SIG Questionnaire (Standardized Information Gathering, Shared Assessments)

SIG Questionnaire (Standardized Information Gathering) — стандартный опросник Shared Assessments для проверки подрядчиков. Его задача простая: собрать данные о рисках поставщика по единому набору вопросов, чтобы не составлять для каждого новый список.

Зачем нужен стандарт, видно по банковскому сектору. В комментарии для американского регулятора OCC приводится исследование конференции Community Banking in the 21st Century 2015 года. По его оценке, регуляторный комплаенс обходится общинным банкам в 4,5 млрд долларов в год, или 22% их чистой прибыли за 2014 год. Там же сказано, что такие банки исторически отдают технологические функции внешним поставщикам: держать эти компетенции у себя невыгодно. Получается, что каждый подрядчик должен пройти due diligence, а у каждого банка своя анкета. Поставщик, который работает с десятками клиентов, заполняет десятки похожих анкет. Заказчики, в свою очередь, получают ответы, которые нельзя сравнить между собой.

Shared Assessments предложила общий язык для таких проверок. Заказчик сравнивает поставщиков по одной структуре, поставщик готовит ответ один раз. Ниже разобрано, откуда взялся опросник, из чего он состоит, где его пределы и как выстроить на нём процесс проверки подрядчиков.

Происхождение и исследовательская база SIG Questionnaire

Shared Assessments и The Santa Fe Group

SIG разрабатывает и сопровождает программа Shared Assessments. Её связь с The Santa Fe Group видна по материалам 2017 года: в приложении к «GDPR: Data Processor Privacy Tool Kit — Version 1.0» правообладателем указана «The Santa Fe Group, Shared Assessments Program». Та же программа выпускает модель зрелости управления рисками контрагентов, поэтому SIG и Модель зрелости управления рисками контрагентов (VRMMM) относятся к одной экосистеме инструментов.

Наш прежний текст называл Shared Assessments «консорциумом финансовых институтов». В материалах брифа такой формулировки нет. Подтверждается только принадлежность программы к The Santa Fe Group и то, что её документы опираются на регуляторную базу финансового сектора. Поэтому формулировку мы убрали.

Регуляторный контекст: от бюллетеней OCC к стандартной анкете

Белая книга Shared Assessments о договорных принципах (июль 2018) ссылается на два документа американского регулятора OCC. Первый — бюллетень 2013-29 «Third-Party Relationships: Risk Management Guidance» (октябрь 2013). Второй — более ранний бюллетень 2001-47 о третьих сторонах. Ещё один источник этой книги — опрос EY 2016 года по управлению рисками третьих сторон в финансовых услугах «Shifting toward maturity». Отсюда видно, на что отвечает SIG: регулятор требует от банков проверять подрядчиков, а единый опросник позволяет делать это одинаково для всех.

В той же белой книге есть цифра о зрелости договорной практики. По шкале от 0 до 5 уровень для договоров вырос с 2,9 в 2015 году до 3,1 в 2017 году. Это показатель зрелости процесса, а не результатов анкетирования. Здесь как раз проходит граница между SIG и моделью зрелости: первая собирает данные о подрядчике, вторая оценивает, насколько системно компания работает с такими данными.

SIG и SCA: два инструмента одной программы

В приложении 2 той же белой книги домены риска описаны для двух инструментов сразу: опросника SIG и процедур Standardized Control Assessment (SCA, стандартизированная оценка контролей). Логика разделения такая. SIG фиксирует, что подрядчик сообщает о себе. SCA описывает, как проверить, что заявленные контроли действительно работают. В приложении к GDPR-инструментарию 2017 года отдельно выделен раздел SCA по приватности (2018 SCA Privacy Section), то есть процедуры проверки тоже развивались по доменам.

Опросник отвечает на вопрос «что подрядчик говорит о себе». Проверка контролей отвечает на вопрос «правда ли это». Это разные инструменты, и одним другой не заменить.

Эволюция версий: от SIG Manager 2024 к SIG 2026

Опросник выходит версиями с годом в названии. FAQ Shared Assessments ссылается на «2024 SIG Manager and Questionnaires User Guide». SIG Manager — это рабочая среда, из которой формируют опросники, а руководство описывает её базовые и расширенные функции. В FAQ разделы так и называются: Basic Functionality, Advanced Functionality, а также Regulations, Standards, Frameworks, References. Условия использования вынесены на вкладку Copyright в самом SIG Manager. Доступ к материалам идёт через личный кабинет (Login), обратная связь пользователей оформлена отдельным соглашением (Feedback Agreement).

