У холдинга может быть одна политика информационной безопасности, но разные ИТ-системы, подрядчики и руководители в каждом юридическом лице. Поэтому GRC-платформа в Казахстане должна помогать головному офису видеть общую картину, а филиалам — отвечать за собственные риски и выполнение контролей. При выборе важнее проверить эту модель на практике, чем сравнивать количество модулей в презентациях поставщиков.
Начните со структуры группы и полномочий
До демонстраций опишите, какие компании и филиалы войдут в систему, кто утверждает методику оценки рисков, кто принимает остаточный риск и кто предоставляет доказательства. Отдельно определите роли корпоративного CISO, местного владельца риска, исполнителя контроля и внутреннего аудитора.
Попросите поставщика показать на тестовых данных, может ли сотрудник филиала видеть только свои задачи и документы, а центральная команда — получать сводную картину. Проверьте и обратный сценарий: корпоративный контроль назначен всем компаниям, но одна из них применяет его с согласованным отклонением. Это покажет, поддерживает ли продукт реальную структуру ответственности.
Проверьте каталог рисков и повторное использование контролей
Для управления рисками и контролями группе нужны общие определения и локальные оценки. Например, риск компрометации учётных записей может быть единым для холдинга, но его вероятность, последствия и владелец будут различаться у завода, торговой компании и сервисного подразделения.
То же относится к контролям. Корпоративную политику доступа удобно описать один раз и связать с несколькими организациями. При этом выполнение проверки прав и подтверждающие записи должны оставаться привязанными к конкретному филиалу. На демонстрации выясните, сохраняются ли эти связи при изменении общего контроля и можно ли увидеть, где новая версия ещё не внедрена.
Если планируется автоматизация ISO 27001, проверьте, как система связывает риски, меры обработки, ответственных, доказательства и результаты проверки. Описание подхода к системе менеджмента информационной безопасности можно сопоставить с услугой об ISO/IEC 27001:2022 на сайте нашей компании System Management.
Оцените доказательства, исключения и историю действий
Удобная загрузка файлов сама по себе не решает задачу аудита. Для каждого доказательства должны быть понятны период, организация, контроль, источник, ответственный и результат проверки. Полезно проверить, напоминает ли система о просроченных подтверждениях и позволяет ли аудитору проследить путь от отчётного показателя до исходной записи.
Отдельный тест — исключение из правила. Создайте в пилоте запрос от филиала: укажите причину, компенсирующую меру, владельца, срок действия и лицо, принимающее риск. Затем измените решение и проверьте, сохранилась ли история согласований. Надёжный audit trail должен показывать, кто и когда создал, изменил, одобрил или закрыл запись.
Сверьте отчётность с решениями руководства
Консолидированный отчёт полезен, если из него можно перейти к деталям. Попросите сформировать сводку по группе, затем раскрыть показатель до юридического лица, риска, контроля и доказательства. Проверяйте не только число «закрытых» задач, но и просроченные проверки, действующие исключения, риски без владельца и контроли без актуальных подтверждений.
Договоритесь о правилах подсчёта заранее. Если один общий контроль используется в пяти филиалах, отчёт должен ясно различать сам контроль и пять результатов его выполнения. Иначе хорошая сводная цифра может скрыть проблему в одном подразделении.
Как провести пилот и составить short list
Возьмите два разных подразделения, 10–15 рисков и несколько общих контролей. Проведите полный цикл: назначение владельцев, сбор доказательств, согласование исключения, изменение контроля и подготовка отчёта. Оценивайте каждую платформу по одним сценариям: разграничение доступа, удобство местных команд, прослеживаемость изменений, экспорт данных и трудозатраты на сопровождение.
Для предварительного списка решений можно использовать каталог и матрицу GRC-платформ GRCfit, а заявленные возможности подтвердить в пилоте. GRCfit описывает себя как сервис сравнения платформ и предупреждает, что сведения о функциях требуют проверки у поставщиков.
Если исходные процессы ещё не описаны, оценка готовности в baltum.ai по ISO/IEC 27001 может помочь выявить пробелы до составления требований. Это инструмент самооценки, а не замена независимого аудита или GRC-платформы.
Для группы, работающей также в Узбекистане, Грузии или Кыргызстане, добавьте в пилот местные роли, языки документов, правила доступа к данным и требования к их хранению. Итоговый выбор должен отвечать на простой вопрос: сможет ли руководство доверять сводному отчёту, а каждый филиал — подтвердить стоящие за ним действия.