CN101395623A - 合规性项目评估工具 - Google Patents

Abstract

本发明提供了合规性评估系统和工具，用于有效地对跨企业合规性项目进行评估并合规性项目评估进行管理。合规性活动以用于评估LOB合规性项目的合规性项目元素要求(CPR)组，进行度量。CPR定义了LOB文档及其合规性项目执行的最低标准。评估结果被归档，并生成合规性项目评估数据表单。也向支持合规性项目的文档状态和合规性项目执行效率，提供等级。利用这些输入，本发明的工具自动计算代表合规性项目充分性和效率的分数。工具也至少部分根据分数分配色码。可以生成能够用于确定合规性趋势的报告。

Description

合规性项目评估工具

技术领域

许多机构都必须遵守各种规则、政策、规章和指南，不管这是由管理实体内部建立的，或者是立法的结果(下文称“规则”)。因为有些规则，机构具有监督一致性合规或者遵守规则的责任，所以，对于管理跨整个企业组织的合规性项目的复杂过程就有着越来越大的需求。此外，组织内的不同业务部门(LOB)有着不同的合规性政策和流程。对于大型的和地理上分散的组织，这些要求会产生重大的挑战和资源消耗。

背景技术

为了确保组织的LOB的合规性项目是充分和有效的，就需要组织来执行合规性项目评估。这些评估跨组织评价合规性项目的文献充分性和执行效率。此外，合规性评估有时能够发现可以执行改进或采取补救行动的地方。这些努力必须要有资金，而且必须一直被充分地监督和追踪。因此，就需要一个整体的过程和工具，来有效地跨组织评估合规性项目并管理合规性项目评估。

发明内容

本发明提供了用于跨组织监督合规性活动的合规性评估系统和工具。合规性活动对照一组用于评估LOB合规性项目的合规性项目要求(CPR)进行度量。对CPR进行组织，以便于CPR在大量的高水平的合规性项目元素下，被编制目录。CPR定义了LOB文献及其合规性项目执行的最低标准。评估结果被存档，并生成能够用于确定评估趋势的合规性项目评估数据表单、图形表示以及高水平报告。可以跨整个识别组织CPR并确定每个CPR的临界状态。对于每个CPR来说，也向支持合规性项目的文献状态和合规性项目执行效率提供等级。对于这些输入，本发明的工具自动计算代表合规性项目充分性和效率的分数。工具至少部分根据分数分配色码，以对合规性项目的状态提供快速的视觉指示。当为CPR建立分数时，向每个CPR分配值(低、中、高)。该值也用于为与每个CPR关联的缺口编制优先级以作补救考虑。

在一些实施例中，本发明的合规性评估系统包括各种模块、应用程序或者一起工作的应用程序模块以完成合规性项目评估、编制优先级、建议行动和报告。这些可以通过计算机系统、软件以及网络，或者通过其他装置，例如纸基装置，来实现。合规性项目评估模块通过下列手段实现合规性评估的开发：通过根据组织要求对CPR进行组织；通过捕捉评估数据；通过根据要求和数据计算评估分数以及通过对任何识别的缺口编制建议行动的优先级。通用数据库可操作地连接到合规性项目评估模块和其他模块，以维护CPR、分数以及与评估相关的其他数据。能够提供报告功能，便于对组织的合规性项目进行监督。

在一些实施例中，本发明通过计算平台或由网络互连的计算平台的集合来实现，例如，公司内部网，在这种情况下，网络浏览器能够便于本发明的使用。包括带有各种指令的计算机程序的计算机程序产品，可以使硬件至少部分地执行本发明的方法。应用程序或者模块，例如上文中提到的合规性项目评估模块，可以在服务器或工作站上运行。如果应用程序在服务器上运行，那么，从客户端工作站访问模块。数据库可操作地连接到模块。数据库可以位于相同平台上，作为一个或多个应用程序模块，但是更为典型的是，数据库位于数据库服务器上。在这个基于计算机的实施例中，硬件和软件共同形成了用于执行本发明的装置。

附图说明

图1是用于实现本发明的一些实施例的一些计算机硬件的框图；

图2是适于用在大型企业中的示例性实施例中的用于实现本发明的硬件的网络框图；

图3是可以由本发明的合规性项目评估模块创建的示例性数据表单；

图4是示出了根据本发明的一个实施例的初始和建立合规性项目评估系统的流程图；

图5是示出了根据本发明的一个实施例的合规性项目评估系统操作的流程图；

图6是示出了根据本发明的一个实施例的使用合规性项目评估工具的流程图；

图7到12示出了本发明的工具的报告功能。

具体实施方式

通过参考在此陈述的具体实施例，可以更好地理解本发明。这些实施例中的一些是在大型企业的背景下执行的，利用了公司内部网来执行合规性项目评估功能；但是，这些实施例只是示例性的。本发明适合任何类型的组织内部的任何类型的合规性项目评估活动。

