Atbilstības automatizācija: izmēriet ietaupīto darbu

Manuālas atbilstības izmaksas bieži slēpjas starp budžeta pozīcijām: inženieri meklē eksportus, vadītāji dzenas pēc apstiprinājumiem, bet pārskatītāji rekonstruē iepriekšējā ceturkšņa pierādījumus. Automatizācija kļūst vērtīga tad, kad tā samazina šo atkārtoto darbu un saglabā tā kvalitāti.

Izpilddirektoram investīciju jautājums nav par to, cik uzdevumu platforma spēj automatizēt. Jautājums ir, vai organizācija var izpildīt tos pašus pienākumus ar mazāku piepūli, labākiem pierādījumiem un skaidrāku atbildību. Tam nepieciešams sākuma stāvokļa novērtējums, ierobežots eksperiments un godīga atšķirība starp atbrīvotu kapacitāti un naudas ietaupījumu.

Noderīgam biznesa pamatojumam jāsaglabā vērtība arī pēc pirmā audita. Tam jāizskaidro, kāds darbs pazuda, kāds jauns darbs to aizstāja, kurš joprojām ir atbildīgs un kā rezultāts mainās, uzņēmumam augot.

Nosakiet sākuma stāvokli pirms iegādes

Izvēlieties vienu darba plūsmu, piemēram, ikmēneša piekļuves pārskatīšanu. Atsevišķi izmēriet vākšanu, koordināciju, pārskatīšanu un pārstrādi. Pierakstiet, cik lietotņu un cilvēku tiek aptverts. Ātrāka darba plūsma ar šaurāku tvērumu nav salīdzināms rezultāts.

Sāciet ar darba plūsmu, kurai ir skaidri atpazīstams sākums un beigas. Piekļuves pārskatīšanai sākums varētu būt kontu kopu pieprasīšana no lietotņu īpašniekiem. Beigas nav eksportu saņemšana; tās ir pārskatīšanas pabeigšana, lēmumu reģistrēšana un izrietošo darbību atrisināšana vai skaidra izsekošana.

Bez šīs robežas sākuma stāvoklis var neietvert dārgāko darbu. Atbilstības atbildīgais var pavadīt divas stundas, sagatavojot pārskatīšanas paketi, kamēr seši vadītāji pavada vēl sešas stundas, to pārbaudot. Abi pieder pie mērījuma.

Reģistrējiet piepūli, kavējumu un kvalitāti atsevišķi

Aktīvā piepūle ir laiks, ko cilvēki pavada, veicot darbu. Kopējais ilgums ir laiks, cik ilgi darba plūsma norit no sākuma līdz pabeigšanai. Tie atbild uz dažādiem jautājumiem: atgādinājumu samazināšana var ietaupīt stundu, bet agrāki apstiprinājumi var novērst nedēļu ilgu kavējumu.

Izmantojiet vienkāršu darbību žurnālu reprezentatīviem cikliem:

Iekļaujiet parastu ciklu un, ja attiecas, audita sagatavošanas ciklu. Neekstrapolējiet no gada haotiskākās nedēļas, it kā katra nedēļa izskatītos tāpat. Savukārt, mērot tikai mierīgu mēnesi, periodiskā slodze tiks novērtēta par zemu.

Dokumentējiet kopu, pierādījumu periodu, pārskatīšanas biežumu, atbildīgās lomas un pabeigšanas kritērijus. Ja pilotprojekta laikā organizācija aug, parādiet gan kopējās stundas, gan piepūli uz salīdzināmu vienību, piemēram, uz katru pārskatīto lietotni. Priviliģētos kontus un sarežģītās lietotnes saglabājiet redzamus, nevis noslēpiet to papildu piepūli vidējos rādītājos.

Padariet audita nogurumu novērojamu

Audita nogurums ir praktisks apzīmējums situācijai, kad atkārtots atbilstības darbs izspiež citas prioritātes. Lai to atpazītu, jums nav vajadzīga nozares statistika.

Meklējiet atkārtotus pieprasījumus pēc vieniem un tiem pašiem pierādījumiem, sagatavošanos vēlās naktīs, pārtrauktu inženierdarbu un kontroles, kas ir atkarīgas no tā, ka viens cilvēks atceras notikušo. Pajautājiet komandām, kādu darbu tās atlika, lai atbildētu uz atbilstības pieprasījumiem. Reģistrējiet atlikto uzdevumu un tā īpašnieku, nevis izdomātu neapmierinātības finansiālo novērtējumu.

