Vastavuse automatiseerimine: mõõtke kokkuhoitud tööd

Käsitsi tehtava vastavustöö kulu peitub sageli eelarveridade vahel: insenerid otsivad eksporte, juhid jooksevad kinnituste järel ja ülevaatajad rekonstrueerivad eelmise kvartali tõendeid. Automatiseerimine muutub väärtuslikuks siis, kui see vähendab seda korduvat tööd ja säilitab selle kvaliteedi.

Tegevjuhi jaoks ei ole investeerimisküsimus see, kui palju ülesandeid platvorm suudab automatiseerida. Küsimus on selles, kas organisatsioon suudab täita samu kohustusi väiksema vaevaga, paremate tõenditega ja selgema vastutusega. Selleks on vaja lähtetaset, piiritletud katset ning ausat eristust vabanenud võimekuse ja rahalise kokkuhoiu vahel.

Kasulik äriargument peaks püsima ka pärast esimest auditit. See peaks selgitama, milline töö kadus, milline uus töö selle asendas, kes jääb vastutavaks ja kuidas tulemus äri kasvades muutub.

Kehtestage lähtetase enne ostmist

Valige üks töövoog, näiteks igakuine juurdepääsu ülevaatus. Mõõtke kogumist, koordineerimist, ülevaatust ja ümbertegemist eraldi. Salvestage, kui palju rakendusi ja inimesi on hõlmatud. Kiirem töövoog kitsama ulatusega ei ole võrreldav tulemus.

Alustage töövoost, millel on äratuntav algus ja lõpp. Juurdepääsu ülevaatuse puhul võib algus olla kontopopulatsioonide küsimine rakenduste omanikelt. Lõpp ei ole eksportide kättesaamine; see on ülevaatuse lõpetamine, otsuste salvestamine ning sellest tulenevate tegevuste lahendamine või selgesõnaline jälgimine.

Ilma selle piirita võib lähtetase välja jätta kõige kulukama töö. Vastavuse omanik võib kulutada kaks tundi ülevaatuspaketi koostamisele, samal ajal kui kuus juhti kulutavad selle kontrollimisele veel kuus tundi. Mõlemad kuuluvad mõõtmisse.

Salvestage töömaht, viivitus ja kvaliteet eraldi

Aktiivne töömaht on aeg, mille inimesed tööd tehes kulutavad. Möödunud aeg on see, kui kaua töövoog algusest lõpuni kestab. Need vastavad erinevatele küsimustele: meeldetuletuste vähendamine võib säästa tunni, samas kui kinnituste varasem saamine võib kõrvaldada nädalase viivituse.

Kasutage esinduslike tsüklite jooksul lihtsat tegevuslogi:

Kaasake tavapärane tsükkel ja vajaduse korral auditiks valmistumise tsükkel. Ärge ekstrapoleerige aasta kõige kaootilisemast nädalast, nagu näeks iga nädal selline välja. Vastupidi alahindab ainult vaikse kuu mõõtmine perioodilist töökoormust.

Dokumenteerige populatsioon, tõendiperiood, ülevaatussagedus, vastutavad rollid ja lõpetamise kriteeriumid. Kui organisatsioon kasvab katseprojekti ajal, näidake nii kogutunde kui ka töömahtu võrreldava ühiku kohta, näiteks ülevaadatud rakenduse kohta. Hoidke privilegeeritud kontod ja keerukad rakendused nähtaval, selle asemel et nende lisatööd keskmiste abil ära kaotada.

Muutke auditiväsimus jälgitavaks

Auditiväsimus on praktiline kirjeldus olukorrast, kus korduv vastavustöö tõrjub välja muid prioriteete. Selle tuvastamiseks ei ole vaja tööstusharu statistikat.

Otsige korduvaid päringuid samade tõendite järele, hilisõhtust ettevalmistust, katkestatud insenertööd ja kontrollimeetmeid, mis sõltuvad sellest, et üks inimene mäletab, mis juhtus. Küsige meeskondadelt, millise töö nad vastavuspäringutele vastamiseks edasi lükkasid. Salvestage edasilükatud ülesanne ja selle omanik, mitte väljamõeldud rahaline hinnang frustratsioonile.

