Kennisbank

Stebėsena, kuri veikia, yra stebėsena, kuri dera su tuo, kas jau yra

Dažnai DI naudojimo stebėsena atsiranda kaip atskira iniciatyva: nauja forma, naujas susirinkimas, naujas švieslentė. Paleidimo momentu tai atrodo išbaigta. Po metų tai jau nublukę. Ne todėl, kad turinys buvo prastas, o todėl, kad tai stovėjo šalia esamos struktūros, o ne joje.

Tad klausimas yra ne tik kas turi būti stebima, bet ir kur ta stebėsena nusileidžia. Procesas, kurio niekam nereikia atsiminti, nes jis jau yra dalis rutinos, kuri vis tiek vyksta, išgyvena. Procesas, kuris reikalauja papildomo žingsnio iš žmonių, kurie jau ir taip pilnai užimti, ilgainiui praleidžiamas. Tai nėra nenoras. Tai numatomas rezultatas to, kaip organizacijos elgiasi su laiku ir dėmesiu.

Kodėl antrasis procesas pralaimi

Kiekviena organizacija jau turi savo ritmą: ketvirtines ataskaitas, rizikos komitetus, audito ciklus, komandų susirinkimus. Jei DI naudojimo stebėsena įveda naują ritmą, ji konkuruoja su viskuo, kas jau egzistuoja — ir dažniausiai pralaimi. Nėra jai skirto darbotvarkės punkto, nėra savininko, kuris tai laikytų savo pareigų pagrindine dalimi, nėra momento, kai tai savaime iškiltų.

Jei tačiau stebėsena tampa klausimu, kuris jau užduodamas — esamame rizikos komitete, esamoje vidaus kontrolėje, esamoje ataskaitų teikimo linijoje valdybai — tuomet niekam nereikia nieko naujo atsiminti. Klausimas „kokios DI taikomosios programos atsirado ar pasikeitė“ tampa tokiu pat savaime suprantamu kaip „ar atsirado naujų tiekėjų“ arba „ar buvo incidentų“. Kaip tiksliai toks integravimas įgyja formą, priklauso nuo to, kaip pas jus jau yra sutvarkytas integravimas į esamą rizikos struktūrą — ta struktūra yra atspirties taškas, o ne kažkas šalia jos.

Kas turi būti dokumente

Veikiantis stebėsenos dokumentas yra pakankamai trumpas, kad būtų nuolat naudojamas, ir pakankamai konkretus, kad būtų galima pranešti apie pokyčius. Jame bent jau turi būti:

• Aktuali DI taikomųjų programų sąrašas, įskaitant tai, kas užregistruota per IT, ir tai, kas naudojama kitur. Ši antroji kategorija dažnai yra didžiausia ir dingsta iš bet kokio dokumento, kuris remiasi tik formaliu patvirtinimu.
• Rizikos klasifikacija kiekvienai taikomajai programai, kad ne kiekvienas pakeitimas reikalautų to paties dėmesio. Teksto generatorius vidiniams užrašams reikalauja kitokio dėmesio nei modelis, kuris dalyvauja priimant sprendimus dėl klientų priėmimo.
• Savininkas kiekvienai taikomajai programai — vardas, ne skyrius. Be savininko pakeitimas niekur nepastebimas.
• Fiksuotas intervalas, kada sąrašas peržiūrimas, susietas su jau egzistuojančiu momentu — ne su nauju momentu, kurį reikia atskirai suplanuoti.
• Vieta, kur matomi nukrypimai, kad naujas naudojimas ar pasikeitęs pritaikymas nebūtų pastebėtas tik po kelių mėnesių.

Dokumento vertė nėra jo išsamumas pirmąją dieną. Tai retai pasiekiama ir nėra būtina. Vertė yra tame, kad jis nuolat atnaujinamas, ir kad tas atnaujinimas nereikalauja atskiros pastangos virš to, kas jau vyksta.

Kodėl atsakomybė už pasekmes sustabdo informacijos srautą

Stebėsena priklauso nuo to, ką žmonės nori pranešti. Kai tik pranešimas prilygsta rizikai būti už ką nors nubaustam, informacijos srautas sustoja. Žmogus, kuris atlieka užduotį su DI įrankiu greičiau nei tikėtasi, apie tai nepraneša, jei to pasekmė gali būti biudžeto sumažinimas ar nemalonus pokalbis. Sąrašas tuomet lieka formaliai išsamus, bet turinio prasme tuščias — būtent tai ir palaiko šešėlinį DI.

Išvada tokia, kad stebėsena veikia tik tuomet, kai klausimai užduodami be atsakomybės už pasekmes. Ne todėl, kad naudojimas turėtų likti be pasekmių, o todėl, kad pirmasis žingsnis — žinoti, kas vyksta — reikalauja kitokio požiūrio nei antrasis žingsnis — vertinti, ar tai tinkama. Kas leidžia šiems dviem žingsniams susilieti, negauna sąžiningo atsakymo nė vienam iš jų.

Būtent šis skirtumas yra ir ta vieta, kur susiliečia valdymas (governance) ir atskaitomybė. Matomumas valdybai nebūtinai reiškia, kad kiekviena atskira taikomoji programa turi būti pateikta svarstymui; svarbu ataskaitų teikimo lygis, kuris leidžia priimti sprendimą, neįklimpstant į smulkmenas, kaip aprašyta valdybos ataskaita, telpanti į vieną puslapį. Tai, kas yra žemiau — konkrečių taikomųjų programų sprendimų fiksavimas — labiau priklauso priežiūros sprendimų sąraše nei dokumente, kuris keliauja aukštyn.

Ar pats politikos dokumentas skaitomas, yra panašus klausimas: tekstas, kurio niekas neskaito, suteikia tiek pat atramos, kiek stebėsenos procesas, kurio niekas nepildo. Žr. DI politika, kuri yra skaitoma. O tiems, kas svarsto, kuri šios atsakomybės dalis priklauso valdybos stalui, o kuri — IT valdymui, yra skirtumas tarp ko valdybos narys turi žinoti apie DI riziką ir ko CIO turi žinoti apie DI riziką — abu klausimai reikalauja skirtingo detalumo lygio to paties stebėsenos proceso viduje.

Nuo žinojimo, kas veikia, iki žinojimo, ką tai duoda

Stebėsenos struktūra, kuri dera su tuo, kas jau yra, tam tikru momentu suteikia patikimą vaizdą apie tai, kokios DI taikomosios programos naudojamos ir kam. Ta inventorizacija yra kitas klausimas nei tai, kiek iš pagrindinio darbo iš tikrųjų atlieka DI, ir su kokiu poveikiu. Kas nori tai apskaičiuoti pagal kiekvieną užduotį — kokią dalį funkcijos ar proceso galima perduoti DI, remiantis užduotimis tokiomis, kokios jos šiuo metu atliekamos — tai ras FTE TO AI darbo skanuose.