Вопросы на собеседовании: GRC-аналитик

Глобальной компании с выручкой 4 миллиарда долларов и 11 бизнес-единицами нужно за 6 месяцев построить программу технологических рисков; какую operating model и какие артефакты вы создадите сначала?

Совет директоров утвердил максимальный годовой аппетит к технологическим потерям 25 миллионов долларов, но бизнес-единицы подают риски по 5 разным шкалам; как перевести appetite в tolerances?

CFO запрашивает трёхлетний scenario analysis облачной концентрации, затрагивающей 40 процентов выручки и 18 критичных сервисов; как её оценить?

Одиннадцать единиц отчитываются о 640 рисках, включая 170 дублей и коррелированные экспозиции на 3 общие платформы; как агрегировать их для корпоративной отчётности?

В dashboard 74 KRI, 38 процентов никогда не срабатывают, а руководители читают только 6; как за квартал переработать набор KRI?

В организации 93 принятых технологических риска, у 41 нет срока действия, а 16 превышают утверждённый tolerance; какое управление вы внедрите за 60 дней?

Регулятор запрашивает top 15 технологических рисков, оценки потерь, статус контролей и evidence исправлений в течение 10 рабочих дней; как подготовить защищаемую подачу?

У аудит-комитета есть 20 минут в квартал, а сейчас он получает 48-страничный пакет технологических рисков; как переработать артефакт на следующие 6 заседаний?

У программы трансформации стоимостью 12 миллионов долларов есть 27 высоких технологических рисков и только 1,5 миллиона бюджета на remediation; как расставить финансирование на 2 цикла планирования?

Изменение таксономии риска переклассифицирует 310 из 900 записей за 2 месяца до годовой отчётности; как управлять изменением и сохранить сопоставимость тренда?

Компании нужно за 90 дней распределить по уровням 2 400 активных вендоров, но доступно только 18 аналитиков; какую модель TPRM вы внедрите?

Среди 1 800 вендоров 62 критичных сервиса зависят от 4 облачных и платёжных провайдеров; как измерять и управлять concentration risk?

Tier 1 вендор использует 35 субподрядчиков, но указывает только 9 в приложении к контракту; какой fourth-party процесс вы потребуете до продления на 3 года?

Procurement планирует 600 продлений за 2 квартала, а в 140 контрактах нет права аудита, 24-часового incident notice или условий возврата данных; как исправить контрактные контролы?

Платформа continuous monitoring создаёт 9 000 vendor alerts в месяц для 1 200 вендоров, но только 3 процента приводят к действию; как переработать триаж?

Vendor-risk council ежемесячно рассматривает 55 открытых issues Tier 1, но закрывает только 4; какой charter и процесс решений вы введёте?

Бизнес хочет подключить критичного payroll-вендора за 21 день, хотя стандартное ревью Tier 1 занимает 45 дней и нашло 6 существенных пробелов; как обработать исключение?

Цель поглощения зависит от 780 вендоров, не имеет тиринга, а сделка должна закрыться за 30 дней; какую TPRM-проверку вы проведёте с бюджетом 200 000 долларов?

После поглощения 320 новых вендоров нужно за 120 дней включить в TPRM-программу на 2 100 вендоров без нового headcount; как вы их интегрируете?

В портфеле из 3 000 вендоров 310 просроченных ревью и у 85 неизвестны бизнес-владельцы; какой план восстановления вы выполните за 2 квартала?

Нужно провести SOC 2 Type II, surveillance ISO 27001 и assessment PCI DSS 4.0.1 в одном 8-месячном окне по 430 контролям; какую audit roadmap вы построите?

Авторизация FedRAMP Moderate должна получить решение Authorizing Official за 14 месяцев при бюджете 2,4 миллиона долларов и 323 baseline-контролях; какую roadmap по артефактам вы предложите?

Аудиторская фирма предлагает SOW на 780 000 долларов для 4 аудитов, 6 200 часов тестирования и пересекающихся выборок; как согласовать scope и бюджет без ослабления assurance?

Internal Audit протестировал 180 контролей за 4 месяца до внешних аудитов SOC 2 и ISO 27001; как спроектировать reliance на эту работу?