术语“企业”或“组织”通常用于指使用本发明的实体，例如，公司或社团。实体可大可小。“业务部门(LOB)”通常指企业或组织内的部门。在本申请中的“合规性角色”表示由机构所定义的功能，其要求完成一个或多个合规性项目评估角色，例如合规性官员、审计员或其他功能。通常，角色由个体或个体组成的团队来提交，例如，授权和受培训的合规性官员来执行特定角色要求的功能。

术语“模块”、“应用程序模块”，以及在一些情况下的简单的“应用程序”指的是在作为整个讨论的角色管理系统的一部分执行的特定过程。通常，模块对应于软件应用程序。一些模块用于合规性角色收集并向合规性项目评估模块输入数据的过程。在本申请中使用的术语“工作站”意在包括任何合规性角色从其能够访问本发明的系统的设备。

图1以框图的形式，示出了本发明的计算机实现的实施例视图，如可以网络中实现的。图2中示出了在下文中将讨论的网络组件、在线系统的视图。图1包括计算机平台100。作为平台的中央处理单元(CPU)的处理器102对平台进行控制。存储器104通常被划分为多种类型的存储器或存储区域，例如，只读存储器(ROM)以及随机存取存储器(RAM)。示出了多个通用适配器106。在这个例子中，至少一个服务器将计算平台连接到网络108。网络可以是公司内部网、或者只是局域网(LAN)。用于执行适当的应用程序模块的计算机程序代码指令，存储在硬盘上110上，所述应用程序模块包括合规性项目评估模块134。当系统运行时，指令被部分导入到存储器，并由CPU进行执行。多种类型的通用计算机系统和工作站可以使用，并可用于实现计算平台100。可用的系统包括运行操作系统的系统，例如，Microsoft的Windows^TM、各种版本的UNIX^TM、各种版本的Linux^TM以及各种版本的Apple的Mac^TMOS。

应当注意，包括通用数据库的本发明的整个功能，能够整体或部分地在类似于图1所示的单个计算平台上实现。例如，如果小的业务以单机来实现本发明，也可以是这种情况。本发明也可以部分或完全地利用纸基装置来实现，这种情况下的形式可以取代在此公开的各种计算机输入流程和屏幕。但是，在其他实施例中，通用数据库可以存储在数据库服务器中，例如，图1的114所示的SQL服务器。在这种情况下，硬盘存储器118包括数据库。处理器120、适配器122和存储器124的功能类似于计算机100上的这些装置。如果用公司内部网进行连接，那么计算平台100上的应用程序或模块能够通过网页从客户端工作站130进行访问。利用适当的安全协议，也可以通过因特网远程完成评估和追踪行动，如将参考图2在下文中描述的。

在任何情况下，通过利用如图1所示的系统，部分实现本发明的计算机程序，可以采取位于计算机可用或计算机可读存储介质上的如MICROSOFT EXCEL电子表格的计算机程序产品的形式。这种介质、软盘在图1的132中示出。包括程序指令的计算机程序产品以这种形式提供，并能够直接地或者通过因特网下载到所涉的机器上。当计算机程序产品通过因特网“下载”时，介质也可以是被检索的信息流。计算机程序能够位于任何能够包括、存储、通信、传播或传输的由指令执行系统、设备或部件使用或结合指令执行系统、装置或部件使用的介质上。计算机可用或计算机可读介质可以是，例如但不限于，电子、磁、光、电磁、红外或者半导体系统、设备、部件或传播介质。计算机可读介质的其他例子可以包括电连接，所述电连接具有一条或多条线、可移动计算机软盘或可移动硬盘、光纤、光盘只读存储器(CD-ROM)以及数字多功能只读存储器(DVD-ROM)。注意，计算机可用或计算机可读介质甚至可以是程序可以利用其进行打印的纸或另外的适当介质，因为程序可以通过例如纸或其他介质的光学扫描进行电子捕捉，然后进行编译、解释或在必要的时候进行适当的处理，随后存储到计算机存储器中。

