Atitikties automatizavimas: išmatuokite sutaupytą darbą

Rankinės atitikties kaina dažnai slypi tarp biudžeto eilučių: inžinieriai ieško eksportų, vadovai vejasi patvirtinimus, o tikrintojai atkuria praėjusio ketvirčio įrodymus. Automatizavimas tampa vertingas, kai sumažina šį pasikartojantį darbą ir išsaugo jo kokybę.

Generaliniam direktoriui investicijų klausimas nėra tai, kiek užduočių platforma gali automatizuoti. Klausimas yra tai, ar organizacija gali vykdyti tuos pačius įpareigojimus su mažesnėmis pastangomis, geresniais įrodymais ir aiškesne atskaitomybe. Tam reikia atskaitos taško, riboto eksperimento ir sąžiningo skirtumo tarp atlaisvinto pajėgumo ir pinigų santaupų.

Naudingas verslo atvejis turėtų išlikti aktualus ir po pirmojo audito. Jis turėtų paaiškinti, koks darbas išnyko, koks naujas darbas jį pakeitė, kas lieka atskaitingas ir kaip rezultatas keičiasi augant verslui.

Prieš pirkdami nustatykite atskaitos tašką

Pasirinkite vieną darbo procesą, pavyzdžiui, mėnesinę prieigos peržiūrą. Rinkimą, koordinavimą, peržiūrą ir perdarymą matuokite atskirai. Užfiksuokite, kiek programų ir žmonių apimama. Greitesnis darbo procesas su siauresne taikymo sritimi nėra palyginamas rezultatas.

Pradėkite nuo darbo proceso, kuris turi atpažįstamą pradžią ir pabaigą. Prieigos peržiūros atveju pradžia gali būti paskyrų populiacijų prašymas iš programų atsakingų asmenų. Pabaiga nėra eksportų gavimas; tai peržiūros užbaigimas, sprendimų užfiksavimas ir iš to kylančių veiksmų išsprendimas arba aiškus sekimas.

Be šios ribos atskaitos taškas gali praleisti brangiausią darbą. Atitikties atsakingas asmuo gali dvi valandas rengti peržiūros paketą, o šeši vadovai dar šešias valandas jį tikrinti. Abu turi būti įtraukti į matavimą.

Pastangas, vėlavimą ir kokybę fiksuokite atskirai

Aktyvios pastangos yra laikas, kurį žmonės praleidžia atlikdami darbą. Praėjęs laikas yra tai, kiek trunka darbo procesas nuo pradžios iki pabaigos. Jie atsako į skirtingus klausimus: mažiau priminimų gali sutaupyti valandą, o ankstesni patvirtinimai gali pašalinti savaitės vėlavimą.

Per reprezentatyvius ciklus naudokite paprastą veiklos žurnalą:

Įtraukite įprastą ciklą ir, kai aktualu, pasirengimo auditui ciklą. Neekstrapoliuokite iš chaotiškiausios metų savaitės taip, lyg kiekviena savaitė atrodytų taip pat. Ir atvirkščiai, matuojant tik ramų mėnesį, periodinis darbo krūvis bus nuvertintas.

Dokumentuokite populiaciją, įrodymų laikotarpį, peržiūros dažnumą, atsakingus vaidmenis ir užbaigimo kriterijus. Jei bandomojo projekto metu organizacija auga, parodykite ir bendrą valandų skaičių, ir pastangas palyginamam vienetui, pavyzdžiui, vienai peržiūrėtai programai. Privilegijuotas paskyras ir sudėtingas programas išlaikykite matomas, o ne išvidurkinkite jų papildomų pastangų.

Padarykite audito nuovargį stebimą

Audito nuovargis yra praktinis apibūdinimas, kai pasikartojantis atitikties darbas išstumia kitus prioritetus. Jam nustatyti nereikia pramonės statistikos.

Ieškokite pasikartojančių prašymų pateikti tuos pačius įrodymus, pasirengimo vėlai vakare, pertraukto inžinerinio darbo ir kontrolių, kurios priklauso nuo to, ar vienas žmogus prisimena, kas įvyko. Paklauskite komandų, kokį darbą jos atidėjo, kad atsakytų į atitikties prašymus. Užfiksuokite atidėtą užduotį ir jos atsakingą asmenį, o ne išgalvotą finansinį nusivylimo įvertį.