QSA PCI DSS 4.0.1 и аудитор ISO 27001 не согласны с достаточностью evidence для 22 общих контролей за 5 недель до fieldwork; как вы решите вопрос?

Регулятор требует квартальную отчётность по 12 remediation commitments в течение 18 месяцев; какой reporting control вы установите?

В assessment NIST 800-53 Moderate открыто 74 пункта POA&M, 19 старше 180 дней, а запуск системы через 12 недель; как управлять readiness?

3PAO запрашивает implementation statements для 323 baseline-контролей, но 96 повторяют расплывчатый текст политики, а в 48 нет ответственности или частоты; как за 8 недель повысить качество SSP?

Команда из 26 владельцев контролей должна за 24 месяца поддержать SOC 2, ISO 27001, PCI DSS и FedRAMP, но в проекте календаря полевые проверки пересекаются на 14 недель и требуют 1 900 часов владельцев за один квартал; как вы выстроите очередность работ?

Две аудиторские фирмы покрывают одинаковые 260 контролей, но одна разрешает reliance на Internal Audit, а другая отказывается; как определить стратегию фирм на 3 года до продления контрактов на 2,1 миллиона долларов?

За 3 недели до аудита SOC 2 Type II HR подтверждает, что генеральная совокупность сотрудников для 12 квартальных проверок доступа не включала 186 из 2 940 работников; вы защищаете тесты, проводите повторную проверку или раскрываете исключение?

Контроль управления изменениями отклонялся в 7 из последних 8 месячных выборок, но Engineering считает каждый пропуск несущественным, потому что только 9 из 320 изменений не имели одобрения; какое решение вы примете?

Аудитор ISO 27001 выбирает 25 принятых сотрудников из полного перечня 410 человек, но 6 записей относятся к подрядчикам вне сертифицированного HR-процесса; вы принимаете выборку с оговоркой, заменяете записи или оспариваете запрос?

Sales пообещал, что новый EU analytics-продукт будет покрыт текущим сертификатом ISO 27001, но scope statement называет только 4 US-сервиса, а запуск через 45 дней; вы расширяете scope, задерживаете заявление или принимаете конфликт?

За 2 дня до передачи аудитору вы узнаете, что 38 из 214 скриншотов были воссозданы после окончания квартала, а исходные даты съемки отсутствуют; вы передаете, отзываетесь или восстанавливаете комплект evidence?

Внешний аудитор утверждает, что квартальная проверка привилегированного доступа провалена из-за одобрения через 11 дней после конца квартала, хотя policy допускает 15 дней и проверены 24 из 24 аккаунтов; вы принимаете finding или спорите?

За 6 дней до окончания SOC 2 fieldwork портал audit firm на 11 часов открыл другому клиенту 240 evidence files, включая payroll и customer data; вы продолжаете аудит, приостанавливаете его или меняете firm?

Management отказывается подписывать representation letter, потому что 3 из 67 владельцев контролей не подтверждают полноту, а до даты SOC 2 отчета 9 дней; вы эскалируете, сужаете scope или продолжаете?

За 4 дня до выпуска отчета SOC 2 аудиторская фирма сообщает, что менеджер, одобривший 38 из 110 рабочих документов, во время проверки вел переговоры о найме в вашу компанию и 6 недель назад стал директором GRC; вы выпускаете отчет, требуете повторной проверки или меняете фирму?

Аудитор предлагает major nonconformity, найдя 4 просроченных corrective actions среди 92 действий ISO 27001, а вы считаете, что только 1 затрагивает системный процесс; вы принимаете grade или добиваетесь переклассификации?

Утвержденный risk appetite допускает не более $2 млн residual loss для одного сценария, но VP продукта хочет принять exposure $8,5 млн на 6 месяцев ради защиты $14 млн выручки; какое решение вы примете?

11 high risks просрочены в среднем на 143 дня, 4 превышают board appetite, а владельцы 3 раза переносили target dates; вы снова продлеваете, требуете treatment или эскалируете?