Salvestage ka see, kui palju inimesi katkestatakse ja kui sageli. Kümme päringut, mis jagunevad kümne inseneri vahel, võivad tekitada teistsuguse tegevuskoormuse kui üks koondpäring, mida käsitleb määratud omanik. Lühike tagasivaade võib näidata, kas töövoog muutub ennustatavamaks, isegi enne kui aastase auditi tulemused on saadaval.

Lähtetaseme tulemiks on lühike töövoo kirje: ulatus, tegevustunnid, möödunud aeg, kvaliteedivead, korduvad katkestused ja mõõtmise aluseks olevad eeldused. Finantsosakond ja töövoo omanik peaksid kokku leppima, et see esindab asendatavat tööd.

Ehitage kulumudel otsuse ümber, mida te kontrollite

Arvutage aastane netokasu nii, et korrutate säästetud tunnid kokkulepitud täiskuluga tunnihinnaga ja lahutate täiendava tarkvara, juurutuse, integratsiooni ja lisaülevaatuse kulud. Märkige eeldused selgesõnaliselt.

Investeerimisotsuste jaoks eraldage korduv tegevusökonoomika esimese aasta üleminekust. Ühekordne juurutustöö ei tohiks arvutusest kaduda, kuid seda ei tohiks ka igal tuleval aastal uuesti arvestada.

Praktilisel mudelil on kolm osa:

• Lähtekulu: praegune sisemine töömaht ja välised kulud valitud ulatuse jaoks.
• Tulevane tegevuskulu: allesjääv kogumine, ülevaatus, koordineerimine, hooldus, tarkvara ja väline tugi.
• Üleminekukulu: konfigureerimine, ülekandmine, koolitus, valideerimine ja ajutine paralleelne toimimine.

Kasutage rollipõhiseid täiskulusid seal, kus erinevus on oluline. Inseneril, tegevuskoordinaatoril ja välisel spetsialistil võivad olla väga erinevad kulud. Finantsosakond peaks meetodi järjepidevalt määratlema; seda ei tohiks lähtetaseme ja katseprojekti vahel tulemuse parandamiseks muuta.

Vältige allesjääva töö topeltarvestamist. Kui kontrollimine ja hooldus sisalduvad juba tulevase töövoo mõõdetud tundides, ärge lahutage nende sisemist kulu uuesti eraldi kuluna. Täiendavad välise ülevaatuse tasud on aga eraldi kulu.

Võimekuse väärtus ei ole automaatselt rahaline kokkuhoid

Vabanenud võimekus tähendab, et olemasolevatel inimestel on rohkem aega muuks tööks. Rahaline kokkuhoid nõuab kulude tegelikku muutust, näiteks vähem töövõtjate tunde, väiksemat ületunnitööd või tasulise tööriista kasutamise lõpetamist.

Töölevõtmise vältimine on kolmas kategooria. Kui kasv nõuaks muidu lisatöötajaid, võib automatiseerimine selle töölevõtmise edasi lükata. See on kasulik, kuid sõltub dokumenteeritud töökoormuse prognoosist ja usutavast personalialternatiivist.

Hoidke need kategooriad kinnitusdokumendis lahus. Kui igal kuul vabaneb kaksteist inseneritundi, tuvastage tööde järjekord, mida need teenindavad. Ärge arvestage samal ajal nende palgaväärtust ja tootetöö täielikku väärtust, mida nad võiksid teha, kahe sõltumatu kokkuhoiuna.

Hoidke ka riskide vähendamine ja ärikasu põhilisest tõhususe arvutusest lahus. Need võivad otsust tugevdada, kuid ei tohiks päästa nõrka tegevusargumenti spekulatiivsete intsidendikahjude või eeldatava tulu abil.

Välise auditi tasud väärivad oma rida. Parem ettevalmistus võib vähendada sisemisi häireid ja järeltööd, kuid see ei anna organisatsioonile õigust vähematele auditipäevadele ega väiksemale tasule. Hankige pakkumine tegeliku ulatuse kohta, selle asemel et eeldada, et automatiseerimine muudab hindamise reegleid.

Läbitöötatud näide: igakuise juurdepääsu ülevaatuse katseprojekt

Järgmine näide on illustratiivne. Kõik aja- ja kulusisendid on hüpoteetilised, mitte turu võrdlusnäitajad, Secani hinnad ega klientide tulemused.

