Вместо ручного сведения анкет — единая цепочка «процесс → риск → контроль → мониторинг». Модуль содержит реестр из 86 видов контролей, автоматически рассчитывает присущий и остаточный риск по матрицам, деактивирует связанные контроли при исключении риска из области обязательного контроля и ежедневно уведомляет о просроченной переоценке адекватности.
На показе открываем рабочий стенд: карточку риска с расчётом присущего и остаточного риска по матрицам, очередь согласования критичного изменения с блокировкой самосогласования и ежедневное уведомление о просроченной переоценке адекватности. На реальных экранах, без слайдов.
Сокращение трудозатрат на подготовку к проверкам и защита от операционных убытков — за счёт того, что расчёт риска, согласование и мониторинг идут в одном контуре, а не расходятся по анкетам и файлам. Если нужны подробности сначала — устройство цепочки процесс → риск → контроль → мониторинг. MCA (Manager’s Control Assessment). Разработано с учётом требований к организации самооценки рисков и контролей, предъявляемых к организациям под надзором Банка России.
Ситибанк, ICBC, SBI Bank, Mizuho Bank, Тойота Банк, Кредит Европа Банк, Международный Банк Азербайджана — закрывают контроли одновременно по корпоративной методологии материнской группы и по требованиям Банка России, каждый в своей иерархии таксономии.
Автоматизация цикла самооценки без расширения штата комплаенс-функции: лёгкая ролевая модель из пяти ролей и ежедневные уведомления о просроченной переоценке вместо ручного контроля сроков по таблице.
Цепочка «процесс → риск → контроль → мониторинг» с готовым реестром из 86 видов контролей и обязательным разделением полномочий на каждом согласовании — вместо самостоятельной сборки правил в Excel.
Про деньги — по вашим числам. Сокращение трудозатрат на подготовку к проверкам и защита от операционных убытков — считаются на ваших ставках и объёмах, не на чужих процентах: модуль убирает ручной свод анкет по каждому риску, контролю и мониторингу и хвост писем с напоминаниями, а просроченная переоценка адекватности перестаёт быть неожиданностью.
Каждый риск ссылается на процесс, каждый контроль — на риск, каждый мониторинг — на контроль. Состав реестров, колонок и статусов ниже — как в продукте.
Таблица листается вбок — колонок больше, чем помещается на экране.
| Идентификатор | Название риска | Присущий риск | Общий рейтинг контролей | Остаточный риск | Статус |
|---|---|---|---|---|---|
| R214 | Доступ к АБС для привилегированных пользователей | Уровень риска 1 | Частично неэффективны | Уровень риска 2 | Активен |
| R209 | Обработка платёжных поручений клиентов | Уровень риска 2 | Эффективны | Уровень риска 3 | Активен |
| R198 | Управление изменениями продуктивной среды | Уровень риска 3 | Нет оценки | — | Черновик |
| R187 | Взаимодействие с поставщиком печати карт | Уровень риска 4 | — | — | Не активен |
Риск в зоне обязательного контроля, пока его присущий риск соответствует уровням 1–3. У риска R187 присущий риск опустился до уровня 4 — система сбросила признак «требует тестирования» и деактивировала связанные контроли и мониторинги автоматически.
| Идентификатор | Название контроля | Тип | Адекватность | Эффективность | Статус |
|---|---|---|---|---|---|
| C512 | Двухфакторная аутентификация привилегированного доступа | Превентивный | Адекватный | Неэффективно | Активен |
| C498 | Ежедневная сверка платёжных поручений с реестром | Детективный | Адекватный | Эффективно | Активен |
| C477 | Согласование доступа руководителем подразделения | Превентивный | Неадекватный | Неэффективно | Черновик |
Эффективность контроля C512 понижена автоматически: к нему привязано событие операционного риска, чьи валовые потери за последние 90 дней превысили порог в 300 000 ₽.
| Идентификатор | Название мониторинга | Частота | Период 1 (Последний) | Период 2 | Статус |
|---|---|---|---|---|---|
| M1032 | Повторное проведение сверки платёжных поручений | Ежеквартально | Пройден с замечаниями | Пройден | Активен |
| M1011 | Инспекция журналов привилегированного доступа | Ежемесячно | Не пройден | Пройден | Активен |
| M998 | Метрика количества сбоев печати карт | Еженедельно | Активность отсутствовала | — | Черновик |
Результат мониторинга — одно из четырёх значений: «Пройден», «Пройден с замечаниями», «Не пройден», «Активность отсутствовала». Мониторинг M1011 без своевременных результатов не даёт риску подняться до наивысшего рейтинга контролей.
Интерфейс продукта на нейтральных данных. Состав реестров, колонок и статусов — как в продукте.
Риск регистрируется один раз. После заполнения анкеты система рассчитывает его уровень и направляет критичные изменения на согласование. На каждом этапе фиксируются статус, ответственный и история изменений.
Как обычно
Кто внёс критичное изменение и кто его согласовал — видно только по переписке. Просроченная переоценка адекватности обнаруживается, когда о ней спросят.
В системе
История изменений · очередь согласования «было → стало» · ежедневные уведомления о просроченной переоценке
Версия одна. Согласовать критичное изменение не может тот, кто его внёс. Уведомление о просроченной переоценке уходит проверяющим само.
Три роли, для которых в модуле есть отдельные права, уведомления и разделы.