本发明的系统的初始和安装，将结合图3所示的本发明的数据表单和图4的流程图的实施例进行描述。组织内的高管或其他授权部门开发了应用于组织的CPR301，而且对于CPR301，组织基于管理该组织的规则最终负责与其保持一致(方框401)。CPR是LOB必须执行以实现LOB合规性要求的定义的过程、流程或活动。每个CPR通常包括如合规性规则应用所确定的需要由组织执行的要求、过程和/或流程的描述。CPR描述符可以包括CPR涉及的活动的描述和/或其他相关信息。可以向每个CPR提供要求号303，以便于参考CPR。要求号可以包括字母数字代码，例如，其涉及的项目元素的两个字母缩写，以及识别号。CPR可以包括必须由LOB执行的用于满足定义的CPR的多个活动或过程。这些CPR可以存储在存储器104或124的系统中，或者，可以从独立于系统的文档中进行访问。在优选实施例中，当角色例如在工作站130执行合规性评估时，CPR可以由合规性角色进行访问。

在一个实施例中，对CPR进行组织，以便于在多个较高水平的合规性项目元素302中，对CPR编制目录(方框402)。在每个项目元素中编制目录的CPR，涉及该项目元素，使得如果涉及项目元素的所有CPR被满足，那么项目元素也将被满足。

在本实现方式中，定义了七个这种项目元素302，应当理解，可以定义更大或更小数量的项目元素。在本发明实现方式50中，定义了CPR301，每个CPR301落入项目元素302的其中一个中。在本实现方式中，项目元素302和CPR301在组织水平进行定义，使得这些元素对于组织内的每个LOB相同。每个CPR301包括LOB必须实现以满足该CPR要求的描述。描述可以由合规性角色使用，用于确定LOB是否满足该CPR的要求。系统可以包括当评估CPR时，由合规性角色提到的每个CPR的附加背景信息。背景信息可以包括CPR源，例如美国代码适配器或者内部政策号或者其他解释性信息。可以在CPR中提供链接，以访问该背景信息。对于每个CPR，定义临界状态等级307，其中，临界状态等级表示每个CPR与其他CPR相比的相对临界状态(方框403)。在示意性实施例中，使用两个临界状态等级3和5，其中，等级5表示对有效合规性项目相对更为临界的CPR。应当理解，利用两个以上的等级可以提供更大程度的粒度。如项目元素302和CPR301，临界状态等级307在组织水平上定义，使得临界状态等级对于组织中的每个LOB都相同。