Oletame, et ettevõte vaatab igakuiselt üle juurdepääsu kuues rakenduses ja 80 töötaja puhul. Selle lähtetase hõlmab kogumist, koordineerimist, ülevaatust ja parandamist. Katseprojekt säilitab samad rakendused, kontopopulatsioonid, ülevaatussageduse ja kinnitusnõuded.

Eeldatakse, et lähtetaseme hooldustöö sisaldub kogumises ja parandamises. Tegelikus hindamises kontrollige seda eeldust, selle asemel et lasta kategooria muutusel võrdlust moonutada.

12 tunni kokkuhoid kuus hinnaga 80 € tunnis annab 11 520 € aastast võimekuse väärtust. Kui täiendavad aastased tegevuskulud on 8000 €, on vahe 3520 €. Vabanenud võimekus ei muutu automaatselt rahaliseks kokkuhoiuks.

Oletame nüüd veel 4000 € ühekordseid seadistus- ja ülekandmiskulusid. Esimese aasta majanduslik netokasu muutub negatiivseks, −480 €: 11 520 € miinus 8000 € miinus 4000 €. Püsiseisundi aastane netokasu jääb 3520 € juurde, eeldusel et mõõdetud kokkuhoid jätkub.

Nende eelduste korral tasub ühekordne investeering end ära ligikaudu 13,6 kuu jooksul pärast püsiseisundi saavutamist. Arvutus jagab 4000 € ligikaudu 293 € suuruse igakuise majandusliku netokasuga. See on majandusliku tasuvusaja arvutus, mitte väide, et raha naaseb sellise ajakava järgi pangakontole. Järkjärguline kasutuselevõtt pikendaks seda.

Testige eeldusi, mis võivad vastust muuta

Kõige kasulikum tundlikkuse test on sageli allesjääv ülevaatustöö:

Korduv tasuvuspunkt on ligikaudu 8,3 säästetud tundi kuus. See annab juhtkonnale mõõdetava lävendi ebamäärase tõhususeootuse asemel.

Kvaliteedivärav on sama oluline. Katseprojekt ei tohiks saada kinnitust lihtsalt seetõttu, et see saavutab kaksteist säästetud tundi. Ülevaatajad peavad endiselt kontopopulatsiooni kooskõlastama, juurdepääsuotsused dokumenteerima ja eemaldamisi lõpuni jälgima. Kui üks rakendus jäetakse välja, sest selle andmeid on raske hankida, teatage välistusest ja arvutage võrdlus uuesti.

Otsus võib seejärel olla konkreetne: laiendage pärast mitut võrreldavat tsüklit, kui töömaht jääb alla kokkulepitud lävendi, tõendite kvaliteet püsib ja integratsiooni omanik suudab töövoogu eelarve piires hooldada.

Otsustage, mida automatiseerida – ja mida hoida vastutuse all

Kogumine, liigitamine, meeldetuletused, dokumentidest teabe eraldamine ja ülevaadatud mustandite ettevalmistamine on kasulikud kandidaadid. Riski aktsepteerimine, kohaldatavuse otsused ja oluliste muudatuste kinnitamine nõuavad vastutavaid otsustajaid.

Eraldage kolm töökihti. Esimene on teabe loomine või hankimine. Teine on selle hindamine kokkulepitud reegli alusel. Kolmas on otsustamine, mida tulemus äri jaoks tähendab. Kahe esimese automatiseerimine ei kõrvalda vastutust kolmanda eest.

Need on üldised töövoo kandidaadid, mitte väide, et iga toode neid toetab või et iga allika saab automaatselt ühendada.

Seadke esikohale korduv töö stabiilsete sisendite, selge omandiõiguse ja kontrollitava väljundiga. Sage juurdepääsu eksport võib olla tugevam esimene kandidaat kui harv, väga kontekstipõhine tarnijaotsus. Taaskasutus eri kohustuste vahel suurendab selle väärtust, kuid sagedus ja praegune töömaht on olulised ka siis, kui kohaldub ainult üks raamistik.

