Домен "Мониторинг и оценка": процессы, отвечающие за мониторинг и оценку деятельности ИТ

15.3. ME 3. Обеспечение соответствия внешним требованиям

Эффективный надзор за соответствием внешним требованиям требует установления процесса анализа соответствия требованиям законодательства, регулирующих норм и условий контрактов. Данный процесс включает в себя выявление применимых требований, оптимизацию и оценку результатов, получение уверенности в том, что требования соблюдены, и, наконец, интеграцию отчетности о соответствии ИТ внешним требованиям с корпоративной отчетностью.

Рис. 15.3. Процесс "Обеспечение соответствия внешним требованиям"

Обеспечение соответствия внешним требованиям

удовлетворяет следующим бизнес требованиям к ИТ

обеспечение соблюдения законодательства, регулирующих норм и условий

контрактов.

сосредоточено на

выявлении всех применимых требований законодательных актов, регулирующих норм и условий контрактов, а также необходимого уровня ИТ-соответствия и оптимизации ИТ- процессов на сокращение риска несоответствия.

достигается с помощью

• Выявления требований законодательства, регулирующих норм и условий контрактов, имеющих отношение к ИТ.
• Оценки последствий требований по соответствию внешним требованиям.
• Мониторинга и отчетности по соответствию данным требованиям.

результаты оцениваются с помощью следующих показателей

• Затраты, связанные с несоответствиями, включая выплаты и штрафы.
• Средняя временная задержка между выявлением проблем с соответствием внешним требованиям и их решением.
• Частота анализа соответствия внешним требованиям.

В таблице 15.11 представлена информация, необходимая для процесса и ее источники.

В таблице 15.12 приведены результаты процесса и то, куда они должны поступить.

Таблица 15.13 содержит таблицу ОУКИ для процесса, а таблица 15.14 – цели и показатели.

Цели контроля

• ME 3.1. Выявление внешних требований законодательства, регулирующих норм и условий контрактов

  Необходимо вести постоянную работу по выявлению требований национального и международного законодательства, регулирующих норм и других внешних требований, которым должны соответствовать корпоративные ИТ-политики, стандарты, процедуры и методики.
• ME 3.2. Оптимизация результатов приведения в соответствие с внешними требованиями

  Анализировать и корректировать ИТ-политики, стандарты, процедуры и методики на предмет соответствия требованиям законодательства, регулирующих норм и условий контрактов.
• ME 3.3. Оценка соответствия внешним требованиям

  Подтвердить соответствие ИТ-политики, стандартов, процедур и методик требованиям законодательства и регулирующих норм.
• ME 3.4. Положительное заключение о соответствии

  Получить заключение о соответствии и строгом соблюдении положений внутренней политики, вытекающих из внутренних директив и внешних требований законодательства, регулирующих норм и условий контрактов. Заключение должно подтверждать, что все корректирующие действия, направленные на обеспечение соответствия данным требованиям были своевременно предприняты ответственным владельцем процесса.
• ME 3.5. Интеграция отчетности

  Проводить интеграцию отчетности по соблюдению требований законодательства, регулирующих норм и условий контрактов с аналогичной отчетностью других корпоративных подразделений.

Одной из задач, стоящих перед ИТ ( как и любой другой областью) является соблюдение внешних требований. Набор требований и законов, которым должна следовать организация, во многом зависит от ее деятельности. Если это банк, то это в первую очередь требования Центрального Банка России, ФСТЭК, ФСБ и т.п. Регуляторы совершают проверки выполнения требований, но помимо внешних проверок, нужно самим осуществлять контроль. Процесс "Обеспечение соответствия внешним требованиям" отвечает за обеспечение соответствия внешним требованиями и контроль их выполнения.