Cálculos de pontuação e classificações de risco de terceiros

Execute uma avaliação de risco externa abrangente ao calcular várias classificações e pontuações usando Gestão de risco de terceirosaplicação. Você pode obter uma compreensão mais profunda do processo de cálculo geral e aprender como os parâmetros e configurações definidos pelo usuário influenciam os resultados dos questionários.

Escala de classificação de riscos

Sempre que você cria um questionário, o sistema aplica uma classificação de risco padrão. Você pode configurar a escala de classificação de risco, que inclui as categorias, os valores mínimo e máximo, para atender às necessidades específicas do questionário que podem variar para cada avaliação. Por exemplo, você pode definir valores de classificação de risco como cores em vez de 1-Muito alto até 5-Muito baixo .

O exemplo a seguir mostra as classificações de risco padrão fornecidas como parte do sistema de base.

Figura 1. Escala de classificação de riscos padrão

Mecanismo de cálculo de pontuação

O mecanismo de cálculo de pontuação para cada avaliação de risco externa usa o. Now Platform®mecanismo de cálculo de pontuação de avaliação. Este mecanismo executa esses cálculos usando uma série de equações relacionadas que são recalculadas dinamicamente. Você define os seguintes parâmetros que afetam a classificação de avaliação calculada:

• Perguntas (métricas)

  Para obter mais informações sobre como definir uma pergunta, consulte Defina uma pergunta.

• Definição de escala de métrica

  Para obter mais informações sobre como definir a definição de escala de métrica, consulte Defina uma pergunta.

• Categorias

  Para obter mais informações sobre como definir uma categoria, consulte Configure e mantenha um banco de perguntas.

• Pesos

  Para obter mais informações sobre como definir uma ponderação, consulte Defina critérios de componente.

• Escala de classificação de riscos

  Para obter mais informações sobre como definir uma escala de classificação de risco, consulte Configure escalas de classificação de risco e pontuação.

• Escala de classificação de serviço de negócio
  No final do cálculo de pontuação, se um terceiro ou compromisso estiver associado a um serviço de negócios que você definiu na tabela Serviço [cmdb_ci_service], esse peso de criticidade será considerado no cálculo. Diferentes serviços de negócios podem ter níveis variados de riscos associados. Ao ajustar o peso da criticidade, você pode usar os valores resultantes para ajustar suas estratégias de mitigação de risco.

  Nota:

  Um serviço de negócio é uma sequência definida de tarefas ou atividades que contribuem para a entrega de um serviço, como e-mail, serviços DE TI, comércio eletrônico.

  Você pode definir os pesos de criticidade navegando até Tudo > Autoatendimento > Gestão de risco de terceiros > Configuração de Avaliação > Escala de Classificação de Serviço de negócio.
  Como parte do sistema base, quatro classificações são definidas:

  • 1 - mais crítico
  • 2 - um pouco crítico
  • 3 - menos crítico
  • 4 - não crítico

  Você pode associar cada terceiro ou compromisso a vários serviços de negócios.

O infográfico a seguir mostra o processo de cálculo da classificação de avaliação.

Figura 2. Processo de cálculo da classificação de avaliação

1. Cada pergunta no questionário tem estes valores calculados:

   1. QuestionRatings: A classificação de cada pergunta é calculada pelas respostas. A classificação é determinada pela definição da escala de métrica e pelos valores associados às respostas.

   2. QuestionPercentContribution: O percentual de contribuição de cada pergunta dentro de sua categoria é determinado por este cálculo. Este valor é baseado no peso atribuído pelo gerente de risco de terceiros à pergunta e no peso geral da categoria.
   3. QuestionNormalizedValue: O valor normalizado de cada pergunta é calculado multiplicando a classificação da pergunta, a porcentagem de contribuição da pergunta e um valor constante (100). Este valor permite comparar perguntas com diferentes pesos e classificações.
2. As categorias de cada questionário têm estas classificações calculadas:
   1. CategoryRating: A classificação de cada categoria é calculada somando os valores normalizados de todas as perguntas na categoria. A classificação da categoria é derivada da escala de classificação de risco associada.
   2. CategoryNormalizedValue: A classificação da categoria é normalizada multiplicando-a pelo peso da categoria para permitir que você compare valores em todas as categorias.
3. Questionário, questionárioPontuação quantitativa: A pontuação quantitativa geral da avaliação é calculada pela soma das pontuações da categoria normalizada. Esta pontuação representa a pontuação de risco do questionário.
4. Pontuação qualitativa de documentos: O cálculo da classificação de risco qualitativo das solicitações de documento é baseado na resposta à pergunta padrão "Você tem o "nome do documento" do documento? na solicitação de documento. Esta classificação pode ser substituída pelo avaliador de risco de terceiros, se necessário.
5. Avaliação, avaliaçãoClassificação: A classificação final da avaliação é calculada tomando a média ponderada dos questionários e solicitações de documentos em cada área de risco de terceiros. Os pesos são determinados pelo método de pontuação da área de risco.

