GRC, ryzyko, compliance i obszar prawny

Cel i mapa obszaru

Ten obszar obejmuje governance, ryzyko, zgodność i kwestie prawne. Składa się z czterech powiązanych hubów: GRC (polityki, kontrole, audyty, ustalenia), Compliance (obowiązki, dowody, atestacje), Risk (rejestr ryzyk z ustrukturyzowanymi metodykami) i Legal (sprawy prawne i dokumenty). Obejmuje typy GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING oraz encje prawne.

GRC

Do czego służy. To pulpit GRC (Governance, Risk & Compliance): zarządzanie politykami, kontrolami, audytami i ustaleniami (finding) przypisanymi do ram regulacyjnych.

Kiedy go używać. Do uzyskania ogólnego obrazu programu GRC i dostępu do jego obiektów.

Jak go otworzyć. Z Home / Security Hub (kafelek GRC).

Co pokazuje i jak z niego korzystać. Pulpit GRC z obiektami GRC-POLICY (cykl życia: projekt→przegląd→zatwierdzenie→publikacja→aktualizacja→wycofanie, z atestacją), GRC-CONTROL (kontrole przypisane do ram: stan, dowody, testy), GRC-AUDIT (planowanie, realizacja, przegląd ustaleń, raport) i GRC-FINDING (ważność, właściciel remediacji, śledzenie do zamknięcia/akceptacji ryzyka).

Co dzieje się dalej. Opublikowane polityki wymagają atestacji; otwarte ustalenia ukierunkowują remediację.

Uwagi. Obsługiwane ramy obejmują ISO 27001, NIS2, SOC2, RODO (GDPR).

Compliance & Governance

Do czego służy. Zarządza kontrolami zgodności przypisanymi do ram, ze stanem zgodności, dowodami i okresowymi testami.

Kiedy go używać. Do zarządzania systemem kontroli i weryfikowania ich zgodności.

Jak go otworzyć. Z obszaru GRC / Legal Hub.

Co pokazuje i jak z niego korzystać. Listę kontroli według ram ze stanem, dowodami i datami testów.

Co dzieje się dalej. Niezgodne kontrole generują ustalenia/działania.

Uwagi. Uzupełnia Compliance Workspace (Compliance Workspace).

Compliance Hub

Do czego służy. To wejście do modułu zgodności korporacyjnej, który wykorzystuje mechanizm kampanii HR (ze znacznikiem module) do obsługi obowiązków, kontroli, dowodów i atestacji.

Kiedy go używać. Do wyboru obszaru pracy w zakresie zgodności.

Jak go otworzyć. Z Home / Security Hub (kafelek Compliance).

Co pokazuje i jak z niego korzystać. Kafelki prowadzące do widoków Compliance Workspace (Compliance Workspace).

Co dzieje się dalej. Otwiera się wybrany widok.

Uwagi. Moduł Core, który współdzieli mechanizm kampanii z HR.

Compliance Workspace

Do czego służy. To konsola robocza zgodności, podzielona na widoki.

Kiedy go używać. Do zarządzania obowiązkami, kontrolami, dowodami, audytami, prywatnością i atestacjami.

Jak go otworzyć. Z Compliance Hub (kafelki).

Co pokazuje. Dostępne widoki:

Widok	Zawartość
board	Pulpit podsumowujący zgodność
adempimenti	Obowiązki i terminy
controls	Kontrole zgodności
ccm	Continuous Controls Monitoring
evidence	Zebrane dowody
gap	Analiza luk (gap analysis)
audit	Audyty zgodności
incidents	Incydenty zgodności
risk	Ryzyka zgodności
privacy	Prywatność / RODO
m231	Model 231
cra	Cyber Resilience Act
esg	ESG (zrównoważony rozwój)
regwatch	Monitorowanie regulacji
suppliers	Zgodność dostawców
training	Szkolenia z zakresu zgodności
catalog	Katalog obowiązków/wymagań
aigov / aiasst	AI Governance i asystent SI

Jak z niego korzystać. Należy wybrać widok; każdy widok oferuje własne listy, szczegóły i działania (tworzenie obowiązków, zbieranie dowodów, uruchamianie kampanii atestacyjnych, analiza luk). Kampanie atestacyjne wymagają podpisu potwierdzającego zapoznanie się.

