QA y confianza
El programa de garantía de calidad: muestreo aleatorio ROC, revisión por pares, sanciones hasta la revocación de la acreditación. Una marca CCSA debe significar seguridad real.
Por qué es importante el disco duro QA
Si un certificado CCSA no significa seguridad real, el estándar no sirve para nada. De modo que el Consejo construye mecanismos estrictos de calidad desde el primer día, no después de un incidente importante.
Objetivo, 2013 — PCI Compatible con DSS, pero violado.
FTX, 2022 — Prueba de reservas certificada, pero colapsada.
El DAO, 2016: una auditoría de Solidity “exitosa”, pero explotada.
Una lección: un certificado sin control de calidad es una nota vacía. CCSA verifica la calidad de la auditoría, no solo su existencia.
Seis mecanismos QA
Muestreo aleatorio ROC
El Consejo revisa anualmente el 10% de las ROC de cada CCSAC (selección de lotería). El equipo líder del Consejo QA lleva a cabo la revisión junto con auditores líderes comprometidos de otros CCSAC, dentro de un período de día hábil 30-. Resultados: Aprobado, Aprobado con observaciones, Condicional (remediación del día 90-), Fallo (nueva auditoría a costo del CCSAC), Fallo crítico (suspensión e investigación).
Revisión por pares entre CCSAC
Un auditor principal de otro CCSAC revisa un ROC anónimo. Es voluntario y otorga Crédito QA; el objetivo es la aplicación coherente del estándar y el intercambio de mejores prácticas entre empresas.
Auditoría Anual de Proceso CCSAC
El Consejo audita todo el QMS de la empresa cada año: independencia, retención de documentos, QA interno, capacitación, divulgación de CoI, seguros, salud financiera. Una revisión documental más entrevistas, sobre los días 3.
Bucle de comentarios del cliente
Un formulario de denuncia anónimo, seguimiento público de multas y una investigación 30-day. Quejas típicas: auditoría formal, conflicto de intereses, auditoría excesiva, retrasos.
Investigación basada en incidentes
Desencadenantes: una infracción con pérdidas de clientes, un exploit de contrato inteligente con TVL > 1 millón de dólares, aplicación de sanciones, acción regulatoria. Horas 24: notificación y señalización; Días 7: documentos de trabajo del CCSAC; Días 30: veredicto (auditoría adecuada e incidente fuera de alcance: indicador eliminado; inadecuado: sanciones y suspensión del producto; evidencia manipulada: rescisión de CCSAC y remisión civil/penal).
Detección antifraude
Análisis ML de las Repúblicas de China en busca de anomalías y plagio, verificaciones cruzadas con fuentes públicas (datos en cadena, GitHub, presentaciones regulatorias), operaciones encubiertas periódicas y un programa de protección de denunciantes.
El muestreo aleatorio depende del nivel: Nivel 2 — una muestra de 10% anualmente, Nivel 3 — 100%.
Escaleras de sanciones
Las sanciones aumentan desde la observación hasta la revocación total. La suspensión y la revocación son públicas: una señal de confianza para el mercado.
CCSAC (empresas de auditoría)
CríticoAuditores individuales
CríticoProductos certificados
CríticoLas sanciones aumentan desde la observación hasta la revocación total. La suspensión y la revocación son públicas: una señal de confianza para el mercado.
Equipo del Consejo QA
Un director de QA; 3–5 Revisores senior de QA (ex auditores principales) por 2027; Analistas 5–10 QA; Investigador Forense 1; un grupo externo de revisores pares bajo NDA (pagó 10–30 mil RUB por ROC). Las cifras de personal son objetivos.
Informe anual de cumplimiento del estado de CCSA
Una vez al año, el Consejo publica un informe de toda la industria (sin identificación del cliente): los principales5 dominios más débiles, lecciones aprendidas de investigaciones, mejores prácticas y cambios de estándares impulsados por la retroalimentación.
Informe anual de cumplimiento del estado de CCSA
Una lección: un certificado sin control de calidad es una nota vacía. CCSA verifica la calidad de la auditoría, no solo su existencia.