Что такое встроенный контроль бизнес-процессов

Зачем нужен встроенный контроль бизнес-процессов

ПрактикаПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 отвечает за то, чтобы данные не портились по дороге через бизнес-процесс: не терялись, не искажались и не доставались тем, кому не положено.

COBIT говорит это так: решить, какие проверки нужны внутри бизнес-процессов, и держать их в рабочем состоянии — чтобы сведения, которые эти процессы обрабатывают, своими силами или на стороне, отвечали требованиям к контролю 1. Назначение там же сформулировано короче: сохранять целостность сведений и защищённость информационных активов, с которыми работают процессы предприятия — свои или отданные наружу 1.

Практика живёт на границе между ИТ и бизнесом. Меры здесь встроены не в системы, а в порядок работы людей: кто вводит, кто утверждает, кто видит результат.

Пример короче некуда: платёж заводит один человек, подтверждает другой, и в журнале видно обоих. Ни одно из трёх условий не про технику — все три про то, как устроен сам порядок работы.

Отсюда её отличие от соседей. Защита сведений отвечает за средства и правила защиты. Эта практика — за то, чтобы в самом ходе работы нельзя было провести операцию без права, потерять её след или отправить результат не тому.

Когда практика работает

Три вопроса, ответы на которые видны по журналам операций, а не по описанию процесса.

Роли и права разведены. Как проверить: у ролей процесса заданы права доступа и уровни полномочий, а несовместимые обязанности разделены 1.

Операция прослеживается. Как проверить: сведения можно проследить до породившего их событияСобытиеИзменение состояния, замеченное мониторингом.ITIL 4 и до ответственных сторон 1.

Ошибки не тонут. Как проверить: есть порядок назначения владельца ошибки, её исправления и обхода, а свидетельства исправлений сохраняются 1.

Что входит и что рядом

Что на входе и что на выходе

Практика получает цели и риски бизнеса, требования регуляторов и правила защиты. Отдаёт работающие меры внутри процессов и свидетельства того, что сведения обрабатываются как задумано.

Шесть работ практики

COBIT раскладывает практику на шесть работ 1.

Работа	О чём она
Согласование проверок с целями	Постоянно оценивать ход процессов и меры в них, исходя из рисков бизнеса
Контроль обработки сведений	Обработка должна быть разрешённой, полной, точной, своевременной и защищённой
Роли и полномочия	Роли, уровни полномочий и разделение обязанностей; доступ к активам, включая те, что у подрядчиков
Ошибки и исключения	Порядок назначения владельца ошибки, исправления, обхода и передачи выше
Прослеживаемость	Возможность проследить сведения до породившего события и ответственных
Защита активов	Защита сведений в электронном и бумажном виде, а также при передаче

Про обработку сведений перечень получается вполне земной:

• операцию создаёт уполномоченный человек по установленному порядку, и создание с утверждением по возможности разделены;
• личность автора подтверждают, а его право на операцию проверяют;
• данные вводят вовремя и проверяют: точны ли, полны ли и разрешены ли;
• ошибочные данные возвращают на исправление как можно ближе к месту, где ошибка возникла;
• исправленное вводят заново, не обходя исходные уровни полномочий;
• целостность данных держат весь цикл обработки и подтверждают после сбоев;
• выходные сведения отдают по установленному порядку тому, кому они предназначены, и защищают при передаче 1.

Отдельно стоит сказать про разделение обязанностей. Рядом с правами доступа оно стоит не случайно: там, где один человек и создаёт операцию, и утверждает её, любые технические меры бессильны 1.

Как это работает

Цвет шага: приём, учёт, работа с обращением техническая работа решение и полномочия проверка, разбор, улучшение

COBIT предлагает и показатели 1:

• какая доля критичных процессов и ключевых проверок попала в опись;
• какая доля ключевых проверок покрыта планами испытаний;
• сколько инцидентовИнцидентНезапланированное прерывание услуги или снижение её качества.ITIL 4, практическое руководство по управлению инцидентами и находок аудита указывают на отказ ключевых проверок;
• у какой доли ролей назначены права и уровни полномочий;
• у какой доли ролей обязанности ясно разделены;
• насколько полон прослеживаемый журнал операций 1.

Что с чем путают

Проверки внутри процесса и защита систем. Первые встроены в порядок работы, вторые — в технику; они дополняют друг друга. Разбор про защиту — SECУправление информационной безопасностью.

