Реестр контролей: структура и оценка
86 видов контролей в реестре MCA (Manager’s Control Assessment) — не список, а иерархия: класс контроля → тип → подтип. Каждый контроль в вашем риске выбирается из этого справочника, а не вводится текстом, поэтому два подразделения никогда не назовут одну и ту же защитную меру по-разному.
Структура и иерархия справочника видов контролей
Справочник видов контролей — трёхуровневая иерархия: класс контроля, внутри него тип, внутри типа — конкретный подтип. Пример вложенности (структура, а не полный состав всех 86 записей): «Аутентификация и авторизация» → «Аутентификация» → «Аутентификация пользователя». Такая глубина позволяет и искать контроль по общей категории, и указывать в карточке предельно конкретную формулировку.
Аутентификация и авторизация класс контроля
- Аутентификация — тип контроля
- Аутентификация пользователя — подтип, выбирается в карточку
- Авторизация и разграничение доступа — тип контроля
Ещё 85 записей справочника другие классы контролей
Полный состав справочника — 86 записей, сгруппированных по классам контролей; конкретный перечень для вашей организации фиксируется на этапе внедрения.
Привязка контролей к рискам через справочник
Контроль добавляется в карточку риска тем же модальным селектором дерева, что и сами риски: множественный выбор, доступны только конечные узлы справочника. Добавить в риск целую категорию контролей одним кликом нельзя — только конкретный подтип, а значит в карточке риска всегда видно, какая именно защитная мера снижает его, а не общее направление.
Пример состава реестра на этой странице приведён на общих русскоязычных формулировках — как ориентир структуры справочника, а не как фиксированный отраслевой стандарт: состав и формулировки 86 записей настраиваются под вашу организацию при внедрении.
Состав карточки контроля
Проведите пальцем по таблице, чтобы увидеть все поля.
| Поле | Значение |
|---|---|
| Статус | Черновик |
| Тип контроля | Превентивный / Детективный |
| Периодичность выполнения | Цикличный / На основании события |
| Частота | Ежедневно … Раз в 2 года (8 вариантов) |
| Уровень автоматизации | Автоматический / Гибридный / Полностью ручной |
| Рейтинг адекватности | рассчитывается |
| Эффективность контроля | рассчитывается |
| Ответственный / заместитель | ФИО сотрудника |
Цель, подтверждение выполнения и описание контроля — обязательные текстовые поля, без которых карточку нельзя провести дальше черновика.
Расчёт рейтинга и эффективности контроля
Рейтинг адекватности контроля считается по анкете дизайна контроля из восьми вопросов — частота, исполнитель, устойчивость к изменениям, подтверждение выполнения и так далее. Хотя бы один ответ «Нет» или пропущенный ответ — и рейтинг становится «Неадекватный»; только при всех положительных ответах контроль получает «Адекватный». Правило жёсткое и без исключений: анкета не даёт активировать контроль, дизайн которого сам себя не подтверждает.
Эффективность считается только для уже активных контролей — и это логическое «И» сразу пяти условий: результат последнего мониторинга, адекватность мониторинга, отсутствие проблем по событиям операционного риска, адекватность дизайна контроля и отсутствие проблем по привязанным нарушениям. Один провал — и контроль в целом не может считаться эффективным, сколько бы остальные условия ни выполнялись.
- 8вопросов анкеты адекватности дизайна
- 5условий в проверке эффективности
- 2типа контроля: превентивный, детективный
Влияние привязанных нарушений и событий операционного риска
Контроль не может «забыть» о собственных проблемах. Если к нему привязано открытое нарушение с высокой или средней критичностью, добавленное менее чем за настраиваемый период (по умолчанию 90 дней) до проверки, — эффективность контроля падает до «Недостаточно». То же самое с событиями операционного риска: система суммирует валовые потери по всем привязанным к контролю событиям и сверяет с настраиваемым порогом (по умолчанию 300 000 рублей) — превышение порога или слишком недавняя привязка события не дают контролю считаться работающим.
«Очень эффективно» недостижимо, пока по риску есть открытые хвосты
Общий рейтинг контролей риска не может получить наивысшую оценку «Очень эффективны», пока у его контролей есть хоть одно открытое нарушение или незакрытое событие операционного риска за период привязки — система снижает рейтинг до «Эффективны», даже если формально доля эффективных контролей равна 100%. Красивую цифру нельзя получить, просто не разбирая нарушения.
Статусная модель контроля
Контроль проходит через три статуса: «Черновик» (рабочий план на стадии наполнения), «Активен» и «Не активен». Вернуться в «Черновик» после первой активации нельзя — список статусов для карточки, покинувшей черновик, его больше не предлагает: история контроля не обнуляется откатом статуса. Активировать контроль можно только при заполненных обязательных полях и хотя бы одном активном мониторинге под ним; деактивация происходит вручную или каскадно — если риск, к которому относится контроль, вышел из скоупа самооценки.
Что это даёт ИТ-директору
Справочник контролей един для всей организации. Его структура изменяется централизованно; отдельные карточки используют значения из справочника. Расчёт рейтинга и эффективности выполняется тем же расчётным движком платформы, что и остальные показатели MCA, — не требует отдельного сервиса. Связь контроля с нарушениями и событиями операционного риска идёт через выделенные таблицы связи, что делает выгрузку «какие контроли затронуты открытым нарушением» прямым запросом, а не сведением вручную.