Reģistrējiet arī, cik cilvēku tiek traucēti un cik bieži. Desmit pieprasījumi, kas sadalīti starp desmit inženieriem, var radīt citādu darbības slogu nekā viens apvienots pieprasījums, ko apstrādā norīkots atbildīgais. Īsa retrospektīva var atklāt, vai darba plūsma kļūst paredzamāka, pat pirms ir pieejami gada audita rezultāti.

Sākuma stāvokļa rezultāts ir īss darba plūsmas apraksts: tvērums, darbību stundas, kopējais ilgums, kvalitātes defekti, atkārtoti traucējumi un pieņēmumi, uz kuriem balstās mērījums. Finanšu nodaļai un darba plūsmas īpašniekam jāvienojas, ka tas atspoguļo aizstājamo darbu.

Veidojiet izmaksu modeli ap lēmumu, ko jūs kontrolējat

Aprēķiniet gada neto ieguvumu kā ietaupītās stundas, kas reizinātas ar saskaņotu pilno stundas izmaksu likmi, atņemot papildu programmatūras, ieviešanas, integrācijas un papildu pārskatīšanas izmaksas. Skaidri norādiet pieņēmumus.

Investīciju lēmumiem nošķiriet regulārās darbības ekonomiku no pirmā gada pārejas. Vienreizējais ieviešanas darbs nedrīkst pazust no aprēķina, taču to nevajadzētu arī atkārtoti pieskaitīt katram nākamajam gadam.

Praktiskam modelim ir trīs daļas:

• Sākuma izmaksas: pašreizējā iekšējā piepūle un ārējie izdevumi izvēlētajā tvērumā.
• Nākotnes darbības izmaksas: atlikušā vākšana, pārskatīšana, koordinācija, uzturēšana, programmatūra un ārējais atbalsts.
• Pārejas izmaksas: konfigurācija, migrācija, apmācība, validācija un pagaidu paralēlā darbība.

Izmantojiet lomām specifiskas pilnās izmaksas, ja atšķirībai ir nozīme. Inženierim, darbības koordinatoram un ārējam speciālistam var būt ļoti atšķirīgas izmaksas. Finanšu nodaļai metode jānosaka konsekventi; to nedrīkst mainīt starp sākuma stāvokli un pilotprojektu, lai uzlabotu rezultātu.

Izvairieties no atlikušā darba dubultas uzskaites. Ja pārbaude un uzturēšana jau ir iekļauta nākotnes darba plūsmas izmērītajās stundās, neatņemiet to iekšējās izmaksas vēlreiz kā atsevišķu izdevumu. Papildu ārējās pārskatīšanas maksas tomēr paliek atsevišķa izmaksu pozīcija.

Kapacitātes vērtība nav automātiski naudas ietaupījums

Atbrīvota kapacitāte nozīmē, ka esošajiem darbiniekiem ir vairāk laika citam darbam. Naudas ietaupījumam nepieciešamas faktiskas izdevumu izmaiņas, piemēram, mazāk ārpakalpojumu sniedzēju stundu, mazāk virsstundu vai apmaksāta rīka atteikšana.

Izvairīšanās no pieņemšanas darbā ir trešā kategorija. Ja izaugsmes dēļ citādi būtu jāpieņem papildu darbinieki, automatizācija var šo pieņemšanu atlikt. Tas ir noderīgi, taču balstās uz dokumentētu slodzes prognozi un ticamu personāla alternatīvu.

Apstiprināšanas dokumentā turiet šīs kategorijas atsevišķi. Ja katru mēnesi kļūst pieejamas divpadsmit inženieru stundas, nosakiet, kuram uzkrāto darbu sarakstam tās kalpos. Neskaitiet vienlaikus to algas vērtību un pilnu produkta darba vērtību, ko tās varētu sniegt, kā divus neatkarīgus ietaupījumus.

Arī riska samazināšanu un komerciālos ieguvumus turiet atsevišķi no galvenā efektivitātes aprēķina. Tie var stiprināt lēmumu, taču tiem nevajadzētu glābt vāju darbības pamatojumu ar spekulatīviem incidentu zaudējumiem vai pieņemtiem ieņēmumiem.

Ārējā audita maksām pienākas sava rinda. Labāka sagatavošanās var samazināt iekšējos traucējumus un papildu darbu, taču tā nedod organizācijai tiesības uz mazāk audita dienām vai zemāku maksu. Pieprasiet piedāvājumu faktiskajam tvērumam, nevis pieņemiet, ka automatizācija maina novērtēšanas noteikumus.