Board risk dashboard оставался зеленым 4 квартала, но Internal Audit обнаружил 17 неудачных тестов по 6 ключевым контролям, а expected loss вырос с $3,2 млн до $7,9 млн; вы меняете рейтинг board сейчас?

5 отдельных moderate failures затрагивают один процесс customer data, а общий сценарий может раскрыть 4,8 млн записей; вы сохраняете 5 moderate issues или объединяете их в high risk?

Ваша risk model относит 62% из 340 technology risks к high, но только 8% привели к потерям или существенным отказам контролей за 24 месяца; вы калибруете thresholds или сохраняете сопоставимость?

Обязательство регулятору требует успешной работы 95% критичных контролей к 30 сентября, но июльский результат составляет 81% по 74 контролям, а у 9 remediation нет бюджета; вы меняете обязательство или эскалируете delivery?

Business unit просит четвертое 90-дневное исключение по encryption at rest для 1,6 млн customer records, а migration завершена на 70%; вы продлеваете, сокращаете срок или отказываете?

Ответственный владелец residual risk на $5,4 млн отказывается подписывать, потому что Security спроектировал контроль и считает владельцем CISO; до запуска 12 дней, кто принимает решение?

Программа remediation сообщает о снижении residual risk на 48%, но 13 из 20 контролей никогда не тестировались, а оценка основана на confidence scores владельцев; вы принимаете снижение в квартальный отчет?

3 business units принимают vendor outage risk по $1,8 млн в пределах своих полномочий $2 млн, но все зависят от одного cloud region, а общий exposure равен $9,7 млн; сохраняются ли acceptances?

Критичный payroll vendor сообщает о breach для 22 000 сотрудников, не подтверждает удаление скопированных tax data, а payroll запускается через 4 дня; вы приостанавливаете сервис, продолжаете или запускаете exit plan?

7 tier-1 vendors, обеспечивающих 68% customer transactions, зависят от одного identity provider, последний outage которого длился 11 часов; вы принимаете концентрацию или требуете диверсификацию?

Data processor с 9 млн записей не имеет нового SOC 2 report, а период покрытия предыдущего отчета закончился 5 месяцев назад; до renewal через 18 дней он предлагает только двухстраничное security letter, вы продлеваете контракт?

Контракт SaaS на $4,2 млн в год продлевается через 21 день, но 6 из 14 high-risk findings остаются открытыми, а vendor просит 3-летний срок за скидку 12%; что вы согласуете?

Tier-1 claims vendor раскрывает, что 3 fourth parties обрабатывают 74% ваших customer records, но только 1 указан в контракте и ни один не предоставил assurance; вы останавливаете onboarding или принимаете attestation vendor?

У компании, которую планируют приобрести за $180 млн, есть 14 нерешенных замечаний высокого риска и нет сертификата ISO, а срок эксклюзивных переговоров истекает через 10 рабочих дней; вы рекомендуете продолжить сделку, изменить цену или отложить закрытие?

SecurityScorecard оценивает ключевого vendor в 62 из 100, а его чистый SOC 2 Type II покрывает 118 контролей и содержит 0 exceptions; вы эскалируете, отменяете score или принимаете оба результата?

Vendor предлагает перенести 3,6 млн EU records из Frankfurt к US subprocessor за 30 дней, снизив fees на 18%; вы одобряете изменение?

Payment vendor не выполнил 2-часовой recovery objective в 3 из 4 тестов со средним временем 5,5 часа, но business owners против замены, потому что он обрабатывает $26 млн ежемесячно; вы принимаете failure?

Критичный CRM vendor объявляет завершение сервиса через 9 месяцев, хранит 12 терабайт customer data, а ваш последний export test восстановил только 83%; вы продлеваете support или запускаете exit сейчас?

API token Drata истек 47 дней назад, поэтому 29 контролей остаются зелеными на cached evidence AWS и Okta; вы сохраняете dashboard, отмечаете controls failed или откатываете automation?

Новая редакция NIST 800-53 изменила 63 mappings, но Hyperproof уже 4 месяца связывает старые controls с FedRAMP и ISO 27001; вы замораживаете reporting или исправляете mappings на месте?