Ärge automatiseerige lahendamata kinnitusahelat. Kui keegi ei tea, kes kinnitab poliitikaerandi, levitavad automaatsed meeldetuletused ebaselgust lihtsalt kiiremini. Määratlege kinnitaja, eskaleerimistee ja vastuvõetavad tõendid enne tööriistade muutmist.

Vastavuse juhtimissüsteem on vastutuse, kontrollimeetmete, tõendite ja otsuste organisatsiooniline struktuur. ISMS rakendab juhtimissüsteemi distsipliini infoturbele. Tarkvara toetab seda struktuuri; see ei asenda seda. Juhtkond vastutab ulatuse ja ressursside eest ka siis, kui analüüsi valmistavad ette spetsialistid.

Mõõtke, mida seire tegelikult jälgib

Pidev seire võib vähendada ajavahet kontrollimeetme muutumise ja selle märkamise vahel. Selle väärtus sõltub katvusest, kogumise sagedusest, allika usaldusväärsusest ja toimivast reageerimisprotsessist – mitte rohelise armatuurlaua olemasolust.

Paluge tehnilisel omanikul kirjeldada iga kontrolli lihtsas keeles: millist populatsiooni see hõlmab, millist tingimust see testib, kui sageli see käivitub ja mis juhtub, kui andmed puuduvad.

Näited muudavad piirangud konkreetseks:

• Lahkujate kooskõlastamine: võrrelge lahkumiskirjeid aktiivsete kontodega, sealhulgas väljaspool keskset identiteedihaldust olevates rakendustes.
• Mitmikautentimise katvus: kontrollige registreerimist või jõustamist asjakohase kontopopulatsiooni suhtes, tuvastades kinnitatud erandid.
• Lõppseadmete krüpteerimine: hinnake aruandvaid seadmeid, käsitledes puuduvat või aegunud telemeetriat teadmata, mitte vastavana.
• Varukoopiad: eristage edukaid varundustöid tõenditest, et taastamine toimib.
• Paikamine: võrrelge täheldatud versioone kinnitatud parandustähtaegade ja dokumenteeritud eranditega.
• Koodimuudatused: kontrollige kinnitusreegleid, kontrollides samal ajal, kas möödapääsuõigused neid õõnestavad.

Iga kontroll toetab konkreetset järeldust. Edukas varundustöö ei tõenda taastamist äri nõutava aja jooksul. Koolituse kinnitus ei tõenda arusaamist. Poliitikadokument ei näita, et inimesed seda järgivad.

Mõningaid tõendeid saab koguda füüsilise juurdepääsu süsteemidest või tarnijaportaalidest, kuid katvus ja tõlgendus vajavad siiski valideerimist. Intervjuud, õppused, valimid ja siseauditid on endiselt kasulikud testimaks, kas dokumenteeritud protsess vastab tegelikule toimimisele.

Arvestage automatiseerimise enda tõrkeviisidega

Kogumistöö võib ebaõnnestuda, sest mandaadid aeguvad, API muutub või õigused muutuvad liiga kitsaks. See võib ka tehniliselt õnnestuda, tagastades vaid osa kavandatud populatsioonist.

Nõudke nähtavat kogumise olekut, värskuse kriteeriume, kooskõlastuskontrolle ja tõrgete omanikku. Praktiline soovitus on eristada rahuldavat, mitterahuldavat ja teadmata olekut. Puuduvad tõendid ei tohiks vaikselt muutuda läbitud tulemuseks.

Arvestage hoiatuste käsitlemine ja allikate hooldus tegevuskulusse. Süsteem, mis säästab neli tundi kogumist, kuid tekitab viis tundi vähese väärtusega uurimist, on töökoormust pigem nihutanud kui vähendanud. Pidev kontrollimeetmete seire annab kasulikku konteksti kontrollide ja reageerimise vastutuse määratlemiseks.

Taaskasutage tõendeid eri kohustuste vahel, eeldamata samaväärsust

Mitu raamistikku võivad esitada seotud küsimusi juurdepääsu, intsidentide käsitlemise, tarnijate ja muudatuste halduse kohta. Ühised tõendid võivad vähendada topeltkogumist. Hindamine iga kohustuse suhtes vajab siiski oma ulatust ja arutluskäiku.