Taip pat užfiksuokite, kiek žmonių ir kaip dažnai pertraukiama. Dešimt prašymų, paskirstytų dešimčiai inžinierių, gali sukurti kitokią veiklos naštą nei vienas suvestinis prašymas, kurį tvarko paskirtas atsakingas asmuo. Trumpa retrospektyva gali atskleisti, ar darbo procesas tampa labiau nuspėjamas, dar prieš paaiškėjant metinio audito rezultatams.

Atskaitos taško rezultatas yra trumpas darbo proceso įrašas: taikymo sritis, veiklos valandos, praėjęs laikas, kokybės defektai, pasikartojantys pertraukimai ir matavimo prielaidos. Finansų skyrius ir darbo proceso atsakingas asmuo turėtų sutarti, kad jis atspindi pakeičiamą darbą.

Kurkite išlaidų modelį aplink sprendimą, kurį kontroliuojate

Metinę grynąją naudą apskaičiuokite kaip sutaupytas valandas, padaugintas iš suderintos visų darbo sąnaudų valandinės kainos, atėmus papildomas programinės įrangos, įgyvendinimo, integravimo ir papildomos peržiūros išlaidas. Prielaidas aiškiai pažymėkite.

Investiciniams sprendimams atskirkite pasikartojančią veiklos ekonomiką nuo pirmųjų metų perėjimo. Vienkartinis įgyvendinimo darbas neturėtų dingti iš skaičiavimo, tačiau jo nereikėtų iš naujo priskirti kiekvieniems ateities metams.

Praktinis modelis turi tris dalis:

• Atskaitos taško išlaidos: dabartinės vidinės pastangos ir išorės išlaidos pasirinktai taikymo sričiai.
• Būsimos veiklos išlaidos: likęs rinkimas, peržiūra, koordinavimas, priežiūra, programinė įranga ir išorės pagalba.
• Perėjimo išlaidos: konfigūravimas, perkėlimas, mokymai, patikrinimas ir laikina lygiagreti veikla.

Kai skirtumas svarbus, naudokite vaidmenims specifines visas darbo sąnaudas. Inžinieriaus, veiklos koordinatoriaus ir išorės specialisto sąnaudos gali labai skirtis. Finansų skyrius turėtų nuosekliai apibrėžti metodą; jis neturėtų keistis tarp atskaitos taško ir bandomojo projekto, kad pagerintų rezultatą.

Venkite dvigubo likusio darbo skaičiavimo. Jei patikrinimas ir priežiūra jau įtraukti į išmatuotas būsimo darbo proceso valandas, jų vidinių sąnaudų neatimkite dar kartą kaip atskiros išlaidos. Tačiau papildomi išorės peržiūros mokesčiai lieka atskira išlaida.

Pajėgumų vertė savaime nėra pinigų santaupos

Atlaisvinti pajėgumai reiškia, kad esami žmonės turi daugiau laiko kitam darbui. Pinigų santaupoms reikia faktinio išlaidų pokyčio, pavyzdžiui, mažiau rangovų valandų, mažiau viršvalandžių ar atsisakyto mokamo įrankio.

Išvengtas įdarbinimas yra trečioji kategorija. Jei augimui kitu atveju reikėtų papildomų darbuotojų, automatizavimas gali atidėti tokį įdarbinimą. Tai naudinga, tačiau priklauso nuo dokumentuotos darbo krūvio prognozės ir patikimos personalo alternatyvos.

Tvirtinimo dokumente šias kategorijas laikykite atskirai. Jei kas mėnesį atsilaisvina dvylika inžinerijos valandų, nurodykite, kokiam darbų sąrašui jos bus skirtos. Tuo pat metu neskaičiuokite jų atlyginimo vertės ir visos produkto darbo, kurį jos galėtų sukurti, vertės kaip dviejų nepriklausomų santaupų.

Rizikos mažinimą ir komercinę naudą taip pat laikykite atskirai nuo pagrindinio efektyvumo skaičiavimo. Jie gali sustiprinti sprendimą, tačiau neturėtų gelbėti silpno veiklos atvejo spekuliatyviais incidentų nuostoliais ar numanomomis pajamomis.

Išorės audito mokesčiams skirkite atskirą eilutę. Geresnis pasirengimas gali sumažinti vidinius sutrikimus ir tolesnį darbą, tačiau nesuteikia organizacijai teisės į mažiau audito dienų ar mažesnį mokestį. Gaukite pasiūlymą faktinei taikymo sričiai, o ne darykite prielaidą, kad automatizavimas keičia vertinimo taisykles.

Išnagrinėtas pavyzdys: mėnesinės prieigos peržiūros bandomasis projektas

Toliau pateiktas pavyzdys yra iliustracinis. Kiekvienas laiko ir išlaidų duomuo yra hipotetinis, o ne rinkos etalonas, „Secani“ kaina ar kliento rezultatas.