По обзору Inventive, в последних версиях появились домены по искусственному интеллекту и по цепочке поставок, включая риски «N-го уровня» (Nth party), то есть подрядчиков ваших подрядчиков. В SIG 2026 добавлено сопоставление с ISO 42001 (управление системами ИИ) и с требованиями к операционной устойчивости. Отсюда практический вывод: анкету, скачанную несколько лет назад, нельзя считать актуальным SIG.

Расхождения в пересказах: 19 или 21 домен, 1200 или 855 вопросов

Популярные описания SIG часто не совпадают между собой, и наш прежний текст это повторял. В нём было 19 доменов и «более 1200 вопросов» в SIG Core. Материалы брифа говорят другое. Mitratech, Venminder и Inventive пишут о 21 домене, а Venminder называет для SIG Core 855 вопросов. Расхождение объясняется версиями: состав опросника меняется от года к году, а пересказы закрепляют цифры какой-то одной редакции. Правило для практика: число доменов и вопросов сверяйте с той версией SIG Manager, по лицензии на которую работаете, а не со статьями в блогах.

Что есть в исследовательской литературе

Эмпирических исследований эффективности SIG с выборками в брифе нет. Есть статья Akilnath Bodipudi «Developing New Framework for Vendor Risk Assessment by Comparative Analysis» (Journal of Mathematical & Computer Applications, 2024). Она сравнивает подходы к оценке поставщиков, но выдержка в брифе ограничена выходными данными, и приписывать ей конкретные выводы мы не будем. Остальная база — практические материалы. Это руководство SureCloud 2026 года по сбору информации о третьих сторонах, подробное руководство по управлению рисками третьих сторон (TPRM) с поэтапной схемой от реестра до мониторинга и белая книга Compliance Week (2020) о шести шагах TPRM. Почти все англоязычные обзоры SIG выпущены компаниями, которые продают автоматизацию анкет: Mitratech, Vanta, Workstreet, Inventive, SecurityScorecard. Их советы полезны, но выгоды автоматизации в них описаны щедрее, чем позволяют независимые данные.

Ключевые идеи и принципы SIG Questionnaire

1. Принцип: одна стандартная анкета вместо самодельных

   Опросник SIG — это заранее составленный набор вопросов о том, как подрядчик управляет рисками. Он нужен для due diligence, то есть проверки контрагента до договора и в ходе отношений. Стандарт выгоден обеим сторонам, и по этой причине компании его и выбирают. Заказчик оценивает многих поставщиков в одной структуре, и ответы становятся сопоставимыми. Поставщик один раз готовит базу ответов и потом использует её для разных клиентов. Workstreet называет и альтернативы: CAIQ от CSA и оценки по ISO 27001. При этом автор считает, что SIG остаётся стандартом, потому что сочетает полноту и посильный объём.

2. Принцип: 21 домен риска, а не только ИТ-безопасность

   Опросник охватывает 21 домен риска. Полного перечня доменов в материалах брифа нет, поэтому назовём только те области, которые там прямо упомянуты: информационная безопасность, защита данных и приватность, непрерывность бизнеса и операционная устойчивость, соответствие регуляторным требованиям, ИИ и риски цепочки поставок N-го уровня. Широта охвата важна для руководителя. SIG описывает не «уровень защиты сервера», а то, насколько поставщик способен стабильно и законно выполнять свою часть процесса.

   Inventive приводит пример вопроса: есть ли у компании сертификация SOC 2 Type II или ISO 27001 и когда её последний раз продлевали. Такой вопрос сразу говорит, какое доказательство нужно запросить вместе с ответом.

3. Принцип: SIG Core, SIG Lite и настраиваемый SIG

   Опросник существует в нескольких вариантах глубины. Конкуренты сравнивают их по трём осям: числу вопросов и охвату, глубине вопросов и типовым случаям применения.

   • SIG Core — полная версия для подрядчиков с высоким риском и критичных поставщиков. По данным Venminder, это 855 вопросов по 21 домену. Inventive оценивает ручное заполнение SIG Core в 20–30 часов.

   • SIG Lite — сокращённая версия для быстрой оценки поставщиков с меньшим риском или для первичного отбора. Точное число вопросов в материалах брифа не приводится, поэтому цифру «менее 200» из прежнего текста мы убрали.