在一个实现方式中，项目元素302和CPR301在下文中列出，其中，CPR基于组织的合规性项目评估要求，所述组织具有包括政府和管理规则的内部和外部合规性要求：

项目元素NO.1-承诺和责任

1.根据LOB合规性项目指南，维护和实现合规性项目。

2.考虑在新产品和过程开发中的关键合规性风险，以确保风险能被适当地管理。

3.合规性问题和风险被并入到组织风险审查和LOB自我评估过程。

4.资源是充分的并能够提供必要的专门意见，并能够投资项目/行动以管理现金和出现的合规性风险。

5.合规性风险/主题被包括在执行者与高管会议期间的日程表项目中。

6.合规性风险和度量在方针管理计划(Hoshin planning)中被考虑。

7.社团对包括公司标准的违反的合规性执行负有责任。

8.合规性角色、责任以及执行期望被存档并传输。

9.高管定期地将合规性承诺发送给它们的社团。

10.适当的过程用以识别和解决合规性缺口、现金和出现的合规性风险，以及及时的合规性项目缺陷。

11.适当的过程以在需要时对合规性项目进行更新。

项目元素NO.2-政策和流程

12.维护、实现和容易地访问政策、程序和指南的详细目录，适当地进行适当的保留历史过程。

13.合规性要求被嵌入到政策、流程和过程中，引导社团担负它们的日常责任，来对合规性风险进行管理。

14.适当的过程，用于更新和核准政策和流程，包括涉及的合规性，以确保满足管理要求。

15.适当的过程，用于发送新的或更新的政策和流程。

项目元素NO.3-控制和监管

16.退出过程，以确保适当的控制在适当的位置上，来降低合规性风险。

17.适当的过程，确保在必要的时候开发和增强降低合规性风险的控制。

18.管理过程处于适当的位置，且并入合规性风险。

19.建立充分的监管过程，来监督高风险活动。

20.建立清晰的权利边界与升级路径(escalation paths)，并传输给社团。

21.充分的监管和管理过程，以适当地监督社团行为。

22.适当地采取合适的行动，以降低通过外部环境活动和事件识别的合规性风险。

23.合规性问题、风险和违反被聚积、更新并追踪，以确保及时解决并适当升级(escalate)。

项目元素NO.4-管理监督

24.维护适用的联邦、州、和国家法律、规章和指南的详细目录，并更新，包括风险等级。

25.适当的过程，以预测出现的合规性问题和风险。

26.适当的过程，以识别管理更新和提供关于提出的管理变化和最终规则的反馈。

27.所有参与分析由于法律和规章的变化而对业务产生的影响的利益相关者。

28.适当的过程，用于传输管理变化。

29.管理者与规则制订者进行定期会晤，并对监管部门水平作出适当的反应。

30.管理者提供准确和及时的请求信息，作为管理审查或调查，并有效的对审查或调查进行管理。

31.管理者对管理调查结果作出及时和一致的响应，并采取适当和正确的行动。

项目元素NO.5-监督

32.已经开发了合规性监督项目标准，并用于定制业务合规性监督项目。

33.法律、规章和合规性风险被映射到适当的政策、流程、控制和监督活动中。

34.退出过程，以识别并定期评价要被监督的活动。

35.适当的过程，以识别合规性问题和风险并确定遵守适用的法律、规章、政策和流程的效率。

36.退出过程，以维护对要被监督的活动当前监督计划，包括频率和责任。

37.向适当的管理者提供有关监督结果的充分和及时的包括。

38.对合规性违反和消费者抱怨进行调查、分析并报告给管理者。

项目元素NO.6-培训和认知

39.合规性包括在LOB的每年社团学习目标和课程开发之中。

40.合规性能力被集成到LOB过程中。

41.退出有效通信过程，以增强对合规性信息的认知。

42.LOB管理者对培训度量进行要求、追踪和拥有。

43.适当的有效的过程，用于识别合规性培训和通信需求(包括通过监督识别的需求考虑)、管理变化、审计和审查者调查结果等。

44.社团具有充分的法律和规章的认知，并在执行它们的工作功能和责任期间对其进行应用。

45.在合规性政策和流程的应用中出现的充分培训。

项目元素NO.7-报告

46.管理者报告总结监督结果、关键风险、出现的风险、合规性违反、解决活动以及重要的业务行动。

47.及时地向适当的管理者水平，报告合规性问题和风险。

48.退出过程，以确保管理报告包括准确和完整的信息，并及时提交。

49.适当的合规性度量测量合规性执行，并向管理者报告。

50.退出过程，对合规性风险结果和外部环境进行分析，以将合规性风险的水平和方向报告到整体的计划过程中。

应当理解，还可以定义其他CPR作为对上述列出的CPR的补充，或者，替代上述CPR。此外，尽管为了便于说明，在图3中只示出了14个CPR，但是应当理解，在实际的实现中，可以使用所有相关的CPR。

本发明的数据表单还包括，为其进行评估的LOB字段304。还提供了用于识别合规性角色305和评估完成日期306的字段。数据表单还包括与每个CPR301关联的文档充分性字段308，用于存储与充足性和/或该CPR的文档状态相关的调查结果(方框404)。可以包括向角色提供关联文档的附件，或者，其中角色能够将要发送到系统的文档进行粘贴，作为响应。

还提供文档等级字段309，存储表示该CPR的文档状态的数字化的等级(方框405)。等级可以键入到下拉式菜单，或从其选择。在本发明的1到5实现方式中，可以利用等级方案，其中，1表示最好或最强的等级，并定义综合和完全地存档的CPR301。最好和最强的等级表示其中没有观察到“缺口”的CPR301。缺口被定义为缺点、遗漏或者用于实现CPR的改进区域。等级5表示实现要求远远低于标准的CPR。等级5将表示实现该CPR时的重要的和多个缺口。1到5之间的等级表示在极值之间的渐进状态(progressive status)。当描述1到5之间的等级刻度时，也可以使用更大或更小的粒度方案。等级表示LOB如何充分地解决或者满足CPR。

提供执行效率字段310，存储如何有效地由LOB来实际实现CPR301的描述(方框406)。还为每个CPR301提供执行等级字段311，其中，以类似于描述文档等级字段309的方式，输入表示执行效率的数字化等级(方框407)。

一旦文档等级和执行等级被确定并分别输入到字段309和311，合规性模块自动为该CPR计算输入到合规性项目评估分数字段312的合规性项目评估分数(方框408)。由合规性项目评估模块通过将临界状态等级307与文档等级309以及执行等级311进行相乘，对该分数自动进行计算。这种自动计算是已知的，并可以通过市场可售的程序，例如MICROSOFT EXCEL或者专用程序来实现。