Tarkime, įmonė kas mėnesį peržiūri prieigą šešiose programose ir 80 darbuotojų. Jos atskaitos taškas apima rinkimą, koordinavimą, peržiūrą ir taisymą. Bandomajame projekte išlaikomos tos pačios programos, paskyrų populiacijos, peržiūros dažnumas ir patvirtinimo reikalavimai.

Daroma prielaida, kad atskaitos taško priežiūros darbas yra įtrauktas į rinkimą ir taisymą. Realiame vertinime patikrinkite šią prielaidą, o ne leiskite kategorijos pokyčiui iškreipti palyginimą.

Sutaupius 12 valandų per mėnesį po 80 € už valandą, gaunama 11 520 € metinė pajėgumų vertė. Jei papildomos metinės veiklos išlaidos yra 8 000 €, skirtumas yra 3 520 €. Atlaisvinti pajėgumai savaime netampa pinigų santaupomis.

Dabar tarkime, kad yra dar 4 000 € vienkartinių sąrankos ir perkėlimo išlaidų. Pirmųjų metų grynoji ekonominė nauda tampa neigiama, −480 €: 11 520 € atėmus 8 000 € ir 4 000 €. Nusistovėjusios veiklos metinė grynoji nauda lieka 3 520 €, jei išmatuotas sutaupymas išlieka.

Pagal šias prielaidas vienkartinė investicija atsiperka maždaug per 13,6 mėnesio nuo nusistovėjusios veiklos pradžios. Tam naudojama 4 000 €, padalyta iš maždaug 293 € mėnesinės grynosios ekonominės naudos. Tai ekonominis atsipirkimo skaičiavimas, o ne teiginys, kad pinigai pagal šį grafiką grįžta į banko sąskaitą. Laipsniškas diegimas jį pailgintų.

Patikrinkite prielaidas, kurios gali pakeisti atsakymą

Naudingiausias jautrumo testas dažnai yra likusios peržiūros pastangos:

Pasikartojančios veiklos lūžio taškas yra maždaug 8,3 sutaupytos valandos per mėnesį. Tai suteikia vadovybei išmatuojamą ribą vietoj miglotų efektyvumo lūkesčių.

Kokybės kontrolinis taškas yra tiek pat svarbus. Bandomasis projektas neturėtų būti patvirtintas vien todėl, kad pasiekia dvylika sutaupytų valandų. Tikrintojai vis tiek turi suderinti paskyrų populiaciją, dokumentuoti prieigos sprendimus ir sekti pašalinimus iki užbaigimo. Jei viena programa neįtraukiama, nes jos duomenis sunku gauti, nurodykite šią išimtį ir perskaičiuokite palyginimą.

Tada sprendimas gali būti konkretus: plėsti po kelių palyginamų ciklų, jei pastangos išlieka žemiau suderintos ribos, įrodymų kokybė išlaikoma, o integracijos atsakingas asmuo gali prižiūrėti darbo procesą neviršydamas biudžeto.

Nuspręskite, ką automatizuoti ir ką palikti atskaitingiems žmonėms

Rinkimas, klasifikavimas, priminimai, informacijos išgavimas iš dokumentų ir peržiūrėtų juodraščių rengimas yra naudingi kandidatai. Rizikos priėmimui, sprendimams dėl taikymo ir reikšmingų pakeitimų patvirtinimui reikia atskaitingų sprendimų priėmėjų.

Atskirkite tris darbo lygmenis. Pirmasis yra informacijos sukūrimas ar gavimas. Antrasis yra jos įvertinimas pagal suderintą taisyklę. Trečiasis yra sprendimas, ką rezultatas reiškia verslui. Automatizavus pirmuosius du, atsakomybė už trečiąjį nepanaikinama.

Tai bendri darbo procesų kandidatai, o ne teiginys, kad kiekvienas produktas juos palaiko ar kad kiekvieną šaltinį galima prijungti automatiškai.

Prioritetą teikite pasikartojančiam darbui su stabiliomis įvestimis, aiškia atsakomybe ir patikrinamu rezultatu. Dažnas prieigos eksportas gali būti stipresnis pirmasis kandidatas nei retas, labai nuo konteksto priklausantis sprendimas dėl tiekėjo. Pakartotinis naudojimas keliems įpareigojimams padidina jo vertę, tačiau dažnumas ir dabartinės pastangos svarbūs net tada, kai taikoma tik viena sistema.

