Ένας υπεύθυνος κανονιστικής συμμόρφωσης δεν χάνει στην πρώτη ερώτηση σχετικά με την ΤΝ. Χάνει στη δεύτερη: όταν αποδεικνύεται ότι η απάντηση στην πρώτη ερώτηση ήταν ελλιπής. Η ερώτηση "ποια συστήματα ΤΝ χρησιμοποιεί ο οργανισμός σας" μπορεί να απαντηθεί με μια λίστα από το χαρτοφυλάκιο IT. Η ερώτηση που έρχεται μετά — "είναι αυτή η πλήρης λίστα" — είναι η ερώτηση στην οποία σκαλώνουν τα περισσότερα φάκελα κανονιστικής συμμόρφωσης.
Όχι: ποια εργαλεία ΤΝ έχει προμηθευτεί ο οργανισμός. Αλλά: ποια συστήματα ΤΝ χρησιμοποιούνται πράγματι, από ποιον, για ποιες αποφάσεις, και με βάση ποια εκτίμηση κινδύνου. Αυτές είναι τέσσερις ερωτήσεις, όχι μία. Η πρώτη είναι μια λίστα προμηθειών. Οι υπόλοιπες τρεις απαιτούν οι άνθρωποι να πουν τι κάνουν, συμπεριλαμβανομένου του τι δεν έχουν λάβει έγκριση. Ένας υπεύθυνος κανονιστικής συμμόρφωσης που έχει μόνο τη λίστα προμηθειών έχει μια ψευδή αίσθηση κάλυψης — και αυτό είναι πιο επικίνδυνο από την έλλειψη κάλυψης, επειδή αναφέρεται ως πλήρες.
Οι εργαζόμενοι που χρησιμοποιούν ένα εργαλείο γλώσσας ή ανάλυσης χωρίς να το προμηθευτούν μέσω του IT, δεν αφήνουν ίχνος σε ένα μητρώο περιουσιακών στοιχείων. Αφήνουν όμως ίχνος σε αυτό που παράγουν: αναφορές, επικοινωνία με πελάτες, συμβουλές. Το χάσμα ανάμεσα σε αυτό που καταχωρείται και αυτό που χρησιμοποιείται δεν είναι συνήθως μια σκόπιμη παράβαση. Είναι το αποτέλεσμα ενός οργανισμού που βρίσκει ένα εργαλείο πιο γρήγορα από όσο περνάει από μια διαδικασία έγκρισης. Η κανονιστική συμμόρφωση δεν μπορεί να κλείσει αυτό το χάσμα με μια αυστηρότερη απαγόρευση — αυτό απλώς μετακινεί τη χρήση πιο μακριά από το οπτικό πεδίο. Το χάσμα κλείνει ρωτώντας χωρίς κύρωση στην απάντηση. Όποιος φοβάται μια σημείωση στον φάκελό του, δεν λέει τι χρησιμοποιεί· λέει αυτό που πιστεύει ότι θέλετε να ακούσετε.
Ένας διαχειριστής κινδύνων θέλει να γνωρίζει πόσο μεγάλη είναι η έκθεση. Ένας υπεύθυνος κανονιστικής συμμόρφωσης θέλει αυτό, συν κάτι επιπλέον: μπορώ να αποδείξω ότι ακολουθήσαμε τη διαδικασία, ακόμη και αν το αποτέλεσμα αποδειχθεί εκ των υστέρων αμφισβητήσιμο. Αυτό είναι ένα διαφορετικό είδος αποδεικτικού βάρους. Δεν αφορά μόνο την ταξινόμηση ενός συστήματος, αλλά το ίχνος: ποιος το αξιολόγησε, σε ποια στιγμή, με ποιες πληροφορίες, και επαναλήφθηκε αυτή η αξιολόγηση όταν το σύστημα άλλαξε. Τα συστήματα ΤΝ ενημερώνονται χωρίς προειδοποίηση· μια ταξινόμηση από πριν έξι μήνες λέει λίγα για το σύστημα σήμερα. Η κανονιστική συμμόρφωση πρέπει λοιπόν να μπορεί να δείξει όχι μόνο ένα αποτέλεσμα, αλλά μια διαδικασία που συνεχίζει να λειτουργεί.