QuestionRating

Você usa o. QuestionRating cálculo para definir o grau relativo de significância de cada métrica de avaliação individual em comparação com outras métricas. Esta variável-chave ajuda a calcular o valor normalizado posteriormente no processo.

Você pode definir Definição de escala para uma métrica de avaliação individual, definindo-a como Alto ou Baixo .

O exemplo a seguir mostra como o campo de definição de escala de métrica foi definido no formulário Métrica de avaliação.

Figura 3. Exemplo de definição de escala de métrica

• Alto significa que valores numéricos grandes indicam um resultado positivo. Se a definição de escala de métrica for alta, a seguinte equação será usada:

  (Valor - minValue) / (maxValue - minValue)

• Baixo significa que valores numéricos pequenos indicam um resultado positivo. Se a definição de escala de métrica for baixa, a seguinte equação será usada:

  QuestionRating: 1 - ((Value - minValue) / (maxValue - minValue))

O exemplo a seguir mostra o campo Valor da pergunta que é definido no formulário de pergunta da instância de avaliação.

Figura 4. Exemplo de valor da pergunta de avaliação

. valor usado na equação é obtido da resposta à pergunta. A configuração da métrica define a resposta correta, que é o valor, e os outros valores associados a outras respostas incorretas ou menos desejáveis.

Cálculo de retribuçãoPercentContribution

. ContestiçãoPercentyContribution define o grau de significância da métrica de avaliação na categoria em que ela está incluída. Esta variável de chave é usada no cálculo do valor normalizado posteriormente no processo.

A equação a seguir é usada para calcular o. ContestiçãoPercentyContribution .

QuestionPercentContribution: (QuestionWeight / somOfAllQuestionWeightsWithinCategory)

Nota:

SumOfAllQuestionWeightsWithinCategory é a soma dos pesos na categoria das perguntas que são respondidas.

. Categoria representa um tema para avaliar os registros avaliáveis em um tipo de métrica. Você pode definir o exemplo desta categoria com o retorno do investimento (ROI), risco, desempenho, segurança, dados pessoais, e assim por diante.

. Peso é um valor numérico que representa a importância da métrica relacionada a outras métricas. Um peso mais elevado proporcional ao peso geral da categoria tem uma influência mais forte na pontuação final. Você pode definir o peso, defini-lo como qualquer número inteiro e aplicá-lo a perguntas e categorias.

O exemplo a seguir mostra a categoria da pergunta e o campo de ponderação que você pode definir no formulário de métrica de avaliação.

Figura 5. Exemplo de categoria e ponderação da pergunta de avaliação

QuestionNormalizedValue

. ValorNormalizedValue permite que perguntas com diferentes pesos e classificações sejam comparadas igualmente na mesma escala.

A equação a seguir é usada para calcular o. ValorNormalizedValue .

QuestionNormalizedValue: 100 * questionRating * questionPercentContribution

Cada resposta a cada pergunta (métrica de avaliação) no questionário tem um valor normalizado . Este valor normalizado permite que você faça uma comparação significativa que será acumulada posteriormente para a categoria e os resultados gerais da avaliação.

O exemplo a seguir mostra uma lista de valores normalizados para um grupo de avaliação.

Figura 6. Exemplo de lista de valores normalizados para um grupo de avaliação

Cálculo de categoryRating

Agora que há valores normalizados para cada métrica na categoria, o. CategoryRating calcula um valor para toda a categoria que pode ser normalizado usando CategoryNormalizedValue equação para facilitar comparações entre categorias.

A equação a seguir é usada para calcular o. ContestiçãoPercentyContribution .

SumOfAllQuestionNormalizedValuesWithinCategory

A categoria Classificação é a soma de todos os valores normalizados das métricas na categoria.

O declarado Classificação de risco Cada categoria é derivada da escala de classificação de risco associada.

O exemplo a seguir mostra a lista de classificações de categoria e classificações de risco para uma categoria de avaliação.

Figura 7. Exemplo de lista de classificação de categorias e classificação de risco

Cálculo de categoryNormalizedValue

Com as classificações de categoria estabelecidas, o. CategoryNormalizedValue a equação usa esta classificação e o peso da categoria para normalizar o resultado em todas as categorias.

