Komplayensning yo’l xaritasi

1) Vazifasi va prinsiplari

Komplayens yo’l xaritasi (Compliance Roadmap) - bu xavflar, litsenziyalar, oziq-ovqat strategiyasi va yurisdiksiya talablari bilan bog’liq bo’lgan 12-24 oy ufqidagi yagona ish rejasi.

• Risk-first: litsenziyalar, PII/moliya, sanksiyalar va regulyatorlarning ta’siri bo’yicha ustuvorlik.
• Evidence by design: artefaktlar va metriklar dastlab rejaga kiritiladi.
• Policy-/Assurance-as-code: talab va nazorat testlari - kod sifatida.
• One owner: har bir tashabbusning egasi, SLA, byudjeti va muvaffaqiyat mezonlari bor.
• Shaffoflik: umumiy bekloq, dashbordlar, muntazam qo’mitalar, eskalatsiyalar.

2) Gorizontlar va reja tuzilmasi

Strategik (12-24 oy): maqsadlar, litsenziyalar/sertifikatlash (ISO/SOC/PCI va h.k.), tartibga soluvchi muddatlar, etuklikning maqsadli modeli.
Taktik (kvartallar, 3-6 oy): epik va relizlar: siyosat, nazorat, VRM, maxfiylik, o’qitish, audit-tayyorlik.
Operatsion (oylar/haftalar): ITSM/Jira, CCM qoidalari, integratsiya, ma’lumotlar migratsiyasi, o’qitish.

Artefakt: xatarlar, nazorat va metrikalarga bog’langan «Mavzular → Epiklar → Fichi → Vazifalar» xaritasi.

3) Tashabbuslar portfeli (referens-skelet)

1. Governance & Siyosat: repozitoriya, taksonomiya, lifecycle, mahalliylashtirish.
2. Nazorat va CCM: nazorat bayonotlari katalogi, kod sifatida testlar, loglar/metriklar bilan integratsiya.
3. Maxfiylik (DSAR/retensiya/Legal Hold): jarayonlar, vositalar, hisobotlar.
4. VRM/Hamkorlar: due diligence, ko’zgu retensiyasi, audit huquqi, tasdiqlash.
5. Litsenziya/sertifikatlashtirish: audit rejasi, PBC-varaqlar, «audit pack».
6. AML/KYC/Payments: qoidalar, monitoring, chargeback-operatsiyalar, hisobot.
7. O’qitish va sertifikatlash (LMS): rollar/mamlakatlar bo’yicha kurrikulumlar, qayta attestatsiyalar.
8. Hodisalar/BCP/DR: pleybuklar, RTO/RPO testlari, post-mortem → CAPA.
9. Huquqiy o’zgarishlar va alertlarni kuzatish: radar, ustuvorlik, implementatsiya.
10. Tahlillar va dashbordlar: KPI/KRI, risk heatmap, readiness.

4) Ustuvorlik va baholash

Usullar: RICE + Risk, WSJF c risk adjustment, «Ta’sir × Shoshilinch × Tartibga solish muddati × Qaramlik» matritsasi.

• Litsenziya tahdidi/jarimalar/sanksiyalar (Critical/High/Medium/Low).
• Ta’sir ko’rsatilgan yurisdiksiyalar va mijozlar bazasi ko’lami.
• Tezkor kompensatsiya choralarining mavjudligi.
• Qiymat/resurslar va tanqidiy yo’l.

Chiqish: regulyatorlarning muddatlari va majburiy auditlari bilan belgilangan tartibli bekloq.

5) RACI va boshqaruv

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

6) Qaramlik va tanqidiy yo’l

Regulyator muddati va audit/sertifikatlash oynalari.
Integratsiya (SSO/loging/ma’lumotlar) va migratsiya.
Kontrakt yangilanishlari (DPA/SLA/addendumlar).
Mahsulot relizlari va texnik qarzlar (CI/CD bloklovchi geytlar).
Asboblar: Gant/PERT diagrammasi, «what-if» ssenariylari, yuqori xavflar bo’yicha buferlar.

