Дашборд CDE health для CDO / audit committee

Введение

SwiftRide T+10M. CDO заказывает сборку «CDE Health Dashboard». Risk Committee одобряет; CDO Office приглашает 3 аудитории на kickoff: (1) CDO Office (Priya — Data Platform Lead, Mei — analytics engineer); (2) Audit Committee Chair Sarah; (3) Big 4 senior manager Jonathan, посещающий для подготовки Q4 walkthrough. Каждая аудитория начинает запрашивать разное.

Priya: «Per-control fire counts, MTTR, матрица подотчётности владельца». Sarah: «Где самые слабые CDE? Индикаторы риска pre-IPO листинга? Улучшаемся ли Q-over-Q?». Jonathan: «Retrieval evidence sample; верификация прослеживаемости control_id к реестру рисков; доступ к историческим attestations».

Три очень разных потребности. Один дашборд, обслуживающий все три = либо слишком плотный (перегружающий каждую аудиторию), либо слишком разрежённый (не хватает ключевых данных по аудитории). Этот урок — дизайн отчётности по аудиториям.

Отчётность по аудиториям

Согласно BCBS 239 BCBS 239 Principle 9 — отчётность должна быть откалибрована к потребностям аудитории. Те же данные, три представления.

Матрица отчётности 3 аудиторий — CDO Office × Audit Committee × External Auditor

Три различных представления, источником которых является один и тот же базовый слой evidence. Различаются по каденсу, уровню детализации, цели решения, tooling. Агрегированные метрики в CDO + Audit Committee; raw доступ к evidence только для External Auditor (согласно AS 1105 ¶.10 IPE).

Слой evidence (raw)

3 представления

CDO OfficeОперационный

Audit CommitteeСтратегический

External AuditorEvidence

Ежедневно · Looker

Квартально · Hex/Tableau

On-demand · Query-доступ

Аудитория	Частота	Уровень детализации	Принимаемые решения
CDO Office (операционный)	Ежедневно / еженедельно	Высокая детализация — per-control, per-incident	Операционный triage; распределение ресурсов; эскалация инцидентов
Audit Committee (стратегический)	Квартально	Агрегированный — на уровне программы	Стратегические решения; бюджет; risk appetite
External Auditor (evidence)	On-demand во время audit cycle	Evidence-grade — per-sample реконструкция	Audit opinion

Операционный вид CDO Office

Аудитория. CDO + Data Platform Lead + Data Governance team + liaison 2-й линии Risk Function. ~12 человек с полным доступом.

Частота. Real-time дашборд + ежедневный standup снапшот + еженедельный review.

Ключевые метрики:

Coverage % — material CDE с полным набором контролей vs всего material CDE (целевой ≥ 95%; SwiftRide T+10M = 86% pending 3 CDE catch-up).
Operating effectiveness % — контроли, проходящие в периоде (целевой ≥ 99% для ежедневных контролей; ≥ 99.5% часовых).
MTTR (Mean Time To Resolution) — по severity (целевой: SEV-1 < 4ч, SEV-2 < 24ч, SEV-3 < 1 неделя).
Счёт открытых инцидентов — по severity, по CDE, по команде (целевой: SEV-1 всегда 0; SEV-2 < 5; SEV-3 < 30).
SLA compliance % — инциденты, закрытые в пределах SLA (целевой ≥ 95%).
Статус attestation cycle — прогресс текущего квартала (Q3 2026 — День 14 из 28-дневного цикла).
Audit findings открыты — внутренние + внешние, по severity.
Статус soak — preventive controls в периоде верификации operation effectiveness.
Проверка целостности evidence — ежедневная sample верификация HMAC-подписей (целевой 100% совпадение).
Здоровье эмиссии OpenLineage — события в час по источнику; детекция пробелов (индикатор silent failure).

Визуальная раскладка (Looker / Tableau):

