Come configurare e monitorare i controlli interni per garantire la conformità

Dal punto di vista dell’automazione, un controllo potrebbe essere:

• Così semplice come un piano d’azione con metriche di progresso allineate o
• Così complesso come un insieme gerarchico di controlli e sotto-controlli, ciascuno con il proprio set di metriche, stime del rischio, piani di mitigazione, dipendenze contestuali e responsabili.

I controlli hanno aree di applicazione specifiche, che definiscono quando determinati controlli dovrebbero essere attivati.

In BSC Designer:

1. Utilizzare il pulsante Aggiungi per creare un nuovo elemento.
2. Identificare il controllo tramite i campi nome e descrizione.
3. Collega il controllo con obiettivi passati pertinenti, eventi o requisiti normativi.

In BSC Designer:

• Aggiungi documenti a un controllo tramite la finestra di dialogo Descrizione.
• Aggiungi documenti al piano d’azione del controllo tramite la finestra di dialogo Iniziative.

In BSC Designer:

• Definire le proprietà richieste dei controlli tramite campi personalizzati.
• I nuovi campi saranno disponibili per controlli, metriche e iniziative.

Ad esempio, i controlli di manutenibilità del software possono automatizzare gli aggiornamenti, ma è necessario un esperto IT per risolvere i conflitti se un aggiornamento fallisce. In BSC Designer:

1. Aggiungere persone responsabili per il controllo come utenti; assegnare la persona a un team.
2. Assegnare la persona o il team come proprietario del controllo tramite il campo Proprietario.

I proprietari riceveranno notifiche rilevanti per il controllo.

In BSC Designer:

• Utilizzare campi personalizzati per definire le proprietà del controllo come “Stato di certificazione” e “Certificato da”.
• Durante l’attestazione dei controlli, il team di gestione può aggiornare queste proprietà.
• Utilizzare filtri nei rapporti per identificare i controlli senza adeguata certificazione.

Per disabilitare un controllo non certificato ma mantenerlo nel punteggio:

1. Selezionare un controllo.
2. Passare alla scheda Prestazioni.
3. Attivare la casella di controllo Indicatore dati grezzi.

In BSC Designer:

• Copia e incolla elementi tra le schede.
• Quando richiesto, utilizzare l’opzione di connessione per contesto per collegare due elementi.

In BSC Designer:

1. Crea uno scorecard dedicato ai controlli.
2. Usa una struttura gerarchica per organizzare i controlli.
3. Quando necessario, copia il controllo nello scorecard attivo.

Ad esempio, nella segnalazione degli incidenti:

• La metrica di efficienza potrebbe essere “% di personale formato nella segnalazione degli incidenti.”
• La metrica di efficacia potrebbe essere “% di incidenti non comunicati correttamente.”

In BSC Designer:

• Usare il pulsante Aggiungi per aggiungere metriche all’interno dell’elemento Controllo.

In BSC Designer:

1. Selezionare una metrica
2. Passare alla scheda Prestazioni
3. Cambiare il peso della metrica

Le prestazioni/progresso del controllo verranno visualizzate nella colonna corrispondente.

In BSC Designer:

1. Seleziona una metrica
2. Passa al Contesto
3. Modifica il tipo della metrica in Leading

In BSC Designer:

1. Crea un nuovo indicatore
2. Modifica il suo tipo in ‘Rischio’
3. Aggiorna gli indicatori di Probabilità e Impatto del rischio

Esempio: “Piano di continuità aziendale aggiornato tenendo conto di una minaccia recentemente identificata” può essere automatizzato con un indicatore binario. In BSC Designer:

1. Selezionare un indicatore
2. Passare alla scheda ‘Generale’
3. Cambiare le sue unità di misura in “Sì/No”

Esempio: un controllo Gestione e comunicazione delle politiche può essere valutato con una metrica qualitativa Efficacia della comunicazione delle politiche di conformità con stati possibili:

• Altamente efficace (100): I dipendenti comprendono chiaramente le politiche di conformità.
• Moderatamente efficace (60): Alcuni dipendenti comprendono le politiche.
• Inefficace (10): I dipendenti sono generalmente inconsapevoli delle politiche.