7) Budjet va resurslar

FTE/vendor-soat/litsenziyalarni rejalashtirish; split Build/Buy/Partner.
Audit/pentest/yuridik xizmatlar uchun zaxiralar.
ROI/TCV: jarimalarni kamaytirish/chargeback, auditlarni tezlashtirish, qo’l operatsiyalarini tejash.

8) Policy-/Assurance-as-code

Nazorat bayonotlari va chegaralari - YAML/JSON (id, metrika, threshold, manbalar) da.
CCM qoidalari (Rego/SQL) versiyalari va PR jarayoni mavjud bo’lgan omborxonada.
CI/CD geytlari va avtoproverkalar jadvallari; evidence uchun WORM ombori.

9) Milstounlar va qabul qilish mezonlari (DoD)

• Yangilangan siyosat/standartlar/SOP versiyalari va changelog.
• Joriy qilingan CCM nazorati/qoidalari, maqsadli ≥ pass-rate.
• Xesh-kvitansiyalar bilan dalillar (logi/tushirish/skrinkastlar).
• Ta’sirlangan rollar bo’yicha o’qitish (LMS) va read- & attest.
• Tasdiqlangan vendor oynasi (uchinchi tomonlar mavjud bo’lganda).
• Re-audit rejasi va kuzatuv 30-90 kun (drift check).

10) Yo’l xaritasining metrikasi va KPI/KRI

On-time Milestones (choraklar bo’yicha), maqsad ≥ 90-95%.
Risk Reduction Index (jami risk-skor ∆).
Controls Pass Rate va Evidence Completeness (maqsad 100% majburiy).
Time-to-Audit-Ready («audit pack» yig’ish soatlari).
Vendor Certificate Freshness (tanqidiy hamkorlar - 100%).
Training Completion и Refresher Lag.
Repeat Findings и CAPA On-time.
Regulatory On-time Compliance (regulyator muddatigacha).

11) Dashbordlar (minimal to’plam)

Roadmap View: epik/kvartallar, maqomlar (Planned → In Progress → Verify → Done).
Risk Heatmap: tashabbuslardan oldin/keyin, qoldiq xavf.
Controls & Evidence: pass-rate, «qizil» qoidalar, completeness.
Regulatory Clock: normalarning muddati, kechikish ehtimoli.
VRM Mirror: provayderlar va subprotsessorlarning tasdiqlari.
Training & Attestations: rollar/mamlakatlar bo’yicha qamrov va kechikishlar.

12) Kommunikatsiyalar va buy-in

One-pager epik: «nima/nima/qachon/muvaffaqiyat mezonlari».
Haftalik battle-rhythm: maqom/xavf/bloker yangilanishlari.
Q&A kanali va jamoalar va hududlar uchun ofis soatlari.
Ommaviy audit/muddatlar taqvimi.

13) Yo’l xaritasi tavakkalchiliklarini boshqarish

Tashabbuslar tavakkalchiliklari reyestri: ehtimollik/ta’sir/triggerlar/egalar.
Kompensatsiya choralari va muddati tugagan waivers.
Litsenziya/jarimalar xavfi mavjud bo’lganda «stop-the-line» qoidalari: Qo’mitaning tezkor qarorlari.
Muhim huquqiy o’zgarishlarda muntazam re-baseline.

14) SOP (standart tartib-taomillar)

SOP-1: Yo’l xaritasini shakllantirish

Talablarni to’plash (tavakkalchilik/tartibga solish/post-mortemalar/auditlar) → skoring → RICE/WSJF → Qo’mita tomonidan tasdiqlash → Roadmap.

SOP-2: Choraklik rejalashtirish (PI Planning)

Epiklarning dekompozitsiyasi → kvartal maqsadlari → qaramlik/tanqidiy yo’l → relizlar va o’quv slotlari → byudjetlarni kelishish.