┌──────────────────────────────────────────────────────────────────────┐
│  CDE Health — CDO Office Daily View                  Дата: 2026-09-15│
├──────────────────────────────────────────────────────────────────────┤
│  Coverage              Operating Eff.        MTTR              Инциденты│
│  86% ↗ (было 82% Q2)   99.2% (цель 99%)      SEV-1: 2.4ч       SEV-1: 0│
│  3 CDE pending         18 контролей degraded SEV-2: 18ч        SEV-2: 4│
│                                                SEV-3: 96ч       SEV-3: 27│
├──────────────────────────────────────────────────────────────────────┤
│  Топ-10 слабейших CDE (по fail rate Q3)                              │
│  1. CDE-SWR-019 (атрибуция SwiftAds) — 12.3% fail; 47 инцидентов    │
│  2. CDE-SWR-007 (входы loan model SwiftCapital) — 8.7% fail; 23     │
│  3. CDE-SWR-014 (insurance claims) — 6.1% fail; 18                  │
│  ...                                                                 │
├──────────────────────────────────────────────────────────────────────┤
│  Открытые action items по команде                                    │
│  Data Platform: 12 (preventive soak в прогрессе)                    │
│  SwiftCapital: 8 (пробелы валидации модели CDE-SWR-007)             │
│  Marketplace: 3 (шум атрибуции CDE-SWR-019)                         │
├──────────────────────────────────────────────────────────────────────┤
│  Статус attestation Q3 2026 cycle — День 14 из 28                   │
│  Gather: завершено (День 1-7)                                       │
│  Review: в прогрессе (День 8-21)                                    │
│  Sign-off: ожидание                                                 │
│  Archive: ожидание                                                  │
│  30 CDE — 18 review'ено; 12 ожидает                                 │
└──────────────────────────────────────────────────────────────────────┘

Drill-down: клик по слабейшему CDE → control matrix → конкретные падающие правила → связанные инциденты → RCA + статус preventive.

Стратегический вид Audit Committee

Аудитория. audit committee Chair + 4 board members + CEO + CFO + CDO. Квартальная встреча.

Частота. Квартальный summary report; одностраничный executive view + 5-7 страниц backup.

Ключевые метрики (стратегические, агрегированные):

Зрелость программы — % material CDE с полным coverage; траектория к 100%.
Индикаторы material weakness — какие паттерны контролей trending к material weakness.
Сводка квартального attestation — % CDE attested эффективными; % эффективны с исключениями; % неэффективны.
Траектория audit findings — открытые findings; closing rate Q-over-Q.
Индикаторы регуляторной exposure — DORA / GDPR / SOX 404 readiness scoring.
Готовность к pre-IPO листингу — качественное scoring (red/yellow/green по измерениям готовности).
Адекватность ресурсов — уровни staffing vs требуемые (capacity Internal Audit team; staffing Data Governance).
Внешние факторы — регуляторные изменения, влияющие на охват программы (например, фазовое внедрение EU AI Act Aug 2026, влияющее на CDE-SWR-004 pricing engine).

Одностраничный summary Q3 2026 (пример):

┌──────────────────────────────────────────────────────────────────────┐
│  CDE Programme — Audit Committee Summary Q3 2026                    │
├──────────────────────────────────────────────────────────────────────┤
│  ЗРЕЛОСТЬ ПРОГРАММЫ                                                  │
│  Инвентарь material CDE: 30 (цель 30 — полно)                       │
│  Coverage: 86% (Q2 82% / Q1 75% / траектория: 95% к Q4 2026)        │
│  Тренд: ↗ улучшается                                                 │
│                                                                       │
│  СВОДКА ATTESTATION                                                  │
│  Цикл Q3: 30 CDE attestations в прогрессе                            │
│  Q2 финал: 27 эффективны; 3 эффективны с исключениями; 0 неэффективны│
│  Material weakness не идентифицированы                               │
│                                                                       │
│  ГОТОВНОСТЬ К PRE-IPO ЛИСТИНГУ                                       │
│  Независимость Audit Committee: GREEN (3 из 5 членов независимы)    │
│  Дизайн ICFR: GREEN (control matrix полна для material CDE)         │
│  Operating effectiveness ICFR: YELLOW (нужен 1 квартал soak)        │
│  Evidence chain: GREEN (S3 Object Lock + Workiva attestation)       │
│  Качество RCA: YELLOW (Q3 finding Internal Audit на 4 RCAs SEV-1)   │
│  Общее: YELLOW — в графике для листинга Q2 2027; пробелы remediable Q4│
│                                                                       │
│  КЛЮЧЕВЫЕ РИСКИ                                                      │
│  - SwiftAds CDE-SWR-019 шум атрибуции (12% fail rate Q3)            │
│    Risk score повышен; remediation Q4                                │
│  - Слабость on-call rotation handoff (2 SLA misses Q3)               │
│    Fix развёрнут 2026-09-05; soak Q4                                 │
│                                                                       │
│  РЕГУЛЯТОРНЫЕ ОБНОВЛЕНИЯ                                             │
│  - EU AI Act high-risk Aug 2026 — review pricing engine SwiftRide    │
│    в прогрессе; решение классификации Q4                             │
│  - DORA Art. 19 готовность — первый тест major-incident завершён Q2  │
│    успешно                                                            │
└──────────────────────────────────────────────────────────────────────┘

Инструменты — Looker enterprise / Hex для презентации; Tableau для инвесторского качества эстетики. SwiftRide использует Hex для отчётов Audit Committee — современный UX, scheduled distribution, comment threads на конкретных ячейках.

