Risk-Kontrol Matrisi (RCM), bir süreçteki riskleri bu riskleri azaltması beklenen kontrollerle ilişkilendiren çalışma dokümanıdır. Denetim planlama ve kontrol testlerinin ortak dilini oluşturur.
RCM’de bulunması gereken temel alanlar
- Süreç ve alt süreç
- Risk tanımı
- Kontrol amacı
- Kontrol açıklaması
- Kontrol sahibi
- Frekans
- Manuel/otomatik ayrımı
- Önleyici/tespit edici ayrımı
- Kanıt
- Test yöntemi ve test sonucu
Risk ifadesini doğru yazın
“Yetki riski” gibi kısa ifadeler yerine neden-sonuç ilişkisi kurun: “İşten ayrılan kullanıcı hesaplarının zamanında kapatılmaması nedeniyle yetkisiz erişim gerçekleşmesi.”
Kontrolü ölçülebilir tanımlayın
“Yetkiler kontrol edilir” yerine “Sistem sahibi her üç ayda bir aktif kullanıcı ve ayrıcalıklı yetki listesini gözden geçirir, istisnaları kayıt altına alır ve onaylar.” gibi test edilebilir bir kontrol ifadesi kullanın.