   • Настраиваемый SIG — набор вопросов, собранный в SIG Manager под конкретный профиль подрядчика. Inventive выделяет его как третий вариант, а SecurityScorecard ставит адаптацию анкеты под задачу первым пунктом в своих рекомендациях.

   Когда выбирать Lite? Если доступ подрядчика к данным и его влияние на процессы невелики, а полная анкета займёт у обеих сторон больше времени, чем стоит этот риск. Малому бизнесу Lite подходит в обе стороны. Небольшому заказчику он даёт готовую структуру проверки, а небольшому поставщику — посильный объём ответа.

   Выбор между Core и Lite — это управленческое решение о том, сколько внимания заслуживает риск конкретного подрядчика. Это не формальность.

4. Принцип: многоуровневые анкеты под уровень риска

   Mitratech называет одним из сценариев применения SIG создание многоуровневых анкет (tiered questionnaires). Workstreet советует делить поставщиков на низко- и высокорисковых. В подробном руководстве по TPRM этот этап сравнивается с сортировкой пациентов в приёмном покое: сначала решают, кому помощь нужна срочно, потом распределяют внимание.

   Руководство SureCloud 2026 года показывает, как выглядят требования по уровням:

   • Высокий уровень: полный опросник (SIG или CAIQ), доказательства тестирования на проникновение, ежегодный аудит на месте или удалённо, ответственный за отношения со стороны руководства, проверка сертификатов SOC 2 или ISO 27001, соглашение об обработке данных по GDPR.

   • Средний уровень: сокращённый опросник и оценка непрерывности бизнеса.

   • Базовый уровень: опросник-самодекларация, выборочная проверка публичных сертификатов, стандартные условия договора, пересмотр при продлении договора.

   Эту схему можно напрямую перенести на выбор между SIG Core и SIG Lite.

5. Принцип: привязка вопросов к стандартам и регуляторике

   Вопросы SIG сопоставлены с распространёнными стандартами и законами. Inventive называет SOC 2, ISO 27001:2022, PCI DSS v4.0, NIST, GDPR и HIPAA, а в версии 2026 года добавлены ISO 42001 и требования к операционной устойчивости. Mitratech выделяет это как отдельный сценарий: сопоставление контролей поставщика с требованиями комплаенса. Так заказчик видит, какие ответы закрывают какое требование, и не пишет вопросы под каждый регламент заново.

   Этим SIG и отличается от других анкет безопасности. CAIQ ориентирован на облачных провайдеров, а самодельная анкета привязана к одному заказчику. SIG же охватывает много доменов и сопоставлен с несколькими стандартами одновременно. Новые рамки появляются в нём с обновлениями версий, как это произошло с ISO 42001.

6. Принцип: самоотчёт плюс доказательства

   Ответ на SIG — это заявление подрядчика о себе. Venminder советует подкреплять ответы доказательствами, например сертификатами ISO 27001 и SOC 2. Руководство по TPRM называет этап оценки работой с документацией: запросить SOC 2, ISO 27001 и анкеты, оценить поставщика и отметить неприемлемые риски. Чем выше уровень риска, тем больше ответов нужно подтвердить чем-то, кроме слов подрядчика.

7. Принцип: непрерывная оценка вместо разовой анкеты

   SecurityScorecard отдельно выделяет непрерывный процесс оценки. Vanta советует отвечающей стороне постоянно пересматривать своё состояние безопасности. Для низкого уровня риска SureCloud задаёт минимум — пересмотр при продлении договора. Для высокого предусмотрен ежегодный аудит. Анкета фиксирует состояние подрядчика в один момент. Без графика обновления через год она описывает компанию, которой уже нет. Это касается и самого опросника: выходят новые версии, появляются новые домены.

   Заполненная анкета показывает подрядчика в момент заполнения. Она перестаёт быть полезной, как только у подрядчика меняются люди, системы или регуляторные требования.

8. Принцип: у анкеты две стороны — заказчик и отвечающий

   Если вы поставщик, SIG пришлёт вам крупный клиент. Inventive приводит прогноз Gartner: к 2025 году 60% организаций будут использовать киберриски как основной фактор при выборе, с кем работать. Поэтому заполненный SIG часто становится условием сделки. Vanta даёт отвечающей стороне три совета:

   • Готовиться заранее: собрать типовые ответы и подтверждающие документы до первого запроса.

