Förstå exponeringen, kom överens om åtgärden och håll ansvaret synligt fram till oberoende verifiering.
Målet är en målsättning, inte ett uppnått resultat.
En tidigare medarbetare kan behålla åtkomst till lönehanteringen eftersom avgångsmeddelande och kontoborttagning sker separat. Förklara orsaken, den möjliga händelsen och verksamhetskonsekvensen. Nästa granskare behöver det sammanhanget tillsammans med poängen.
Registrera orsak, händelse, konsekvens, berörd tjänst och ansvarig enhet.
Registrera orsak, händelse, konsekvens, berörd tjänst och ansvarig enhet. Förklara befintliga kontroller och bedömningens motivering. Omars exempel gör problemet begripligt utan att ge åtkomst till orelaterade poster.
Skilj på inneboende, aktuell och avsedd exponering.
Skilj på inneboende, aktuell och avsedd exponering. Varje sparad bedömning bevarar metodversion, motivering, nästa granskning och godkända bevisreferenser. En ändrad metod skriver inte om tidigare bedömningar. Målet är ingen redan uppnådd förbättring.
Spara och lämna in bedömningen före acceptansgranskning.
Spara och lämna in bedömningen före acceptansgranskning. Inlämningen låser redigering tills den återlämnas eller dras tillbaka. I exemplet registrerar Alex som oberoende tenantadministratör en tidsbegränsad acceptans över riskaptiten. Exponeringen förblir synlig och acceptansen får inte löpa längre än nästa granskning.
Planera åtgärder med resultat, ansvariga, datum och beroenden.
Planera åtgärder med resultat, ansvariga, datum och beroenden. Ett separat lönepaket visar åtgärden för kontoborttagning som tilldelats Maya som verifierad, medan Sams bekräftelse av leverantörsflödet fortfarande är planerad. Det är inte kopplat till den visade risken. Ett gemensamt ämne skapar ingen sparad relation.
Den ansvariga lämnar aktuellt godkänt underlag.
Den ansvariga lämnar aktuellt godkänt underlag. En oberoende granskare kontrollerar samma underlag och verifierar arbetet eller skickar tillbaka det. Ändrat underlag kräver ny granskning. Alla paketåtgärder måste vara verifierade innan problemet går vidare till sin egen lösningsprocess och oberoende stängning.
En verifierad åtgärd sänker inte riskpoängen automatiskt.
En verifierad åtgärd sänker inte riskpoängen automatiskt. Granska kvarvarande exponering, ändrade bevis, lärdomar från incidenter och acceptanser som löper ut. Återöppna en accepterad risk före ny bedömning och bevara det tidigare beslutet och anledningen.
Välj ett steg för att se den faktiska posten, den ansvariga personen och skälet till nästa åtgärd.
Omar förklarar hur sen kontoborttagning kan ge en tidigare anställd fortsatt åtkomst till löner. Den sparade bedömningen beskriver orsak, händelse, konsekvens och motivering. Dagens exponering är 12; målet är 3.
Granskaren förstår bedömningen och skiljer dagens exponering från förbättringen teamet vill uppnå.
Målvärde 3 är ett mål, inte ett uppnått resultat.
Fiktiv arbetsyta · Engelskt gränssnitt
Omar förklarar hur sen kontoborttagning kan ge en tidigare anställd fortsatt åtkomst till löner. Den sparade bedömningen beskriver orsak, händelse, konsekvens och motivering. Dagens exponering är 12; målet är 3.
Granskaren förstår bedömningen och skiljer dagens exponering från förbättringen teamet vill uppnå.
Målvärde 3 är ett mål, inte ett uppnått resultat.
Öppna hela produktskärmen ↗Behandlingsposten anger Omar, måldatum och planen att stämma av avgångar mot löneåtkomst. En behörig granskare registrerar tidsbegränsad acceptans medan arbetet pågår. Återstående exponering är synlig.
Nästa granskning har en tydlig ansvarig, tidsfrist och ett beslut att återbesöka.
Risken har inga sparade ärende- eller kontrollänkar i detta exempel.
Öppna hela produktskärmen ↗I det separata åtgärdspaketet för lön lämnar Maya bevis på kontoborttagning och Alex verifierar det oberoende. Bekräftelsen av leverantörens dagliga avgångsflöde är fortfarande planerad. Paketet är inte färdigt.
Ansvariga och granskare skiljer inskickat arbete, verifierade resultat och återstående åtgärder åt.
Separat exempel: en åtgärd verifierad, en planerad. Slutfört arbete räknar inte automatiskt om risken.
Öppna hela produktskärmen ↗Det bevarade exemplet använder metod v1 och riskaptitgränsen 6/25. Värdena är olika bedömningslägen, inte en förbättringskurva före och efter. Aktuell exponering ligger över gränsen; acceptans kräver en oberoende tenantadministratör.
Det inneboende läge som registrerats i bedömningen.
Registrerad kvarvarande exponering; den har inte sjunkit till målet.
Önskat läge efter effektiv behandling, inte ett verifierat resultat.
Indikatorer, incidenter och iakttagelser hjälper teamet att prioritera. Var och en behåller sin källa och granskningshistorik.
Behåll trösklar, mätkällor och aktualitet. Ett missat mål öppnar ett länkat problem eller uppdaterar den befintliga hanteringen. Vanliga risksignaler ändrar inte kontrollslutsatser; uttryckligt konfigurerade kontrolltester kan göra det. Stängning kräver en färsk mätning inom målet, stängt korrigerande arbete och oberoende granskning.
Skilj inträffande, upptäckt och rapportering åt. Separera tillbud från inträffade händelser samt bekräftade förluster i SAR från återvinningar och uppskattningar. Begär ny bedömning av en länkad risk när lärdomarna motiverar det. Operativ stängning med öppet korrigerande arbete kräver en aktuell oberoende överlämning.
Följ tillåtna källänkar till korrigerande arbete. Leverantörsiakttagelser behåller sin egen granskning och hantering. Patchresultat gäller deklarerade tillgångar och uppdateringar; en stängd iakttagelse eller slutförd åtgärd bevisar inte täckning av hela beståndet.
Ansvariga arbetar inom beviljad omfattning. Riskansvarig, bedömare och inlämnare får inte godkänna sin egen acceptans. Åtgärdsansvariga får inte verifiera sitt eget arbete. Behöriga oberoende granskare bevarar beslutet; revisorer och ledning använder endast tillåtna poster eller läsvyer.
En oberoende aktiv GRC-ansvarig eller tenantadministratör får acceptera inom riskaptiten. Över gränsen krävs en oberoende tenantadministratör. Bedömning, metod, bevis och slutdatum måste följa tenantens publicerade regler.
Nej. Verifierat arbete stöder en ny bedömning; det ändrar inte poängen och stänger inte källrisken automatiskt. Den visade lönerisken och åtgärdspaketet är separata exempel.
Begär ett nytt datum med en motivering. Ursprunglig tidsfrist gäller tills en oberoende granskare godkänner ändringen. Undantag behåller motivering och slutdatum; de motsvarar inte slutfört arbete.
Nej. Den kan skapa uppföljning eller begära ny bedömning, men den ansvariga förklarar fortfarande exponeringen. En incidentdriven begäran bevaras med risken och hanteras genom en ny sparad bedömning.
Följ bedömningen, de ansvariga personerna och underlaget som behövs för nästa beslut.