Повторні аудити та контроль виконання

1) Мета і роль повторних аудитів

• підтверджує закриття порушень і зниження залишкового ризику до рівня Appetite;
• захищає від повторів (repeat findings) через превентивні заходи;
• формує юридично значущу доказову базу («audit-ready по кнопці»).

2) Коли призначати re-audit (тригери)

Закриття CAPA по Critical/High (обов'язково), по Medium - по вибірці/ризику.
Інцидент високої серйозності або регуляторний припис.
Дрейф контролів за даними CCM/observability.
Зміни архітектури/процесу (релізи, міграції, провайдери).
Щоквартальні/піврічні календарні вікна для high-risk доменів.

3) Обсяг і методи (scope & methods)

Тест дизайну: політика/стандарт/SOP оновлені, контроль формалізований.
Тест операційної ефективності: контроль працює стабільно в періоді (вибірка за 30-90 днів).
Вибірка: risk-based (збільшуємо n для high/critical), mix випадкових і цільових кейсів.
Реперформ: по можливості повторити процедуру/запит для підтвердження результату.
Докази: логи, конфіги, вивантаження, скрінкасти, звіти інструментів - з хеш-квитанціями та WORM.

4) Ролі та RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Життєвий цикл re-audit (SOP)

1. Ініціація: картка re-audit (findings, CAPA, ризик, період вибірки, дедлайн).
2. Підготовка: чек-лист тестів, критерії приймання, список артефактів, доступи «за кейсом».
3. Збір даних: авто-вивантаження, вибірка, хеш-фіксація, приміщення в WORM.
4. Тести: дизайн (наявність/коректність) → ефективність (вибірки, реперформ).
5. Оцінка: залишковий ризик, стійкість, наявність дрейфу.
6. Рішення: Close/Extend CAPA/Escalate (комітет, регулятор).
7. Фіксація: протокол, оновлення дашбордів, «audit pack» re-audit.
8. Нагляд: спостереження 30-90 днів; при дрейфі - re-open з новою CAPA.

6) Критерії приймання (Definition of Done)

Corrective заходи впроваджені і підтверджені.
Preventive заходи знижують ризик повтору (навчання, гейти, детекції).
Evidence повно і незмінно (WORM, хеш-квитанції).
CCM-правила оновлені, алерти в нормі, дрейфу немає.
Політики/SOP/діаграми синхронізовані з фактичними змінами.
Вендори виконали дзеркальні дії (ретенція/видалення/сертифікати).

7) Зв'язка re-audit ↔ CAPA

У картці CAPA зберігати Re-audit Plan (період, метрика успіху, owner).
При «частковому успіху» → продовження CAPA з компенсуючими контролями і датою закінчення.
Для системних проблем - епіки запобігання (зміна архітектури, перегляд процесів).

8) Метрики та KRI

Re-audit On-time: % проведених вчасно (мета ≥ 95%).
First-Pass Close: % закриттів без продовження CAPA (чим вище - тим краще).
Repeat Findings (12 міс): частка повторів по доменах/власникам (тренд ↓).
Residual Risk Δ: зниження ризик-скора після re-audit.
Evidence Completeness: % re-audit з повним набором артефактів (ціль 100%).
Drift After Fix: випадки дрейфу контролів в 30-90 днів (мета 0 критичних).
Vendor Mirror SLA: підтвердження від підрядників (мета 100% для критичних).

9) Дашборди (мінімум)

Re-audit Pipeline: Planned → In Progress → Close/Extend → Observe.
Heatmap повторів: по доменах (IAM, дані, DevSecOps, VRM, DR/BCP).
CAPA & Re-audit Link: статус зв'язок, прострочення, вразливі зони.
Evidence Readiness: наявність WORM/хешів, свіжість вибірок.
Drift & CCM: порушення пост-фіксу, частота алертів.
Vendor Assurance: дзеркальна ретенція/видалення, сертифікати, SLA.

