Матриця відповідальності

1) Призначення та цінність

Матриця RACI робить ролі і точки прийняття рішень прозорими по кожному кроку процесу, знижує операційні ризики і прискорює узгодження.

• усунути «сірі зони» і дублювання зусиль;
• забезпечити здійсненність політик і контрольних вимог;
• спростити аудит за рахунок доказуваних призначень ролей.

2) Терміни і варіанти

R (Responsible) - виконує роботу/завдання.
A (Accountable) - несе кінцеву відповідальність, стверджує результат (один на задачу).
C (Consulted) - консультує, залучається до рішення (двосторонній зв'язок).
I (Informed) - повідомляється після рішення (односторонній зв'язок).

• RASCI: додає S (Support) - операційна підтримка виконавця.
• DACI: D (Driver), A (Approver), C (Contributor), I (Informed) - акцент на драйвері.
• RAPID: Recommend, Agree, Perform, Input, Decide - корисно для продуктових рішень.

3) Принципи проектування RACI

1. Один A на завдання - недвозначна підзвітність.
2. Стільки R, скільки потрібно, але уникайте «R по всіх».
3. C - по суті, а не «про всяк випадок» (інакше гальмуємо потік).
4. I - адресний: інформуємо тих, чиї дії залежать від результату.
5. Зв'язок з DoA/SoD: повноваження і поділ обов'язків не повинні конфліктувати з RACI.
6. Версіонування: зміни RACI → PR/рев'ю/хеш-квитанція → публікація.

4) Де застосовувати

Інциденти і криза (ІБ/платежі/приватність).
DSAR/ретенція/видалення даних.
VRM/онбординг та аудит партнерів.
Релізи та комплаєнс-гейти в CI/CD.
Маркетинг і відповідальна реклама.
Платіжні спори/chargeback.
BCP/DR-навчання і Legal Hold.

5) Ролі (приблизний словник)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) Приклади RACI-матриць

6. 1 Інцидент приватності (витік даних)

6. 2 DSAR: доступ/видалення

6. 3 Онбординг критичного вендора (VRM)

6. 4 Комплаєнс-гейт релізу

7) Зв'язок з DoA/SoD і політиками

DoA (Delegation of Authority): A повинен мати повноваження на затвердження, прописані в DoA.
SoD (Separation of Duties): R і A на критичних кроках не поєднуються з виконанням платежів/адмін-дій.
Політики/стандарти: кожен рядок матриці посилається на контрольні твердження і SOP.

8) Процес створення та зміни RACI

1. Зняти поточний процес (E2E-діаграма, точки рішень).
2. Визначити ролі зі словника, узгодити з власниками доменів.
3. Заповнити RACI на рівні кроків/рішень, перевірити колізії з DoA/SoD.
4. Валідувати на практиці (table-top/симуляція).
5. Затвердити і опублікувати в репозиторії (Git), включити в вікі/портал.
6. Підтримка актуальності: тригери - зміна оргструктури, юр. оновлення, результат аудиту/інциденту.
7. Версіонування та докази: PR-історія, хеш-квитанції, WORM-архів.

9) Метрики і дашборди

RACI Coverage: % ключових процесів зі свіжою матрицею.
Single-A Compliance: частка завдань з рівно одним A (мета 100%).
C/I Noise Ratio: зайві узгоджуючі/повідомляються (тренд ↓).
Time-to-Decision: медіана узгодження щодо RACI-кроків.
SoD Conflicts: виявлені і закриті конфлікти за ролями.
Audit-Ready: частка матриць з прив'язкою до політиків/контролів/SOP і evidence.

Дашборди: Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (вузькі місця узгоджень).

10) SOP (стандартні процедури)

SOP-1: Проектування RACI

Картування процесу → чернетка матриці → перевірка DoA/SoD → пілот/симуляція → затвердження Комітетом → публікація.

SOP-2: Щоквартальний огляд

Збір змін оргструктури/політик → ревізія матриць → PR-оновлення → read- & -attest для порушених ролей.

SOP-3: Інцидент-тригер

За підсумками інциденту - коригування RACI (наприклад, посилення A/C, розукрупнення R) → оновлення SOP/контролів → ретест.

SOP-4: Навчання

Мікро-курс з читання матриці та кейсів; обов'язковий для ролей A/R.

11) Шаблони

11. 1 Таблиця RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 YAML-артефакт (policy-as-code прив'язка)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 Картка зміни RACI

Обґрунтування (інцидент/аудит/юридичне оновлення)

Старе/нове призначення ролей

Вплив на DoA/SoD

План навчання/комунікацій

Посилання на PR/хеш-квитанції

12) Інтеграції

Репозиторій політик: посилання з матриць на контрольні твердження.
GRC: зберігання версій та read- & -attest.
HRIS/LMS: рольові профілі → навчання для A/R.
ITSM/Jira: завдання узгоджень і SLA по RACI-кроках.
CCM: автоперевірки наявності A/R в метаданих дій (наприклад, адмін-журнали, релізи).

13) Антипатерни

Два і більше A на задачу.
«R у всіх» і «C/I для галочки» → перевантаження каналів і затримки.
RACI без зв'язку з DoA/SoD і контролями.
Одноразова матриця без ревізій і версіонування.
Скріншоти замість живих артефактів (немає доказовості).
Відсутність навчання для A/R → «паперове» відповідність.

14) Модель зрілості (M0-M4)

M0 Ad-hoc: ролі нефіксовані, узгодження хаотичні.
M1 Базовий: RACI за ключовими процесами, ручні оновлення.
M2 Керований: зв'язок з DoA/SoD, репозиторій, квартальні ревізії, read- & -attest.
M3 Інтегрований: YAML-матриці, PR-процес, прив'язка до контролів/ССМ і ITSM-SLA.
M4 Continuous Assurance: рекомендації по оптимізації (вузькі місця), автоперевірки SoD, аналітика по Lead Time і «what-if».

15) Пов'язані статті wiki

Фреймворк корпоративного управління

Матриця делегування повноважень (DoA) і Поділ обов'язків (SoD)

Безперервний моніторинг відповідності (CCM)

Репозиторій політик і нормативів

Крос-департаментні перевірки

Кризове управління та комунікації

Дорожня карта комплаєнсу

KPI та метрики комплаєнсу

Підсумок

Матриця RACI - не просто таблиця, а механізм керованості: одна відповідальна особа за результат, ясні виконавці та учасники, доказовий зв'язок з повноваженнями і контролями, регулярні ревізії та навчання. Така система прибирає затримки, знижує ризики і робить процеси «audit-ready» за замовчуванням.