展现合规

由于存在数以千计的行业标准、内部政策和不断变化的监管要求，所以在不断变化的合规环境中优化审计范围是一项艰巨的任务。组织必须采用必要的流程和技术来适当地识别、合理化、优先处理和降低合规风险。在本文中，我们将讨论如何使用项目、框架和合规地图应用程序证明合规计划的保障。

本文阐述了如何证明符合 COBIT® 5 框架。但是，也可以应用相同的工作流来证明符合以下要求：

适用于金融机构的规范，例如《诚实贷款法》（Truth-in Lending）、《反洗钱法》（Anti-Money Laundering）或《存款保险法》（Depository Insurance）
其他 IT 安全框架，如 ISO 或 NIST
数据隐私规范，例如欧盟《一般数据保护条例》（GDPR）、《金融服务法现代化法案》（GLBA）、《健康保险隐私及责任法案》（HIPAA）和《家庭教育权利和隐私权法》（FERPA）
适用于政府或高等教育的规范，例如《统一拨款指导》（Uniform Grant Guidance）、《单一审计法》（Single Audit）或《高等教育法》第四章（Title IV）

展现合规意味着什么？

展现合规意味着组织致力于遵守适用于其的规范和标准开展业务。

展现合规不仅须表明已满足合规要求，还须说明如何满足要求以及为实现持续合规而制定的结构化程序。

我在哪里展现合规？

在 Diligent，我们使用项目、框架和合规地图应用程序向评估员和其他感兴趣的第三方证明存在强大的控制环境。我们的合规计划可以防止我们的组织被卷入监管执法诉讼或发生数据泄露。它还可让我们与需要遵守各种规范和标准的业务利益相关者合作。

全盘视角

合规地图是合规团队通过将要求映射到框架中包含的现有组织控制措施，来执行初步合规差距和风险评估的地方。
框架与合规地图结合使用，以集中捕获要求与控制之间的主关系，管理不断变化的监管和业务环境中的控制变更，并构建单个项目。
项目用于测试控制的设计和运行有效性，并捕获问题。如果需要，您也可以将更改从项目同步回框架。

当您将要求映射到框架控制时，来自多个项目的测试结果和问题会自动汇总到合规映射，从而让您可以实时跟踪并报告合规状态。

步骤

准备好进行了解了吗？

让我们在情境中仔细了解上述功能。

1.设置方案

构建合规计划的第一步是设置您的项目和框架。您可以创建框架来管理结构化信息集，并使用框架来构建多个项目。您还可以根据组织的标准自定义项目中的术语和标签，如果您想将这些更改应用到其他项目，可以将更改从项目同步回框架。

设置项目和框架

框架有助于减少设置项目所涉及的手工操作，并可用于集中管理不断变化的监管和业务环境中的信息。

配置项目术语

术语在不同类型的项目之间可能有很大差异，在执行相同类型项目的组织之间也是如此。组织可以配置不同的项目类型，以便每个团队使用的术语能反映在相关的项目中。

2.确定权威文件

设置项目和框架后，下一步是确定适用于您的组织的权威文件，并将上述文件包含在合规映射中。

权威文件的形式如下：监管机构（例如，政府）公布的规范、专业实践机构或行业协会出台的专业标准或高级管理层制定的内部政策或程序。

提示

某些标准和规范可作为您的常规订阅计划的一部分提供。通过订阅内容和情报库提供的合规套件，可以获得额外的标准和规范。它是行业特定内容的中央存储库，可用于 Diligent 产品。

3.解释和合理化要求

在将相关内容导入合规地图后，您可以执行合规风险评价/评估，并开始解释和合理化要求的过程。您完全控制内部合规流程，包括您想要落实的范围，以及您想要达到的合规覆盖范围级别。

执行合规风险评估

实施高质量合规计划的组织可以系统地识别和评价/评估风险。合规风险评估提供了评估标准或规范适用性的手段，优先考虑应首先管理的标准或规范，并告知哪些要求可能适用于组织。

确定所涵盖的适用要求

完成合规风险评估后，您可以开始识别所涵盖的适用要求的流程。

您可以使用两种主要方法来解释和合理化要求：

严格按合规要求逐一落实并执行可降低违规风险，但会增加合规实施与管理的负担
运用专业判断解读要求，并使组织的最佳覆盖合理化可减轻合规负担，但可能增加组织的违规风险。

