Control Mapping
Conecte la regla que establece su organización con el control aplicado durante la ejecución y la evidencia que un revisor puede inspeccionar. Asigne a cada mapeo un alcance y un propietario responsable.
Correspondencia de controles
Estos ejemplos comienzan con los requisitos operativos internos. El control y la evidencia dependen del flujo de trabajo, la configuración y las acciones que pasan por KLA.
- Requisito
- Una persona aprueba pagos que cumplen con la regla de revisión.
- Control
- La política devuelve require_approval. Decision Desk presenta la Decision Request a un revisor autorizado.
- Registro para inspeccionar
- Solicitud original, versión y resultado de la política, decisión del revisor y resultado de la ejecución posterior.
- propietario responsable
- Líder de operaciones de pagos
- Requisito
- Un agente envía datos de clientes solo a destinos permitidos.
- Control
- Evalúe la acción y el destino de la herramienta propuestos en comparación con la política de acceso a datos configurada.
- Registro para inspeccionar
- Acción solicitada, contexto evaluado, resultado de la política y resultado de la herramienta registrado cuando se permite la ejecución.
- propietario responsable
- Propietario de los datos
- Requisito
- Un revisor puede explicar por qué ocurrió una acción consecuente.
- Control
- Mantenga la decisión política y cualquier revisión humana conectada a la acción a través del linaje de ejecución.
- Registro para inspeccionar
- Un registro de linaje que conecta la solicitud, la decisión, las versiones relevantes y el resultado de la ejecución.
- propietario responsable
- Dueño del proceso
- Requisito
- Una revisión utiliza un conjunto definido de registros de respaldo.
- Control
- Recopile los registros de alcance y el material de respaldo para su revisión en Evidence Room.
- Registro para inspeccionar
- Inventario de pruebas, manifiesto del paquete, información de integridad y evaluación del revisor de las lagunas restantes.
- propietario responsable
- Líder de riesgo o aseguramiento
| Requisito | Control | Registro para inspeccionar | propietario responsable |
|---|---|---|---|
| Una persona aprueba pagos que cumplen con la regla de revisión. | La política devuelve require_approval. Decision Desk presenta la Decision Request a un revisor autorizado. | Solicitud original, versión y resultado de la política, decisión del revisor y resultado de la ejecución posterior. | Líder de operaciones de pagos |
| Un agente envía datos de clientes solo a destinos permitidos. | Evalúe la acción y el destino de la herramienta propuestos en comparación con la política de acceso a datos configurada. | Acción solicitada, contexto evaluado, resultado de la política y resultado de la herramienta registrado cuando se permite la ejecución. | Propietario de los datos |
| Un revisor puede explicar por qué ocurrió una acción consecuente. | Mantenga la decisión política y cualquier revisión humana conectada a la acción a través del linaje de ejecución. | Un registro de linaje que conecta la solicitud, la decisión, las versiones relevantes y el resultado de la ejecución. | Dueño del proceso |
| Una revisión utiliza un conjunto definido de registros de respaldo. | Recopile los registros de alcance y el material de respaldo para su revisión en Evidence Room. | Inventario de pruebas, manifiesto del paquete, información de integridad y evaluación del revisor de las lagunas restantes. | Líder de riesgo o aseguramiento |
Evaluación de la cobertura
El propietario responsable define los sistemas, las acciones y el período bajo revisión. Confirman qué controles están configurados, si los registros esperados están presentes y qué brechas requieren más trabajo.
Un registro de ejecución respalda esa evaluación dentro de su alcance registrado. Su equipo aún evalúa la efectividad del control, la actividad fuera de KLA y la aplicabilidad de los requisitos externos. Una referencia marco por sí sola no establece cobertura ni cumplimiento.
Lea sobre el linaje de ejecución y la verificación.Revisar materiales
Comience con un flujo de trabajo. Identifique sus requisitos, asigne propietarios de control y recopile los registros necesarios para evaluar el resultado.