还提供颜色分数字段313，其中，由合规性项目评估模块134自动输入颜色分数，其中，每个CPR301有唯一颜色分数(方框409)。颜色分数提供任何CPR状态的快速参考目录，并且基于字段312中的数字化合规性项目评估分数。在本实现方式中，可以输入三个彩色分数的其中一个，绿色、黄色或红色。颜色红色、黄色和绿色可以由图3中的字母R、Y和G表示，应当理解，在实际的实现方式中，该字段可以由专用颜色实际上色。已经描述了颜色的使用，应当理解，可以由单词、符号或其他视觉上可分辩的标记来指定颜色分数。

在一个实施例中，颜色分数由以下方式进行确定：

小于或等于20的数字化合规性项目评估分数被给予绿色分数；

包括在21到45之间的数字化合规性项目评估分数被给予黄色分数；以及

大于或等于46的数字化合规性项目评估分数被给予红色分数。

描述示例性数字化分数和颜色方案时，应当理解，其他分数范围可以定义颜色分数，并且可以使用其他颜色。

由附加的逻辑评估对上述数字化计算确定的颜色分数进行调整。具体来说，分数低于或等于20的CPR301不会被编码为绿色，除非如图3中的要求NO.PP3所示，项目文档分数低于4或执行效率分数低于3。这确保获取每个CPR的希望的最小合规性，即使其中平均分数另外提供最高(绿色)等级。因而，平均分数等于或小于20，但单个分数不满足定义的最小分数的CPR301将以黄色编码。

还提供行动计划优先级字段314(方框410)。当确定色码时，项目基于该CPR的颜色/分数，自动推荐该CPR的缺口行动计划优先级。在一个实施例中，向CPR中的缺口提供建议行动的高优先级、中优先级或低优先级的优先级。当描述三个优先级水平时，应当注意，可以设定更大或更小的优先级。除了推荐建议的行动计划的优先级水平以外，行动计划优先级还可以用于作为机制来定义用于完成补救行动的时间限制。例如，高优先级可以定义为3个月内的要求补救行动，中优先级可以定义为6个月内的要求补救行动，低优先级可以定义为12个月内的要求补救行动。

文档/执行缺口字段315提供用于存储在每个CPR的项目评估期间发现的缺口描述(方框411)。还提供多个缺口字段316，用于存储每个CPR发现的缺口的数量(方框412)。缺口数量应当等于在文档/执行缺口字段315中描述的缺口数量。还提供建议行动字段317，存储需要对每个CPR缺口执行的建议行动(方框413)。对于具有黄色或红色等级的CPR，这些建议可以构成要求使LOB的合规性达到标准的建议补救行动。

提供社团责任字段318，用于存储负责采取建议行动的社团标识(方框414)。提供完成目标时期字段319，用于存储建议行动计划在此之前要完成的日期(方框415)。这两个字段可以基于从LOB、合规性角色和/或其他资源的输入完成。

项目元素平均值字段320、321、322、323和325提供用于每个项目元素(方框416)。当为每个CPR在合规性元素下确定等级时，本发明的合规性项目评估模块314可以为每个项目元素302计算“平均”等级。存储在字段320、321和322中平均值为每个项目元素文档等级309、执行等级311和合规性项目评估分数312提供平均分数。应当注意，示意性实施例平均分数调整到最接近的整数。可替代地，平均分数也可以不进行调整。合规性项目评估模块134还基于平均项目元素分数和先前描述的用于该项目元素的逻辑规则，确定颜色表示的项目元素分数323以及行动计划优先级325。为每个项目元素提供总缺口字段327，用于存储对于该项目元素的所有CPR识别的所有缺口的总和(方框417)。为每个项目元素提供这些字段。

一旦为每个项目元素计算了所有的平均值，由合规性模块确定整体评估分数。具体来说，项目评估模块自动计算并在字段328中输入平均整体项目文档等级，在字段330中输入平均整体项目执行等级，在字段332中输入平均整体合规性项目评估分数。随后，系统在字段334中输入颜色表示的整体分数以及在字段336中输入整体行动计划优先级(方框418)。颜色表示的分数使用每个项目元素的数值化的平均值，来确定项目平均值并根据组织优先级，应用逻辑规则对数字化平均值进行调整。只有当平均分数符合绿色的要求时，并且承诺和责任、控制和监管以及监督项目元素每个都单独被分级为绿色，没有一个元素被分级为红色，那么整体项目评估将被分级为绿色。如果平均分数符合黄色的要求，或者，承诺和责任、控制和监管以及监督项目元素中的任何一个都被分级为黄色，那么，整体项目评估分数将为黄色。同样，如果平均分数符合红色的要求，或者，如果承诺和责任、控制和监管以及监督项目元素中的任何一个都被分级为红色，或者，如果任何两个项目元素被分级为红色，那么，整体项目评估分数将为红色。可以根据组织的需要，应用其他逻辑规则。

