GRC, ризики, комплаєнс і юридичні питання

Призначення і карта області

Ця область охоплює управління, ризики, відповідність вимогам і юридичні питання. Вона складається з чотирьох пов’язаних хабів: GRC (політики, контролі, аудити, findings), Compliance (обов’язки, докази, атестації), Risk (реєстр ризиків зі структурованими методологіями) і Legal (юридичні справи і документи). Охоплює типи GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING і юридичні сутності.

GRC

Для чого. Це панель GRC (Governance, Risk & Compliance): керування політиками, контролями, аудитами і findings, зіставленими з нормативними фреймворками.

Коли використовувати. Для загального огляду програми GRC і доступу до її об’єктів.

Як відкрити. З Головної / Security Hub (плитка GRC).

Що показує і як користуватися. Панель GRC з об’єктами GRC-POLICY (життєвий цикл: чернетка→перегляд→погодження→публікація→оновлення→вилучення, з атестацією), GRC-CONTROL (контролі, зіставлені з фреймворками: стан, докази, тести), GRC-AUDIT (планування, виконання, перегляд findings, звіт) і GRC-FINDING (серйозність, відповідальний за виправлення, відстеження до закриття/прийняття ризику).

Що відбувається далі. Опубліковані політики потребують атестації; відкриті findings спрямовують виправлення.

Примітки. Серед підтримуваних фреймворків — ISO 27001, NIS2, SOC2, GDPR.

Compliance & Governance

Для чого. Керує контролями відповідності, зіставленими з фреймворками, зі станом відповідності, доказами і періодичними тестами.

Коли використовувати. Щоб вести систему контролів і перевіряти їх відповідність.

Як відкрити. З області GRC / Legal Hub.

Що показує і як користуватися. Список контролів за фреймворками зі станом, доказами і датами тестів.

Що відбувається далі. Невідповідні контролі породжують findings/дії.

Примітки. Доповнює Compliance Workspace (Compliance Workspace).

Compliance Hub

Для чого. Це вхід до модуля корпоративної відповідності, який використовує механізм кампаній HR (з тегом module) для обов’язків, контролів, доказів і атестацій.

Коли використовувати. Щоб вибрати робочу область комплаєнсу.

Як відкрити. З Головної / Security Hub (плитка Compliance).

Що показує і як користуватися. Плитки до подань Compliance Workspace (Compliance Workspace).

Що відбувається далі. Відкривається вибране подання.

Примітки. Модуль Core, який ділить механізм кампаній з HR.

Compliance Workspace

Для чого. Це робоча консоль комплаєнсу, поділена на подання.

Коли використовувати. Щоб керувати обов’язками, контролями, доказами, аудитами, приватністю й атестаціями.

Як відкрити. З Compliance Hub (плитки).

Що показує. Доступні подання:

Подання	Вміст
board	Зведена панель комплаєнсу
adempimenti	Обов’язки і строки
controls	Контролі відповідності
ccm	Continuous Controls Monitoring
evidence	Зібрані докази
gap	Gap-аналіз
audit	Аудити комплаєнсу
incidents	Інциденти комплаєнсу
risk	Ризики відповідності
privacy	Приватність / GDPR
m231	Модель 231
cra	Cyber Resilience Act
esg	ESG (сталий розвиток)
regwatch	Моніторинг законодавства
suppliers	Відповідність постачальників
training	Навчання з комплаєнсу
catalog	Каталог обов’язків/вимог
aigov / aiasst	AI Governance і помічник ШІ

Як користуватися. Вибираєш подання; кожне має власні списки, картки й дії (створення обов’язків, збір доказів, запуск кампаній атестації, gap-аналіз). Кампанії атестації потребують підпису про ознайомлення.

Що відбувається далі. Обов’язки й докази формують стан відповідності; кампанії створюють запити на підпис.

Примітки. Механізм кампаній спільний із Хабом HR.

Risk Management Hub

Для чого. Це вхід до керування ризиками.

Коли використовувати. Щоб відкрити реєстр, кокпіт та інструменти аналізу ризиків.

Як відкрити. З Головної / Security Hub (плитка Risk).

Що показує і як користуватися. Плитки до Risk Cockpit і Risk Register (та інструментів bowtie/FAIR/entity/crosswalk).

Що відбувається далі. Відкривається вибраний інструмент.

Примітки. Охоплює IT-RISK і ризики GRC.

Enterprise Risk Register

Для чого. Це корпоративний реєстр ризиків: каталог ризиків з оцінкою і обробкою.

Коли використовувати. Щоб реєструвати, оцінювати й відстежувати ризики.

Як відкрити. З Risk Hub, плитка Register.

Що показує. Список ризиків з likelihood, impact, розрахованою оцінкою і планом обробки (Accept/Mitigate/Transfer/Avoid), власником і датою перегляду; теплову карту (імовірність × вплив) і експозицію за категоріями.

Як користуватися. Створюєш/оцінюєш ризик, призначаєш обробку і власника, плануєш перегляд.

Що відбувається далі. Високі ризики спрямовують дії зі зменшення та рішення дирекції (Risk Cockpit).

Примітки. Оцінку розраховано як likelihood × impact.

Risk Cockpit

Для чого. Це керівне подання ризиків: зведення для дирекції.

