Naujas požiūris į atitiktį

Atitikčiai reikia naujos veikimo sistemos

Atitiktis tapo per daug svarbi, kad būtų valdoma išsibarsčiusiose skaičiuoklėse, statiniuose dokumentuose ir begaliniuose įrodymų aplankuose. Iš saugumo ir atitikties komandų tikimasi, kad jos įrodys patikimumą, valdys riziką, patenkins auditorius, atsakys klientams ir spės paskui besikeičiančius reguliavimo reikalavimus.

Tačiau daugelis įrankių, kuriais jos remiasi, buvo sukurti lėtesniam pasauliui: rankiniams kontroliniams sąrašams, nesusietiems įrodymams, periodiniams auditams ir sistemoms, kurias gali valdyti tik nedidelė ekspertų grupė. Rezultatas yra skausmingas kompromisas. Skaičiuoklės lanksčios, bet sunkiai valdomos. Dokumentai įprasti, bet juos sunku išlaikyti aktualius. Tradiciniai GRC rinkiniai galingi, tačiau dažnai lėtai diegiami, brangiai prižiūrimi ir atitrūkę nuo kasdienio šiuolaikinių komandų darbo.

Secani kuria DI pagrįstą atitikties darbo erdvę komandoms, kurioms vienu metu reikia struktūros, greičio ir pasitikėjimo. Sistemos, kontrolės priemonės, įrodymai, rizikos, užduotys, atsakingi asmenys ir ataskaitos susieti nuo pat pradžių. DI padeda komandoms suprasti, ko trūksta, kas padengta ir ką reikia peržiūrėti. Kiekvienas sugeneruotas rezultatas išlieka atsekamas iki savo šaltinio.

Atitiktis turėtų prisitaikyti prie jūsų organizacijos

Kiekviena organizacija yra kitokia. Jos sistemos, rizikos, atsakomybės, tiekėjai, ištekliai, politikos ir įrodymai yra unikalūs. Vis dėlto dauguma atitikties įrankių verčia komandas laikytis griežtų struktūrų. Jie tikisi, kad verslas prisitaikys prie programinės įrangos, užuot programinė įranga atspindėjusi, kaip organizacija iš tikrųjų veikia.

Secani remiasi priešinga prielaida. Jūsų atitikties sistema turėtų atitikti tai, kaip veikia jūsų organizacija. Reikalavimai turėtų būti susieti su kontrolės priemonėmis. Kontrolės priemonės turėtų būti susietos su įrodymais. Įrodymai turėtų būti susieti su atsakingais asmenimis, ištekliais, rizikomis ir sprendimais. Ataskaitos neturėtų būti kaskart rankiniu būdu surenkamos iš naujo. Jos turėtų atsirasti iš struktūrizuoto, peržiūrėto ir nuolat atnaujinamo vienintelio patikimo šaltinio.

• Laikykite reikalavimus susietais objektais, o ne atskiromis eilutėmis
• Susiekite kontrolės priemones su įrodymais, rizikomis ir peržiūros būsena
• Generuokite ataskaitas iš peržiūrėtos informacijos, o ne kopijuodami ir įklijuodami

DI turi būti darbo procese, o ne pokalbių robotas ant viršaus

DI atitikties srityje negali reikšti vien prašymo pokalbių robotui apibendrinti politiką. Atitikties darbui reikia konteksto, atsekamumo, peržiūros, leidimų, versijų valdymo ir atskaitomybės. Naudinga DI sistema turi suprasti reikalavimų sistemą, dokumentus, įrodymus, spragas ir patvirtinimo procesą.

Todėl Secani sukurta kaip DI pagrįsta atitikties darbo erdvė, o ne užklausų laukelis. DI padeda ten, kur vyksta darbas: išgauna reikšmingą informaciją iš įrodymų, susieja ją su reikalavimais, nustato trūkstamas kontrolės priemones, rengia dokumentacijos juodraščius ir siūlo tolesnius veiksmus.