   • Постоянно пересматривать своё состояние безопасности, чтобы ответы не устаревали.

   • Автоматизировать ответы, если анкет много.

   Inventive добавляет ещё один риск отвечающих: устаревшие и противоречащие друг другу ответы. Покупатель их замечает, и доверие падает. Vanta также продвигает «центр доверия» (trust center) — публичную страницу с документами о безопасности, которую клиент изучает до отправки анкеты. В своих материалах компания ссылается на аналитическую записку IDC о том, что такие центры экономят время и ускоряют продажи.

9. Принцип: открытая коммуникация с подрядчиком

   SecurityScorecard отдельно советует поддерживать открытое общение с поставщиками. На практике это значит объяснять подрядчику, зачем нужна анкета и какая версия ему пришла, давать срок и контактное лицо, а непонятные ответы уточнять в разговоре. Если анкету просто отправить и ждать, придут формальные ответы «да, контроль есть». Если с подрядчиком разговаривают, он чаще сам называет слабые места.

10. Принцип: автоматизация сбора и оценки

    Mitratech называет автоматизацию сбора данных о третьих сторонах одним из сценариев SIG. Workstreet советует автоматизировать рассылку и оценку ответов. Белая книга Compliance Week (2020) описывает, что умеют такие платформы. В них есть библиотека готовых анкет, расписание оценок с напоминаниями и панелью статусов, сопоставление любых ответов с нормативными рамками, отчёты по ISO 27001, NIST, GDPR, CoBiT 5, SSAE 18, SIG, SIG Lite и NYDFS, а также процент соответствия. Автоматизация полезна, когда подрядчиков десятки и больше. При пяти-десяти подрядчиках достаточно таблицы и календаря.

11. Принцип: SIG собирает данные, модель зрелости оценивает программу

    SIG отвечает на вопрос, что происходит у конкретного подрядчика. Модель зрелости отвечает на вопрос, насколько системно ваша компания управляет такими данными. Одно без другого не работает. Можно собрать полные ответы SIG по каждому поставщику и не иметь процесса их пересмотра. Можно выстроить процесс, но задавать подрядчикам не те вопросы.

Ограничения, слепые зоны и критика SIG Questionnaire

Типовые ошибки при внедрении SIG Questionnaire

1. Ошибка 1: одна версия для всех подрядчиков.

   Мелкий поставщик без доступа к данным получает ту же полную анкету, что и провайдер облачной инфраструктуры. Объём растёт, поставщики затягивают ответы, отдел, который их разбирает, перегружен. В итоге критичные подрядчики проверяются не глубже остальных.

   Как избежать

   до рассылки разделите подрядчиков на уровни по доступу к данным и критичности для процессов. Для каждого уровня заранее закрепите версию (Core, Lite или настраиваемая) и набор обязательных доказательств, как в многоуровневой схеме SureCloud.

2. Ошибка 2: заполненная анкета считается доказательством.

   Подрядчик прислал ответы, на этом проверка закончилась. Если ответы не подтверждены, уверенность в безопасности ложная. Она опаснее открытой неизвестности, потому что из-за неё никто не задаёт дополнительных вопросов.

   Как избежать

   для высокого уровня риска сверяйте ключевые ответы с независимыми доказательствами. Это сертификаты SOC 2 и ISO 27001 с датами продления, результаты тестирования на проникновение, аудит. Отмечайте, какие ответы подтверждены, а какие приняты на слово.

3. Ошибка 3: анкета заполняется один раз при подписании договора.

   Через год у подрядчика другие системы, люди и субподрядчики, а в досье всё ещё старый ответ. Регуляторные требования тоже меняются, и новые домены, например ИИ или риски N-го уровня, в старой анкете просто отсутствуют.

   Как избежать

   для каждого уровня риска задайте частоту пересмотра. Для базового — минимум при продлении договора, для высокого — ежегодно. Поставьте даты в календарь владельца отношений с подрядчиком.

4. Ошибка 4: устаревшая версия опросника.

   Компания годами рассылает однажды скачанный файл. В нём нет доменов и сопоставлений, появившихся позже, включая ISO 42001 в SIG 2026. Цифры в отчётах для руководства расходятся с актуальным стандартом.