Näiteks võib ülevaadatud juurdepääsukirje toetada infoturbe kontrollimeedet ja privaatsusalast turvahinnangut. See ei tõenda iseenesest töötlemise õiguslikku alust, ei täida iga lepingulist nõuet ega tõenda, et kogu süsteem on vastav.

ISO/IEC 27001 puhul on subjektiks kindla ulatusega ISMS. Selle juhtimissüsteemi nõuded ja riskipõhised käsitlusotsused erinevad asjakohaste A-lisa kontrollimeetmete valimisest ja rakendamisest. Ulatus, kohaldatavuse avaldus, riskikäsitlus, siseaudit ja juhtkonnapoolne ülevaatus peaksid jääma äratuntavateks tulemiteks. Sertifitseerimisotsus kuulub sõltumatule sertifitseerimisasutusele, mitte tarkvarapakkujale.

GDPR lisab rolli- ja töötlemispõhiseid kohustusi. Artikkel 32 käsitleb riskipõhist turvalisust; töötlemistoimingute registrid, õiguste käsitlemine, volitatud töötlejatega sõlmitud kokkulepped ja edastamise hinnangud esitavad teistsuguseid küsimusi. Turvatõendid võivad toetada privaatsustööd, asendamata õiguslikku analüüsi.

NIS2 hõlmab riigisisest rakendamist, kohaldatavuse reegleid, juhtkonna järelevalvet, riskimeetmeid ja intsidentidest teavitamist. Kontrollimeetmete vastendus ei saa kindlaks teha, kas konkreetne üksus kuulub kohaldamisalasse. Samamoodi nõuab DORA hõlmatud finantsüksuste ja asjakohaste IKT-suhete puhul rollipõhist hindamist; see ei ole universaalne kohustus igale tehnoloogiatarnijale.

Hallake vastendusi koos nõuete versioonide, ulatuse, toetavate tõendite, ülevaataja põhjenduse ja lahendamata lünkadega. Seos on mitu-mitmele, mitte samaväärsuse tunnistus. Artikkel Tabelarvutuse vastavustabelitest kaugemale selgitab, miks vastendused vajavad rohkem konteksti kui kontrollimeetmete pealkirjade kokkulangevus.

Mõõtke taaskasutust välditud topeltkogumisena. Ärge korrutage ühe säästetud tunni täisväärtust raamistike arvuga, mis selle väljundile viitavad. Säilitage ka kindlustunde terminoloogia: ISO 27001 sertifikaat ja SOC 2 atesteerimisaruanne on erinevad väljundid ning kumbki ei tõenda iseseisvalt vastavust GDPR-ile või NIS2-le.

Viige katseprojekt läbi selgesõnaliste kinnitusväravatega

Piiritletud katseprojekt annab juhtkonnale tõendeid kasutuselevõtu, allesjääva töömahu ja hoolduse kohta enne suuremat kohustust. Selle kestus peaks kajastama töövoo rütmi. Kolm igakuist tsüklit toovad esile teistsuguseid probleeme kui kolm demonstratsiooni ühe nädala jooksul.

Leppige kokku katseprojekti harta

Nimetage ärisponsor, töövoo omanik, ülevaataja, tehniline hooldaja ja finantskontakt. Määratlege ulatus ja jätke kokkuhoiu väitest välja mitteseotud ümberkujundamistöö.

Harta peaks sisaldama lähtetaset, sihttulemust, kulude ülempiiri, kvaliteedikriteeriume, ülevaatuse sagedust ning peatamise või laiendamise tingimusi. Illustratiivne siht võiks olla väiksem kogumise ja koordineerimise töömaht ilma täielikkuse või kinnituste jälgitavuse halvenemiseta. Lävend peaks tulenema organisatsiooni enda ökonoomikast.

Valmistage ette tõendite tee

Tuvastage autoriteetsed allikad ja otsustage, kuidas kirjed hangitakse. Valideerige olemasolevad õigused, andmeväljad, populatsiooni katvus ja ekspordivõimalused, enne kui käsitlete kavandatud ühendust kättesaadavana.

Puhastage topeltkirjed ja määrake omanikud. Määratlege, mida tõendid tõendavad, millist perioodi need hõlmavad, kui kaua need kasulikuks jäävad ja kuhu ülevaatusotsused salvestatakse. Ajaloolised tõendid peaksid säilitama oma algse konteksti, selle asemel et näida äsja kogutuna.