10) Методики вибірок і тестів

Стратифікація за ризиком: більше кейсів для критичних контролів/юрисдикцій.
Комбіновані тести: документальна перевірка + фактичний реперформ (наприклад, DSAR-експорт, відкликання доступу, видалення по TTL).
Негативні сценарії: спроба обійти контроль (ABAC/SoD, rate limits, secret-скан).
Тест стійкості: повтор через 30 днів на підвиборці (sanity check).

11) Автоматизація та «assurance-as-code»

Тест-кейси для контролів як код (Rego/SQL/YAML), автозапуск за розкладом.
Автогенерація «audit pack re-audit» з вітрини evidence з квитанцією.
Авто-ескалації по SLA (прострочення CAPA/re-audit).
Інтеграція з CI/CD: гейти блокують реліз при «червоних» контролях.

12) Вендори і ланцюжок поставок

У договорах - право re-audit і терміни надання артефактів.
Дзеркальна ретенція та підтвердження знищення/виправлень.
При порушеннях - кредити/SLA-шtrafи, план off-ramp і міграції.
Зовнішні сертифікати (SOC/ISO/PCI) - у fresh-статусі; при «qualified opinion» - re-audit посилюється.

13) Шаблони артефактів

13. 1 Картка re-audit

ID findings/CAPA, ризик/юрисдикції, період вибірки

Тести дизайну/ефективності, критерії приймання

Список артефактів (джерело, формат, геш)

Результати, залишковий ризик, рекомендації

Рішення (Close/Extend/Escalate), owner/due, посилання на evidence

13. 2 Звіт re-audit (зміст)

1. Резюме та контекст

2. Методологія та обсяг

3. Результати тестів (таблиці вибірок)

4. Залишковий ризик і висновки

5. Рішення та завдання (CAPA/waivers)

6. Додатки: хеш-квитанції, скріншоти, вивантаження

13. 3 Чек-лист приймання

• Політики/SOP/контролі оновлені
• Evidence зібраний і WORM/хеш підтверджений
• CCM-правила включені, алерти валідни
• Навчання/комунікації завершені (LMS, read-receipt)
• Вендорські підтвердження отримані
• Re-open не потрібно/є план розширення

14) Управління винятками (waivers)

Дозволені тільки при об'єктивних обмеженнях; обов'язкова дата закінчення і компенсуючі контролі.
Публічність в дашборді, нагадування 14/7/1 день, ескалація в Комітет.

15) Антипатерни

«Паперове закриття» без тесту ефективності.
Evidence без WORM/хешів - спірність на аудиті.
Немає зв'язку CAPA ↔ re-audit ↔ CCM - контролі не закріплюються.
Звузився scope (не покриті юрисдикції/вендори/критичні ролі).
Разові перевірки без спостереження 30-90 днів → повтори.
Продовження CAPA без плану компенсуючих заходів і дедлайну.

16) Модель зрілості (M0-M4)

M0 Ад-hoc: рідкісні «точкові» перевірки, немає критеріїв приймання.
M1 Плановий: календар re-audit, базові шаблони та звіти.
M2 Керований: зв'язка з CAPA, дашборди/метрики, WORM-evidence.
M3 Інтегрований: assurance-as-code, реперформ, автоматичні «audit pack».
M4 Continuous Assurance: прогнозні KRI, автоперепланування, моніторинг стійкості пост-фіксу.

17) Пов'язані статті wiki

Плани усунення порушень (CAPA)

Ризик-орієнтований аудит (RBA)

Безперервний моніторинг відповідності (CCM)

Ведення журналів і Audit Trail

Зберігання доказів та документації

Управління змінами в політиці комплаєнсу

Due Diligence і ризики аутсорсингу

Комітет з управління ризиками та комплаєнсу

Підсумок

Повторні аудити - це верифікація стійкості, а не формальність: тест дизайну та ефективності, надійна доказова база, прозорі рішення (Close/Extend/Escalate) і спостереження за дрейфом. При такій системі ризик не «повертається», а комплаєнс залишається вимірним і передбачуваним.