"Έχουμε μια πολιτική ΤΝ" δεν είναι απάντηση στην ερώτηση αν αυτή η πολιτική καλύπτει κάτι. Ένα έγγραφο πολιτικής που δεν έχει ποτέ ελεγχθεί σε σχέση με τι πραγματικά χρησιμοποιείται είναι μια δήλωση προθέσεων, όχι δήλωση της τρέχουσας κατάστασης. Αυτό που χρειάζεται ένας υπεύθυνος κανονιστικής συμμόρφωσης είναι μια απογραφή που συνδέεται με τις υπάρχουσες κατηγορίες κινδύνου — την ίδια κατάταξη που χρησιμοποιείται ήδη για άλλους λειτουργικούς κινδύνους — έτσι ώστε η ΤΝ να μην αποτελεί ξεχωριστό, εξωτικό θέμα δίπλα στο υπόλοιπο πλαίσιο κινδύνου, αλλά μέρος του.
Ο υπεύθυνος κανονιστικής συμμόρφωσης σπάνια το επεξεργάζεται μόνος. Η ερώτηση ποια συστήματα θεωρούνται υψηλού κινδύνου και τι αποδεικτικό βάρος συνδέεται με αυτά, αγγίζει το θέμα του τι πρέπει να γνωρίζει ένας Γενικός Νομικός Σύμβουλος για τον κίνδυνο ΤΝ από την οπτική της ευθύνης και των συμβατικών υποχρεώσεων. Η ερώτηση αν ο οργανισμός μπορεί τεχνικά να εντοπίσει ποια συστήματα λειτουργούν, ανήκει στο τι πρέπει να γνωρίζει ένας CIO για τον κίνδυνο ΤΝ. Και η ερώτηση αν αυτό το θέμα φτάνει στο τραπέζι της διοίκησης πριν κλιμακωθεί, ανήκει στο τι πρέπει να γνωρίζει ένα μέλος διοίκησης για τον κίνδυνο ΤΝ. Η κανονιστική συμμόρφωση είναι συχνά το μέρος που πρέπει να συνδέσει αυτές τις τρεις γραμμές μεταξύ τους χωρίς να είναι η ίδια ιδιοκτήτρια της τεχνολογίας ή της σύμβασης.
Το περιεχόμενο των κανόνων — ποιες ακριβώς υποχρεώσεις ισχύουν, ανά κατηγορία κινδύνου, με ποιες προθεσμίες — βρίσκεται αλλού και αλλάζει. Αυτή η σελίδα περιγράφει τον μηχανισμό: πώς γνωρίζετε τι λειτουργεί, πώς το ταξινομείτε, και πώς αποδεικνύετε ότι η διαδικασία ακολουθήθηκε. Ένας υπεύθυνος κανονιστικής συμμόρφωσης που αναζητά το τρέχον νομικό κείμενο δεν θα το βρει εδώ.
Πόση σκιώδης ΤΝ έχει ένας οργανισμός εξαρτάται από τον κλάδο, την κουλτούρα και πόσο αυστηρά έχουν επιβληθεί προηγούμενες απαγορεύσεις. Μια αυστηρότερη απαγόρευση συχνά συνδέεται με περισσότερη κρυφή χρήση, όχι με λιγότερη. Αυτό το μοτίβο δεν είναι παντού το ίδιο: στον τομέα των κατασκευών το βάρος βρίσκεται στον υπολογισμό και τον προγραμματισμό έργων, ενώ στον κλάδο των εγκαταστάσεων πρόκειται συχνότερα για διαγνωστικά συντήρησης και ανάλυση βλαβών. Η απογραφή πρέπει λοιπόν να γίνεται ανά οργανισμό· ένας εθνικός μέσος όρος λέει λίγα για τη δική σας έκθεση.
Η Responsible AI Scan χαρτογραφεί τι πράγματι χρησιμοποιείται, το ταξινομεί κατά ρόλο και επίπεδο κινδύνου, και παραδίδει ένα σύνολο διακυβέρνησης που συνδέεται με την υπάρχουσα δομή κινδύνου — χωρίς να προτρέχει σε ό,τι έχει ήδη καθοριστεί αλλού. Αυτή η σκανάρισμα βρίσκεται υπό κατασκευή. Όποιος ενδιαφέρεται μπορεί να εγγραφεί στη λίστα αναμονής· δεν προσφέρεται τίποτα που δεν είναι ακόμη έτοιμο.
Όποιος γνωρίζει πλέον ποια συστήματα ΤΝ λειτουργούν, συχνά προσκρούει στο επόμενο ερώτημα: τι σημαίνει αυτό για τη στελέχωση και την κατανομή καθηκόντων. Αυτός είναι ένας διαφορετικός υπολογισμός από την ταξινόμηση κινδύνου, και αυτόν κάνει η FTE TO AI με το εργαλείο werkscan, το οποίο υπολογίζει ανά εργασία ποιο μέρος της δουλειάς μπορεί να αναλάβει η ΤΝ.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.