Valideerige toimimine enne vana protsessi eemaldamist

Võrrelge esimese esindusliku tsükli puhul uut väljundit sõltumatu allika või olemasoleva protsessiga. Uurige erinevusi. Ajutine paralleelne töö on üleminekukulu, mitte korduvalt säästetud töö.

Testige ebamugavaid juhtumeid: töövõtja ilma personalikirjeta, kohalike kontodega rakendus, eemalviibiv kinnitaja ja ebaõnnestunud kogumine. Need juhtumid näitavad sageli, kas töövoog suudab toimida ilma selle algse kujundajata.

Vaadake üle ja laiendage valikuliselt

Võrrelge mitut tsüklit, sealhulgas kontrollimist ja hooldust. Uurige muutusi, selle asemel et neid keskmistada. Kokkuhoid, mis allikate muutudes väheneb, võib nõuda kitsamat lahendust või lisatuge.

Laiendamine peaks järgima mõõdetud väärtust ja riski. Stabiilse tõendiallika taaskasutamine teise töövoo jaoks võib olla mõistlik; täiesti teistsuguse õigusliku hindamise lisamine nõuab uut lähtetaset. Lõpetage üleliigsete jälgimistabelite kasutamine teadlikult, et organisatsioon ei maksaks lõputult mõlema süsteemi hoolduse eest.

Kui olete juba sertifitseeritud, eelarvestage üleminek eraldi

Väljakujunenud programmil on teistsugune investeerimisargument kui esmasel juurutusel. Te asendate korduvat haldustööd, mitte ei osta sertifikaati uuesti. Olemasolevad kontrollimeetmed, otsused ja tegevusajalugu on säilitamist väärivad varad.

Inventeerige materjal enne ülekandmist: kinnitatud poliitikad, riskikirjed, kohaldatavuse otsused, varasemad auditi tõendid, lahendamata leiud ja ülevaatuste ajalugu. Tehke kindlaks, millised kirjed jäävad autoriteetseks ja milliseid duplikaate saab kasutusest kõrvaldada. Iga faili teisaldamine vastuoluliste versioonide lahendamiseta kannab kooskõlastamise probleemi üle uude tööruumi.

Säilitage tõendite algsed kuupäevad, kinnituskontekst ja seosed mõjutatud süsteemidega. Äsja üles laaditud dokument ei ole äsja tehtud kontrollitegevus. Hoidke ajaloolised kirjed asjakohase säilitusaja jooksul kättesaadavana, nende tundlikkusele vastava juurdepääsuga.

Määrake iga töövoo jaoks üleminekupunkt. Täpsustage, kus toimuvad uued kinnitused, kes saab üle kantud kirjeid muuta ja millal muutub vana jälgimistabel ainult loetavaks. Koolitage nii aeg-ajalt osalevaid ülevaatajaid kui ka vastavusmeeskonda; nende raskused töö leidmisel ja kinnitamisel kajastuvad koordineerimiskuludes.

Lõpuks kavandage väljumistest. Küsige, kas teine volitatud isik suudab tõendipaketi kätte saada ja selle otsustest aru saada ilma ülekandmise juhi abita. See testib tegevuslikku sõltumatust, mitte ainult failide edukat ülekandmist. Ülekandmise ajastus peaks järgima inventeerimis- ja valideerimistööd, mitte eeldatavat universaalset juurutusajakava.

Valige ehitamise, ostmise või hübriidi vahel tegeliku töö põhjal

Väikese kogumisskripti ehitamine võib olla mõistlik, kui allikas on ebatavaline ja insenerimeeskond suudab seda hooldada. Tööruumi ostmine võib olla mõttekam, kui probleemiks on omandiõigus, tõendite kontekst, kinnitused ja koordineerimine meeskondade vahel. Hübriid võib säilitada spetsialiseeritud kogumise, koondades samal ajal ülevaatustöö.

Võrrelge kogu omamiskulu, mitte ainult tellimuse hinda esialgse programmeerimistöö vastu. Kaasake tugi, juurdepääsukontroll, allikate muudatused, dokumentatsioon, töötajate vahetumine ja võimalus kirjeid hiljem eksportida.