Co dzieje się dalej. Obowiązki i dowody zasilają stan zgodności; kampanie generują prośby o podpis.

Uwagi. Mechanizm kampanii jest współdzielony z Hubem HR.

Risk Management Hub

Do czego służy. To wejście do zarządzania ryzykiem.

Kiedy go używać. Aby uzyskać dostęp do rejestru, kokpitu i narzędzi analizy ryzyka.

Jak go otworzyć. Z Home / Security Hub (kafelek Risk).

Co pokazuje i jak z niego korzystać. Kafelki prowadzące do Risk Cockpit i Risk Register (oraz narzędzi bowtie/FAIR/entity/crosswalk).

Co dzieje się dalej. Otwiera się wybrane narzędzie.

Uwagi. Obejmuje IT-RISK i ryzyka GRC.

Enterprise Risk Register

Do czego służy. To rejestr ryzyk przedsiębiorstwa: katalog ryzyk z oceną i postępowaniem z ryzykiem.

Kiedy go używać. Do rejestrowania, oceny i monitorowania ryzyk.

Jak go otworzyć. Z Risk Hub, kafelek Register.

Co pokazuje. Listę ryzyk z likelihood, impact, wyliczonym wynikiem i planem postępowania (Accept/Mitigate/Transfer/Avoid), właścicielem i datą przeglądu; mapę cieplną (prawdopodobieństwo × wpływ) oraz ekspozycję według kategorii.

Jak z niego korzystać. Tworzy się/ocenia ryzyko, przypisuje sposób postępowania i właściciela oraz planuje przegląd.

Co dzieje się dalej. Wysokie ryzyka ukierunkowują działania ograniczające i decyzje kierownictwa (Risk Cockpit).

Uwagi. Wynik jest wyliczany jako likelihood × impact.

Risk Cockpit

Do czego służy. To kierowniczy widok ryzyka: podsumowanie dla kierownictwa.

Kiedy go używać. Do strategicznego monitorowania profilu ryzyka.

Jak go otworzyć. Z Risk Hub, kafelek Cockpit.

Co pokazuje i jak z niego korzystać. Zagregowane KPI ryzyka, trendy i główne ryzyka z możliwością drill-down.

Co dzieje się dalej. Ukierunkowuje decyzje kierownictwa dotyczące ryzyka.

Uwagi. Zarezerwowany dla ról kierowniczych (zob. Kokpity i widoki kierownicze).

Risk Bowtie

Do czego służy. Przeprowadza analizę bow-tie: przyczyny → zdarzenie → skutki, z barierami prewencyjnymi i reaktywnymi.

Kiedy go używać. Do dogłębnej analizy ryzyka i projektowania barier.

Jak go otworzyć. Z Risk Hub / z rejestru.

Co pokazuje i jak z niego korzystać. Diagram bow-tie z przyczynami, zdarzeniem centralnym, skutkami i barierami; elementy modeluje się na diagramie.

Co dzieje się dalej. Bariery stają się kontrolami/działaniami do śledzenia.

Uwagi. Ustrukturyzowana metodyka jakościowa.

Risk FAIR

Do czego służy. Przeprowadza analizę ilościową FAIR (Factor Analysis of Information Risk): ekonomiczne oszacowanie ryzyka.

Kiedy go używać. Do wyrażenia ekspozycji na ryzyko w kategoriach pieniężnych.

Jak go otworzyć. Z Risk Hub / z rejestru.

Co pokazuje i jak z niego korzystać. Czynniki FAIR (częstotliwość, wielkość) i szacowany rozkład strat.

Co dzieje się dalej. Kwantyfikacja wspiera decyzje dotyczące postępowania z ryzykiem i ubezpieczenia.

Uwagi. Metodyka ilościowa.

Risk Entity

Do czego służy. Zarządza encjami ryzyka (obiektami/zasobami/procesami, których dotyczą ryzyka).

Kiedy go używać. Do powiązania ryzyk z encjami, których dotyczą.

Jak go otworzyć. Z Risk Hub.

Co pokazuje i jak z niego korzystać. Encje z powiązanymi ryzykami.

Co dzieje się dalej. Poprawia identyfikowalność powiązań ryzyko↔encja.

