Korporativ boshqaruv freymvorki

1) Maqsad va prinsiplar

Maqsad shaffof mas’uliyatli, o’lchanadigan nazorat mexanizmlari va «audit-ready» dalillar bazasiga ega bo’lgan barqaror, qonun va kompaniya strategiyalariga mos boshqaruvni ta’minlashdir.

• Tone from the Top: kengash va bosh direktorning shaxsiy javobgarligi.
• Accountability & Transparency: yechimlarning oʻlchanuvchanligi, ochiq hisobot.
• Risk-first & Compliance-by-Design: talablar va nazorat jarayonlarga kiritilgan.
• SoD/DoA: vazifalarni taqsimlash va boshqariladigan topshirish.
• Evidence by Design: jurnallar, WORM saqlash, xesh-kvitansiyalar.
• Stakeholder Value: aksiyadorlar, mijozlar, xodimlar, tartibga soluvchilar va sheriklar manfaatlari balansi.

2) Freymvork arxitekturasi

Konstitutsiya/Ustav + Korporativ siyosat (Kodeks, Manfaatlar to’qnashuvi, ABC, Privacy, Risk, Information Security).
Boshqaruv organlari: Direktorlar kengashi (Board), Qo’mitalar, Ijro etuvchi jamoa.

• 1-liniya - jarayon egalari va P&L;
• 2-o’rin - xavf/komplayens/xavfsizlik;
• 3-chi - ichki tekshiruv (Internal Audit).
• Jarayonlar: strategiya va byudjet, tavakkalchilik-ishtaha, komplayens, ichki nazorat, ma’lumotlarni boshqarish/AI, VRM, moliyaviy nazorat, axborotni oshkor qilish, inqiroz-menejment.
• Artefaktlar va metriklar: DoA, SoD-matritsalar, tavakkalchilik/nazorat registrlari, KPI/KRI dashbordlari, protokollar, «audit pack».

3) Direktorlar kengashi va qo’mitalar

Direktorlar kengashi (Board): strategiyani, tavakkalchilik-ishtahani, asosiy siyosatni tasdiqlaydi, Bosh direktorni tayinlaydi/baholaydi, ichki nazorat va komplayens tizimini nazorat qiladi.

• Audit & Risk Committee (ARC): moliyaviy hisobot, ichki nazorat, tavakkalchilik kartasi, tashqi auditor bilan hamkorlik.
• Compliance & Ethics Committee (CEC): siyosat, muvofiqlik, axloq/whistleblowing, sanksiyalar/o’qitish.
• Technology & Data Committee (TDC): kiber/maxfiylik, AI etikasi, arxitektura va barqarorlik.
• Remuneration & Nomination (RemNom): mukofotlar, davomiylik, direktorlarning mustaqilligi.

Asosiy amaliyotlar: kengash va qo’mitalarning har yilgi o’zini o’zi baholash, majlislar taqvimi, mustaqil direktorlar, «executive sessions».

4) Ijro etuvchi boshqarma (ExCom)

CEO - strategiya va nazorat tizimining bajarilishi uchun umumiy javobgarlik.
CFO - moliyaviy nazorat, g’aznachilik, hisobot.
CRO/Head of Risk - risk-menejment, risk-ishtaha, KRI.
Head of Compliance/DPO - tartibga solish/maxfiylik, siyosat, o’qitish, nazorat bilan o’zaro hamkorlik.
CISO/CTO - xavfsizlik/texnologiyalar, barqarorlik, BCP/DR.
General Counsel - huquqiy pozitsiya, nizolar, litsenziyalar.
COO - jarayonlar, sifat, operatsion barqarorlik.
HR Director - madaniyat, axloq, ta’lim, intizom.

5) Vakolat berish matritsasi (DoA) va SoD

DoA summalar va tavakkalchiliklar chegarasida kim qarorlar qabul qilishga/hujjatlarni imzolashga/bitimlarni ma’qullashga haqli ekanligini qayd etadi.
SoD rollar to’qnashuvlarini istisno qiladi (tashabbuskor ≠ kelishuvchi ≠ ijrochi ≠ nazoratchi).

• To’lovlarni bo’lish: tashabbuskor/apruver/to’lovchi - turli shaxslar/rollar.
• Ma’muriy huquqlar: so’rov → apruv menejeri → imtiyozlar orqali PAM, majburiy jurnal va qayta sertifikatlash.
• Xaridlar va vendorlar: mustaqil VRM nazorati, audit huquqi, ko’zgu retensiyasi.
• Istisnolar (waivers) - faqat tugash sanasi va kompensatsiya nazorati bilan.