Evidence-вид External Auditor

Аудитория. Big 4 senior associate + senior manager + partner; on-demand во время audit cycle (обычно Q4 для fiscal year-end; Apr следующего года для FY review).

Частота. On-demand; ежедневно во время audit period; интенсивно в Q1.

Ключевые features (не метрики — retrieval evidence):

Snowflake audit.evidence_index запрашиваем — аудитор SELECTs по control_id, period, CDE.
Доступ к S3 evidence payload — read-only IAM-роль для прямого скачивания payload.
Верификация HMAC-подписи — доступ KMS key verify (public-key crypto verify).
UI lineage Marquez — read-only доступ; column-level lineage query.
Доступ к тикетам Jira — incident lifecycle read-only.
Архив attestation Workiva — подписанные квартальные statements запрашиваемы.
Risk register read-only — текущее состояние + исторические изменения.
Control matrix M5.9 — design documentation read-only.

Нет агрегированных метрик в auditor view — аудитор строит их независимо из raw evidence. Pre-aggregated метрики от менеджмента = IPE (согласно AS 1105 ¶.10) и требуют независимой верификации.

Паттерн доступа:

-- Big 4 senior associate Maya провижена audit_auditor_role

-- Выборка sample per material CDE
SELECT control_id, evidence_id, s3_key, timestamp_utc, result
FROM audit.evidence_index
WHERE cde_id = 'CDE-SWR-003'
  AND timestamp_utc BETWEEN '2026-07-01' AND '2026-09-30'
  AND result = 'fail'
ORDER BY timestamp_utc DESC;

-- 9 результатов; аудитор открывает 5 sample
-- Для каждого — скачивание S3 payload; верификация HMAC sig; пересчёт правила вручную

-- Cross-reference закрытия Jira
SELECT cde_id, incident_id, closure_timestamp, rca_url
FROM audit.incidents
WHERE cde_id = 'CDE-SWR-003'
  AND incident_severity IN ('SEV-1', 'SEV-2')
  AND created_timestamp BETWEEN '2026-07-01' AND '2026-09-30';

Стоимость прозрачности дашборда

Что НЕ показывать. У дашбордов стоимость помимо усилий на сборку — прозрачность создаёт трение.

Шум false positives

Паттерн: дашборд показывает каждое срабатывание контроля, включая авто-suppressed; метрики шумные; менеджеры теряют signal-to-noise ratio.

Почему плохо: решения triage искажены; все видят «у нас 47 инцидентов сегодня», когда 35 — автоматически обработанный шум; alert fatigue.

Исправление: отдельный операционный дашборд (инциденты, требующие действия) от raw event stream (compliance audit trail). Отфильтровать авто-suppressed события из основного дашборда.

Внутренний межкомандный конфликт

Паттерн: дашборд показывает «CDE-SWR-007 SwiftCapital team — 23 инцидента Q3»; команда чувствует публичный shaming; защитная позиция; снижает прозрачность отчётности об инцидентах.

Почему плохо: плохие стимулы — команды подавляют инциденты, чтобы избежать плохих метрик; культура безопасности деградирует; findings PCAOB inspection (under-reporting).

Исправление: контекстуализировать — «SwiftCapital 23 инцидента; программа стартовала Q2; устанавливается базовая линия; траектория улучшается». Сравнивать с peer teams, нормализованными по count CDE. Избегать публичных team rankings; показывать через приватные каналы CDO Office.

Преждевременные выводы о трендах

Паттерн: «Fail rate Q3 вырос на 0.3% от Q2 — нужен investigation». 0.3% может быть шумом.

Почему плохо: ложные сигналы триггерят investigation; трата ресурсов; доверие к аналитике подрывается.

Исправление: тестирование статистической значимости — флаг трендов только > 2 standard deviations от базовой линии; требовать ≥ 3 квартала данных до утверждений о трендах.

Vanity-метрики

Паттерн: «10000 DQ checks прогнано в Q3» — впечатляющее число; бессмысленный контекст.

