Періодичні огляди та ревізії

1) Мета і принципи

Періодичні огляди та ревізії (Periodic Reviews) - це регламентований цикл перевірок, що підтверджує актуальність політик, коректність доступів, ефективність контролів і готовність до аудиту.

• Календарність і передбачуваність: фіксовані вікна і дедлайни.
• Ризик-орієнтованість: пріоритети за критичністю та KRI.
• Automation-first: максимум автозборів і автоперевірок.
• Evidence by design: докази формуються автоматично і незмінно (WORM).
• One owner: у кожної ревізії є власник, SLA і план ескалацій.

2) Типи періодичних оглядів (портфель)

3) Ролі та RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Річний календар (приклад шаблону)

Щомісяця: CCM-контролі, DSAR SLA, звіти з дрейфу хмари/шифрування, waiver-гігієна.
Щоквартально (Q1/Q2/Q3/Q4): IAM re-cert, Risk Register, DR-навчання, Audit dry-run, ретенція/видалення.
Щороку: повний перегляд політик/процедур, VRM-огляди критичних провайдерів, BIA (бізнес-вплив), план аудитів/сертифікацій.

5) Процес (SOP) будь-якої ревізії

1. Ініціація: картка ревізії (scope, цілі, критерії, дедлайни, власники).
2. Збір даних: авто-вивантаження/дашборди, вітрина evidence, вибірки.
3. Перевірки та тести: контрольний список, pass/fail, severity відхилень.
4. САРА/ремедіація: гап-лист з власниками і термінами, що компенсують заходи.
5. Апрув і фіксація: протокол рішення, хеш-квитанції, WORM-архів.
6. Комунікація: one-pager + завдання в ITSM/GRC; ескалації по SLA.
7. Ретроспектива: уроки, оновлення стандартів/шаблонів.

6) Шаблони контрольних списків

6. 1 Політики/процедури

• Актуальність нормативних посилань і термінів
• Вимірюваність control statements
• Зв'язка з SOP/стандартами і CCM-правилами
• Локалізації/аддендуми синхронізовані
• Changelog і версія, апрув Комітету

6. 2 IAM re-cert

• Повний список активних прав і власників
• SoD-конфлікти, orphan-акаунти, JIT-винятки
• Докази відкликання/пониження прав
• Вендорські доступи та федерації SSO
• Протокол реатестації та метрики прострочень

6. 3 VRM

• Актуальні SOC/ISO/PCI звіти, scope і винятки
• SLA/інциденти/кредити за період
• Субпроцесори і локації даних - без дрейфу
• Gap-лист і статус ремедіацій
• Exit-план і підтвердження дзеркальної ретенції

6. 4 Ретенція/Legal Hold

• TTL-порушення = 0 критичних
• Звіти з видалень + хеш-зведення
• Активні Legal Hold - причини, дати, власники
• Дзеркальна ретенція у провайдерів
• DSAR-логіка не порушена

6. 5 DR/BCP

• Тест RTO/RPO і відновлення вибірки
• Комунікаційні плейбуки та on-call
• Результати навчань і CAPA
• Вендори брали участь/підтвердили готовність
• Документоване post-mortem

7) Метрики та SLO портфеля ревізій

On-time Review Rate: % ревізій, завершених вчасно (мета ≥ 95%).
Evidence Readiness: % ревізій з повним набором артефактів (мета 100%).
CAPA On-time: % ремедіацій закритих по SLA (по severity).
Repeat Findings: частка повторних зауважень за 12 міс (тренд ↓).
Access Hygiene: частка застарілих прав після re-cert (цільовий ≤ 2%).
Vendor Certificate Freshness: % актуальних сертифікатів у критичних провайдерів (мета 100%).
Audit-Ready Time: час на збір «audit pack» після ревізії (≤ 8 годин).

8) Дашборди (мінімальний набір)

Calendar View: карта ревізій по кварталах з SLA/простроченнями.
Review Pipeline: статус (Planned → In Progress → CAPA → Closed).
Findings & CAPA: відкриті/прострочені, власники, severity.
IAM Hygiene: orphan/SoD/JIT-винятки, тренди.
VRM Heatmap: ризик-скор провайдерів, сертифікати, інциденти.
Retention & Hold: TTL-порушення, обсяги видалень, активні hold.
Audit Readiness: completeness «по кнопці», якоря хеш-пакетів.

9) Артефакти та зберігання

Протокол ревізії (agenda, висновки, рішення, owner/due).
Список перевірок/вибірок та їх результати (pass/fail).
Gap-лист і CAPA з датами і метриками успіху.
Хеш-квитанції вивантажень і звітів; WORM/Object Lock.
Оновлені версії політик/процедур і мепінг на контролінг.

10) Управління винятками (waivers)

Оформляється на кожен виявлений gap, якщо виправлення неможливо в строк.
Містить причину, що компенсують заходи, дату закінчення, власник/план.
Видно в дашборді; авто-ескалація за 14/7/1 день до закінчення.

11) Інтеграції

CCM/Compliance-as-Code: правила тестів контролів запускаються авто при ревізії.
GRC: реєстр ревізій, findings, CAPA, waivers, SLA і звітність.
Evidence Storage: автоматичне архівування всіх матеріалів з хеш-фіксацією.
ITSM: завдання та ескалації власникам систем.
VRM: підтягування статусів провайдерів/сертифікатів.
LMS: курси/атестації при Major-змінах за підсумками ревізії.

12) Антипатерни

Ревізії «для галочки» без CAPA і власників.
Відсутність календаря і передбачуваності → прострочення і пожежний режим.
Ручні вивантаження без хеш-квитанцій і WORM → спірність доказів.
Змішування scope (політики змінюють вимоги, але SOP/контролі не оновлюються).
«Вічні» waivers без дати закінчення і компенсацій.
Немає зв'язку з ризик-апетитом/комітетом - рішення не масштабуються.

13) Модель зрілості (M0-M4)

M0 Ад-hoc: нерегулярні перевірки, звіти в Excel, без owners.
M1 Плановий: календар і базові чек-листи, зберігання артефактів.
M2 Керований: GRC-реєстр, дашборди, SLA/ескалації, WORM-архів.
M3 Інтегрований: ССМ/аскод, auto-evidence, dry-run аудиту по кнопці.
M4 Continuous Assurance: прогнозні KRI, авто-перепланування, наскрізні капабіліті «ризики → ревізії → CAPA».

14) Пов'язані статті wiki

KPI та метрики комплаєнсу

Ризик-орієнтований аудит (RBA)

Безперервний моніторинг відповідності (CCM)

Зберігання доказів та документації

Ведення журналів і Audit Trail

Управління змінами в політиці комплаєнсу

Due Diligence і ризики аутсорсингу

Комітет з управління ризиками та комплаєнсу

Підсумок

Періодичні огляди і ревізії перетворюють комплаєнс з «реакції на проблеми» в прозорий конвеєр поліпшень: фіксований календар, автоматизовані перевірки, якісні артефакти, своєчасні CAPA і передбачувана готовність до будь-яких аудитів.