Neautomatizuokite neišspręstos patvirtinimų grandinės. Jei niekas nežino, kas tvirtina politikos išimtį, automatiniai priminimai tik greičiau išplatina neaiškumą. Prieš keisdami įrankius, apibrėžkite tvirtintoją, eskalavimo kelią ir priimtinus įrodymus.

Atitikties valdymo sistema yra organizacinė atsakomybių, kontrolių, įrodymų ir sprendimų struktūra. ISMS taiko valdymo sistemos discipliną informacijos saugumui. Programinė įranga palaiko šią struktūrą; ji jos nepakeičia. Vadovybė yra atsakinga už taikymo sritį ir išteklius, net kai analizę rengia specialistai.

Matuokite, ką stebėsena iš tikrųjų stebi

Nuolatinė stebėsena gali sutrumpinti laiką tarp kontrolės pasikeitimo ir to, kol kas nors tai pastebi. Jos vertė priklauso nuo aprėpties, rinkimo dažnumo, šaltinių patikimumo ir veikiančio reagavimo proceso, o ne nuo žalios informacinės panelės.

Paprašykite techninio atsakingo asmens paprastais žodžiais aprašyti kiekvieną patikrinimą: kokią populiaciją jis apima, kokią sąlygą tikrina, kaip dažnai vykdomas ir kas nutinka, kai trūksta duomenų.

Pavyzdžiai konkretizuoja ribas:

• Išeinančių darbuotojų suderinimas: palyginti išėjimo įrašus su aktyviomis paskyromis, įskaitant programas už centralizuoto tapatybių valdymo ribų.
• DAA aprėptis: patikrinti registraciją ar privalomą taikymą atitinkamai paskyrų populiacijai, nurodant patvirtintas išimtis.
• Galinių įrenginių šifravimas: vertinti ataskaitas teikiančius įrenginius, o trūkstamą ar pasenusią telemetriją laikyti nežinoma, o ne atitinkančia.
• Atsarginės kopijos: atskirti sėkmingas atsarginių kopijų užduotis nuo įrodymų, kad atkūrimas veikia.
• Pataisų diegimas: palyginti stebimas versijas su patvirtintais taisymo terminais ir dokumentuotomis išimtimis.
• Kodo pakeitimai: tikrinti patvirtinimo taisykles ir kartu tikrinti, ar apėjimo leidimai jų nesusilpnina.

Kiekvienas patikrinimas pagrindžia konkrečią išvadą. Sėkminga atsarginės kopijos užduotis neįrodo atkūrimo per verslui reikalingą laiką. Mokymų patvirtinimas neįrodo supratimo. Politikos dokumentas neparodo, kad žmonės jos laikosi.

Kai kuriuos įrodymus galima surinkti iš fizinės prieigos sistemų ar tiekėjų portalų, tačiau aprėptį ir aiškinimą vis tiek reikia patikrinti. Pokalbiai, pratybos, imčių atranka ir vidaus auditai išlieka naudingi tikrinant, ar dokumentuotas procesas atitinka faktinę veiklą.

Įtraukite paties automatizavimo gedimų būdus

Rinkimo užduotis gali nepavykti, nes baigia galioti prisijungimo duomenys, pasikeičia API ar leidimai tampa per siauri. Ji taip pat gali techniškai pavykti, bet grąžinti tik dalį numatytos populiacijos.

Reikalaukite matomos rinkimo būsenos, aktualumo kriterijų, suderinimo patikrinimų ir atsakingo asmens nesėkmėms. Praktinė rekomendacija yra atskirti patenkinamą, nepatenkinamą ir nežinomą būseną. Trūkstami įrodymai neturėtų tyliai tapti teigiamu rezultatu.

Įspėjimų tvarkymą ir šaltinių priežiūrą įtraukite į veiklos išlaidas. Sistema, kuri sutaupo keturias rinkimo valandas, bet sukuria penkias mažai vertingo tyrimo valandas, darbo krūvį perkėlė, o ne sumažino. Nuolatinė kontrolių stebėsena suteikia naudingo konteksto patikrinimams ir reagavimo atsakomybei apibrėžti.

Pakartotinai naudokite įrodymus keliems įpareigojimams, nedarydami prielaidos dėl lygiavertiškumo

Kelios sistemos gali užduoti susijusius klausimus apie prieigą, incidentų valdymą, tiekėjus ir pakeitimų valdymą. Bendri įrodymai gali sumažinti dubliuotą rinkimą. Vertinimui pagal kiekvieną įpareigojimą vis tiek reikia savos taikymo srities ir motyvų.

