MedaGRC
ممیزی COBIT زمانی به مشکل می‌خورد که سازمان مجموعه‌ای از پرسشنامه‌ها، Excelها، Evidenceها و Action Itemهای پراکنده داشته باشد اما نتواند نشان دهد هر یافته دقیقاً به کدام Objective، کنترل، مالک و مدرک مرتبط است.
ممیزی COBIT با MedaGRC باید این زنجیره را قابل رهگیری کند: Scope → Objective → Assessment → Evidence → Finding → Gap → Corrective Action → Retest. هدف، تولید امتیاز زیبا نیست؛ هدف ساختن یک Trail قابل دفاع برای حاکمیت فناوری اطلاعات است.
COBIT را صرفاً به‌عنوان Checklist نبینید
COBIT یک چارچوب حاکمیت و مدیریت اطلاعات و فناوری سازمانی است. استفاده درست از آن یعنی اهداف حاکمیت و مدیریت را با وضعیت سازمان، Risk، Stakeholder Need و اولویت‌های کسب‌وکار تطبیق دهید؛ نه اینکه همه Objectiveها را یکسان ارزیابی کنید.
ممیزی از Scope شروع می‌شود
قبل از ارزیابی باید Scope روشن باشد:
- کدام واحدها یا شرکت‌ها داخل ممیزی‌اند؟
- کدام Process/Objectiveها بررسی می‌شوند؟
- دوره زمانی Evidence چیست؟
- Owner هر حوزه چه کسی است؟
- معیار ارزیابی چیست؟
- چه نوع Evidence قابل قبول است؟
ساختار پیشنهادی در MedaGRC
| مرحله | داده‌ای که ثبت می‌شود | خروجی |
|---|---|---|
| Scope | دامنه، واحد، دوره، ممیز | Audit Plan |
| Objective | هدف COBIT و Owner | Assessment Item |
| Evidence | سند، گزارش، Screenshot، Ticket، Log | Evidence Trail |
| Finding | مشاهده و مغایرت | Finding |
| Gap | فاصله وضع موجود و انتظار | Gap Register |
| Action | اقدام، Owner، Due Date | Corrective Action |
| Retest | بررسی مجدد Evidence | Closure |
Evidence خوب چه ویژگی دارد؟
Evidence باید مرتبط، قابل‌تاریخ‌گذاری، دارای مالک و تا حد امکان قابل بازتولید باشد. برای مثال:
- گزارش Patch Compliance؛
- نمونه Change Record؛
- گزارش SLA؛
- مصوبه کمیته راهبری؛
- Risk Register؛
- Log یا Audit Trail؛
- گزارش Backup/Restore Test؛
- قرارداد و Vendor Review.
در MedaGRC می‌توان Evidence را کنار Control/Assessment نگه داشت تا ممیز مجبور نباشد بین پوشه‌های اشتراکی و فایل‌های جدا جست‌وجو کند.
Finding باید قابل اقدام باشد
Finding ضعیف مثل «فرآیند مناسب نیست» ارزشی ندارد. Finding خوب باید Condition، Criteria، Evidence و اثر احتمالی را روشن کند.
| بخش | مثال |
|---|---|
| Condition | ۳ Change از ۲۰ نمونه بدون Approval ثبت شده‌اند. |
| Criteria | Policy سازمان Approval را پیش از اجرا الزامی می‌کند. |
| Evidence | سه Change Record مشخص |
| Risk | افزایش احتمال تغییر کنترل‌نشده |
| Action | اصلاح Workflow و کنترل اجباری Approval |
Gap را از Risk جدا کنید
Gap یعنی فاصله وضعیت موجود با وضعیت مورد انتظار؛ Risk یعنی اثر عدم تحقق یا عدم کنترل. این دو به هم مرتبط‌اند اما یکی نیستند. MedaGRC می‌تواند Finding را به Risk و Corrective Action مرتبط کند تا اولویت‌بندی فقط بر اساس نظر ممیز نباشد.
مالک اقدام اصلاحی باید مشخص باشد
هر Corrective Action باید Owner، Due Date، Priority، Evidence مورد انتظار برای Closure و وضعیت داشته باشد. اگر فقط جمله «اصلاح شود» ثبت شود، ممیزی بعدی همان Finding را دوباره خواهد دید.
Retest؛ مرحله‌ای که اغلب فراموش می‌شود
Closure نباید صرفاً با اعلام Owner انجام شود. ممیز یا Reviewer باید Evidence جدید را بررسی کند و ببیند Action واقعاً Gap را بسته است یا فقط یک سند جدید تولید شده.
سناریوی ساده: Change Management
- Objective مرتبط با مدیریت Change انتخاب می‌شود.
- نمونه‌ای از Changeها از ServiceDesk Plus گرفته می‌شود.
- Approval، Risk، Rollback و PIR بررسی می‌شوند.
- برای موارد ناقص Finding ثبت می‌شود.
- Gap به Risk عملیاتی مرتبط می‌شود.
- Action برای اصلاح Workflow و آموزش Owner تعریف می‌شود.
- در دوره بعد Sample مجدد گرفته می‌شود.
به این ترتیب ممیزی از یک Checklist جداافتاده به چرخه واقعی Improvement متصل می‌شود.
COBIT و ISO 27001 در یک GRC چه نسبتی دارند؟
یک Control یا Evidence می‌تواند برای چند چارچوب ارزش داشته باشد، اما Mapping نباید به معنای یکسان‌بودن Requirementها فرض شود. MedaGRC می‌تواند Evidence و Risk را در چند Assessment استفاده‌پذیر کند و از دوباره‌کاری جلوگیری کند.
برای سناریوی ISMS می‌توانید مقاله ممیزی ISO 27001 با MedaGRC را نیز ببینید.
KPIهای مناسب برای برنامه ممیزی
- تعداد Finding باز به تفکیک Severity؛
- درصد Corrective Actionهای Overdue؛
- میانگین زمان بستن Finding؛
- درصد Evidenceهای تاییدشده؛
- نرخ تکرار Finding در ممیزی بعدی؛
- تعداد Gapهای مرتبط با Riskهای High.
منابع و مراجع
نکات کلیدی
- ممیزی COBIT را از Scope و Objective شروع کنید، نه از Excel.
- هر Finding باید Evidence و Criteria داشته باشد.
- Gap، Risk و Action را جدا اما مرتبط نگه دارید.
- Closure بدون Retest، Closure قابل اتکا نیست.
- Evidence مشترک میان چارچوب‌ها می‌تواند دوباره‌کاری را کم کند.
سخن پایانی
ممیزی COBIT زمانی ارزش مدیریتی پیدا می‌کند که نتیجه آن فقط Score نباشد؛ باید نشان دهد چه چیزی ناقص است، چه Riskی ایجاد می‌کند، چه کسی مسئول اصلاح است و با چه Evidenceای بسته خواهد شد. MedaGRC این زنجیره را در یک جریان قابل رهگیری جمع می‌کند.
مدانت خدمات مشاوره COBIT، طراحی Governance، پیاده‌سازی MedaGRC، ممیزی، آموزش و استقرار GRC ارائه می‌کند. برای بررسی مسیر سازمان می‌توانید از Pillar COBIT مدانت یا درخواست مشاوره شروع کنید.
