Ichki nazorat va ularning auditi

1) Vazifasi va viloyati

Maqsad: operatsion, moliyaviy, komplayens- va obro "-e’tibor xavfini kamaytirgan holda biznes maqsadlariga xavfsiz va qonuniy erishishni ta’minlash.
Qamrov: barcha domenlarda protsessual va IT-nazorat: to’lovlar/kassautlar, KYC/AML/sanksiyalar, antifrod, RG, marketing/ma’lumotlar eksporti, DevOps/SRE, DWH/BI, maxfiylik/GDPR, TPRM.

2) Himoya prinsiplari va modeli

Uchta himoya liniyasi: 1) jarayon egalari (operatsiya/mahsulot), 2) xavf/komplayens/xavfsizlik (metodologiya, monitoring), 3) mustaqil ichki audit.
Risk-based: Nazoratni qoldiq xavf ustuvorligi asosida amalga oshirish.
Evidence-driven: har bir nazorat o’lchanadigan mezonlar, ma’lumotlar manbalari va isbotlanuvchanlik artefaktlariga ega.
Automate-first: iloji bo’lsa - qo’l nazorati o’rniga avtomatik va uzluksiz nazorat (CCM).

3) Xatarlar xaritasi → maqsadlar → nazorat

1. Tavakkalchilik reyestri: sabablar/hodisalar/oqibatlarni (moliya, o’yinchilar, litsenziyalar) identifikatsiyalash.
2. Nazorat maqsadlari: nima oldini olish/aniqlash/tuzatish kerak (masalan, «mablag’larni noqonuniy olib chiqish», «PIIga ruxsatsiz kirish»).
3. Nazorat faoliyati: maqsadga erishish uchun aniq siyosatlar/tartib-taomillar/avtomatikalarni tanlash.

• Preventiv: RBAC/ABAC, SoD (4-eyes), limitlar va skoring, ma’lumotlar validatsiyasi, WebAuthn, mTLS.
• Detektiv: SIEM/alertlar, reconciliations, SLA/SLO dashbordlari, audit-loglar (WORM), anomaliyalarni nazorat qilish.
• Tuzatuvchi: avto-blokirovkalar, relizlarni qaytarish, kalitlarni rotatsiya qilish, qo’lda tahlil qilish va qaytarish.
• Kompensatsiya qiluvchi: agar asosiy nazorat mumkin bo’lmasa - kuchaytiruvchi choralar (qo’shimcha monitoring, ikki marta solishtirish).

4) Nazorat katalogi (Control Library)

• ID/Nomi, maqsadi (objective), xavfi, turi, chastotasi, egasi (control owner), ijrochisi, ijro usuli (qo’lda/avto/guid), dalillar manbalari, KPI/KRI, siyosat/tartib-taomillar bilan aloqa, qaram tizimlar.
• Holatlar: Draft → Active → Monitored → Retired. Version va oʻzgarishlar jurnali.

• ’CTRL-PAY-004’ - to’lovlar uchun 4-eyes approve> X (preventiv, kundalik, Owner: Head of Payments, Evidence: buyurtmanomalar/loglar, KPI: 100% qoplash).
• ’CTRL-DWH-012’ - PIIni vitrinalarda yashirish (preventiv, doimiy, Owner: Head of Data, Evidence: test-so’rovlar, KPI: ≥ 95% masked reads).
• ’CTRL-SEC-021’ - ma’muriy konsollar uchun MFA (preventiv; Evidence: IdP hisobotlari; KPI: 100% adoption).

5) RACI va egalari

6) Auditlar va testlarni rejalashtirish

Har yilgi reja tavakkalchilikka yo’naltirilgan holda shakllantiriladi (yuqori qoldiq xavfi, tartibga solish talablari, hodisalar, yangi tizimlar).

• Design Effectiveness (DE): xavfni kamaytirish uchun nazorat toʻgʻri loyihalashtirilganmi?
• Operating Effectiveness (OE): belgilangan chastotada va barqaror ishlaydimi?
• Thematic/Process Audit: domen orqali tekshirish (masalan, KYC/AML yoki kassaut).
• Follow-up/Verification: CAPA yopilganligini tasdiqlash.

Yondashuv: Walkthrough (trassalash), intervyu, artefaktlar/loglar revyusi, analitika, reperformans (takrorlash).

7) Dalillar va tanlov

Evidence turlari: loglarni tushirish (imzo/xesh), IdP/SSO hisobotlari, tasdiqlash chiptalari va jurnallari, konfigalar, taymshtampli skrinshotlar, vitrinalardan xls/csv, PAM sessiyalari yozuvlari.
Yaxlitligi: WORM nusxalari, xesh-zanjirlar/imzolar,’ts _ utc’.
Tanlov: statistik/mulohazali; miqdori nazorat chastotasi va ishonch darajasiga bog’liq.
Mezonlar: pass/fail; de minimis qo’l operatsiyalari uchun chegaralar qo’yiladi.

8) Nomuvofiqliklarni baholash va tasniflash

Gradatsiyalar: Critical/High/Medium/Low.
Mezonlar: ta’siri (pul/PII/litsenziya), ehtimolligi, davomiyligi, takrorlanuvchanligi, kompensatsion nazorat.
Hisobot: topilma kartochkasi (xavf, tavsif, misollar, asosiy sabab, ta’sir, talab qilinadigan harakatlar, muddatlar, egasi), treking maqomi.