Коли використовувати. Для стратегічного моніторингу профілю ризиків.

Як відкрити. З Risk Hub, плитка Cockpit.

Що показує і як користуватися. Зведені KPI ризиків, тренди й головні ризики з деталізацією.

Що відбувається далі. Спрямовує рішення дирекції щодо ризиків.

Примітки. Доступно лише керівним ролям (див. Кокпіти і керівні подання).

Risk Bowtie

Для чого. Виконує аналіз bow-tie: причини → подія → наслідки, із запобіжними і реактивними бар’єрами.

Коли використовувати. Щоб глибоко проаналізувати ризик і спроєктувати бар’єри.

Як відкрити. З Risk Hub / з реєстру.

Що показує і як користуватися. Діаграму bow-tie з причинами, центральною подією, наслідками і бар’єрами; ти моделюєш елементи.

Що відбувається далі. Бар’єри стають контролями/діями, які треба відстежувати.

Примітки. Структурована якісна методологія.

Risk FAIR

Для чого. Виконує кількісний аналіз FAIR (Factor Analysis of Information Risk): фінансова оцінка ризику.

Коли використовувати. Щоб оцінити експозицію ризику в грошовому вираженні.

Як відкрити. З Risk Hub / з реєстру.

Що показує і як користуватися. Фактори FAIR (частота, масштаб) і розподіл очікуваних втрат.

Що відбувається далі. Кількісна оцінка підтримує рішення щодо обробки ризику і страхування.

Примітки. Кількісна методологія.

Risk Entity

Для чого. Керує сутностями ризику (об’єктами/активами/процесами, до яких належать ризики).

Коли використовувати. Щоб пов’язати ризики з відповідними сутностями.

Як відкрити. З Risk Hub.

Що показує і як користуватися. Сутності з пов’язаними ризиками.

Що відбувається далі. Покращує простежуваність зв’язку ризик↔сутність.

Примітки. Доповнює реєстр.

Compliance Crosswalk

Для чого. Це crosswalk, що зіставляє ризики/контролі з різними фреймворками відповідності (відповідності між стандартами).

Коли використовувати. Щоб повторно використовувати один контроль для кількох фреймворків і уникати дублювання.

Як відкрити. З Risk Hub / області Compliance.

Що показує і як користуватися. Матрицю відповідності між контролями і вимогами різних фреймворків.

Що відбувається далі. Зменшує зусилля на відповідність кільком фреймворкам.

Примітки. Пов’язує Risk і Compliance.

Legal Hub

Для чого. Це вхід до юридичної області: справи, договори, згоди, DSAR, legal hold, електронний підпис.

Коли використовувати. Щоб відкрити юридичні інструменти.

Як відкрити. З Головної / Security Hub (плитка Legal).

Що показує і як користуватися. Плитки до Legal Cockpit, юридичних сутностей (за категоріями), договорів, KB, конструктора звітів і посилання на GRC/Risk/PSA.

Що відбувається далі. Відкривається вибраний інструмент.

Legal Entity

Для чого. Керує юридичними сутностями за категоріями.

Коли використовувати. Щоб працювати зі справами, згодами, DSAR, legal hold і конвертами для підпису.

Як відкрити. З Legal Hub, плитки за категоріями.

Що показує. Сутності за категоріями:

Категорія	Вміст
matter	Юридична справа/спір
legal_intake	Прийняття юридичних запитів у роботу
dsar_request	Запити DSAR (права суб’єкта даних, GDPR)
consent_record	Реєстр згод
legal_hold	Юридичні блокування (збереження документів)
esign_envelope	Конверти електронного підпису

Як користуватися. Вибираєш категорію і керуєш відповідними сутностями (створення, просування, підпис).

Що відбувається далі. Справи проходять свій шлях; конверти для підпису запускають електронний підпис.

Примітки. Керування документами використовує юридичні колекції.

Legal Cockpit

Для чого. Це керівне юридичне подання: зведення справ і показників.

Коли використовувати. Для нагляду за юридичною областю.

Як відкрити. З Legal Hub, плитка Cockpit.

Що показує і як користуватися. Юридичні KPI (відкриті справи, строки, рівень ризику) з деталізацією.

Що відбувається далі. Визначає пріоритети юридичної області.

Примітки. Доступно лише юридичним/керівним ролям.

Records Management

Для чого. Керує зберіганням записів (документальних і загальних) відповідно до політик зберігання.

Коли використовувати. Щоб керувати записами, які підлягають зберіганню, і legal hold.

Як відкрити. З Legal Hub / Builder.

Що показує і як користуватися. Записи з їхнім класом зберігання і станом; загальні записи можуть бути сутностями, створеними в Builder (Адміністрування).

Що відбувається далі. Записи зберігаються/видаляються за правилами; legal hold блокує їх видалення.

Примітки. Пов’язано з legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

Для чого. Керують колекціями документів доменів Risk і Legal (добірками документів/доказів).

Коли використовувати. Щоб упорядковувати й переглядати документи, пов’язані з ризиками та юридичними справами.

Як відкрити. Зі сторінок Risk/Legal.

Що показує і як користуватися. Колекції з пов’язаними документами; відкриття в переглядачі/для підпису.

Що відбувається далі. Документи живлять докази і справи.

Примітки. Використовують переглядач вкладень і підписання документів.