Paluge valiku käigus tarnijatel demonstreerida esinduslikku töövoogu teie tõenditüüpide abil. Kasulikud küsimused on:

• Kas ülevaatajad saavad järelduse jälgida tagasi asjakohase allika ja perioodini?
• Mis juhtub, kui tõendid on aegunud, puudulikud või vastuolulised?
• Millised kavandatud ühendused on praegu saadaval ja millised nõuavad tööd?
• Kas omandiõigus, kinnitamine ja erandite käsitlemine saavad vastata teie protsessile?
• Mis jääb käsitsi tehtavaks ja kes peaks seda tegema?
• Kas tõendeid ja otsuste ajalugu saab eksportida kasutataval kujul?

Tegevuskavad võivad anda teavet tulevase otsuse jaoks, kuid praegune äriargument peaks kasutama olemasolevaid võimekusi. Artikkel Kuidas valida GRC-tarkvara pakub laiemat valikuperspektiivi.

Arvestage tehisintellekti tulemuste kontrollimist, mitte ainult genereerimise kiirust

Tehisintellekti abil toimivad töövood vajavad lisamõõdikut: kui kaua kulub tulemuse kontrollimiseks? Silmapilkselt loodud mustand võib siiski olla kulukas, kui selle allikad on ebaselged.

Mõõtke kogu teed lähtematerjalist kinnitatud väljundini: ettevalmistus, genereerimine, allikate kontrollimine, parandamine, kinnitamine ja hilisem ümbertegemine. Võrrelge seda sama ülesandega, mis tehakse ilma abita. Jälgige sisulisi vigu stiililistest muudatustest eraldi.

Ülevaatajad peaksid suutma eristada allikaga toetatud fakti, järeldust ja puuduvat vastust. Tarnija hindamise puhul erineb väide, et dokument kirjeldab krüpteerimist, järeldusest, et tarnija rakendus on teie kasutusjuhu jaoks piisav.

Kasutage katseprojektis esinduslikke keerulisi dokumente, mitte ainult korralikke näiteid. Kaasake vastuolulised versioonid, ebaselge ulatus ja tõendid, mis toetavad vaid osa nõudest. Kinnitused peaksid jääma selgesõnaliseks, eriti vastenduste, tõendijärelduste ja klientidele suunatud vastuste puhul.

Piirake juurdepääs ülesande jaoks vajaliku materjaliga. Vastavustõendid võivad sisaldada isikuandmeid, turvaarhitektuuri ja tundlikku äriteavet. Hinnake teenuseosutaja korraldusi, säilitamist ja kavandatud kasutust enne selle materjali paigutamist tehisintellekti abil toimivasse protsessi.

Secani lähenemine tehisintellektipõhisele vastavusele seob abi tõendite ja inimese ülevaatusega. Ärimõõdik on kinnitatud ja vastuvõetava kvaliteediga tehtud töö, mitte genereeritud mustandid.

Hinnake automatiseeritud töövoo enda vastavust

Vastavustöö automatiseerimine võib tekitada uusi töötlemis- ja turvakaalutlusi. Töötajate kontoandmete kogumine ülevaatuse tööruumi muudab seda, kes neid andmeid näeb, kus neid hoitakse ja kui kaua need kättesaadavaks jäävad.

GDPR-i kohaselt hinnake töötlemise eesmärki, õiguslikku alust, rolle, võimalikult väheste andmete kogumist, säilitamist ja turvalisust. Kui kohaldub artikkel 30, ajakohastage töötlemistoimingute registrit. Volitatud töötlejatega sõlmitud kokkulepped ja rahvusvahelised edastamised nõuavad oma hindamist; eelistatud majutuskoht üksi neid küsimusi ei lahenda.

Eristage abistamist olulise mõjuga automatiseeritud otsuste tegemisest. Juurdepääsu ülevaatuse mustandi ettevalmistamine erineb ainult automatiseeritud töötlusel põhinevast tööalasest otsusest, millel on õiguslik või sarnaselt oluline mõju. Artikkel 22 nõuab selliste otsuste ja selle erandite konkreetset hindamist; nominaalne kinnitamise samm ei tohiks asendada sisulist ülevaatust.