9) CAPA va o’zgarishlarni boshqarish

Corrective and Preventive Actions: nafaqat simptomlarni, balki asosiy sabablarni (root cause) bartaraf etish.
S.M.A.R.T. - chora-tadbirlar: aniq, o’lchanadigan, sanalangan; mas’uliyat va nazorat nuqtalari.
Change Advisory Board: yuqori xavfli o’zgarishlar CABdan o’tadi; siyosat/tartib-taomillar/rollarni yangilash.
Samaradorlikni tekshirish: N hafta/oydan keyin takroriy audit.

10) Uzluksiz monitoring (CCM) va tahlil

CCM nomzodlari: yuqori chastotali va rasmiylashtiriladigan nazorat - SoD mojarolari, JIT-chiqarishlar, anormal eksport, MFA-coverage, to’lov limitlari, sanksiya xitlari.
Asboblar: SIEM/UEBA qoidalari, Data/BI dashbordlari, sxemalar/niqoblash validatorlari, kirish testlari (policy-as-code).
Signallar/alertlar: chegara/xulq-atvor; SOAR tiketlari; kritik og’ishlarda avto-bloklar.
Afzalliklari: aniqlash tezligi, qo’l yukini kamaytirish, eng yaxshi isbotlash.

11) Metrika (KPI/KRI)

• Kritik jarayonlarni nazorat qilish ≥ 95%
• On-time execution qo’l nazorati ≥ 98%
• CAPA closed muddatida (High/Critical) ≥ 95%
• Avtomatlashtirilgan nazoratlarning ulushi ↑ MoM

• SoD = 0 buzilishlari
• PII’purpose’= 0
• Oqish/noxush hodisalar 72 soat - 100% ≤ xabardor qilingan
• Fail-rate operatsion nazoratlari <2% (trend pasaymoqda)

12) Chastota va kalendar

Har kuni/uzluksiz: CCM, antifrod signallari, to’lov limitlari, niqoblash.
Har hafta: to’lovlar/reyestrlarni solishtirish, eksportni nazorat qilish, alertlarni tahlil qilish.
Har oyda: MFA/SSO hisobotlari, kirish reyestri, vendor-monitoring, KRI trendlari.
Har chorakda: huquqlarni qayta sertifikatlash, mavzuga oid sharhlar, BCP/DR stress-testlari.
Har yili: auditlarning to’liq rejasi va tavakkalchilik xaritasini yangilash.

13) Mavjud siyosatchilar bilan integratsiya

RBAC/ABAC/Least Privilege, Kirish siyosati va segmentatsiya - preventiv nazorat manbai.
Parol siyosati va MFA - ma’murlar/tanqidiy operatsiyalar uchun majburiy talablar.
Auditorlik jurnallari/loglar siyosati - detektiv va dalillar nazorati.
TPRM va uchinchi tomonlarning kontraktlari - tashqi nazorat: SLA, DPA/SCCs, audit huquqlari.

14) Chek-varaqlar

14. 1 Yangi nazorat dizayni

• Maqsad va bog’liq xavf tavsiflangan
• Turi aniqlandi (preventiv/detektiv/tuzatuvchi)
• Egasi/ijrochisi va chastotasi tayinlandi
• Maʼlumot manbalari va evidence formati koʻrsatilgan
• Metriklar (KPI/KRI) va alertlar oʻrnatilgan
• Siyosat/tartib-taomillar bilan bog’liq bo’lgan aloqalar
• DE/OE test rejasi aniqlandi

14. 2 Audit o’tkazish

• Scope va DE/OE mezonlari kelishilgan
• Artefaktlar va kirishlar ro’yxati olindi
• Tanlash kelishilgan va qayd etilgan
• Natijalar va topilmalar tasniflangan
• CAPA, muddatlari va egalari tasdiqlandi
• Hisobot chiqarildi va steykxolderlarga yetkazildi

14. 3 Monitoring va hisobot (har oyda)

• Barcha tanqidiy nazorat bo’yicha KPI/KRI
• Muvaffaqiyatsizliklar/yolg’on ishlanmalar bo’yicha trendlar
• CAPA va kechikish holati
• Avtomatlashtirish bo’yicha takliflar/SSM

15) Namunaviy xatolar va ulardan qanday qochish mumkin

Maqsadsiz/metriksiz nazorat: objective va KPI/KRIni rasmiylashtirish.
Qo’l nazorati: shakllar/skriptlarni standartlashtirish va artefaktlarni WORMda saqlash.
Istisnolar ko’payishi: muddati tugagan va kompensatsiya choralari ko’rilgan istisnolar reyestri.
«Qog’ozda» ishlaydi - aslida yo’q: muntazam OE-testlar va CCM.
Yopilmagan CAPA: avtomatik eskalatsiya va har oylik xavf qo’mitasida maqom.

16) Joriy etish yo’l xaritasi

1-2 hafta: xavflar xaritasini yangilash, nazorat katalogini tuzish, egalarini tayinlash, evidence shablonlarini tasdiqlash.
3-4 hafta: KPI/KRI monitoringini boshlash, avtomatlashtirish (CCM) uchun 5-10 ta nazoratni tanlash, yillik audit rejasini tasdiqlash.
2-oy: 1-2 mavzuli audit oʻtkazish (yuqori xavf), SOAR-alertlarni joriy etish, bord hisobotini yoʻlga qoʻyish.
3 + oy: CCMni kengaytirish, choraklik sharhlarni o’tkazish, qo’l nazoratini qisqartirish, DE/OE qoplamasi ulushini va CAPA yopilish tezligini oshirish.

TL; DR

Samarali ichki nazorat = xavf-karta → maqsadlar → egasi va dalillar bilan aniq faoliyat, shuningdek muntazam DE/OE testlari, CAPA va CCM avtomatlashtirish. Bu xavf-xatarlarni boshqarishni o’lchovli, auditni oldindan aytib bo’ladigan va muvofiqlikni isbotlaydigan qiladi.