In BSC Designer:

1. Seleziona un indicatore
2. Fai clic sul pulsante Modifica accanto alle unità di misura per aggiungere unità di misura personalizzate

Esempio: per valutare l’efficacia dell’implementazione di un controllo specifico, eseguiamo un audit interno per monitorare il % di conformità alle politiche. In questo caso, la formula di prestazione è una massimizzazione lineare, con obiettivo = 100%. Un altro esempio può essere la metrica Tempo medio di rilevamento, configurata come minimizzazione lineare con un obiettivo di 24 ore.

In BSC Designer:

• Passare alla scheda ‘Performance’ per definire la funzione di prestazione.
• Passare alla scheda ‘Data’ per definire lo stato attuale dell’indicatore, la linea di base e l’obiettivo.

Ad esempio, il controllo del test di backup e ripristino potrebbe richiedere il caricamento dei risultati dei test o dei log come prova dell’esecuzione riuscita del controllo.

In BSC Designer:

1. Seleziona un indicatore
2. Modifica le sue unità di misura in Prova
3. Carica documento nell’indicatore per cambiarne lo stato

In BSC Designer:

• Utilizzare lo strumento Iniziativa per aggiungere piani d’azione ai controlli.
• Allineare rischi e metriche di efficienza con l’iniziativa.
• Assegnare un responsabile all’iniziativa; la persona riceverà notifiche quando lo stato cambia.

In BSC Designer:

1. Aggiungere una nuova iniziativa al controllo.
2. Aprire la finestra di dialogo dell’iniziativa.
3. Selezionare il KPI di progresso nel campo ‘KPI Allineato’.

Esempio di revisione della meccanica del controllo:

• Revisione delle checklist di conformità – revisione annuale
• Ritenzione della conoscenza, % – revisione trimestrale

Esempi di applicazione periodica del controllo:

• Scansione delle vulnerabilità – revisione/aggiornamento mensile

Esempi di controllo attivato una sola volta:

• Valutazione iniziale del rischio – da aggiornare una volta sola

In BSC Designer:

• Utilizza l’impostazione Intervallo di aggiornamento dell’indicatore per pianificare revisioni regolari.

In BSC Designer:

1. Seleziona la metrica di un controllo
2. Seleziona una data nel calendario interno
3. Passa alla scheda ‘Dati’
4. Inserisci il nuovo stato nel campo ‘Valore’

Per esempio:

• % di Dipendenti Formati – è probabile che sia un indicatore inerente, poiché possiamo presumere che la percentuale di dipendenti formati a maggio rimarrà la stessa o aumenterà a giugno.
• Ricavi Mensili delle Vendite – è probabile che sia un indicatore non inerente, poiché siamo interessati a monitorare i dati effettivi delle vendite nel corso dei mesi.

In BSC Designer:

1. Selezionare un indicatore
2. Fare clic sul pulsante Editor Valori
3. Cambiare il tipo di ereditarietà dell’indicatore

In BSC Designer:

1. Passare alla scheda Cruscotto.
2. Aggiungere grafici pertinenti, inclusi diagrammi di Gantt per le iniziative, diagrammi di rischio e diagrammi che elencano i controlli e i loro stati.

In BSC Designer:

• Collega la parte ritardata del controllo con le metriche di Impatto del rischio o Stima del rischio nel registro dei rischi tramite i dati.

In BSC Designer:

• Usa il menu ‘Report’ per generare vari rapporti
• Usa il pulsante ‘Schedule’ nel menu ‘Report’ per inviare rapporti automaticamente agli stakeholder

In BSC Designer:

• Tutte le attività relative alla progettazione e all’esecuzione dei controlli sono registrate nel registro di controllo.
• L’amministratore dell’account può accedere ai registri di controllo tramite Menu > Utenti > Audit Trail.