跨部門檢查

1）什麼是跨部門檢查

跨部門驗證是對通過多個功能（例如，產品→工程→ SecOps → 法律/DPO →支付→支持→營銷）進行的過程和控制進行聯合驗證。目的是確認端到端腳本是正確執行的，符合策略要求，並且可以進行審計。

• 檢測「對接」風險和SoD沖突；
• 統一解釋要求和消除賠償責任的灰色區域；
• 加快CAPA並防止重復。

2）何時啟動（觸發器）

新/修改的監管要求或管轄權。
基本版本/遷移（體系結構，付款，數據）。
事件（IB/隱私/付款）和後面。
準備進行外部審計/認證。
高風險域的常規日歷（季度/半年）。

3）腳本（端到端）-要檢查的內容

• 隱私權/DSAR：請求實體→導出/刪除→通知→日誌。
• 可用性管理：→ apruv → provigining的權利請求→管理行為日誌→重新認證。
• 付款回報/充電包：觸發器→證據收集→對提供商→ CAPA的欺詐回應。
• 宣傳活動：資料協調→目標→拒絕/同意→證據檔案。
• 安全事件：檢測→隔離→法律保持→ →後太平間通知→ CAPA。
• 回顧/刪除數據：啟動TTL →確認子處理器中的銷毀→報告。

4）角色和RACI

(R — Responsible;A — Accountable;C — Consulted;I — Informed)

5）方法： 如何進行

Walkthrough：展示從政治到邏輯的端到端案例。
ToD（設計測試）-驗證控制語句、角色、過程、指標的存在和質量。
ToE（操作效率測試）：檢查期間控制穩定性（30-90天采樣）。
Reperform：獨立重復操作（例如,DSAR導出、訪問撤銷、支付應用程序）。
Negative testing：試圖繞過控制（SoD、限制、秘密掃描）。

6）樣本和分層

基於風險：超過n的關鍵司法管轄區/角色/支付方法。
分層：按地區、客戶類型、渠道（web/app）、時間/負載。
組合：隨機+目標（閾值邊界，邊緣案例）。

• 批評：每個域n ≥ 25+關鍵步驟的表述。
• High: n ≥ 15;Medium: n ≥ 8;Low: n ≥ 5.

7）依存關系管理和SoD

依存矩陣：服務、供應商、密鑰、數據、角色。
分工規則（SoD）：禁止在同一人物中兼容apruva和執行關鍵動作。
在關鍵輪廓測試期間更改凍結,或進行清晰的轉換。

8）證據和不變性

所有工件（卸載、configs、screencasts、reports）都會保留在WORM/Object Lock中,並帶有哈希收據。
Custody的鏈：誰/何時/為什麼收集/閱讀事件。
超時同步和跟蹤ID （trace_id、request_id)。
將每個步驟綁定到Control Statement和度量。

9）與CAPA和re-audit的集成

對於每個finding-CAPA（Corrective/Preventive，時限，所有者，補償措施）。
在關鍵案例中30-90天後強制進行re-audit。
更新policy/assurance-as-code： CCM規則、CI/CD門、度量閾值。

10）度量和KRI

Coverage Rate：季度測試的關鍵端到端場景的百分比。
First-Pass Close：沒有關鍵提示的檢查比例。
時間CAPA：按時執行措施的百分比（按severity）。
Repeat Findings （12個月）：跨域/轄區的重播趨勢。
Controls Pass Rate：與腳本相關的「綠色」CCM規則的份額。
Evidence Completeness：包的完整性（Critical/High的100%目標）。
SoD Violations：已確定/已解決的責任沖突。
Vendor Mirror SLA：向關鍵提供商確認鏡像措施。

11）Dashbords（最低）

Scenario Pipeline: Planned → In Progress → Findings → CAPA → Re-audit.

跨域熱圖：按功能劃分的風險/發現（IAM，隱私，付款，營銷，支持）。
Dependency Map：節點/供應商/控制器，「紅色」區域。
Evidence Readiness：通過案例提供WORM/哈希/截圖。
CAPA&Drift：度量狀態，30-90天的漂移觀察。

12） SOP（標準程序）

SOP-1： 規劃

定義高風險主題→為季度選擇2-4個端到端腳本→指定所有者→協調日歷和凍結窗口。

SOP-2： 舉行

Kick-off → walkthrough → ToD/ToE → reperform → negative testing →每日同步升級→收集事件。

SOP-3： 報告和決定

"；標準→事實→影響→建議"；的結構→委員會（Close/Extend/Escalate）→公布報告和指標。

SOP-4： CAPA和執行控制

將CAPA引入GRC →補償措施（如果需要）→時間表和RACI →執行碼。

SOP-5： 重新審核和觀察

30-90天後-重新采樣和人格檢查更新SSM/策略規則 關閉周期。

13）工件模板

13.1個驗證計劃（單頁）

情景，目的，管轄權

控制/審計政策

抽樣和技術

風險/成癮/SoD

時間線、角色、溝通渠道

13.2張尋找卡

標準（政策/控制） 事實 影響 建議

Severity,剩余風險

證據（參考/哈希）

CAPA： 措施，所有者，due，KPI，補償控制

13.3 Evidence pack（目錄）

1.政策/標準/SOP（版本、誹謗）

2.Log/Config樣本（CSV/JSON，哈希收據）

3.截圖/截圖與時間軸

4.SSM報告/指標和測試

5.委員會的最後報告和決定

14）溝通與文化

單一通道（門戶/GRC），查詢編號和SLA響應。
外部會議/審核中的「One voice」，復雜問題的腳本。
無指控：專註於流程和防止重播。
Shering最佳實踐和模式，內部案例庫。

15）反模式

在沒有端到端跟蹤的情況下檢查「部門內部」。
「紙質」證明沒有標記/哈希/WORM。
沒有與control statements/度量（不可量化）的關聯。
忽視SoD和依賴一個人。
CAPA沒有預防措施/補償措施，沒有重新審核。
一次性檢查，沒有日歷和風險優先級。

16）成熟度模型（M0-M4）

M0 Ad-Hoc：偶爾檢查,沒有技術/指標。
M1計劃：季度日歷，基本模式和角色。
M2可控制：基於風險的樣本，WORM evidence，dashbords，CAPA鏡頭。
M3集成：policy/assurance-as-code, CI/CD門,自動報告。
M4連續保證：謂詞KRI，推薦方案，連續的符號檢查和漂移監視。

17）相關文章wiki

重復審計和執行情況監測

補救計劃（CAPA）

連續合規性監控（CCM）

策略和規範存儲庫

跟蹤法律更新/Alerta監管變更

日記和審計步道

第三方審計員的外部審計

合作夥伴合規指南

底線

跨部門檢查將功能之間的「關節」從風險區域轉變為控制區域：端到端情景，可測量的控制，不可變的證據以及CAPA →重新審核的閉環。這種方法使合規性可預測，加快了外部審計，並減少了重復違規的可能性。