6) Tavakkalchilik-ishtaha va tavakkalchiliklarni boshqarish

Risk Appetite Statement (RAS): domenlar bo’yicha ruxsatnomalar (moliya, litsenziyalar, maxfiylik, axborot-kommunikatsiya texnologiyalari, operatsiyalar, obro "-e’tibor).
Tavakkalchiliklar reyestri: Inherent/Residual/Target, egalari, CAPA, muddatlari.
Asboblar: issiqlik xaritasi, skoring (5 × 5/ALE/FAIR), top-xavflar uchun Monte-Karlo.
Jarayonlar: choraklik qayta ko’rib chiqish, hodisa-triggerlar, litsenziya/PII tahdidida «stop-the-line».

7) Ichki nazorat tizimi (ICS)

Control Statements (kod sifatida, YAML/JSON) → oʻlchanadigan chegaralar, metrik manbalar.
CCM (Continuous Control Monitoring): qoidalarni avtomatik tekshirish, pass/fail hisobotlari, CI/CD geytlari.
ToD/ToE: dizayn/samaradorlik, tanlash va stratifikatsiya testi.
Evidence by Design: logi/tushirish/skrinkastlar, xesh-kvitansiyalar, WORM/Object Lock.

8) Komplayens va axloq

Siyosat ombori: versiyalar, mahalliylashtirish, mappinglar.
O’qitish va sertifikatlash: rollar/mamlakatlar bo’yicha kurrikulumlar, read- & attest, qayta attestatsiyalar.
Axloqiy chiziq/whistleblowing: anonimlik, qatag’onlardan himoya qilish, qayta ishlash uchun SLA.
Yuridik yangilanishlar va alertlarni kuzatish: radar, ustuvorlik, implementatsiya.

9) Ma’lumotlar, AI va maxfiylik

Data Governance: maʼlumotlar katalogi, domen egalari, sifat, lineage.
Privacy-by-Design: minimallashtirish, huquqiy asoslar, DSAR/retensiya/Legal Hold, transchegariylik.
AI Governance: modellar registri, ma’lumotlar manbalari va litsenziyalari, xolislikni baholash, explainability, human-in-the-loop, yechimlar jurnali, generativ AIdan foydalanish siyosati.

10) Moliyaviy boshqaruv va oshkor etish

Hisobot taqvimi (ichki/tashqi), konsolidatsiya, daromadlarni/zaxiralarni tan olish siyosati.
Budjetlashtirish/variativ tahlil tizimi (BvA), investitsiya qo’mitalari.
Tashqi auditor bilan o’zaro hamkorlik: mustaqillik, PBC-varaqlar, menejment-vakillik.

11) Regulyatorlar va steykxolderlar bilan o’zaro hamkorlik qilish

Yagona kanal va yig’majildlarni raqamlash, yetkazib berishni tasdiqlash, javoblarning SLA.
Ommaviy majburiyatlar: mas’uliyatli reklama/o’yin, foydalanish imkoniyati, DEI.
Steykxolderlar xaritasi va kommunikatsiyalar rejasi (one-pager: «nima/qachon/kim/qanday o’lchaymiz»).

12) Inqirozni boshqarish (Crisis/BCP/DR)

Boshqaruv markazi va rollari (Incident Commander, Legal Liaison, Comms Lead).
Runbooks: stsenariylar (oqish, to’lovlarni rad etish, DDoS, sanksiyalar, fors-major).
RTO/RPO testlari, mashqlar, post-mortem → CAPA, siyosat/nazoratni yangilash.
Legal Hold va dalillarni saqlash zanjiri.

13) Dashbordlar va metriklar (minimal to’plam)

Governance Scorecard: majlislar/kvorum/qarorlarni bajarish, self-assessment.
Risk & Compliance: On-time CAPA, Regulatory On-time, Repeat Findings, Evidence Completeness.
Controls & CCM: pass-rate, «qizil» qoidalar, hodisalarni yopish vaqti.
Privacy & Data: DSAR SLA, TTL-olib tashlash, transchegaraviy uzatmalar, hodisalar.
Vendor & Payments: sertifikatlar, SLA, chargeback ratio, fraud loss%.
Training & Ethics: qamrov/muddatlar, whistleblowing trust index.

Har bir ko’rsatkich egasi, ma’lumotlar manbai, formulasi va maqsadli chegarasiga ega.

