam risk oranının ∆.

13) Gösterge Panoları (minimum set)

Risk Isı Haritası: Prosesler × olasılık/etki × kalıntı risk.
Bulgular Boru hattı: durum (Açık/Devam etmekte/Gecikmiş/Kapalı) × sahipleri.
En İyi Temalar: sık ihlal kategorileri (IAM/Gizlilik/PCI/AML/DevSecOps).
Yaşlanma ve SLA: Suçluluklar ve yaklaşan son tarihler.
Tekrarlanan Konular: Komut/sistem ile tekrarlanabilirlik.
Kontrol Testi Sonuçları: geçiş oranı, eğilimler, dedektif kuralları için FPR/TPR.

14) Eser desenleri

Denetim Kapsamı

Amaç ve kriterler (standartlar/politikalar).

Kapsam: Sistemler/Dönem/Lokasyonlar/Tedarikçiler

Yöntemler: örnekleme, analitik, röportajlar, izlenecek yol.
İstisnalar ve sınırlamalar (varsa).

Kart bulma

Kimlik/Konu/Önem/Olasılık/Puan.
Uygunsuzluk olgusunun ve kriterinin tanımı.
Risk ve etki (iş/düzenleyici/güvenlik).
Öneri ve eylem planı.
Sahibi ve teslim tarihi.
Kanıt (bağlantılar/karma/arşiv).

Denetim Raporu (Yapı)

1. Yönetici özeti.
2. Bağlam ve kapsam.
3. Metodoloji ve veri kaynakları.
4. Sonuçlar ve kontrollerin değerlendirilmesi.
5. Bulgular ve öncelikler.
6. İyileştirme planı ve takip.

15) Sürekli izleme (CCM) ve kod olarak uyumluluk ile iletişim

CCM sonuçlarını risk değerlendirmesi ve denetim planlaması için girdi olarak kullanın.
Kod olarak politikalar, testlerin denetçiler tarafından yeniden yürütülmesine ve tekrarlanabilirliğin artmasına izin verir.
Mevcut telemetri ile yüksek riskli alanlar için sürekli denetim uygulayın.

16) Antipatterns

"Tek tip" risksiz denetim - odak ve kaynak kaybı.
Ölçülebilir önerileri ve sahipleri olmayan raporlar.
Opak risk derecelendirme metodolojisi.
Sağlayıcıları ve hizmet zincirini görmezden gelmek.
Takip yok - sorunlar geri dönüyor.

17) RBA Olgunluk Modeli (M0-M4)

M0 Belgesel: Bir kerelik kontroller, manuel örnekleme.
M1 Katalog: denetim evreni ve temel ısı haritası.
M2 Politikaları ve testleri: standartlaştırılmış kontrol listeleri ve takip talepleri.
M3 Entegre: CCM ile iletişim, SIEM/IGA/DLP verileri, yarı otomatik kanıt toplama.
M4 Sürekli: sürekli denetim, gerçek zamanlı önceliklendirme, otomatik reperformlar.

18) Pratik tavsiyeler

İş ve uyumu içeren risk ölçeklerini kalibre edin - tek bir risk "para birimi".
Saydamlığı koruyun: belge yöntemi ve ağırlıkları, değişiklik geçmişini saklayın.
Denetim planını strateji ve Risk İştahı ile uyumlu hale getirin.
Süreç sahibi eğitimini gömün - gelecekteki olayları kurtarmak için denetim.
Analitik ile "gürültüyü" azaltın: tabakalaşma, dışlama kuralları, hasara göre önceliklendirme.

19) İlgili wiki makaleleri

Sürekli Uyumluluk İzleme (CCM)

Uyumluluk ve raporlama otomasyonu

Yasal Tutma ve Veri Dondurma

Veri Saklama ve Silme Çizelgeleri

DSAR: kullanıcı veri istekleri

PCI DSS/SOC 2 Kontrol ve Sertifikasyon

İş Sürekliliği Planı (BCP) ve DRP

Sonuç

Risk bazlı denetimler en önemli tehditlere odaklanır, kontrollerin etkinliğini ölçer ve düzeltici faaliyetleri hızlandırır. Gücü veri ve şeffaf metodolojide yatmaktadır: önceliklendirme anlaşıldığında, testler tekrarlanabilir ve öneriler ölçülebilir ve zamanında kapalıdır.