A equação a seguir é usada para calcular o. CategoryNormalizedValue .

CategoryNormalizedValue: CategoryRating * (categoryWeight / sumOfAllCategoryWeight)

Este valor normalizado calculado executa uma comparação mais significativa que é posteriormente acumulada para os resultados gerais da avaliação. Maior Peso os valores aumentam o valor normalizado da categoria.

O exemplo a seguir mostra a lista de valores normalizados para uma categoria de avaliação.

Figura 8. Exemplo de lista de valores normalizados de categorias

QuestionárioQuantitativeScore

Com todas as categorias normalizadas, a pontuação quantitativa geral da avaliação é calculada.

A equação a seguir é usada para calcular o. QuestionárioPontuação quantitativa .

QuestionsireQuantitativeValues: SomOfAllCategoryNormalizedValues

A saída do QuestionárioPontuação quantitativa a equação é a soma das pontuações da categoria normalizada. É apresentado como o. Pontuação de risco no registro do questionário.

O exemplo a seguir mostra uma pontuação de risco para um questionário.

Figura 9. Exemplo de registro de questionário com pontuação de risco

Pontuação qualitativa dos documentos

As solicitações de documento têm uma classificação de risco que é uma pontuação qualitativa. A classificação de risco preliminar é baseada na resposta à pergunta padrão "Você tem o documento "Nome do documento"?".

A classificação de risco do documento usa a escala mostrada na tabela a seguir.

Tabela 1. Documentar escala de classificação de risco

Resposta	Classificação de risco
Sim	Baixo(a)
Não ou sem resposta	Alto(a)
N/D	Moderado(a)

O exemplo a seguir mostra uma classificação de risco para uma solicitação de documento.

Figura 10. Exemplo de classificação de risco de solicitação de documento

Depois que o documento é revisado, ele pode ser considerado deficiente, portanto o avaliador de risco de terceiros pode substituir a classificação padrão. A avaliação retém o atual Classificação de risco e o. Classificação de risco original . O declarado Classificação de risco Cada categoria é derivada da escala de classificação de risco associada.

O exemplo a seguir mostra uma lista relacionada de categorias que inclui a classificação de risco original e atual.

Figura 11. Exemplo de lista relacionada de categorias

Cálculo de avaliação

Para qualquer avaliação de risco externa, a classificação final da avaliação é calculada como a média ponderada dos questionários e solicitações de documento em cada área de risco de terceiros.

A equação a seguir é usada para calcular o. Avaliação .

Avaliação: (Média (questionário e solicitação de documento para uma área de risco) * peso atribuído a essa área de risco e (questionário e solicitação de documento para outra área de risco) * peso atribuído a essa área de risco) / A soma dos pesos

• Questionário 1: Definido na Área de risco de segurança
• Questionário 2: Definido na área de risco financeiro
• Questionário 3: Definido na área de risco financeiro
• Solicitação de documento 1: Definida na Área de risco de segurança

Os critérios da área de risco são definidos como o exemplo mostrado na tabela a seguir:

Tabela 2. Critérios de área de risco

Área de risco	Método de pontuação	Ponderação
Risco de segurança	Risco médio	10
Risco financeiro	Risco máximo	20

A classificação final da avaliação é calculada usando esta equação:

Avaliação: (Média (Questionário 1 e Solicitação de documento 1) * 10 e MÁX (Questionário 2 e Questionário 3) * 20) / (10 e 20).

A classificação final é a classificação geral da avaliação que considera as pontuações e classificações de todas as avaliações realizadas para um terceiro ou compromisso. É calculado tomando a média ponderada dos questionários e solicitações de documentos em cada área de risco. Este processo de cálculo garante que todas as métricas, categorias e pesos relevantes sejam levados em conta com base em como você definiu esses parâmetros e configurações. O processo de cálculo e os fatores envolvidos podem ajudar você a tomar decisões informadas e tomar as ações apropriadas com base na classificação final.

Nota:

Para obter informações sobre como verificar classificações de risco e cálculos de pontuação, consulte Verificando classificações de risco e cálculos de pontuação.

• Verificando classificações de risco e cálculos de pontuação
  Você pode revisar pontuações e classificações de risco em seus questionários para ajudar a garantir a precisão e a consistência da pontuação de risco verificando a aplicação correta de pesos, valores normalizados, métodos de pontuação e escalas de classificação de risco. Com base nos diferentes pesos atribuídos, Gestão de risco de terceiroscalcula a média desses valores e produz uma pontuação composta para o risco geral.

Conceitos relacionados

• Verificando classificações de risco e cálculos de pontuação