Почему плохо: не транслируется в инсайт или решение; занимает место; cognitive cost для читателей.

Исправление: каждая метрика привязана к решению — «10000 проверок; 99.2% pass; 80 failures investigated; 73 закрыты в пределах SLA; 7 привели к preventive controls» → action-oriented.

Антипаттерны

Green-everywhere дашборд

Паттерн: 95% метрик зелёные; аудитор скептичен — «действительно ли всё в порядке?».

Почему плохо: паттерн PCAOB inspection — overly optimistic management reporting отмечается как red flag; «если всё зелёное, контроли, вероятно, на самом деле не тестируют tight thresholds».

Исправление: убедиться, что дашборды отражают реальность, включая yellow/red. Какой-то yellow нормален (preventive soak в прогрессе, edge cases). Red редок, но виден, когда присутствует. Если всё зелёное ≥ 6 месяцев, audit suspicion оправдана — пере-настроить пороги; убедиться, что не слабы.

Слишком много метрик

Паттерн: 47-метричный дашборд; читатели сканируют мимо релевантных данных; signal-to-noise низкий.

Почему плохо: cognitive overload; ключевые решения погребены; читатели теряют доверие.

Исправление: tier метрики — 5-7 «headline» per view; supplementary 10-15 «drill-down» по запросу; raw data on-request. Согласно Google Workrooms guidelines — начинать с 5 метрик, добавлять только если отсутствуют данные.

Путаница в аудитории

Паттерн: один и тот же дашборд для CDO + Audit Committee + Auditor.

Почему плохо: слишком плотный для одного, слишком разрежённый для другого; каждой аудитории нужен разный ритм.

Исправление: виды по аудиториям (центральный паттерн этого урока); общие источники raw data, различные слои презентации.

Дашборд как первичный evidence

Паттерн: «Покажите Q3 attestation» → скриншот дашборда; называется evidence.

Почему плохо: скриншот эфемерный; дашборд сгенерирован из текущего состояния; пересборка может показать разные числа; не восстановим.

Исправление: дашборды = операционная сводка; первичный evidence — S3 Object Lock неизменяемый согласно M7.2. Дашборд источник из указателей audit.evidence_index; аудитор верифицирует через raw payloads, не скриншоты.

Проверка знанийKnowledge check

CDO SwiftRide представляет Audit Committee Q3 дашборд: 'Coverage 95%, Operating effectiveness 99.7%, MTTR всё зелёное, 0 инцидентов SEV-1 Q3, 0 открытых audit findings'. Audit Committee Chair Sarah спрашивает Internal Audit: 'Это похоже на rubber-stamp report. Что-нибудь missing?'. Какой proper ответ Internal Audit?

ОтветAnswer

Инстинкт Sarah корректен — 'green-everywhere' = паттерн red flag PCAOB inspection; Internal Audit должен валидировать accuracy. Proper ответ Internal Audit: (1) Программа audit работает < 12 месяцев — 100% effectiveness на всех метриках статистически невероятна; либо пороги слишком слабы (контроли на самом деле не тестируют material риски), либо определение метрики gamed (например, 'MTTR всё зелёное', потому что инциденты не подсчитаны; 'coverage 95%' считая CDE-with-some-controls vs CDE-with-complete-control-set). (2) Независимая верификация — Internal Audit пуллит raw data: count всех инцидентов (не только формально отслеживаемых); оценка качества документов RCA; sample attestations для верификации глубины review Business Owner. (3) Вероятные findings — (a) Некоторые метрики определены слишком слабо (например, 'эффективны' включает 'эффективны с исключениями', раздувая зелёный %); (b) 0 SEV-1 может быть правдой, но backlog SEV-2 или chronic SEV-3 предполагает скрытые issues в более низкой severity; (c) Метрика coverage может исключать in-flight CDE work, раздувая знаменатель; (d) Audit findings 'open' = недавно закрытые, но качество closure может быть слабым. (4) Рекомендуемое действие Audit Committee: (a) Запросить Internal Audit независимый audit effectiveness программы Q4 — 100% sample RCAs SEV-1/2 + sample attestations; (b) Запросить CDO Office redefine метрики — 'эффективны без исключений' отделены от 'эффективны с задокументированными исключениями' отделены от 'неэффективны'; не разрешать смешение; (c) Сравнить с industry benchmarks — Big 4 published peer-bank статистика показывает типичные ranges operating effectiveness; (d) Запросить квартальное сравнение — Q3 vs Q1/Q2 trending должен показать нормальную вариацию; perfect-green Q3 после volatile Q1/Q2 = подозрение в манипуляции. (5) Коммуникация Internal Audit — дипломатичная, но твёрдая; не обвинение, а запрос на валидацию; CDO Office, вероятно, well-intentioned, но определения метрик нуждаются в scrutiny. (6) Паттерн PCAOB 2024 inspection — 'overly optimistic management reporting flagged'; ответственность надзора Audit Committee включает catching этого; контекст pre-IPO повышает ставки. (7) Урок — дашборд ≠ evidence; дашборд summarises evidence; Audit Committee должен иногда drill в слой evidence, не принимать summary за face-value; healthy skepticism = governance best practice.