Держит весь цикл самооценки, но без общего реестра сверяет статусы рисков, контролей и мониторингов по разрозненным анкетам и файлам каждого подразделения вручную. В модуле — согласует карточки риска, контроля и мониторинга в одном месте и получает уведомление обо всех контролях и мониторингах с просроченной переоценкой адекватности, а не ищет их сам.
Отвечает за модель прав перед внедрением, но без отдельного контура не может ограничить доступ до конкретного справочника или функции модуля. В модуле — администрирует пять ролей с раздельными правами просмотра, изменения, создания и удаления объектов, справочников и функций — независимо от прав остальной платформы.
Определяет пороговые параметры самооценки и назначает роли, но без готовых матриц каждое решение об уровне риска держится на памяти конкретного сотрудника. В модуле — присущий и остаточный риск считаются по заданным матрицам, а порог валовых потерь и период привязки событий операционного риска настраиваются в конфигурации модуля.
Правила разделения полномочий встроены в расчёты, согласование и уведомления модуля.
Один человек не может изменить критичное поле и сам его согласовать
Кнопка «Согласовать» не срабатывает для того же сотрудника, который внёс изменение — система проверяет автора последней записи в истории, а не полагается на память согласующего. Правило действует на любую активную карточку риска, контроля и мониторинга.
Пять ответов анкеты оценки риска — по финансовым, регуляторным, репутационным последствиям, риску недобросовестного поведения и нарушению работы бизнеса — сверяются с матрицей «потери × вероятность», и в карточку записывается наиболее строгий из пяти уровней риска. Отдельная матрица переводит присущий риск и общий рейтинг контролей в остаточный риск.
Если к контролю привязано открытое нарушение значимой критичности или события операционного риска, чьи валовые потери за настраиваемый период (по умолчанию 90 дней) превысили настраиваемый порог (по умолчанию 300 000 ₽), эффективность контроля пересчитывается автоматически — без отдельного обращения к ответственному.
Пока согласующий не подтвердил правку утверждаемого поля активной карточки, в ней остаётся прежнее значение, а само изменение стоит в очереди с записью «было → стало». Вопрос «кто и когда изменил» закрывается записью в истории, а не перепиской.
Осталось отметить из условий — кнопка «Активировать риск» недоступна, как и в самом модуле.
Все условия выполнены — риск можно активировать.
Как только присущий риск опускается до уровней 4–5, система сбрасывает признак «требует тестирования», а все активные контроли риска вместе с их мониторингами деактивируются каскадом — без отдельного действия пользователя.
Каждое утро плановое задание проверяет контроли и мониторинги, у которых дата следующей переоценки адекватности наступила или прошла, и рассылает уведомление всем сотрудникам с ролью проверяющего — без ручной сверки календаря.
ИБ-администратор, создатель, проверяющий, владелец мониторинга и аудитор модуля получают раздельные права просмотра, изменения, создания и удаления объектов, справочников и функций модуля — вплоть до отдельного права на согласование и на ввод результатов мониторинга.
Удаление риска или контроля дополнительно блокируется, если хотя бы один дочерний элемент уже вышел из статуса «Черновик»: сначала нужно вернуть цепочку в исходное состояние, и только потом удалять.
Восемь разделов — переходите к тому, что решает вашу задачу прямо сейчас.
Границы применимости — с обеих сторон, чтобы разговор о пилоте сразу шёл по существу.
Подходит, если
Не хватит, если
Разработано с учётом требований Банка России
Продукт разработан с учётом требований к организации самооценки рисков и контролей, предъявляемых к организациям под надзором Банка России. Состав таксономий, ролей и отчётов настраивается под вашу организацию без правки кода.
Разработчик — российская компания ООО «Ланселот-ИТ». Продукт разворачивается в инфраструктуре заказчика, внешние сервисы для работы ему не требуются.
Платформа внедрена в банках и профессиональных участниках рынка под надзором Банка России
Перечень относится к платформе в целом; состав внедрённых продуктов у каждой организации свой.
Показываем систему на рабочем стенде: расчёт присущего и остаточного риска, блокировку самосогласования на согласовании и ежедневное уведомление о просроченной переоценке. Без слайдов. Состав показа согласуем заранее.
Обычный маршрут карточки риска — от черновика до автоматического уведомления — за пять шагов, на тех же экранах, что и на странице.
1 Черновик риска и анкета оценки
Создатель заполняет анкету оценки риска: вероятность и пять видов последствий — финансовые, регуляторные, репутационные, недобросовестное поведение, нарушение работы бизнеса.
2 Присущий риск рассчитан
Система берёт самый жёсткий из пяти уровней — здесь Уровень риска 1 — и записывает его в карточку риска.
3 Согласование заблокировано для автора изменения
Правило действует на любое утверждаемое поле активной карточки риска, контроля и мониторинга: согласовать своё же изменение нельзя.
4 Контроль понижен по событию операционного риска
Превышение настраиваемого порога валовых потерь по связанным событиям операционного риска автоматически понижает рейтинг контроля.
5 Ежедневное уведомление о просроченной переоценке
Плановое задание рассылает уведомление всем проверяющим — не только ответственному за карточку.
На демонстрации это работает на живом стенде.
Запросить демонстрациюКак с нами связаться
Отвечаем в рабочие дни. Если удобнее письмом — напишите, приложив вопрос по существу.