После релиза GRC platform 46 владельцев контролей получили право менять утвержденные test criteria, а 19 из них изменили условия прохождения после неудачных тестов, из-за чего критерии на 73 исторических workpapers тоже изменились; до fieldwork 3 недели, как вы восстановите систему?

GRC team сообщает о 98% on-time remediation, но analysts закрыли 44 из 510 actions как 'risk accepted' за день до SLA, а у 31 нет уполномоченной подписи; вы публикуете metric?

В ServiceNow GRC накопилось 1 280 pending attestations, 420 старше 60 дней, а 3 analysts закрывают только 45 в неделю; вы нанимаете людей, отменяете records или меняете workflow?

Автоматизированный процесс проверки доступа сам закрыл 312 из 480 решений после ошибочного импорта иерархии руководителей, причем 27 решений касались привилегированного доступа; вы полностью откатываете автоматизацию или устраняете дефект без полного отката?

За 12 дней до полевой проверки повторный запуск коннектора доказательств в GRC-платформе перезаписал 1 260 утвержденных записей по 84 контролям текущими снимками и удалил исходную привязку к дате; вы восстанавливаете, собираете заново или оставляете перезаписанные доказательства?

При migration из Archer в AuditBoard перенесены 9 600 из 10 000 records, но отсутствуют 240 evidence links и 160 issue histories, а аудит через 28 дней; вы переходите или возвращаетесь?

Control library содержит 73 контроля, принадлежащих 11 сотрудникам, ушедшим более 90 дней назад, включая 8 key controls ближайшего аудита; вы переназначаете централизованно или приостанавливаете controls?

Панель для совета директоров показывает 91% зрелых контролей, 186 из 204 в прежних границах, а AuditBoard показывает 78%, те же 186 зрелых контролей из всех 240 после добавления 36 новых; какую цифру вы сообщите через 3 дня?

Audit SOW на $465 000 разрешает использовать отчет только management, запрещает регуляторам доступ к workpapers и допускает уничтожение evidence через 12 месяцев, хотя customer contracts требуют передачи отчета и 7-летнего хранения assurance records; вы подпишете его до потери audit slot через 4 дня?

Предлагаемый audit SOW позволяет firm увеличивать samples до 100% без согласования и выставлять весь rework почасово, а в вашем бюджете только 8% contingency; вы подписываете?

У компании есть 14 месяцев и $3,6 млн на compliance, но Sales хочет одновременно завершить FedRAMP Moderate, PCI DSS 4.0.1, ISO 27001 и SOC 2; какой roadmap вы одобрите?

Во внутреннем PCI DSS gap plan есть 31 remediation item со сроком до assessment 31 марта, а ISO 27001 surveillance audit за 6 недель до этого требует тех же 9 engineers на 420 часов; какую работу вы отложите?

Customer просит положиться на ваш SOC 2 report для 85 controls, но 17 вынесены в carve-out cloud provider, а ISO audit тестирует только 9 из них; вы заявляете полное coverage или заказываете дополнительную работу?

Регулятор дает 15 рабочих дней на объяснение, почему 23 из 140 обязательных access reviews опоздали, и спрашивает, является ли проблема системной; вы доказываете immateriality или признаете program failure?

Audit committee встречается через 48 часов после 6 failures ключевых controls, поднявших audit pre-fail risk с 18% до 46%, а management ожидает 4 fixes за 30 дней; какое решение вы просите у committee?

Senior analyst подготовил 5 audit packages с 22% QA rejection rate, в основном из-за слабого population evidence, а fieldwork начнется через 8 недель; как вы менторите его и защищаете delivery?

Legal, Engineering, Procurement и GRC оставили 37 vendor findings без владельца на 75 дней, потому что каждая команда считает, что другая функция контролирует contract или fix; какое решение по ownership вы примете?

За 5 дней до рассмотрения комитетом по аудиту годового заключения внутреннего аудита генеральный юрисконсульт поручает 4 владельцам контролей не передавать 31 сообщение Slack, ссылаясь на конфиденциальность общения с юристами, а руководитель внутреннего аудита считает это ограничением объема проверки со стороны руководства; кто принимает решение и позволяете ли вы выпустить заключение?