風險評分和優先排序
1）目標與結果
目標是使風險評估和評級可復制和可核實，以確保關於預算/時間/資源的決定是：- 可比性（單一比例和公式），
- 透明的（數據和假設來源已記錄在案），
- 可衡量（度量和KRI與控制和事件相關），
- 可執行的（每個風險對應於CAPA/Waiver計劃,到期日期）。
出口：統一風險登記冊，優先考慮措施的逆止器，熱圖，剩余風險報告，「試用」工件。
2）術語和風險水平
內在風險-不考慮控制。
Residual Risk-考慮到當前控制（經過ToD/ToE/CCM）的風險。
目標風險是SARA/補償措施之後的目標級別。
Likelihood（L）-場景在評估視野中發生的概率。
Impact （I）-最大的：財務,許可證/法律,隱私/數據,運營/SLO,聲譽。
KRI是影響L/I的風險指標（例如，dsar_response_p95，chargeback ratio）。
3）比額表和基本模型
3.1離散矩陣（5 × 5或4 × 4）
Score=L × I →範圍1-25（或1-16）。
類別（示例5 × 5）：- 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
- 閾值在「評分策略」中發布，並且始終適用於所有域。
- 1-每>3年一次；每1至3年兩次；每年3次；4-季度；5-每月/更頻繁。
- 1 — <€10k;2 — €10–100k;3 — €100–300k;4 — €300k–€1m;5 — >€1m;如果存在法律/許可風險，則將級別提高到至少4-5。
3.2定量模型
ALE（Annualized Loss Expectancy）：「ALE=SLE × ARO」，其中「SLE」是事件的平均傷害，「ARO」是每年的預期頻率。
FAIR方法（簡化）：模擬頻率（威脅事件頻率）和損失量（Loss Magnitude），使用percentili（p50/p95）進行決策。
Monte Carlo：頻率和損害分布（對數值/伽馬等），10-100k運行→損失曲線（loss exceedance curve）。適用於最昂貴/監管上最關鍵的風險。
建議：80%的案例是矩陣5 × 5,20%（最高風險）-ALE/FAIR/Monte Carlo。
4）殘余和目標風險
1.根據「無控制」假設計算Inherent。
2.考慮現有控制的有效性（由ToD/ToE/CCM） → Residual。
3.根據計劃的SARA/補償措施和實現日期確定 Target。
4.如果Target ≤容忍閾值（風險appetite）為ok；如果沒有-需要具有到期日期和補償控制的waiver。
5）數據來源和證據
度量和KRI（dashbords，logi，事件報告）。
控制測試（CCM），審計（內部/外部）的結果。
提供商報告：SLA/證書/事件/數據位置更改。
財務分析師：罰款,chargeback, fraud loss%。
每個分數都附有帶有時間戳和哈希收據（WORM）的事件引用。
6）將舉措列為優先事項（風險→行動）
6.1 RICE（風險適應）
`RICE = (Reach × Impact_adj × Confidence) / Effort`
Reach-有多少客戶/交易/司法管轄區受到質疑。
Impact_adj是轉換的I（或ALE/p95損失）。
Confidence-估計的有效性（0.5/0.75/1.0).
Effort-人周/成本。
RICE排序→快速獲勝。
6.2 WSJF風險調整
`WSJF = Cost of Delay / Job Size`, где
`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.
風險減少-Residual/ALE的預期下降。
Time Criticality是監管機構/審核的截止日期。
業務價值-收入/儲蓄,客戶信心。
6.3監管優先權
如果風險與許可證/法律有關，並且有嚴格的截止日期，則無論如何「經濟」得分，它都會自動進入Critical/High。
7）閾值規則和升級
批評：立即三重奏，CAPA ≤ 30天，re-audit 60-90天；每周委員會。
高度：CAPA ≤ 60天，觀察90天。
中型：納入季度計劃。
低：監視+「tech debt」插槽的可能性。
KRI閾值：琥珀（警告）和紅色（強制升級和CAPA）。
8）角色和RACI
9）Dashbords
風險熱圖：矩陣5 × 5，跨域/國家/提供商的過濾器。
Risk Funnel： Inherent → Residual → Target（下降三角洲）。
Top-N by ALE/p95 Loss：量化風險。
KRI手表：指示器和閾值,琥珀/紅色警報。
CAPA影響：預期/實際下降；按時間表取得進展。
Waivers：現行豁免、時限和補償措施。
10）效率指標
風險減少指數：加權平均風險∆（季度/季度）。
上次CAPA：按時計費的百分比（按severity）。
Repeat Findings （12個月）：重復違規的比例。
Evidence Completeness：全包風險%（High+目標為100%）。
預先判斷：估計的損失/頻率與實際損失/頻率之間的差異。
Time-to-Triage / Time-to-Plan / Time-to-Target.
11） SOP（標準程序）
SOP-1： 初始化和比額表
確定L/I比額表和類別閾值→委員會批準→記錄在存儲庫中（審查）。
SOP-2： 季度重估
收集KRI/事件 →重新計票L/I/ALE →業主的評論→委員會優先級→發布Roadmap。
SOP-3： 觸發事件
在Critical/High事件中-計劃外重新計票，CAPA調整和優先級。
SOP-4： 量化分析（最高風險）
編制蒙特卡洛→的輸入分布（≥10k次）→損失曲線→委員會的決定。
SOP-5： 檔案和證據
切片導出（CSV/PDF）+哈希收據→ WORM存檔→ GRC卡中的鏈接。
12）模板和「as-code」
12.1分數策略（片段）
scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"12.2風險卡（YAML）
yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]12.3優先級（WSJF示例）
yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 213）補償措施和waivers
如果無法快速進行小寫：- 引入具有績效指標的補償性控制（手動檢查，限制，附加監控）；
- 簽發具有到期日期，所有者和替代計劃的懷弗；
- 30-90天後強制重新審核。
14）反模式
「美麗的矩陣」與KRI/控制/事件無關。
浮標和「手動調整」以達到預期效果。
缺乏計算和假設的驗證。
罕見的修訂→地圖並不能反映現實。
Waivers沒有到期日期和補償措施。
對頂級風險缺乏定量分析。
15）成熟度模型（M0-M4）
M0 Ad-Hoc：眼前評分，沒有單一策略。
M1計劃：矩陣5 × 5，季度更新，基本行車記錄。
M2可控制：與KRI/CCM，CAPA鏡頭，WORM-evidence的通信。
M3集成：ALE/FAIR/蒙特卡洛頂級風險，Roadmap的WSJF/RICE，CI/CD門。
M4連續保證：謂詞KRI，自動重新計票，推薦優先級和「逐項設計」。
16）相關文章wiki
熱風險圖
以風險為導向的審計（RBA）
KPI和合規度量
連續合規性監控（CCM）
補救計劃（CAPA）
策略和規範存儲庫
合並路線圖
第三方審計員的外部審計
底線
風險評分和優先級是工程學科而不是藝術：穩定的規模和政策，可證明的數據，最高風險的定量方法，明確的閾值和升級以及與CAPA和路線圖的直接聯系。這種方法使解決方案可預測，加快協調，並降低累積的業務風險。