Tehisintellekti kasutamise puhul tehke kindlaks organisatsiooni roll ja süsteemi kasutusjuhu liigitus, enne kui otsustate, millised kohustused kohalduvad. Kasutage komisjoni ajakohast tehisintellekti määruse ülevaadet, mitte aegunud malli. Need kontrollid kuuluvad juurutuskulude ja juhtimise juurde ka siis, kui tõhususe katseprojekt tundub paljulubav.

Esitage tulemused ja hoidke töövoog ajakohasena

Juhtkonna tulemuskaart peaks olema piisavalt väike, et seda kontrollida, ja piisavalt konkreetne, et seda vaidlustada. Jälgige kulutatud aega, puudulikke tõendeid, korduvaid erandeid, ülevaatajate parandusi ja tähtaja ületanud tööd. Kaasake hooldus, kui lähtesüsteemid või nõuded muutuvad.

Siduge tõhusus kvaliteediga. Kasulikud mõõdikud on aktiivsed tunnid lõpetatud tsükli kohta, möödunud aeg kinnitatud tõenditeni, ilma paranduseta aktsepteeritud tõendid, populatsiooni katvus, tähtaja ületanud parandusmeetmed ja hooldustöö maht. Määratlege iga nimetaja, et ulatuse muutused ei paistaks parendusena.

Tuvastatud erandite esialgne kasv võib tähendada, et nähtavus paranes. Eraldage äsja avastatud probleemid korduvatest lahendamata probleemidest ja jälgige sulgemise vanust. Samamoodi ei tõenda vähem auditileide iseseisvalt, et automatiseerimine põhjustas paremad kontrollimeetmed; auditi ulatus ja valim võisid muutuda.

Äritulemuste puhul mõõtke küsimustike ettevalmistamise ja kinnitamise aega laiemast müügitsüklist eraldi. Salvestage, kas turvaülevaatus oli tegelikult kriitilisel teel, enne kui omistate tehingu kiirenemise vastavustööriistadele.

Käsitlege regulatiivseid muudatusi töövoo versioonitud sisenditena, selle asemel et eeldada, et vana kontrollnimekiri on endiselt ajakohane. Salvestage allikas, kohaldatavuse otsus, mõjutatud kontrollimeetmed, omanik ja rakendamise olek. Protsess peaks mahutama muudetud kohustusi, kirjutamata vaikselt ümber ajaloolisi otsuseid.

Juhtkond peaks ka kontrollima, kuhu vabanenud võimekus läks. Määrake see nimetatud turvaparendusele, ülevaatuste järjekorrale või tegevusprioriteedile ja kontrollige seejärel, kas see töö edenes. Vastasel juhul jäävad säästetud tunnid tabelarvutuse tulemuseks, mitte organisatsiooni kasuks.

Muutke mõõtmine praktiliseks järgmiseks sammuks

Secani toob nõuded, tõendid, omanikud, ülesanded ja ülevaatusotsused ühte omavahel seotud tööruumi. Piiritletud katseprojekti jaoks modelleerige ulatusse kuuluvad süsteemid ja teenused, laadige üles olemasolevad tõendid, siduge need sellega, mida need toetavad, ja muutke lüngad määratud ülesanneteks. Vaadake tehisintellekti abil tehtud ettepanekud üle nende allikate alusel ning säilitage oluliste otsuste ümber kommentaarid, kinnitused ja ajatemplid. See annab konkreetse töövoo, mille töömahtu ja kvaliteeti saab mõõta, ajamata segi abistamist ja kinnitamist.

Alustage ühest korduvast protsessist ja valmistage ette selle lähtetase, enne kui võtate endale laiema automatiseerimise kohustuse. Leppige kulud kokku finantsosakonnaga, seadke koos ülevaatajaga kvaliteedivärav ja määrake hooldaja. Pärast mitut võrreldavat tsüklit otsustage, kas laiendada, ümber kujundada või lõpetada.

Teie enda tööl põhinev äriargument jääb kasulikuks ka pärast esimest auditit: see näitab, milliseid ülesandeid on odavam teha, millised otsused vajavad endiselt inimesi ja kas investeering väärib jätkuvalt oma kohta tegevuseelarves.