Tavakkalchiliklar skoringi va ustuvorlik

1) Maqsad va natijalar

• taqqoslanadigan (yagona shkalalar va formulalar),
• shaffof (ma’lumotlar manbalari va farazlar hujjatlashtirilgan),
• o’lchanadigan (metriklar va KRIlar nazorat va hodisalarga bog’langan),
• bajariladigan (muddati tugagan CAPA/waiver rejasi har bir tavakkalchilikka mos keladi).

Chiqishlar: tavakkalchiliklarning yagona reyestri, prioritetlashtirilgan chora-tadbirlar beklogi, issiqlik xaritalari, qoldiq tavakkalchilik to’g "risidagi hisobotlar," audit-ready "artefaktlari.

2) Tavakkalchilik atamalari va darajalari

Inherent Risk - nazoratni hisobga olmagan holda tavakkalchilik.
Residual Risk - joriy nazoratlarni hisobga olgan holda tavakkalchilik (ToD/ToE/CCM tomonidan tekshirilgan).
Target Risk - SARA/kompensatsiya choralaridan keyingi maqsadli daraja.
Likelihood (L) - baholash ufqida stsenariy boshlanishi ehtimoli.
Impact (I) - eng katta: moliya, litsenziya/huquq, maxfiylik/ma’lumotlar, operatsiyalar/SLO, obro’.
KRI - L/I ga ta’sir qiluvchi xavf indikatorlari (masalan, dsar_response_p95, chargeback ratio).

3) Shkalalar va bazaviy modellar

3. 1 Diskret matritsalar (5 × 5 yoki 4 × 4)

Score = L × I → diapazoni 1-25 (yoki 1-16).

• 20–25 = Critical, 12–19 = High, 6–11 = Medium, 1–5 = Low.
• Chegara qiymatlari «Skoring siyosati» da e’lon qilinadi va barcha domenlarga doimo qo’llaniladi.

• 1 - 3 yilda bir marta; 1-3 yilda 2 marta; 3 - har yili; 4 - har chorakda; 5 - har oyda/ko’proq.

• 1 — <€10k; 2 — €10–100k; 3 — €100–300k; 4 — €300k–€1m; 5 — >€1m; yuridik/litsenziya tavakkalchiliklarida daraja kamida 4-5 taga ko’tariladi.

3. 2 Miqdoriy modellar

ALE (Annualized Loss Expectancy):’ALE = SLE × ARO’, bu yerda’SLE’- hodisa uchun o’rtacha zarar,’ARO’- yiliga kutilayotgan chastota.
FAIR yondashuvi (soddalashtirishda): chastotani (Threat Event Frequency) va yo’qotishlar miqdorini (Loss Magnitude) modellashtiramiz, qaror qabul qilish uchun pertsentilni (p50/p95) ishlatamiz.
Monte-Karlo: chastota va zarar uchun taqsimlash (logmorm/gamma va h.k.), 10-100k progonlar → yo’qotish egri chiziqlari (loss exceedance curve). Eng qimmat/tartibga soluvchi tanqidiy tavakkalchiliklar uchun qo’llash.

Tavsiya: 80% keyslar - 5 × 5 matritsasi, 20% (top-risklar) - ALE/FAIR/Monte-Karlo.

4) Qoldiq va maqsadli tavakkalchilik

1. Inherentni «nazoratsiz» farazlar boʻyicha hisoblash.
2. Mavjud nazoratlarning samaradorligini hisobga olish (ToD/ToE/CCM tomonidan tekshirilgan) → Residual.
3. Rejalashtirilgan SARA/kompensatsiya choralari va erishilgan sanalarni hisobga olgan holda Target belgilansin.
4. Agar Target ≤ chidamlilik chegarasi (risk appetite) bo’lsa - taxminan; agar bo’lmasa - muddati tugagan va kompensatsiya nazorati mavjud bo’lgan waiver talab qilinadi.

5) Ma’lumotlar manbalari va dalillar

Metrika va KRI (dashbordlar, loglar, hodisalar hisobotlari).
Nazorat (CCM), audit (ichki/tashqi) testlari natijalari.
Provayderlar hisobotlari: SLA/sertifikatlar/hodisalar/maʼlumotlar joylashuvidagi oʻzgarishlar.
Moliyaviy tahlillar: jarimalar, chargeback, fraud loss%.
Har bir baholash taymshtampli va xesh-kvitansiyali (WORM) evidence havolalari bilan birga olib boriladi.

6) Tashabbuslarni ustuvorlashtirish (tavakkalchilikni o’tkazish → harakat)

6. 1 RICE (tavakkalchilikka moslashish)

`RICE = (Reach × Impact_adj × Confidence) / Effort`

Reach - qancha mijozlar/tranzaksiyalar/yurisdiksiyalar ta’sir ko’rsatdi.
Impact_adj - oʻzgartirilgan I (yoki ALE/yoʻqotish p95).
Confidence - baholashlarning ishonchliligi (0. 5/0. 75/1. 0).
Effort - kishi-hafta/qiymat.
RICE bo’yicha saralash → tezkor yutuqlar.

6. 2 WSJF tavakkalchilikka tuzatish kiritilgan holda

`WSJF = Cost of Delay / Job Size`, где

`Cost of Delay = Risk Reduction + Time Criticality + Business Value`.

Risk Reduction - Residual/ALE ning kutilayotgan pasayishi.
Time Criticality - regulyator/audit muddati.
Business Value - daromad/tejash, mijozlarning ishonchi.

6. 3. Tartibga solish ustuvorligi

Agar xavf litsenziyalar/qonunlar bilan bog’liq bo’lsa va qattiq muddat mavjud bo’lsa, u avtomatik ravishda «iqtisodiy» skoringdan qat’i nazar, Critical/High-ga tushadi.