Uwagi. Uzupełnia rejestr.

Compliance Crosswalk

Do czego służy. To crosswalk, który mapuje ryzyka/kontrole na różne ramy zgodności (odpowiedniki między standardami).

Kiedy go używać. Do ponownego wykorzystania jednej kontroli w wielu ramach i unikania powielania pracy.

Jak go otworzyć. Z Risk Hub / obszaru Compliance.

Co pokazuje i jak z niego korzystać. Macierz odpowiedników między kontrolami a wymaganiami poszczególnych ram.

Co dzieje się dalej. Zmniejsza nakład pracy na zgodność z wieloma ramami.

Uwagi. Łączy Risk i Compliance.

Legal Hub

Do czego służy. To wejście do obszaru prawnego: sprawy, umowy, zgody, DSAR, legal hold, podpis elektroniczny.

Kiedy go używać. Aby uzyskać dostęp do narzędzi prawnych.

Jak go otworzyć. Z Home / Security Hub (kafelek Legal).

Co pokazuje i jak z niego korzystać. Kafelki prowadzące do Legal Cockpit, encji prawnych (według kategorii), umów, KB, kreatora raportów oraz linki do GRC/Risk/PSA.

Co dzieje się dalej. Otwiera się wybrane narzędzie.

Legal Entity

Do czego służy. Zarządza encjami prawnymi według kategorii.

Kiedy go używać. Do obsługi spraw, zgód, DSAR, legal hold i kopert do podpisu.

Jak go otworzyć. Z Legal Hub, kafelki według kategorii.

Co pokazuje. Encje według kategorii:

Kategoria	Zawartość
matter	Sprawa/spór prawny
legal_intake	Przyjmowanie wniosków prawnych
dsar_request	Wnioski DSAR (prawa osoby, której dane dotyczą, RODO)
consent_record	Rejestr zgód
legal_hold	Blokady prawne (zachowanie dokumentów)
esign_envelope	Koperty podpisu elektronicznego

Jak z niego korzystać. Należy wybrać kategorię i zarządzać odpowiednimi encjami (tworzenie, postęp, podpis).

Co dzieje się dalej. Sprawy przechodzą przez swój tok postępowania; koperty uruchamiają podpis elektroniczny.

Uwagi. Zarządzanie dokumentami korzysta z kolekcji prawnych (collections).

Legal Cockpit

Do czego służy. To kierowniczy widok prawny: podsumowanie spraw i wskaźników.

Kiedy go używać. Do nadzoru nad obszarem prawnym.

Jak go otworzyć. Z Legal Hub, kafelek Cockpit.

Co pokazuje i jak z niego korzystać. KPI prawne (otwarte sprawy, terminy, ekspozycja) z możliwością drill-down.

Co dzieje się dalej. Ukierunkowuje priorytety obszaru prawnego.

Uwagi. Zarezerwowany dla ról prawnych/kierowniczych.

Records Management

Do czego służy. Zarządza przechowywaniem rekordów (dokumentowych i ogólnych) zgodnie z politykami retencji.

Kiedy go używać. Do zarządzania rekordami objętymi obowiązkiem przechowywania i blokadami prawnymi (legal hold).

Jak go otworzyć. Z Legal Hub / Buildera.

Co pokazuje i jak z niego korzystać. Rekordy z ich klasą przechowywania i stanem; rekordy ogólne mogą być encjami utworzonymi w Builderze (Administracja).

Co dzieje się dalej. Rekordy są przechowywane/usuwane zgodnie z regułami; blokady prawne uniemożliwiają ich usunięcie.

Uwagi. Powiązane z legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

Do czego służy. Zarządzają kolekcjami dokumentów domen Risk i Legal (zbiorami dokumentów/dowodów).

Kiedy go używać. Do porządkowania i przeglądania dokumentów powiązanych z ryzykami i sprawami prawnymi.

Jak go otworzyć. Ze stron Risk/Legal.

Co pokazuje i jak z niego korzystać. Kolekcje z powiązanymi dokumentami; otwieranie w przeglądarce dokumentów/podpisie.

Co dzieje się dalej. Dokumenty zasilają dowody i sprawy.

Uwagi. Wykorzystują przeglądarkę załączników i podpisywanie dokumentów.