14) Hujjat aylanishi va dalillar

Kengashlar/qo’mitalar bayonnomalari, qarorlar, ovoz berish - taymshtampli.
Siyosatlar/tavakkalchiliklar/nazoratlar/istisnolar (waivers) reyestrlari - Git.
«Audit pack» tugmasi bo’yicha: dolzarb siyosatlar/difflar, CCM hisobotlari, loglar/skrinkastlar, o’qitish sertifikatlari, vendor tasdiqlari.

15) RACI (asosiy jarayonlar bo’yicha yig’ma)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

16) SOP (standart tartib-taomillar)

SOP-1: Korporativ boshqaruvning choraklik sikli

Metriklarni yig’ish → qo’mitalar (ARC/CEC/TDC/RemNom) → qarorlar va DoA-yangiliklar → kengashga hisobotlar → dashbordlarni e’lon qilish → WORM-arxiv.

SOP-2: DoA/SoD oʻzgarishi

Tashabbuskor → tavakkalchilik/ta’sirni asoslash → yuridik/komplayens-revyu → qo’mita tomonidan tasdiqlash → nashr etish → o’qitish va read-attest.

SOP-3: Hodisa/regulyator yangilanishi

Radar signallari → triaj → joriy etish rejasi → siyosat/nazorat/shartnomalarni yangilash → verifikatsiya → «update pack» arxivi.

SOP-4: Kengash va qoʻmitalar samaradorligini baholash

Anketa shabloni → intervyu → tavsiyalar bilan hisobot → yaxshilanishlar rejasi → bajarish uchun ommaviy treker.

17) Artefaktlar shablonlari

17. 1 DoA matritsasi (parcha)

17. 2 SoD (ma’muriy kirish, to’lovlar)

Tashabbuskor ≠ Apruver ≠ Ijrochi; PAM-jurnal, oylik qayta sertifikatlash.

17. 3 Qo’mita qarorining kartochkasi

Kontekst → Muqobil → Tanlangan variant → Tavakkalchilik/nazorat → KPI → Muddatlar → Mas’uliyatli → Evidence-havolalar.

17. 4 RAS siyosati

Domenlar bo’yicha deklarativ ruxsatnomalar, «qizil chiziqlar» (masalan, Impact litsenziyalar/maxfiylik uchun ≥ 4 Exec eskalatsiyasini talab qiladi).

18) Antipatternlar

«Qog’ozda gubernatorlik»: metriksiz/nazoratsiz siyosat/SSM.
Nomaʼlum DoA/SoD → konfliktlari va suiisteʼmollari.
Kengash qarorlarining versiyasi/loglari mavjud emas.
Mandatsiz/kvorumsiz/kalendarsiz qo’mitalar.
Waivers muddatsiz va kompensatsiya choralarisiz.
Oʻqishni eʼtiborsiz qoldirish va read- & attest.
Zanjirda vendor ko’zgu yo’q.

19) Etuklik modeli (M0-M4)

M0 Ad-hoc: qoʻngʻiroq yechimlari, DoA/SoD yoʻq, hisobot reaktiv.
M1 Bazaviy: qo’mitalar ta’sis etildi, DoA/SoD belgilandi, protokollar yuritilmoqda.
M2 Boshqariladigan: RAS, xavf-karta, CCM, siyosatchi ombori, dashbordlar.
M3 Integratsiyalashgan: policy/assurance-as-code, tugma boʻyicha «audit pack», AI/Data governance, VRM-oyna.
M4 Continuous Assurance: bashorat qilingan KRI, tavsiya qiluvchi geytlar, muntazam self-assessment va tashqi benchmarklar.

20) wiki bilan bog’liq moddalar

Siyosat va normativlar ombori

Komplayensning yo’l xaritasi

Tavakkalchiliklar issiqlik xaritasi/Tavakkalchiliklar skoringi va ustuvorlik

Muvofiqlikning uzluksiz monitoringi (CCM)

Tavakkalchiliklarni boshqarish va komplayens qo’mitasi

Jurnallarni yuritish va Audit Trail/Dalillarni saqlash

Inqirozli boshqaruv va kommunikatsiyalar

Hamkorlar uchun komplayens qo’llanmasi (VRM)

Jami

Korporativ boshqaruv freymvorki - bu kompaniyaning operatsion tizimi: rollar va vakolatlar, o’lchanadigan nazorat, raqamli artefaktlar va shaffof echimlar. Bunday yondashuv bilan strategiya harakatlarga, tavakkalchiliklar boshqariladigan metriklarga, muvofiqlik esa auditga doimo tayyorlikka va biznesning barqarorligiga aylanadi.