7) Chegara qoidalari va eskalatsiyalar

Critical: darhol triaj, CAPA ≤ 30 kun, re-audit 60-90 kundan keyin; haftalik qo’mita.
High: CAPA ≤ 60 kun, kuzatuv 90 kun.
Medium: choraklik rejaga kiritish.
Low: monitoring + «tech debt» slot imkoniyati.
KRI ostonalari: Amber (ogohlantirish) va Red (majburiy eskalatsiya va CAPA).

8) Rollar va RACI

9) Dashbordlar

Risk Heatmap: 5 × 5 matritsasi, domenlar/mamlakatlar/provayderlar boʻyicha filtrlar.
Risk Funnel: Inherent → Residual → Target (pasayish deltasi).
Top-N by ALE/p95 Loss: miqdoriy xavflar.
KRI Watchlist: indikatorlar va chegaralar, xavotirlar Amber/Red.
CAPA Impact: kutilayotgan/amaldagi pasayish; muddatlari bo’yicha taraqqiyot.
Waivers: amaldagi istisnolar, muddatlar va kompensatsiya choralari.

10) Samaradorlik metrikasi

Risk Reduction Index: o’rtacha o’lchangan risk-skor ∆ (chorak/chorak).
On-time CAPA: muddatida oʻlchov% (severity boʻyicha).
Repeat Findings (12 oy): takroriy qoidabuzarliklar ulushi.
Evidence Completeness: xavflar% to’liq paket bilan (High + uchun maqsad 100%).
Prediction Accuracy: baholangan va haqiqiy yo’qotishlar/chastotalar tafovuti.
Time-to-Triage / Time-to-Plan / Time-to-Target.

11) SOP (standart tartib-taomillar)

SOP-1: Tashabbus va shkala

L/I shkalalari va → toifa ostonalari belgilansin → Qo’mitada tasdiqlansin → repozitoriyada qayd etilsin (versiyalash).

SOP-2: Choraklik qayta baholash

KRI/hodisalarni yig’ish → L/I/ALEni qayta hisoblash → egalari tomonidan revyu → qo’mita ustuvorligi → Roadmap.

SOP-3: Hodisa-trigger

Critical/High hodisasida - rejadan tashqari qayta hisoblash, CAPA va ustuvorliklarni tuzatish.

SOP-4: Miqdoriy tahlil (Top-risklar)

Kirish taqsimotlarini tayyorlash → Monte-Karlo (10k progon ≥) → yo’qotish egri chiziqlari → Qo’mita qarori.

SOP-5: Arxiv va dalillar

Eksport kesim (CSV/PDF) + xesh-kvitansiyalar → WORM-arxiv → GRC kartochkalaridagi havolalar.

12) Shablonlar va «as-code»

12. 1 Skoring siyosati (parcha)

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12. 2 Tavakkalchilik kartochkasi (YAML)

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12. 3 Ustuvorlik (WSJF misol)

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13) Kompensatsiya choralari va waivers

• samaradorlik metriklari bilan kompensatsiya qiluvchi nazoratlarni (qo’lda tekshirishlar, limitlar, qo’shimcha monitoring) joriy etamiz;
• waiverni muddati tugagan sana, egasi va almashtirish rejasi bilan rasmiylashtiramiz;
• 30-90 kundan keyin majburiy re-audit.

14) Antipatternlar

KRI/nazorat/hodisalar bilan aloqasi bo’lmagan «chiroyli matris».
Suzuvchi shkalalar va istalgan natija uchun «qo’lda tyuning».
Hisob-kitoblar va farazlarni versiyalashning yo’qligi.
Noyob qayta ko’rib chiqish → xarita haqiqatni aks ettirmaydi.
Waivers muddati tugagan va kompensatsiya choralarisiz.
Top-xavflar uchun miqdoriy tahlilning yo’qligi.

15) Etuklik modeli (M0-M4)

M0 Ad-hoc: ko’z bilan baholash, yagona siyosat yo’q.
M1 Rejali: 5 × 5 matritsasi, choraklik yangilanishlar, bazaviy dashbordlar.
M2 Boshqariladigan: KRI/CCM, CAPA-linkovka, WORM-evidence bilan aloqa.
M3 Integratsiyalashgan: Top-risklar uchun ALE/FAIR/Monte-Karlo, Roadmap uchun WSJF/RICE, CI/CD geytlari.
M4 Continuous Assurance: prognozli KRI, avto-qayta hisoblash, tavsiyaviy ustuvorliklar va «evidence-by-design».

16) wiki bilan bog’liq moddalar

Tavakkalchiliklarning issiqlik xaritasi

Tavakkalchilikka yo’naltirilgan audit (RBA)

KPI va komplayens metrikasi

Muvofiqlikning uzluksiz monitoringi (CCM)

Qoidabuzarliklarni bartaraf etish rejalari (CAPA)

Siyosat va normativlar ombori

Komplayensning yo’l xaritasi

Tashqi auditorlar tomonidan tashqi tekshiruvlar

Jami

Xavf-xatarlar skoringi va ustuvorlik - bu san’at emas, balki muhandislik fanidir: barqaror shkala va siyosat, isbotlanadigan ma’lumotlar, top-xavf-xatarlar uchun miqdoriy usullar, aniq chegaralar va eskalatsiyalar, shuningdek, CAPA va yo’l xaritasi bilan to’g’ridan-to’g’ri bog’lanish. Bunday yondashuv yechimlarni prognozlashtiradi, kelishishni tezlashtiradi va biznesning umumiy xavfini kamaytiradi.