   Как избежать

   назначьте ответственного, который следит за выходом новых версий в SIG Manager, и при каждом обновлении решает, переходить ли на новую версию и нужен ли повторный опрос критичных подрядчиков.

5. Ошибка 5: ответы собраны, но не оценены.

   Ответы лежат в папке, и никто не решает, какие из них неприемлемы. Анкетирование превращается в архив, а риски, которые подрядчик честно указал, остаются без реакции.

   Как избежать

   заранее определите, какие ответы останавливают сделку, какие требуют плана исправления, а какие допустимы. После каждой анкеты оценивайте подрядчика и отмечайте неприемлемые риски, как предлагает руководство по TPRM.

6. Ошибка 6: анкета отправлена без разговора с подрядчиком.

   Поставщик получает сотни вопросов без объяснений и отвечает «да» везде, где может, чтобы быстрее закрыть сделку. Реальные слабые места остаются скрытыми.

   Как избежать

   объясните подрядчику цель и версию анкеты, дайте срок и контакт для вопросов. Неясные или противоречивые ответы уточняйте на встрече. Открытая коммуникация с поставщиком — отдельная рекомендация SecurityScorecard.

План внедрения SIG Questionnaire

1. Месяц 1: реестр и классификация подрядчиков. Составьте полный список подрядчиков с владельцем отношений по каждому. Для каждого зафиксируйте доступ к данным, критичность для процессов и регуляторную нагрузку. Распределите подрядчиков по трём уровням риска и закрепите за уровнем версию опросника (Core, Lite или настраиваемая) и набор обязательных доказательств. Проверьте условия лицензии SIG для вашей роли.

2. Месяц 2: домены и критерии оценки. Решите, какие домены обязательны для каждого уровня. Для критичных подрядчиков нужен полный набор, для остальных — домены, связанные с их реальным доступом. Заранее определите, какие ответы блокируют сделку, какие требуют плана исправления, какие приемлемы. Встройте анкету в процесс закупки как обязательный этап до подписания договора.

3. Месяц 3: сбор ответов. Разошлите анкеты сначала критичным подрядчикам. Объясните цель, дайте срок и контакт. Отслеживайте статусы. Если подрядчиков много, подумайте о платформе с рассылкой и напоминаниями. Неясные ответы уточняйте на встречах.

4. Месяц 4: верификация и решения. По высокому уровню сверьте ключевые ответы с независимыми доказательствами. Это сертификаты SOC 2 и ISO 27001 с датами продления, тесты на проникновение, при необходимости аудит. Оцените подрядчиков, отметьте неприемлемые риски, согласуйте планы исправления. Финансовую и репутационную стороны проверьте отдельными методами.

   Далее: поддержание и обновление. Для каждого подрядчика задайте дату следующего пересмотра: для базового уровня при продлении договора, для высокого ежегодно. При выходе новой версии SIG решите, обновлять ли анкеты. Раз в год оценивайте зрелость самой программы и сравнивайте с прошлым годом.

   Признак работающего процесса: у каждого критичного подрядчика есть актуальная версия анкеты, подтверждённые ключевые ответы и дата следующего пересмотра в календаре.

Как реализовать этот план с помощью фрейма «SIG Questionnaire» в OrgDevTools

Фрейм «SIG Questionnaire» — бесплатный тренажёр на OrgDevTools. Он ведёт по всему циклу проверки: реестр подрядчиков, уровень риска, глубина опросника, доказательства по доменам и график пересмотра. Отдельного Инструмента с этим фреймом на платформе нет.

Книги по теме SIG Questionnaire

Отдельных книг о SIG нет: это отраслевой стандарт, и первоисточники здесь — документы Shared Assessments и практические руководства.

• Shared Assessments — «2024 SIG Manager and Questionnaires User Guide» (2024). Описание работы с SIG Manager: формирование опросников, базовые и расширенные функции, условия использования.

• The Santa Fe Group, Shared Assessments Program — «GDPR: Data Processor Privacy Tool Kit — Version 1.0» (2017). Пример того, как программа развивает домены приватности в SIG и процедурах SCA.

• Akilnath Bodipudi — «Developing New Framework for Vendor Risk Assessment by Comparative Analysis» (2024). Академическое сравнение подходов к оценке поставщиков, контекст для выбора между SIG и альтернативами.

• SureCloud — «How to Develop Effective Information Gathering for Third Parties» (2026). Многоуровневая схема требований due diligence, на которой построена классификация подрядчиков в плане.