MedaGRC
عدم انطباق وقتی ارزش مدیریتی پیدا می‌کند که به اصلاح واقعی منجر شود. ثبت یک Finding و بستن آن با جمله «برطرف شد» نه ریشه مشکل را نشان می‌دهد و نه ثابت می‌کند مسئله دوباره تکرار نمی‌شود.
عدم انطباق را دقیق و قابل اثبات بنویسید
شرح خوب باید سه جزء داشته باشد: معیار مورد انتظار، وضعیت مشاهده‌شده و Evidence. برای مثال: «طبق رویه بازبینی دسترسی، حساب‌های ممتاز باید هر سه ماه بازبینی شوند؛ در نمونه سه‌ماهه دوم، برای ۴ حساب از ۱۸ حساب مدرک بازبینی وجود نداشت.»
اصلاح با اقدام اصلاحی فرق دارد
| مفهوم | هدف | نمونه |
|---|---|---|
| Correction | رفع وضعیت فعلی | بازبینی فوری چهار حساب جامانده |
| Corrective Action | رفع علت تکرار | ایجاد Workflow و یادآور برای بازبینی دوره‌ای |
| Verification | اثبات اثربخشی اقدام | بررسی دوره بعد و نبود مورد جاافتاده |
مراحل مدیریت عدم انطباق
- ثبت دقیق یافته و Evidence
- تعیین شدت و اثر
- مشخص‌کردن Owner
- تحلیل علت ریشه‌ای متناسب با اهمیت موضوع
- تعریف Correction و Corrective Action
- تعیین موعد و معیار موفقیت
- راستی‌آزمایی اثربخشی
- بستن رسمی با سابقه تصمیم
سناریو: Patch عقب افتاده
ممیزی نشان می‌دهد چند سرور حیاتی Patch امنیتی مصوب را دریافت نکرده‌اند. Correction نصب Patch است. اما اگر علت اصلی نبود پنجره نگهداری، خطای مالکیت یا نقص فرایند استقرار باشد، بستن Finding بعد از نصب Patch فقط صورت مسئله را پاک می‌کند. اقدام اصلاحی باید علت را هدف بگیرد.
برای هر عدم انطباق Deadline یکسان نگذارید
موعد باید بر اساس ریسک و پیچیدگی اقدام تعیین شود. Finding مهمی که روی سرویس حیاتی اثر دارد نمی‌تواند صرفاً به‌دلیل تقویم واحد، سه ماه باز بماند. از طرف دیگر، Deadline غیرواقعی باعث تمدیدهای مکرر و بی‌اعتبارشدن سیستم می‌شود.
چه زمانی عدم انطباق بسته شده است؟
وقتی اقدام انجام شده، Evidence نتیجه موجود است و ارزیاب یا نقش مجاز تأیید کرده که معیار بستن محقق شده است. «Owner گفت انجام شد» برای موضوعات مهم معیار کافی نیست.
مدیریت عدم انطباق در MedaGRC
MedaGRC کمک می‌کند Finding، Evidence و Action Plan در یک زنجیره باقی بمانند. این موضوع برای ممیزی بعدی مهم است؛ چون سازمان می‌تواند نشان دهد مشکل فقط ثبت نشده، بلکه تا اثربخشی اقدام دنبال شده است.
سخن پایانی
هدف مدیریت عدم انطباق کم‌کردن تعداد Findingها روی کاغذ نیست. هدف این است که مسائل واقعی زودتر دیده شوند، علت تکرار حذف شود و سازمان بتواند نشان دهد از یافته‌ها یاد گرفته است.