除了上述项目元素的平均值，合规性模块还计算对于所有CPR识别的所有缺口的总和，并将给总和输入到总项目缺口字段338中(方框419)。

本发明的工具用于记录LOB合规性的状态。还能够使用工具监督LOB的建议行动。也可以由组织使用工具来管理组织的整体合规性活动。参考图5，利用本发明的工具描述合规性项目评估过程。在实现上述工具之前，组织和合规性角色作出初步决定并执行数据收集。组织确定合规性评价执行的频率并执行每个确定的时间表的评估(方框510)。例如，每个季度、每个年度或者其他频率执行评估。组织随后确定为其执行评估的LOB(方框502)。应当理解，在特定组织中并不是所有的LOB都可以要求合规性评估，而且不是所有的LOB都可以要求相同的日程的评估。组织分配负责完成评估的合规性角色(方框503)，并确定评估必须在此之前完成的日期(方框504)。合规性角色联系内部资源，例如法务或审计部门，来确定用于LOB访问的合规性环境(方框505)。在这个步骤中，合规性角色确定L OB负责的合规性活动，并处理LOB应当执行的过程，以满足其责任。合规性角色还收集适当的材料以作出实现工具要求的评估决定(方框506)。在这方面，合规性角色可以收集合规性功能相关的任何文档，并可以会见个人，以确定LOB采用的过程。收集的材料可以包括LOB合规性项目、业务管理文档、合规性报告、风险评审、LOB通信、执行计划、内部审计、适用法律和规章的详细目录、LOB自评、管理报告、监督项目、组织流程和工作描述、政策和流程手册、前期风险或者项目评估、建议行动计划、服务水平协议、监管机构报告以及其他相关文档。

在完成初步流程以后，合规性角色开始本发明的合规性项目评估模块134，以完成评估(方框507)。图6示出了当工作站/角色利用合规性项目评估模块134实现时，与合规性系统关联的过程。合规性角色登录工作站(方框601)。系统识别出工作站现在是活动的，并根据工作站标识和/或登录信息，系统启动合规性项目评估模块134。启动合规性项目评估模块，向工作站上的合规性角色表示图3的数据表单。合规性角色将LOB合规性角色分别输入到字段304和305。

在评审并确认事实和合规性项目相关文档以后，合规性角色向文档充分性字段308输入足够的描述信息(方框602)来支持输入到字段309的文档等级(方框603)。描述信息可以由补充信息来支持，所述补充信息可以附加到评估文件，或者可以作为与评估文件关联的单独文件进行维护。合规性角色也向字段309输入最好地描述项目文档状态文档等级(方框603)。同样，在对项目执行进行评审和确认以后，合规性角色将足够的描述信息输入到执行效率字段310(方框604)来支持执行等级。描述信息可以由补充信息来支持，所述补充信息可以附加到评估文件，或者可以作为与评估文件关联的单独文件进行维护。合规性角色也向字段311输入最好地描述项目执行效率状态的执行等级(方框605)。

合规性项目角色也向文档/执行缺口字段315输入足够的描述信息(方框606)，来支持输入到字段316的缺口数量，并向字段316输入每个正被分级的CPR的缺口数量(方框607)。描述信息可以由补充信息来支持，所述补充信息可以附加到评估文件，或者可以作为与评估文件关联的单独文件进行维护。输入到字段316的缺口数量，应当等于在字段315中描述的缺口数量的总和。

合规性角色也向字段317输入建议行动计划的描述，用于解决在字段315中识别的缺口(方框608)。如果利用独立的合规性机制来追踪识别的缺口的建议行动，那么行动计划不需要单独在字段317中列出。用于替代行动计划，可以输入追踪数量的单独建议行动计划，以便于本发明的用户工具可以涉及单独的建议行动计划。描述信息可以由补充信息来支持，所述补充信息可以附加到评估文件，或者可以作为与评估文件关联的单独文件进行维护。

建议行动计划可以由合规性角色设立，或者，可以由LOB、合规性角色和其他各方联合决定来确定。除了开始字段317的行动计划，向字段318输入负责完成行动计划的实体(方框609)，并向字段319输入目标完成日期(方框610)。