Реализация 3-аудиторного дашборда SwiftRide

Стек инструментария:

Слой данных:
  - audit.evidence_index (Snowflake) — единый источник истины
  - audit.incidents (Snowflake) — Jira sync еженощно
  - audit.attestations (Snowflake) — Workiva sync еженощно
  - audit.risk_register (Snowflake) — Risk Function curated
  - audit.controls_matrix (Snowflake) — CDO Office поддерживается
  - Marquez (PostgreSQL) — lineage операционно
  - S3 evidence bucket — Object Lock 7 лет

Слой презентации:
  Дашборд CDO Office — Looker (операционный); Ежедневное обновление
    - dashboard.looker.swr.internal/dashboards/cde-health-cdo
    - Доступ: CDO Office team (~12 человек)
  
  Дашборд Audit Committee — Hex (presentation-quality); Квартально построен; распространяется PDF
    - hex.swr.internal/reports/audit-committee-2026q3
    - Доступ: Audit Committee + CDO + CEO + CFO
  
  Auditor view — Snowflake-роли + S3 IAM + Marquez UI
    - Прямой query-доступ; нет агрегированных метрик
    - Доступ: Big 4 senior associate + senior manager (во время audit cycle)

Distribution:
  - CDO daily standup использует Looker dashboard
  - Квартальная встреча Audit Committee — Hex PDF + live drill-down
  - External auditor — on-demand; провижен за 2 недели до audit kickoff

Инструментарий — соображения

Looker (Google Cloud). Сильный для операционных дашбордов; абстракция модели LookML; хорошо подходит для ежедневного использования CDO Office; SSO integration; гранулярный access control.

Tableau (Salesforce). Сильный для инвесторских презентаций; aesthetic flexibility; Audit Committee polish; менее developer-friendly, чем Looker.

Hex. Современная notebook-first аналитика; presentation mode; scheduled distribution; comments на ячейках; предпочтительный SwiftRide для Audit Committee.

dbt Cloud lineage view. Self-service exploration lineage dbt-модели; OpenLineage events surfaced; полезное дополнение к Marquez; не standalone audit evidence.

Workiva. SOX-first; workflows attestation; AI-assisted control testing; пуллит evidence; не первичный инструмент визуализации, но архивный слой.

AuditBoard. Audit-first альтернатива; широко развёрнут mid-market к enterprise; интегрируется с Jira / ServiceNow.

Резюме

3 аудитории — CDO Office (операционный, ежедневно, высокая детализация), Audit Committee (стратегический, квартально, агрегированный), External Auditor (evidence, on-demand, evidence-grade).
Дашборд CDO Office — coverage %, operating effectiveness %, MTTR, открытые инциденты, SLA compliance, статус attestation, целостность evidence.
Summary Audit Committee — зрелость программы, индикаторы material weakness, сводка attestation, траектория audit findings, готовность pre-IPO, адекватность ресурсов.
External Auditor view — нет агрегированных метрик; raw доступ к evidence (Snowflake index + S3 payloads + Marquez + Jira + архив Workiva); аудитор строит метрики независимо.
Стоимость прозрачности — шум false positives, межкомандный конфликт, преждевременные тренды, vanity-метрики; требуют тщательной курации.
Антипаттерны: green-everywhere (red flag PCAOB); слишком много метрик (cognitive overload); путаница в аудитории; дашборд как первичный evidence.
Инструментарий — Looker (CDO операционный); Hex / Tableau (Audit Committee стратегический); Snowflake / Marquez / S3 (auditor evidence доступ). Workiva / AuditBoard — архивный слой attestation.

В M7.7 — финальный лаб: построить evidence pipeline (GE 1.17.1 + OpenLineage + Jira) end-to-end; архитектурные решения, список компонентов, opt-in docker-compose setup, критерии self-check.

KPI эффективности программы DG