Pavyzdžiui, peržiūrėtas prieigos įrašas gali pagrįsti informacijos saugumo kontrolę ir privatumo saugumo vertinimą. Jis savaime nenustato tvarkymo teisinio pagrindo, neatitinka kiekvieno sutartinio reikalavimo ir neįrodo, kad visa sistema atitinka reikalavimus.

Pagal ISO/IEC 27001 vertinimo objektas yra apibrėžtos taikymo srities ISMS. Jos valdymo sistemos reikalavimai ir rizika grindžiami rizikos valdymo sprendimai skiriasi nuo atitinkamų A priedo kontrolių pasirinkimo ir įgyvendinimo. Taikymo sritis, Taikymo pareiškimas, rizikos valdymas, vidaus auditas ir vadovybės peržiūra turėtų likti atpažįstami rezultatai. Sertifikavimo sprendimą priima nepriklausoma sertifikavimo įstaiga, o ne programinės įrangos tiekėjas.

BDAR prideda vaidmenims ir tvarkymui specifinių pareigų. 32 straipsnis reglamentuoja rizika grindžiamą saugumą; tvarkymo įrašai, teisių įgyvendinimas, duomenų tvarkytojų susitarimai ir perdavimų vertinimai kelia kitus klausimus. Saugumo įrodymai gali palaikyti privatumo darbą, nepakeisdami teisinės analizės.

NIS2 apima nacionalinį įgyvendinimą, taikymo taisykles, vadovybės priežiūrą, rizikos priemones ir pranešimą apie incidentus. Kontrolių susiejimas negali nustatyti, ar konkrečiam subjektui direktyva taikoma. Taip pat DORA reikalauja vaidmeniui specifinio vertinimo jam pavaldiems finansų subjektams ir susijusiems IRT santykiams; tai nėra visuotinis įpareigojimas kiekvienam technologijų tiekėjui.

Susiejimus tvarkykite su reikalavimų versijomis, taikymo sritimi, pagrindžiančiais įrodymais, tikrintojo motyvais ir neišspręstomis spragomis. Ryšys yra „daugelis su daugeliu“, o ne lygiavertiškumo sertifikatas. Straipsnyje Daugiau nei skaičiuoklių atitikmenų lentelės paaiškinama, kodėl susiejimams reikia daugiau konteksto nei sutampančių kontrolių pavadinimų.

Pakartotinį naudojimą matuokite kaip išvengtą dubliuotą rinkimą. Vienos sutaupytos valandos visos vertės nedauginkite iš sistemų, kurios remiasi jos rezultatu, skaičiaus. Taip pat išlaikykite užtikrinimo terminiją: ISO 27001 sertifikatas ir SOC 2 atestavimo ataskaita yra skirtingi rezultatai, ir nė vienas iš jų savaime neįrodo BDAR ar NIS2 atitikties.

Vykdykite bandomąjį projektą su aiškiais patvirtinimo kontroliniais taškais

Ribotas bandomasis projektas prieš didesnį įsipareigojimą suteikia vadovybei įrodymų apie pritaikymą, likusias pastangas ir priežiūrą. Jo trukmė turėtų atspindėti darbo proceso ritmą. Trys mėnesiniai ciklai atskleidžia kitokias problemas nei trys demonstracijos per vieną savaitę.

Suderinkite bandomojo projekto chartiją

Įvardykite verslo rėmėją, darbo proceso atsakingą asmenį, tikrintoją, techninį prižiūrėtoją ir finansų kontaktą. Apibrėžkite taikymo sritį ir neįtraukite nesusijusio transformacijos darbo į santaupų teiginį.

Chartijoje turėtų būti atskaitos taškas, tikslinis rezultatas, išlaidų viršutinė riba, kokybės kriterijai, peržiūros ritmas ir sustabdymo ar plėtros sąlygos. Iliustracinis tikslas galėtų būti sumažintos rinkimo ir koordinavimo pastangos, nepabloginant išsamumo ar patvirtinimų atsekamumo. Riba turėtų kilti iš organizacijos ekonomikos.

Parenkite įrodymų kelią

Nustatykite autoritetingus šaltinius ir nuspręskite, kaip bus gaunami įrašai. Prieš laikydami siūlomą jungtį prieinama, patikrinkite turimus leidimus, duomenų laukus, populiacijos aprėptį ir eksporto galimybes.