合规性项目评估模块利用合规性角色输入的数据，来计算合规性项目评估值，并将这些值键入到合规性项目数据表单中。合规性项目评估模块134为每个CPR计算评估分数(方框611)和颜色表示的分数(方框612)，并分别将结果键入到字段312和313。合规性模块也为每个项目元素计算文档等级平均值(方框613)、执行等级平均值(方框614)以及合规性项目评估分数平均值(方框615)，并确定颜色分数(方框616)、行动计划优先级(方框617)，以及总元素缺口(方框618)并将结果键入到字段320、321、322、323、325和327。

最后，合规性项目评估模块134为整个合规性项目计算包括整体平均文档等级的整体评估分数(方框619)，整体平均执行等级(方框620)以及整体平均合规性项目评估分数(621)，并将这些计算分数分别键入到字段328、330和332。合规性项目评估模块还确定颜色表示的整体分数(方框622)和整体行动计划优先级(方框623)，并分别键入到字段334和336。合规性项目评估模块134也对项目缺口的总量进行求和，并将分数键入到字段338(方框624)。在数据表单完成以后，或者，运行的一组值能够被计算和/或确定并存储为被合规性角色输入的数据以后，合规性项目评估模块能够计算和/或确定这些值。在合规性项目评估的整个期间，都持续地访问118所示的通用数据库，并进行更新。

一旦在数据库118中捕捉到响应，能够由企业对数据进行检索，以对数据进行评审和更新，或者监督组织的合规性评估。能够以各种形式对存储的数据进行报告。该报告例如能够被用于显示组织的合规性评估或者LOB水平的任何信息子集(方框508)。可以由报告模块自动生成并呈现标准报告。在图7到12中示出了示例性标准报告。图7示出了表示每个项目元素302的平均分数的报告。图8是示出了每个项目元素的最高的三个(最差)分数的条形图，其中在左边纵轴上具有分数、右边纵轴上具有颜色分数。图9示出了图8的数据的可替换格式，其中由要求号303表示条(即，CA＝承诺和责任、PP＝政策和程序等)。图10示出由要求号303以及缩写标记识别的LOB的10个最高的CPR分数。图11示出了包括在每个项目元素302中的每个CPR301的合规性项目评估分数的条形图。图12示出以分数的降序排列的所有CPR的合规性项目评估分数的条形图。

现在再次参考图5，数据表单中产生的数据和数据表单中生成的报告，将结合适当的LOB管理来进行讨论(方框509)。数据表单的副本或任何报告可以分发到是适当水平的组织，以监督和管理组织的合规性活动(方框510)。对在数据表单中标识的缺口进行追踪，并如在建议行动字段317中列出的那样，采取建议行动(方框511)。如合规性项目评估确定的那样，可以增强LOB合规性项目(方框512)。可以定期更新合规性评估和数据表单，例如，每个季度一次，以确保LOB可以解决在评估过程中识别的任何缺口(方框513)。如方框514所示，LOB可以对合规性评估的各种活动进行输入。

在至少一个实施例中，本发明的系统通过万维网运行，并且是基于计算机的。计算机系统实现方式的进一步细节，将结合附图2进行讨论，图2示出了用于实现本发明的示例性实施例的大型网络基础结构，例如，在具有可用的公司内部网200的万维网的大型企业中。浏览器客户端202通过客户端计算平台，访问系统。轻量级目录访问协议(LDAP)服务器204在角色登录到ICPS时，提供验证。市场有售的软件产品，例如，Neterity公司的SiteMinder^TM可以用于该用途。简单邮件传输协议(SMTP)服务器206用于生成每个过程的关键阶段的开支通知电子邮件消息。公司目录服务器208在识别和选择本发明的系统的角色时，提供对公司雇员(角色)的主目录和其他必要信息的访问。内部协议(IP)交换机210提供负载均衡，以引导对两个应用程序服务器中212和214的其中一个的会话。交换机可以在所谓的“sticky on＝yes”的配置下运行，这样确保了当会话分配给入口应用程序服务器计算平台时，会话将继续在该入口/从该入口进行工作，直到会话结束。

在这个示例性实施例中，应用程序服务器利用Microsoft公司的因特网信息服务(IIS)运行。这些服务器是系统模块的启动点，并在其他服务器和数据库之间反复执行行动。在209中示出的SQL服务器上，实现先前讨论过的通用数据库。图2的网络也可以包括基于IIS的报告服务器220，其处理报告格式以及涉及操作报告模块的类似任务。报告服务器在应用程序服务器上具有存根，其能够作为界面。报告服务器能够安排报告的时间，以便在工作时间以外或SQL服务器低使用率期间，访问数据。报告服务器以成批的方式累计报告，而不是进行实时处理。

