Границы риска настраиваются в справочниках — не в релизе
16 справочников определяют, во что превращается ответ анкеты: баллы и веса вопросов, границы уровней Tier, страновой коэффициент, классификаторы продукта и услуги поставщика. Поменять порог — значит отредактировать строку справочника на типовом экране, а не ждать очередной сборки системы.
Состав справочников методики
В навигаторе раздела «Оценка рисков поставщика» — 16 справочников. Семь считают риск: коэффициенты вопросов, веса взаимного усиления между показателями риска деятельности (SIRA) и показателями риска самого поставщика (SLRA), страновой коэффициент, уровни Tier, их граничные значения, применимость контроля и матрица применимости. Девять классифицируют деятельность поставщика — категорию, тип продукта или услуги, ключевые слова, вид услуги, место в иерархии бизнес-процессов и допустимый статус взаимодействия — и через каскадные фильтры не дают исполнителю выбрать несочетаемую комбинацию на старте анкеты.
Считают риск и границы Tier 7 справочников
- Коэффициенты TP-RAP — балл и вес на каждый ответ вопроса, 854 строки
- TP-RAP RA-веса — взаимное усиление показателей SIRA и SLRA, 40 строк
- TP-RAP SRA-баллы по странам — страновой коэффициент, 132 строки
- TP-RAP Tier — шесть уровней риска с названием и цветом
- TP-RAP Граничные значения уровней риска — интервалы баллов по каждому из 13 показателей и по общему Tier, 83 строки
- Применимость контроля — виды применимости (Due diligence, годовая/месячная/недельная периодичность и другие), 8 строк
- Матрица применимости контроля — связь «показатель риска → применимость и частота контроля», 55 строк
Классифицируют деятельность поставщика 9 справочников
- Тип продукта / услуги — категория, подкатегория, тип, 415 строк
- Ключевые слова продукта / услуги — 103 слова, 441 связь с типами продукта
- Классификатор категорий закупки — трёхуровневая классификация категории и типа продукта, 330 строк
- Матрица допустимых видов деятельности — связь процесса, типа услуги и допустимого статуса взаимодействия, 5067 строк
- Иерархия бизнес-процессов, уровень 1 — 24 строки
- Иерархия бизнес-процессов, уровень 2 — 146 строк
- Иерархия бизнес-процессов, уровень 3 — 562 строки
- Тип услуги поставщика — 9 строк
- Статус процесса по итогам оценки — 6 строк
Коэффициенты вопросов и баллы
Справочник «Коэффициенты TP-RAP» — 854 строки, по одной на комбинацию «показатель риска, вопрос, вариант ответа». В каждой строке — балл варианта ответа и вес вопроса в показателе; их произведение и есть вклад ответа в один из 13 показателей риска. Строк больше всего у странового показателя (662 из 854) — потому что вариантов ответа «страна» на порядок больше, чем у любого другого вопроса анкеты.
| Показатель риска | Вопрос | Вариант ответа | Балл | Вес |
|---|---|---|---|---|
| SIRA1 | Q_1_1 | 1 | 100 | 33 |
| SIRA1 | Q_1_1 | 4 | 6,25 | 33 |
| SLRA2 | Q_11_2 | 1 | 100 | 34 |
| SIRA6 | Q_17 | 1 | 100 | 1 |
Граничные значения уровней Tier
У общего балла — код IRR (Inherent Risk Rating) — свои пять границ, и у каждого из 13 показателей риска — свои: 83 строки на 14 кодов. Показатель «Физический доступ / доступ к сети» (SIRA3), например, размечен только на четыре уровня из шести — методика не обязана дробить каждый показатель одинаково.
| Код | Что размечает | Границы Tier 1 → Tier 5/6 |
|---|---|---|
| IRR | Общий Tier (сводный Risk score) | 385,01 / 260,01 / 148,01 / 73,01 / 0 |
| SIRA1 | Существенность продукта / услуги | 70,01 / 35,36 / 17,68 / 8,84 / 0,01 |
| SIRA6 | Соответствие требованиям законодательства | 20 / 12 / 8 / 5 / 0,01 |
| SLRA4 | Геополитический (страновой) риск | 31,3 / 20 / 10,8 / 7,3 / 0,01 |
83 строки справочника «Граничные значения уровней риска» держат все границы разом — общую шкалу IRR и по каждому из 13 показателей риска.
Веса взаимного усиления показателей
40-строчный справочник RA-весов связывает каждый из 8 ключевых показателей риска деятельности с четырьмя группами показателей риска поставщика — так поставщик с высоким страновым или технологическим риском не остаётся с «обычной» оценкой по деятельности, даже если сама услуга выглядит рутинной. Веса заданы отдельно для каждой пары «показатель деятельности × группа риска поставщика» — их можно калибровать не трогая формулу.
Как устроен справочник
8 показателей риска деятельности (SIRA1, 2, 3, 5, 6, 7, 8, 9) умножены на 4 группы показателей риска поставщика — 40 строк. Показатель «Репутационное влияние» (SIRA10) в справочник не входит: он получает вес по формуле от уже посчитанных SIRA1, SIRA2, SIRA5 и SIRA6.
Что это меняет в оценке
Каждый показатель риска деятельности взвешивается вкладом всех четырёх групп риска поставщика, а каждая группа риска поставщика — вкладом всех показателей деятельности. Оценка растёт в обе стороны: сильная услуга у слабого поставщика не «усредняется», а поднимается.
Страновой коэффициент
Поле «Страна» в анкете — не текст, а выбор из справочника: 132 страны, за каждой закреплён балл риска юрисдикции. Чем он выше, тем выше геополитический (страновой) показатель поставщика — SLRA4 весит в расчёте больше всех: на него приходится 662 из 854 строк коэффициентов, потому что вариантов ответа «страна» на порядок больше, чем у любого другого вопроса.
132 страны в справочнике, три возможных балла — 12,5 / 50 / 100. Балл страны не показывается покупателю напрямую: он входит в расчёт SLRA4 вместе с другими ответами о стране и месте поставки.
Классификаторы продуктов и услуг поставщика
Заголовок анкеты (33 поля) не даёт заполнить категорию и тип продукта вразнобой: подкатегория предлагается только из категории, тип услуги — только из подкатегории, ключевые слова — только из уже выбранной тройки. Прежде чем выбор дойдёт до расчёта, форма уже отсекла несочетаемые комбинации.
- Категория, подкатегория, тип продукта/услуги415 строк, три обязательных поля заголовка
- Ключевые слова продукта/услуги103 слова, 441 связь с типами продукта, множественный выбор
- Классификатор категорий закупки330 строк, задаёт первый уровень фильтрации категории
- Матрица допустимых видов деятельности5067 строк: процесс × тип услуги → допустимый статус
- Иерархия бизнес-процессов24 → 146 → 562 строки, три уровня вложенности
- Тип услуги поставщика9 строк — от SaaS до аутсорсинга процесса
- Статус процесса по итогам оценки6 строк: от «принят» до «запрещён»
Управление справочниками и права на изменение
Все 16 справочников открываются одним и тем же типовым экраном списка — новый справочник не требует отдельного интерфейса. Изменить их могут только роли, которым методика доверена целиком: исполнитель и проверяющий TP-RAP читают, добавляют и правят строки, но не удаляют их и не настраивают доступ других — это остаётся у администратора информационной безопасности. Подробности разграничения — на странице «Права доступа».
Посмотреть справочники на демонстрации
Покажем, как меняется результат оценки при правке одной строки справочника — без обращения к разработке и без ожидания релиза.