Išvalykite dubliuotus įrašus ir priskirkite atsakingus asmenis. Apibrėžkite, ką įrodymai įrodo, kokį laikotarpį jie apima, kiek laiko jie išlieka naudingi ir kur bus saugomi peržiūros sprendimai. Istoriniai įrodymai turėtų išlaikyti savo pradinį kontekstą, o ne atrodyti naujai surinkti.

Patikrinkite veikimą prieš atsisakydami seno proceso

Pirmajame reprezentatyviame cikle palyginkite naują rezultatą su nepriklausomu šaltiniu ar esamu procesu. Ištirkite skirtumus. Laikinas lygiagretus darbas yra perėjimo išlaida, o ne sutaupytos pasikartojančios pastangos.

Išbandykite nepatogius atvejus: rangovą be personalo įrašo, programą su vietinėmis paskyromis, nesantį tvirtintoją ir nepavykusį rinkimą. Šie atvejai dažnai atskleidžia, ar darbo procesas gali veikti be jo pradinio kūrėjo.

Peržiūrėkite ir plėskite atrankiai

Palyginkite kelis ciklus, įskaitant patikrinimą ir priežiūrą. Pokyčius ištirkite, o ne išvidurkinkite. Sutaupymui, kuris mažėja keičiantis šaltiniams, gali prireikti siauresnio projekto ar papildomos pagalbos.

Plėtra turėtų sekti išmatuotą vertę ir riziką. Stabilaus įrodymų šaltinio pakartotinis naudojimas kitam darbo procesui gali būti protingas; visiškai kitokio teisinio vertinimo pridėjimui reikia naujo atskaitos taško. Perteklinių sekimo įrankių atsisakykite sąmoningai, kad organizacija neribotai nemokėtų už abiejų sistemų priežiūrą.

Jei jau esate sertifikuoti, perėjimo biudžetą planuokite atskirai

Nusistovėjusios programos investicijų atvejis skiriasi nuo pirmojo įgyvendinimo. Jūs keičiate pasikartojantį administracinį darbą, o ne perkate sertifikatą iš naujo. Esamos kontrolės, sprendimai ir veiklos istorija yra turtas, kurį reikia išsaugoti.

Prieš perkėlimą inventorizuokite medžiagą: patvirtintas politikas, rizikos įrašus, sprendimus dėl taikymo, ankstesnių auditų įrodymus, neišspręstas išvadas ir peržiūrų istorijas. Nustatykite, kurie įrašai lieka autoritetingi ir kurių dublikatų galima atsisakyti. Perkėlus kiekvieną failą neišsprendus prieštaraujančių versijų, suderinimo problema perkeliama į naują darbo erdvę.

Išsaugokite pradines įrodymų datas, patvirtinimų kontekstą ir nuorodas į paveiktas sistemas. Naujai įkeltas dokumentas nėra naujai atlikta kontrolės veikla. Istorinius įrašus laikykite prieinamus atitinkamą saugojimo laikotarpį, su jų jautrumui tinkama prieiga.

Kiekvienam darbo procesui nustatykite perėjimo momentą. Nurodykite, kur vyksta nauji patvirtinimai, kas gali keisti perkeltus įrašus ir kada senas sekimo įrankis tampa tik skaitomas. Apmokykite ne tik atitikties komandą, bet ir retkarčiais dirbančius tikrintojus; jų sunkumai randant ir tvirtinant darbą pasireikš koordinavimo išlaidose.

Galiausiai suplanuokite pasitraukimo testą. Paklauskite, ar kitas įgaliotas asmuo gali gauti įrodymų paketą ir suprasti jo sprendimus be perkėlimo vadovo pagalbos. Tai tikrina veiklos nepriklausomumą, o ne tik sėkmingą failų perkėlimą. Perkėlimo laikas turėtų priklausyti nuo inventorizavimo ir patikrinimo darbo, o ne nuo numanomo universalaus įgyvendinimo tvarkaraščio.

Rinkitės kūrimą, pirkimą ar hibridą remdamiesi realiu darbu

Nedidelio rinkimo scenarijaus sukūrimas gali būti pagrįstas, kai šaltinis neįprastas, o inžinerijos komanda gali jį prižiūrėti. Darbo erdvės pirkimas gali būti prasmingesnis, kai problema yra atsakomybė, įrodymų kontekstas, patvirtinimai ir koordinavimas tarp komandų. Hibridas gali išlaikyti specializuotą rinkimą ir sujungti peržiūros darbą.

Lyginkite bendras nuosavybės išlaidas, o ne tik prenumeratos kainą su pradinėmis programavimo pastangomis. Įtraukite pagalbą, prieigos kontrolę, šaltinių pokyčius, dokumentaciją, darbuotojų kaitą ir galimybę vėliau eksportuoti įrašus.