SOP-3: Roadmap oʻzgarishlarini boshqarish

O’zgartirish so’rovi (reason/impact) → tavakkalchiliklar/resurslar tahlili → Qo’mita qarori → rejalar/dashbordlarni yangilash.

SOP-4: Tashabbusni yopish

DoD’ni tekshirish → evidence pack to’plash → darslarni yozib olish → siyosat/nazorat omborini yangilash → re-audit rejasi.

15) Artefaktlar shablonlari

15. 1 Epik kartochka (misol)

ID/Nomi/Yurisdiksiyalar/Muddatlar

Biznes maqsad va tavakkalchilik-ratsional

Oʻzgartirish siyosati/nazorati/SOP

Muvaffaqiyat metrikasi va maqsadli chegaralar

Bogʻliqlik/tanqidiy yoʻl

Budjet/resurslar/vendorlar

O’qitish va kommunikatsiyalar rejasi

DoD va evidence roʻyxati

15. 2 Quarterly Roadmap

15. 3 Evidence Pack (sarlavha)

1. Diff siyosat/nazorat → 2) CCM hisobotlari → 3) Logi/skrinkastlar → 4) LMS/attestations → 5) Vendor tasdiqlari → 6) Qo’mita protokoli.

16) Choraklik reja namunasi (parcha)

Q1: siyosat ombori (M2), IAM/retensiya uchun CCMni ishga tushirish, DSAR-SLA dashbord, onboarding VRM, etikaning asosiy kurslari.
Q2: EEA/UK, Legal Hold va WORM-arxiv, audit-dry-run, Payment chargeback-jarayonlar uchun mahalliylashtirish.
Q3: sertifikatlash ISO/SOC faza fieldwork, DR-mashqlar, antifrod qoidalari va monitoring, sherik offbordinglar.
Q4: tashqi tekshirish/report, CAPA yopish, re-audit, refresh kurrikulumlar, reja 2026.

17) Antipatternlar

Tavakkalchilik va muddatsiz «istaklar ro’yxati».
O’lchanadigan nazorat va metriklarsiz siyosat.
Evidence va WORMsiz qo’lda tekshirish.
Biznes va hududlarning yo’qligi.
O’quv/aloqa yo’q → past qabul.
Abadiy waivers, xavf-xatarni tahlil qilmasdan o’tkazish.
Re-audit → takroriy buzilishlar yoʻq.

18) Etuklik modeli (M0-M4)

M0 Ad-hoc: reaktiv fikslar, umumiy reja yo’q, «yong’inlar».
M1 Katalog: tashabbuslar ro’yxati, bazaviy muddatlar va egalari.
M2 Boshqariladigan: tavakkalchilik-skoring, choraklik rejalar, dashbordlar va evidence.
M3 Integratsiyalashgan: policy-/assurance-as-code, CI/CD geytlar, tugma boʻyicha «audit pack», vendor oynasi.
M4 Continuous Assurance: prognoz KRI, avto-rejalashtirish, tavsiyaviy ustuvorliklar, uzluksiz tekshiruvlar.

19) wiki bilan bog’liq moddalar

Siyosat va normativlar ombori

Muvofiqlikning uzluksiz monitoringi (CCM)

Yuridik yangilanishlarni kuzatish/Tartibga solish o’zgarishlari alertlari

KPI va komplayens metrikasi

Qoidabuzarliklarni bartaraf etish rejalari (CAPA) va Takroriy auditlar

Tashqi auditorlar tomonidan tashqi tekshiruvlar

Hamkorlar uchun komplayens qo’llanmasi

Dalillar va hujjatlarni saqlash

Jami

Komplayensning yo’l xaritasi - bu boshqariladigan o’zgarishlar dasturi bo’lib, unda tavakkalchilik va tartibga solish muddatlari aniq epik, nazorat va dalillarga o’tkaziladi. Bunday yondashuv bilan muvofiqlik oldindan aytib bo’ladigan, o’lchanadigan va ko’paytiriladigan bo’ladi - «audit-ready» kompaniyasi esa istalgan vaqtda.