Комплаенс · Контроли · Черновик

Запись о соответствии — это конечный автомат

Риск, поставщик, контроль или исключение — это не документ. Это небольшая сущность, которая всегда находится ровно в одном состоянии и может двигаться только по разрешённым путям. Если построить её так в инструменте, которым люди уже пользуются, аудиторский след перестаёт быть реконструкцией.

Спросите команду, где живёт её реестр рисков, и часто услышите: «в таблице, и кто-то обновляет её перед аудитом». Таблица — не проблема. Проблема в том, что ничто не мешает строке сказать «принято», когда никто ничего не принимал.

Есть более старая идея, которая это решает: конечный автомат. У вещи есть фиксированный набор состояний и фиксированный набор переходов между ними. В каждый момент она в одном состоянии. У перехода могут быть условия.

Обязательства по соответствию уже ведут себя так. Риск выявляется, оценивается, обрабатывается, принимается или закрывается. Поставщик запрашивается, проверяется, одобряется, отслеживается и выводится. Контроль планируется, внедряется, работает и пересматривается. Исключение запрашивается, одобряется до определённой даты и истекает. Мы просто редко записываем эти правила как правила.

Что вы получаете, когда так делаете

Отчётность превращается в подсчёт. Каждая запись находится в одном состоянии, поэтому «сколько рисков не обработано» — это запрос, а не совещание.
У перехода может быть условие: принять риск может только владелец. У него может быть требование: обоснование должно существовать до того, как контроль отмечен как неприменимый.
Каждый переход сохраняется с указанием, кто и когда его совершил. Это и есть аудиторский след, полученный попутно, а не восстановленный под давлением.

Где это может жить

Большинство команд уже работает в трекере задач, чьи рабочие процессы именно таковы: состояния, переходы, условия. Записи лежат в одном проекте, пояснения и актуальные представления — в вики. Обработка риска становится задачей в собственном бэклоге команды, связанной с риском, так что работа по соответствию стоит в той же очереди, что и остальная. Документ вроде Положения о применимости тогда становится представлением записей, поэтому остаётся верным.

Три привычки, которые сохраняют честность

Рабочий процесс — это контроль, поэтому его изменение — контролируемое действие: редактировать его могут немногие, а историю видят все.
Временные решения истекают. Исключение с датой окончания, которое само открывается заново, не может тихо стать постоянным.
Начинайте с малого. Несколько рабочих процессов, которыми пользуются, лучше многих, которые никто не открывает, и каждый должен заменить таблицу, а не стоять рядом с ней.

Чего это не делает

Трекер задач не собирает машинные доказательства из ваших систем; платформа для этого может работать рядом. А конечный автомат делает обход заметным и более трудным, но не невозможным: разрешения вокруг него по-прежнему часть контроля.

Это та же мысль, что и «сначала жёсткие контроли»: не просите людей помнить правило, постройте место, где правило исполняется.