Atrankos metu paprašykite tiekėjų pademonstruoti reprezentatyvų darbo procesą naudojant jūsų įrodymų tipus. Naudingi klausimai:

• Ar tikrintojai gali atsekti išvadą iki atitinkamo šaltinio ir laikotarpio?
• Kas nutinka, kai įrodymai pasenę, neišsamūs ar prieštaringi?
• Kurios siūlomos jungtys prieinamos dabar, o kurioms reikia darbo?
• Ar atsakomybė, patvirtinimas ir išimčių valdymas gali atitikti jūsų procesą?
• Kas lieka rankinis ir kas turi tai atlikti?
• Ar įrodymus ir sprendimų istoriją galima eksportuoti tinkama naudoti forma?

Veiksmų planai gali padėti priimti būsimą sprendimą, tačiau dabartinis verslo atvejis turėtų remtis turimomis galimybėmis. Platesnę atrankos perspektyvą pateikia straipsnis Kaip pasirinkti GRC programinę įrangą.

Skaičiuokite DI patikrinimą, o ne tik generavimo greitį

DI padedamiems darbo procesams reikia papildomo matavimo: kiek laiko užtrunka patikrinti rezultatą? Akimirksniu sukurtas juodraštis vis tiek gali būti brangus, jei jo šaltiniai neaiškūs.

Matuokite visą kelią nuo šaltinio medžiagos iki patvirtinto rezultato: parengimą, generavimą, šaltinių tikrinimą, taisymą, patvirtinimą ir vėlesnį perdarymą. Palyginkite tai su ta pačia užduotimi, atliekama be pagalbos. Reikšmingas klaidas sekite atskirai nuo stilistinių pataisymų.

Tikrintojai turėtų gebėti atskirti šaltiniu pagrįstą faktą, išvadą ir trūkstamą atsakymą. Vertinant tiekėją, teiginys, kad dokumente aprašytas šifravimas, skiriasi nuo išvados, kad tiekėjo įgyvendinimas yra tinkamas jūsų naudojimo atvejui.

Bandomajame projekte naudokite reprezentatyvius sudėtingus dokumentus, o ne tik tvarkingus pavyzdžius. Įtraukite prieštaraujančias versijas, neaiškią taikymo sritį ir įrodymus, kurie pagrindžia tik dalį reikalavimo. Patvirtinimai turėtų likti aiškūs, ypač susiejimams, įrodymų išvadoms ir klientams skirtiems atsakymams.

Prieigą ribokite iki užduočiai reikalingos medžiagos. Atitikties įrodymuose gali būti asmens duomenų, saugumo architektūros ir jautrios komercinės informacijos. Prieš įtraukdami tokią medžiagą į DI padedamą procesą, įvertinkite paslaugų teikėjo sąlygas, saugojimą ir numatytą naudojimą.

„Secani“ požiūris į DI pagrįstą atitiktį susieja pagalbą su įrodymais ir žmogaus peržiūra. Verslo rodiklis yra priimtinos kokybės patvirtintas atliktas darbas, o ne sugeneruoti juodraščiai.

Įvertinkite paties automatizuoto darbo proceso atitiktį

Atitikties darbo automatizavimas gali sukelti naujų tvarkymo ir saugumo klausimų. Surinkus darbuotojų paskyrų duomenis į peržiūros darbo erdvę, pasikeičia, kas gali matyti šiuos duomenis, kur jie saugomi ir kiek laiko išlieka prieinami.

Pagal BDAR įvertinkite tvarkymo tikslą, teisinį pagrindą, vaidmenis, duomenų kiekio mažinimą, saugojimą ir saugumą. Kai taikomas 30 straipsnis, atnaujinkite tvarkymo veiklos įrašą. Duomenų tvarkytojų susitarimams ir tarptautiniams perdavimams reikia atskiro vertinimo; vien pageidaujama talpinimo vieta šių klausimų neišsprendžia.

Atskirkite pagalbą nuo reikšmingų automatizuotų sprendimų priėmimo. Prieigos peržiūros juodraščio parengimas skiriasi nuo vien automatizuoto sprendimo dėl darbo santykių, turinčio teisinių ar panašiai reikšmingų pasekmių. 22 straipsnis reikalauja konkretaus tokių sprendimų ir jo išimčių vertinimo; formalus patvirtinimo žingsnis neturėtų pakeisti prasmingos peržiūros.