Kontrolę išlaiko žmonės. Kiekvieną teiginį galima peržiūrėti. Kiekvieną šaltinį galima patikrinti. Kiekvieną sprendimą galima patvirtinti, atmesti arba patikslinti. Tikslas nėra pakeisti atitikties ekspertus. Tikslas yra suteikti jiems svertą.

Pasitikėjimą kuria šaltiniai

Atitiktis žlunga, kai įrodymai praranda kontekstą. Ekrano nuotrauka aplanke. Politika diske. Kontrolės priemonės aprašymas Excel faile. Ataskaita, nukopijuota į Word dokumentą. Reikalavimas, skirtingose komandose interpretuojamas skirtingai.

Laikui bėgant niekas nebežino, kas aktualu, kas patvirtinta ir kuo auditorius iš tikrųjų gali pasitikėti. Secani išlaiko įrodymų sąsajas: dokumentai, ištraukos, susiejimai, sugeneruoti pasiūlymai, peržiūros sprendimai ir ataskaitos lieka susieti su savo pirminiais šaltiniais.

• Susiekite kiekvieną teiginį su jį pagrindžiančiu šaltiniu
• Laikykite DI pasiūlymus atskirai nuo patvirtintų atitikties įrašų
• Saugokite peržiūros sprendimus ir pakeitimus audituojamu būdu

Pasitikėjimas neatsiranda pasakius, kad kažkas buvo sugeneruota DI. Pasitikėjimas atsiranda parodžius, iš kur kilo kiekvienas atsakymas.

Atitiktis turėtų tapti nuolatinė

Dauguma komandų atitikties darbą atlieka protrūkiais. Prieš auditą. Prieš investuotojų išsamų patikrinimą. Prieš stambiam klientui paprašant dokumentacijos. Prieš pat tai, kai reguliuotojas tikisi įrodymų. Toks ritmas sukelia stresą, perdarymus ir neapibrėžtumą.

Geresnė kryptis yra nuolatinis pasirengimas. Komandos visada turėtų žinoti, kurie reikalavimai padengti, kurių įrodymų trūksta, kuriems atsakingiems asmenims reikia imtis veiksmų ir kurie dokumentai parengti peržiūrai. Atitiktis pereina nuo periodinio dokumentavimo prie nuolatinės veiklos būsenos.

• Laikykite neužpildytas spragas matomas laikui bėgant
• Susiekite užduotis, atsakingus asmenis ir patvirtinimus tiesiogiai su reikalavimais
• Laikykite pasirengimą auditui nuolatine būsena, o ne projekto etapu

Sukurta suverenioms DI atitikties reikmėms

Kibernetinio saugumo atitikčiai reikia greičio, tačiau ji negali atsisakyti kontrolės. Secani kuriama remiantis darbo procesais su žmogaus patvirtinimu, šaltiniais pagrįstais rezultatais, audito žurnalais, vaidmenimis grindžiama prieiga, šaltinių atsekamumu ir aiškiu DI pasiūlymų atskyrimu nuo patvirtintų atitikties įrašų.

Europos ir Vokietijos organizacijoms tai taip pat reiškia aiškią suverenumo kryptį: į ES ir Vokietiją orientuotą prieglobą, paaiškinamą jautrių atitikties duomenų tvarkymą ir produkto sprendimus, kurie pasitikėjimą įtvirtina nuo pat pradžių.

Kibernetinio saugumo atitikties srityje pasitikėjimas nėra šalutinis poveikis. Pasitikėjimas yra pats produktas.

Ateitis yra struktūrizuota, paaiškinama ir pagrįsta DI

Atitiktis pereina nuo dokumentų prie duomenų. Nuo rankinio interpretavimo prie mašininio skaitymo reikalavimų. Nuo išsibarsčiusių įrodymų prie susietų sistemų. Nuo pasirengimo auditui prie nuolatinio užtikrinimo. Nuo DI eksperimentų prie DI pagrįstų darbo procesų.

Secani kuria darbo erdvę šiai ateičiai: vienintelį patikimą atitikties šaltinį, veiksmų sistemą saugumo komandoms ir pasitikėjimo sistemą organizacijoms, kurioms reikia įrodyti, kad jos pasirengusios.