Права доступа и полномочия. Доступ даёт возможность видеть и менять, полномочия — право решать; держат их рядом, но различают 1.

Ошибка и инцидент. Ошибка в операции исправляется порядком этой практики, сбой услугиУслугаСпособ дать потребителю нужный результат, не перекладывая на него управление затратами и рисками.ITIL 4, книга ITIL Foundation — практикой инцидентов.

Прослеживаемость и журналирование. Журнал — средство; прослеживаемость — свойство: по сведениям можно дойти до события и ответственного 1.

Проверки и бюрократия. Меры положено согласовывать с рисками предприятия, а не наращивать проверки ради проверок 1.

Кто участвует

Как измерять

Каждая цель проверяется парой «охват — провалы». COBIT меряет все три цели этой практики одинаково: рядом с показателем охвата стоит счётчик случаев, когда охвата не хватило 1. Полнота описи критичных процессов и ключевых проверок и доля ключевых проверок в планах испытаний — против числа инцидентов и находок аудита, показывающих отказ ключевых проверок. Доля ролей с назначенными правами и доля ролей с разделением обязанностей — против числа инцидентов и находок аудита из-за нарушений доступа или разделения обязанностей. Полнота прослеживаемого журнала операций — против числа случаев, когда историю операции восстановить не удалось.

Пара нужна потому, что охват считают сами, а провалы приносят снаружи. Первая половина каждой пары меряется по собственной описи и всегда выглядит прилично: проверки перечислены, роли расписаны, журнал ведётся. Вторая приходит от аудита и от инцидентов и не зависит от того, как аккуратно заполнена опись. Расхождение между половинами и есть настоящий результат: девяносто процентов охвата при растущем числе находок аудита означает, что описаны не те проверки.

Разделение обязанностей — единственный показатель, который упирается в размер организации. Доля ролей с ясным разделением обязанностей 1 в небольшой команде недостижима физически: один человек и заводит платёж, и подтверждает его. Это не повод не считать показатель — это повод считать его вместе с числом инцидентов и находок по нарушениям разделения обязанностей и компенсировать невозможное последующим контролем.

Зрелость встроенного контроля бизнес-процессов

✕

Где ломается чаще всего

Шесть мест, в порядке частоты.

Описи нет. Никто не назвал, какие процессы критичны и какие меры в них ключевые 1.

Один человек делает и утверждает. Разделение обязанностей не заведено, и техника тут не спасает 1.

Права выданы людям, а не ролям. При смене должности доступ остаётся, и опись прав перестаёт что-либо значить 1.

След теряется. Восстановить, кто и когда провёл операцию, невозможно 1.

Ошибки исправляют в обход правил. Данные правят напрямую, минуя утверждение. COBIT требует обратного: исправленное вводят заново, не обходя исходные уровни полномочий 1.

Меры не испытывают. Проверки описаны, планов испытаний нет, и об отказе узнают из отчёта аудитора 1.

Что говорят своды

69Своды знаний и стандарты — разобраны отдельноЧем ITIL отличается от COBIT и ISO, что из этого обязательно, а что на выбор, и где брать первоисточник. У каждого свода отмечено, развивается он или давно заморожен, и есть ли действующий ГОСТ. По 51 практикам из 62 проставлено соответствие COBIT.Открыть →

COBIT держит встроенный контроль бизнес-процессов отдельным процессом из шести работ в домене предоставления и поддержки 1.

ГОСТ Р ИСО/МЭК 20000-1 отдельного требования под это не заводит, но требует внутренних аудитов и распределения полномочий — то есть проверяет практику косвенно 2.

ITIL ближе всего подходит к теме через защиту сведений и управление доступом: проверки внутри процессов там живут в других практиках.

COBIT, процесс внутреннего контроля проверяет работоспособность этих мер и сообщает о недостатках 3.

Смысл разделения такой: эта практика меры создаёт и поддерживает, а мониторинг внутреннего контроля проверяет, что они работают.

Где описано

Что почитать дальше

Три соседние практики, между которыми стоят проверки внутри процессов: SECУправление информационной безопасностью — чем защищаем, DScОбеспечение безопасности данных — кто и куда допущен, MICМониторинг системы внутреннего контроля — кто проверяет, что меры работают.