DI naudojimo atveju prieš nuspręsdami, kokie įpareigojimai taikomi, nustatykite organizacijos vaidmenį ir sistemos naudojimo atvejo klasifikaciją. Naudokite dabartinę Komisijos DI akto apžvalgą, o ne pasenusį šabloną. Šie patikrinimai priklauso įgyvendinimo išlaidoms ir valdysenai, net kai efektyvumo bandomasis projektas atrodo perspektyvus.

Teikite ataskaitas apie rezultatus ir palaikykite darbo procesą aktualų

Vadovybės rezultatų suvestinė turėtų būti pakankamai maža, kad ją būtų galima patikrinti, ir pakankamai konkreti, kad ją būtų galima ginčyti. Sekite praleistą laiką, neišsamius įrodymus, pasikartojančias išimtis, tikrintojų pataisymus ir vėluojantį darbą. Įtraukite priežiūrą, kai keičiasi šaltinių sistemos ar reikalavimai.

Efektyvumą derinkite su kokybe. Naudingi rodikliai yra aktyvios valandos vienam užbaigtam ciklui, laikas iki patvirtintų įrodymų, be pataisymų priimti įrodymai, populiacijos aprėptis, vėluojantys taisomieji veiksmai ir priežiūros pastangos. Apibrėžkite kiekvieno rodiklio vardiklį, kad taikymo srities pokyčiai neatrodytų kaip patobulinimas.

Pradinis aptiktų išimčių padidėjimas gali reikšti, kad pagerėjo matomumas. Naujai aptiktas problemas atskirkite nuo pasikartojančių neišspręstų problemų ir sekite uždarymo trukmę. Taip pat mažiau audito išvadų savaime neįrodo, kad geresnes kontroles lėmė automatizavimas; audito taikymo sritis ir imtys galėjo pasikeisti.

Komercinių rezultatų atveju klausimynų rengimo ir patvirtinimo laiką matuokite atskirai nuo platesnio pardavimo ciklo. Prieš priskirdami sandorio pagreitėjimą atitikties įrankiams, užfiksuokite, ar saugumo peržiūra iš tikrųjų buvo kritiniame kelyje.

Reguliavimo pokyčius traktuokite kaip versijuojamas darbo proceso įvestis, o ne darykite prielaidą, kad senas kontrolinis sąrašas tebėra aktualus. Užfiksuokite šaltinį, sprendimą dėl taikymo, paveiktas kontroles, atsakingą asmenį ir įgyvendinimo būseną. Procesas turėtų prisitaikyti prie pakeistų įpareigojimų tyliai neperrašydamas istorinių sprendimų.

Vadovybė taip pat turėtų patikrinti, kur nukeliavo atlaisvinti pajėgumai. Priskirkite juos įvardytam saugumo patobulinimui, peržiūrų sąrašui ar veiklos prioritetui, tada patikrinkite, ar tas darbas pažengė. Kitaip sutaupytos valandos lieka skaičiuoklės rezultatu, o ne organizacijos nauda.

Paverskite matavimą praktiniu kitu žingsniu

„Secani“ sujungia reikalavimus, įrodymus, atsakingus asmenis, užduotis ir peržiūros sprendimus vienoje susietoje darbo erdvėje. Riboto bandomojo projekto metu sumodeliuokite taikymo sričiai priklausančias sistemas ir paslaugas, įkelkite esamus įrodymus, pridėkite juos prie to, ką jie pagrindžia, ir paverskite spragas priskirtomis užduotimis. DI padedamus pasiūlymus peržiūrėkite pagal jų šaltinius ir prie reikšmingų sprendimų išsaugokite komentarus, patvirtinimus ir laiko žymas. Taip gaunamas konkretus darbo procesas, kurio pastangas ir kokybę galima išmatuoti nepainiojant pagalbos su patvirtinimu.

Pradėkite nuo vieno pasikartojančio proceso ir parenkite jo atskaitos tašką prieš įsipareigodami platesniam automatizavimui. Išlaidas suderinkite su finansų skyriumi, kokybės kontrolinį tašką nustatykite su tikrintoju ir paskirkite prižiūrėtoją. Po kelių palyginamų ciklų nuspręskite, ar plėsti, pertvarkyti, ar sustabdyti.

Verslo atvejis, pagrįstas jūsų pačių darbu, išlieka naudingas ir po pirmojo audito: jis parodo, kurias užduotis pigiau vykdyti, kuriems sprendimams vis dar reikia žmonių ir ar investicija toliau pateisina savo vietą veiklos biudžete.