Poznaj ekspozycję, uzgodnij reakcję i zachowaj widoczność odpowiedzialności aż do niezależnej weryfikacji.
Wartość docelowa jest celem, a nie osiągniętym wynikiem.
Były pracownik może zachować dostęp do płac, ponieważ zgłoszenie odejścia i usunięcie konta odbywają się osobno. Wyjaśnij przyczynę, możliwe zdarzenie i skutek biznesowy. Kolejny recenzent potrzebuje tego kontekstu obok wyniku.
Zapisz przyczynę, zdarzenie, skutek, dotkniętą usługę i odpowiedzialną jednostkę.
Zapisz przyczynę, zdarzenie, skutek, dotkniętą usługę i odpowiedzialną jednostkę. Wyjaśnij istniejące mechanizmy kontrolne oraz uzasadnienie oceny. Przykład Omara objaśnia problem bez udostępniania niezwiązanych rekordów.
Oddziel ekspozycję inherentną, aktualną i docelową.
Oddziel ekspozycję inherentną, aktualną i docelową. Każda ocena zachowuje wersję metody, uzasadnienie, następny przegląd i odwołania do zatwierdzonych dowodów. Zmiana metody nie przepisuje poprzednich ocen. Cel nie jest już osiągniętą poprawą.
Zapisz i przekaż ocenę przed przeglądem akceptacji.
Zapisz i przekaż ocenę przed przeglądem akceptacji. Przekazanie blokuje edycję do zwrotu lub wycofania. W przykładzie Alex jako niezależny administrator środowiska zapisuje czasową akceptację powyżej apetytu na ryzyko. Ekspozycja pozostaje widoczna; akceptacja nie może przekraczać terminu następnego przeglądu.
Planuj działania z rezultatami, właścicielami, terminami i zależnościami.
Planuj działania z rezultatami, właścicielami, terminami i zależnościami. Osobny pakiet płacowy pokazuje zweryfikowane działanie usunięcia kont przypisane Mayi, podczas gdy potwierdzenie strumienia danych dostawcy przez Sama pozostaje planowane. Nie jest powiązany z pokazanym ryzykiem. Wspólny temat nie tworzy zapisanej relacji.
Właściciel przekazuje aktualny zatwierdzony dowód.
Właściciel przekazuje aktualny zatwierdzony dowód. Niezależny recenzent sprawdza ten sam dowód i zapisuje weryfikację lub zwraca pracę. Zmieniony dowód wymaga nowego przeglądu. Wszystkie działania pakietu muszą być zweryfikowane przed odrębnym procesem rozwiązania i niezależnego zamknięcia problemu.
Zweryfikowane działanie nie obniża automatycznie wyniku ryzyka.
Zweryfikowane działanie nie obniża automatycznie wyniku ryzyka. Przejrzyj pozostałą ekspozycję, zmienione dowody, wnioski z incydentów i wygasające akceptacje. Otwórz zaakceptowane ryzyko przed ponowną oceną, zachowując wcześniejszą decyzję i powód nowej oceny.
Wybierz krok, aby zobaczyć rzeczywisty rekord, osobę odpowiedzialną i powód kolejnego działania.
Omar wyjaśnia, że opóźnione usunięcie kont może pozostawić byłemu pracownikowi dostęp do płac. Zachowana ocena opisuje przyczynę, zdarzenie, skutek i uzasadnienie. Obecna ekspozycja wynosi 12, a cel 3.
Oceniający rozumie podstawę oceny i odróżnia obecną ekspozycję od planowanej poprawy.
Wartość 3 to cel, a nie osiągnięty wynik.
Przykładowy obszar roboczy · Interfejs w języku angielskim
Omar wyjaśnia, że opóźnione usunięcie kont może pozostawić byłemu pracownikowi dostęp do płac. Zachowana ocena opisuje przyczynę, zdarzenie, skutek i uzasadnienie. Obecna ekspozycja wynosi 12, a cel 3.
Oceniający rozumie podstawę oceny i odróżnia obecną ekspozycję od planowanej poprawy.
Wartość 3 to cel, a nie osiągnięty wynik.
Otwórz pełny ekran produktu ↗Zapis wskazuje Omara, datę docelową i plan uzgadniania odejść z dostępem do płac. Uprawniony oceniający rejestruje czasową akceptację na okres realizacji prac. Pozostała ekspozycja pozostaje widoczna.