提示

良好的合规战略试图使所需流程合理化并控制变化，以便通过尽可能多地利用现有流程来最大化合规覆盖范围。

查看示例

示例

场景

合规风险评估的结果可让您解释和合理化 COBIT®5 框架中的要求。您需要应用专业判断并使组织的最佳覆盖合理化。

流程

帮助主题创建合规地图

在合规地图中，您标记了适用于您组织的每一项要求，并提供了说明该要求适用原因的理论依据。

您如下捕获 DSS05.04 管理用户身份和逻辑访问的要求信息：

适用是
覆盖是
基本原理作为合规风险评估的结果，此要求已被识别为适用于该组织。

最后，您将以下现有控制映射到要求 DSS05.04 ：

控制 ID	控制描述	控制权重
LA-008	对支持生产应用程序的数据库的访问仅限于需要访问其数据库管理工作职能的个人。	50%
LA-009	支持生产应用程序的数据库强制执行与系统上的数据存储系统相关的适当的密码和安全性参数。	50%

结果

您已经按照要求处理一切内容并相应地实施了两个直接控制。任何与控制相关的测试结果和问题被汇总到合规映射，以进行报告。

4.执行项目证明

通过将框架用作信息的集中存储库，您可以执行证明项目以开展运营风险评估，与控制负责人合作集中跟踪所有目标的合规绩效，并捕获问题。开展证明项目让您可以基准评估组织在管理合规风险和要求方面的表现。

执行运营风险评估

执行运营风险评估是个涉及确定组织面临多少风险的过程。您可以开发一组通用的评估标准，可以在营运部门、实体或业务单位之间使用，并根据定义的评分框架评估运营风险。

提示

为避免手动评估运营风险，您可以使用评估推动器自动执行不同的风险评估。您可以将在结果应用程序中创建的度量链接到项目中的风险评估，以为评估提供参考，并根据预定义的度量范围自动填充固有风险分数。

查看示例

示例

场景

您的组织拥有成熟和完善的运营风险评估流程，并采用三分制从两个维度（可能性、影响）评估风险：

1 = 低
2 - 中
3 - 高

现在，您需要评估固有风险评分，以确定在没有实施控制或其他缓解因素的情况下，组织面临的原始风险。

流程

帮助主题

您在网络安全审核和 IT 一般控制审核 项目中捕获了以下信息：

项目	风险	影响	可能性
网络安全审核	风险 LA-：无标题风险维持适当数据访问限制的个人工作职责不够明确或不可行。	2 = 中	1 = 低
IT 一般控制审查	风险 LA-：无标题风险维持适当数据访问限制的个人工作职责不够明确或不可行。	2 = 中	3 - 高

结果

已完成固有风险评价/评估。固有风险分数汇总到框架中以用于报告目的。

记录和评估控制

控制所有者可以帮助记录控制的存在情况，通过证明和/或附加证据来评估其有效性，制定行动计划以实施缺失的控制并解决不合规的问题，或解释为什么不需要控制。

提示

组织中的一线员工可以使用任务控制应用程序，管理他们在项目应用程序之外有权访问的控制。任务控制是一款以简化且集中的视图展示来自项目的控制信息的应用程序。

捕获问题和操作

您可以在整个合规审查过程中捕获并分配标记过的问题以进行补救，并将问题委派给控制或问题负责人以更新状态和相关行动计划。您还可以将操作分配给利益相关者，以便跟踪、捕获证据和解决问题。

5.报告合规情况

最后，合规是运行管理良好和控制良好的计划的结果。合规地图使所有三道防线能够快速深入了解每个部门正在开展的工作，并实时查看汇总信息。

为了说明合规进度，您可以使用单一的总体度量（覆盖范围）评估您的合规保障。此度量使管理层能够即时了解组织遵守规范、业务流程或实体的程度。您也可以随时生成沟通各种控制区域的状态以及作为整体的程序进展的实时报告。

后续步骤

了解如何实施和自动化合规计划

结果应用程序可让评估员通过数据分析捕获意外事件，定义触发工作流以管理意外事件，进行根源分析和补救活动，并在准备好报告后关闭案例。

要了解更多信息，请参阅实施合规计划。