Uygulanabilirlik Bildirgesini gerekçe disipliniyle yazmak

Nasıl yapılır

1. 1Sırayı ve sahibini baştan sabitle: birinci geçişte risk işleme kararlarında seçilmiş kontroller satıra dökülür, ikinci geçişte listeyi başka bir kişi tersinden okur — bu satır hangi riske hizmet ediyor, hangi risk hiçbir satıra dokunmuyor. İki geçişin kim tarafından ve hangi tarihte yapıldığı Bildirgenin üstünde yazılı kalsın; sıra tersine dönerse Bildirge bir işaretleme tablosuna dönüşür.
2. 2Her satırda 'bugün fiilen ne yapıyoruz' ile 'niçin böyle karar verdik' cümlelerini ayrı tut. İkisi tek cümlede birleşince tetkikte biri sorulduğunda diğeri savunma olarak kullanılır ve konuşma dağılır. Bir satırın boş kalan yeri kalıp cümleyle kapatılmasın, boş görünsün ki iş listesine düşsün.
3. 3Hariç bırakma gerekçesini dayanağa bağla: kapsam dışı bir faaliyet mi, riskin kabul edilmiş olması mı, ilgili bir sözleşme ilişkisinin hiç bulunmaması mı. Kuruluşumuza uygun değildir cümlesi gerekçe değildir.
4. 4Uygulama durumunu üç değerle yaz (uygulandı / kısmen / planlandı) ve kısmen ile planlandı satırlarına sorumlu ile hedef tarih koy. Kısmi durumu uygulandı diye yuvarlamak en pahalı kısayoldur.
5. 5Uygulandı yazdığın her satıra kanıt işaretçisi bırak: hangi doküman, hangi kayıt, hangi sistem ayarı, hangi sözleşme maddesi. Kanıt gösterilemeyen satır iddiadır.
6. 6Kapsam, risk kaydı veya tedarikçi kurgusu değiştiğinde SoA'yı aynı oturumda güncelle; SoA'yı yıllık gözden geçirmeye bırakma, değişikliğin arkasına bağla.

Sahada sık yapılan hatalar

• Yazılım geliştirme kontrolleri yazılım geliştirmiyoruz denip hariç bırakılmış; oysa şirket kendi otomasyon betiklerini ve tablo makrolarını yazıyor.
• SoA risk kayıtlarından bağımsız hazırlanmış; hiçbir kontrol satırı somut bir riske geri bağlanamıyor.
• Bir kez yazılıp iki yıl dokunulmamış; arada bulut geçişi ve uzaktan çalışma düzeni gelmiş, SoA eski dünyayı anlatıyor.
• Uygulama durumu kolonunda her satır uygulandı; ama üç satır sorulunca kanıt yalnızca birinde çıkıyor.