Kolejny przegląd ma jasno wskazanego właściciela, termin oraz decyzję do ponownej oceny.
W tym przykładzie ryzyko nie ma zapisanych powiązań ze zgłoszeniami ani kontrolami.
Otwórz pełny ekran produktu ↗W odrębnym pakiecie działań płacowych Maya przesyła dowód usunięcia kont, a Alex niezależnie go weryfikuje. Potwierdzenie codziennego źródła danych o odejściach od dostawcy nadal jest planowane. Pakiet nie jest ukończony.
Właściciele i oceniający odróżniają przesłane prace, zweryfikowane wyniki i pozostałe działania.
Odrębny przykład: jedno działanie zweryfikowane, jedno planowane. Ukończenie pracy nie przelicza automatycznie ryzyka.
Otwórz pełny ekran produktu ↗Zachowany przykład używa metody v1 i progu apetytu 6/25. To odrębne pozycje oceny, nie wykres poprawy przed i po. Aktualna ekspozycja przekracza apetyt; akceptacja wymaga niezależnego administratora środowiska.
Pozycja inherentna zapisana w tej ocenie.
Zapisana pozostała ekspozycja; jeszcze nie spadła do celu.
Zamierzona pozycja po skutecznym postępowaniu, nie zweryfikowany wynik.
Wskaźniki, incydenty i ustalenia pomagają zespołowi określić priorytety. Każde zachowuje własne źródło i historię przeglądów.
Zachowaj progi, źródła pomiaru i aktualność. Niespełniony cel otwiera jeden powiązany problem lub aktualizuje istniejącą odpowiedź. Zwykłe sygnały ryzyka nie zmieniają wniosków o kontrolach; mogą to robić jawnie skonfigurowane testy kontroli. Zamknięcie wymaga aktualnego pomiaru zgodnego z celem, zamkniętych działań naprawczych i niezależnego przeglądu.
Oddziel wystąpienie, wykrycie i zgłoszenie. Rozróżnij zdarzenia potencjalne i rzeczywiste oraz potwierdzone straty w SAR, odzyskane kwoty i szacunki. Poproś o ponowną ocenę powiązanego ryzyka, gdy uzasadniają to wnioski. Zamknięcie operacyjne z otwartymi działaniami wymaga aktualnego niezależnego przekazania odpowiedzialności.
Przechodź przez dozwolone odwołania źródłowe do działań naprawczych. Ustalenia dostawców zachowują własny przegląd i sposób rozstrzygnięcia. Wyniki poprawek dotyczą zadeklarowanych zasobów i aktualizacji; zamknięte ustalenie lub działanie nie dowodzą pokrycia całego środowiska.
Właściciele działają w przyznanym zakresie. Właściciel ryzyka, oceniający i zgłaszający nie mogą zatwierdzić własnej akceptacji. Właściciele działań nie weryfikują własnej pracy. Uprawnieni niezależni recenzenci zapisują decyzję; audytorzy i kierownictwo korzystają wyłącznie z dozwolonych rekordów lub widoków do odczytu.
Niezależny aktywny lider GRC lub administrator środowiska może akceptować w granicach apetytu. Powyżej wymaga się niezależnego administratora. Ocena, metoda, dowody i termin ważności muszą spełniać opublikowane reguły środowiska.
Nie. Zweryfikowana praca wspiera nową ocenę; nie zmienia wyniku ani automatycznie nie zamyka ryzyka źródłowego. Pokazane ryzyko płacowe i pakiet działań są osobnymi przykładami.
Poproś o nową datę, podając uzasadnienie. Pierwotny termin obowiązuje do niezależnego zatwierdzenia zmiany. Wyjątki zachowują uzasadnienie i termin ważności; nie oznaczają ukończonej pracy.
Nie. Może uruchomić dalsze działania lub wniosek o ponowną ocenę, ale właściciel nadal musi wyjaśnić ekspozycję. Wniosek wynikający z incydentu pozostaje przy ryzyku i jest rozpatrywany w nowej zapisanej ocenie.
Prześledź ocenę, osoby odpowiedzialne i dowody potrzebne do następnej decyzji.