Valdyba periodiškai gauna ataskaitas: finansines, operacines, apie riziką, kurios jau turi savo vietą esamoje struktūroje. Ataskaita apie AI, kuri stovi atskirai nuo to, su savo ritmu ir savo formatu, praktikoje būna praleista. Ne todėl, kad tema nesvarbi, bet todėl, kad antras procesas šalia esamo proceso reikalauja atskirų pastangų, kurios konkuruoja su viskuo, kas jau yra darbotvarkėje. Skaitoma yra tai, kas telpa į esamą ataskaitų liniją: tas pats ritmas, tas pats ilgis, ta pati vieta susirinkime.
Valdybos ataskaitai apie AI nereikia išsamios techninės inventorizacijos. Valdybai reikia atsakymo į ribotą klausimų skaičių: kokie AI sprendimai yra naudojami, į kokią rizikos kategoriją jie patenka, kas pasikeitė nuo praėjusios ataskaitos ir ar buvo eskalacijų. Šis paskutinis punktas yra tas, kur dauguma ataskaitų lieka tuščios — ne todėl, kad nieko nevyksta, bet todėl, kad nėra kelio, kuriuo signalas pasiektų valdybą. Be veikiančių eskalacijos kelių, kurie veikia, ataskaita yra momentinė nuotrauka be istorijos: ji parodo, kas yra dabar, bet ne tai, kas kelyje nepavyko ar buvo arti nepavykimo.
Ataskaita remiasi tuo, kas jau užfiksuota. Priežiūros sprendimų sąrašas su tuo, kas ką patvirtino, yra šaltinis, iš kurio puslapis apibendrinamas, o ne atskiras dokumentas, egzistuojantis atskirai nuo jo. Kas yra puslapyje, yra jau priimtų sprendimų sutankinimas; tai ne naujas įvertinimas, kurį valdyba turi pati atlikti remdamasi neapdorotais duomenimis.
Organizacijos jau turi rizikos struktūrą: audito komitetą, rizikos komitetą, nuolatinę vietą valdybos darbotvarkėje operacinei rizikai. AI ataskaita, kuri įveda savo komitetą, savo kalendorių ar savo šabloną, reikalauja iš visų, kurie jau dalyvauja, atlikti kažką papildomo virš to, ką jie jau daro. Šis papildomas darbas atidedamas, kai darbotvarkė prisipildo, o darbotvarkė visada prisipildo. Rezultatas — ataskaita po kelių kartų nutrūksta, ne todėl, kad kažkas nusprendė, kad AI rizika nesvarbi, bet todėl, kad niekas nenusprendė, kad ji svarbesnė nei tai, kas jau buvo.
Sprendimas nėra didesnis akcentas temai, o mažiau trinties ją įtraukiant. Puslapis, kuris pasirodo tuo pačiu ketvirtiniu ritmu kaip ir kitos rizikos ataskaitos, naudoja tą pačią išdėstymą ir yra toje pačioje vietoje pakete, yra skaitomas, nes jo skaitymas nereikalauja atskiro veiksmo. Kas nefunkcionuoja — atskiras AI valdymo ciklas, veikiantis nepriklausomai nuo esamo ciklo — jis ignoruojamas, kai atsiranda pirmas užimtas mėnuo.
Vieno puslapio ataskaita gali būti trumpa tik jei pagrindinė struktūra yra pilna. Ji numano ką valdybos narys turi žinoti apie AI riziką-tipo apžvalgą apie vaidmenis ir atsakomybes, kad puslapyje nereikėtų kiekvieną kartą iš naujo aiškinti, kas už ką atsakingas. Ji numano inventorizaciją, kurioje yra ne tik tai, ką IT patvirtinęs, bet ir tai, ką padaliniai patys pradėjo naudoti, apie tai nepranešę — šešėlinį AI, kuris tampa matomas tik tada, kai žmonėms leidžiama be pasekmių papasakoti, ką jie iš tikrųjų naudoja. Ataskaita, kuri parodo tik patvirtintą sąrašą, praneša fikciją.
Puslapis taip pat numano, kad kažkas vyksta tarp ataskaitų: stebėsena, kuri duoda rezultatų, o ne žurnalas, į kurį niekas nekreipia dėmesio. Be šio tarpinio lygio ketvirtinis puslapis yra staigmena kiekviename leidime, o ne santrauka to, kas buvo sekama visą ketvirtį. Ir ji numano, kad pagrindinė politika nėra dokumentacija dėl formos, o AI politika, kuri yra skaitoma žmonių, kurie kasdien naudoja sistemas — nes ataskaita apie atitiktį politikai, kurios niekas nežino, iš tikrųjų praneša apie save pačią.
Valdybos puslapis yra sutankinimas; pagrindas yra vienu lygiu žemiau, pas tą, kuris pažįsta sistemas. Ką prie to prideda CIO, aprašyta ką CIO turi žinoti apie AI riziką, ir šie du lygiai — valdymo apžvalga ir operacinės žinios — turi susiderinti, kol ketvirčio skaitymo puslapis iš tikrųjų pasako ką nors apie tai, kas vyksta organizacijoje.
Ši struktūra kuriama, o nesiūloma kaip baigtas produktas. Kas norėtų skanavimo, kuris pateikia šią inventorizaciją, klasifikaciją ir ataskaitų struktūrą, atsiduria laukiančiųjų sąraše; tai yra kūrimo stadijoje ir nėra parduodama kaip paruoštas įrankis anksčiau, nei jis toks iš tikrųjų tampa.
Kai jau aišku, kokia AI veikia ir į kokią rizikos kategoriją ji patenka, kyla kitas klausimas, kuris nesusijęs su rizika, o su paties darbo organizavimu: kokia dalis šiuo metu vykdomų užduočių tinka perduoti AI. Tai atskiras skaičiavimas, pagrįstas ne rizika, o užduotimis. FTE TO AI darbo skanavimas apskaičiuoja pagal kiekvieną užduotį, kokia darbo dalis tinka perdavimui, kaip tolesnis žingsnis, kai jau aišku, kas organizacijoje jau egzistuoja iš AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.