登录程序如下。通过IP交换机向其中一个入口应用程序服务器，发送登录请求。应用程序服务器将请求发送给LDAP服务器，用于进行验证，LDAP服务器对请求进行验证，并向SQL数据库进行转发，用于验证，以确认角色为合规性项目评估系统所知。角色的确认和信息被转发回应用程序服务器。

接着，向公司目录转发查询，其中，获取有关角色的信息以及有关角色为其执行合规性评估的LOB的信息。雇员的信息类型可以包括姓名、电话号码以及可能的邮编和电子邮件地址。对于LOB来说，信息可能是LOB的名称、与LOB关联的主管以及层级信息。信息包含在在回复当中，应用程序服务器将其复制到存储信息的SQL数据库中。确认操作，为角色生成欢迎窗口。在该欢迎页面，向角色呈现了角色负责的数据表单。角色通过应用程序服务器的模块，打开数据表单模板。角色交互式地输入响应，数据库如上所述持续更新。模板位于应用程序服务器中，数据在SQL数据库中。

本文中描述了本发明的特定实施例。计算和网络领域的技术人员，将很容易地认识到本发明在其他情况下有着其他的应用。实际上，可以有许多的实施例和实现方式。由下文中的权利要求而非上文的特定实施例来限定本发明的范围。

Claims (19)

1.一种合规性项目评估系统，包括：

合规性项目评估模块，定义至少一个合规性项目要求；

所述合规性项目评估模块中用于接收与所述合规性项目要求相关的外部等级的字段；

所述合规性项目评估模块中用于由所述合规性项目评估模块自动计算的合规性项目评估分数的字段；以及

可操作地连接到所述合规性项目评估模块的数据库，其中，所述合规性项目评估模块和通用数据库一起操作用于对合规性项目进行分级。

2.根据权利要求1的系统，其中，所述合规性项目为所述合规性项目要求确定颜色分数。

3.根据权利要求1的系统，其中，所述外部等级存储在所述数据库中。

4.根据权利要求1的系统，其中，能够从所述通用数据库检索和评审所述外部等级。

5.根据权利要求1的系统，其中，所述合规性项目评估模块还定义多个合规性项目要求，并包括分配给所述多个合规性项目要求的每一个的临界状态等级。

6.一种用于访问组织的合规性项目的方法，所述方法包括：

识别多个要评估的合规性项目要求；

对所述多个合规性项目要求中的每一个进行分级；

为所述多个合规性项目要求中的每一个计算分数；

识别所述合规性项目要求中的选定的合规性项目要求的缺口；以及

为所述缺口推荐补救行动的优先级。

7.根据权利要求6的方法，其中，所述识别包括确定与合规性项目相关的要求。

8.根据权利要求6的方法，其中，所述计算分数包括向所述合规性项目元素分配颜色分数。

9.根据权利要求6的方法，其中，所述颜色分数基于分数和附加逻辑规则。

10.根据权利要求6的方法，还包括：接收条目以完成所述分级。

11.根据权利要求10的方法，其中，所述条目存储在数据库中。

12.根据权利要求6的方法，其中，所述合规性项目要求由项目元素进行组织。

13.根据权利要求6的方法，其中，所述项目元素组涉及合规性项目要求。

14.根据权利要求13的方法，其中，根据与该项目元素相关的合规性项目要求的分数计算项目元素的平均分数。

15.根据权利要求10的方法，还包括：从所述数据库访问所述条目。

16.根据权利要求10的方法，还包括：根据所述条目提供报告。

17.根据权利要求16的方法，还包括：自动提供报告。

18.一种包括便于任务管理的计算机程序的计算机程序产品，所述计算机程序还包括：

用于识别多个要被评估的合规性项目要求的指令；

用于接收所述多个合规性项目要求中的每一个的等级的指令；

用于根据所述等级，计算所述多个合规性项目要求中的每一个的分数的指令；

用于接收所述合规性项目要求中的选定的合规性项目要求的缺口标识的指令；以及

用于为每个所述缺口，推荐建议的行动的优先级的指令。

19.一种用于管理任务的设备，包括：

用于识别多个要被评估的合规性项目要求的装置；

用于接收所述多个合规性项目要求中的每一个的等级的装置；

用于计算所述多个合规性项目要求中的每一个的分数的装置；

用于接收所述合规性项目要求中的选定的合规性项目要求的缺口标识的装置；以及

用于对每个所述缺口的建议行动编制优先级的装置。

Images