Aprēķina piemērs: ikmēneša piekļuves pārskatīšanas pilotprojekts

Turpmākais piemērs ir ilustratīvs. Visi laika un izmaksu ievaddati ir hipotētiski, nevis tirgus etalons, Secani cena vai klienta rezultāts.

Pieņemsim, ka uzņēmums katru mēnesi pārskata piekļuvi sešās lietotnēs un 80 darbiniekiem. Tā sākuma stāvoklis ietver vākšanu, koordināciju, pārskatīšanu un labošanu. Pilotprojektā saglabājas tās pašas lietotnes, kontu kopas, pārskatīšanas biežums un apstiprināšanas prasības.

Tiek pieņemts, ka sākuma stāvokļa uzturēšanas darbs ir iekļauts vākšanā un labošanā. Reālā novērtējumā pārbaudiet šo pieņēmumu, nevis ļaujiet kategoriju izmaiņām izkropļot salīdzinājumu.

12 stundu ietaupījums mēnesī ar likmi 80 € stundā dod 11 520 € gada kapacitātes vērtību. Ja papildu gada darbības izmaksas ir 8000 €, starpība ir 3520 €. Atbrīvota kapacitāte automātiski nekļūst par naudas ietaupījumu.

Tagad pieņemsim vēl 4000 € vienreizējās iestatīšanas un migrācijas izmaksas. Pirmā gada neto ekonomiskais ieguvums kļūst negatīvs: −480 €, t. i., 11 520 € mīnus 8000 € mīnus 4000 €. Stabilas darbības gada neto ieguvums paliek 3520 €, ja izmērītais ietaupījums saglabājas.

Pie šiem pieņēmumiem vienreizējā investīcija atmaksājas aptuveni 13,6 mēnešos pēc stabilas darbības sākuma. Tas izriet no 4000 €, kas dalīti ar aptuveni 293 € ikmēneša neto ekonomiskā ieguvuma. Tas ir ekonomiskās atmaksāšanās aprēķins, nevis apgalvojums, ka nauda šādā grafikā atgriezīsies bankas kontā. Pakāpeniska ieviešana šo laiku pagarinātu.

Pārbaudiet pieņēmumus, kas var mainīt atbildi

Visnoderīgākā jutīguma pārbaude bieži ir atlikušās pārskatīšanas piepūle:

Regulārais bezzaudējumu punkts ir aptuveni 8,3 ietaupītas stundas mēnesī. Tas sniedz vadībai izmērāmu slieksni, nevis neskaidras efektivitātes gaidas.

Tikpat svarīgi ir kvalitātes vārti. Pilotprojektu nedrīkst apstiprināt tikai tāpēc, ka tas sasniedz divpadsmit ietaupītas stundas. Pārskatītājiem joprojām jāsaskaņo kontu kopa, jādokumentē piekļuves lēmumi un jāizseko piekļuves atsaukšana līdz galam. Ja kāda lietotne tiek izslēgta, jo tās datus ir grūti iegūt, ziņojiet par izslēgšanu un pārrēķiniet salīdzinājumu.

Tad lēmums var būt konkrēts: paplašināt pēc vairākiem salīdzināmiem cikliem, ja piepūle paliek zem saskaņotā sliekšņa, pierādījumu kvalitāte saglabājas un integrācijas īpašnieks spēj uzturēt darba plūsmu budžeta ietvaros.

Izlemiet, ko automatizēt un kam saglabāt atbildību

Vākšana, klasificēšana, atgādinājumi, informācijas izgūšana no dokumentiem un pārskatīšanai paredzētu melnrakstu sagatavošana ir noderīgi kandidāti. Riska pieņemšanai, piemērojamības vērtējumiem un būtisku izmaiņu apstiprināšanai nepieciešami atbildīgi lēmumu pieņēmēji.

Nošķiriet trīs darba slāņus. Pirmais ir informācijas radīšana vai iegūšana. Otrais ir tās izvērtēšana pret saskaņotu noteikumu. Trešais ir lēmums par to, ko rezultāts nozīmē uzņēmumam. Pirmo divu automatizācija nenoņem atbildību par trešo.

Šie ir vispārīgi darba plūsmu kandidāti, nevis apgalvojums, ka katrs produkts tos atbalsta vai ka katru avotu var pieslēgt automātiski.

Prioritizējiet atkārtojamu darbu ar stabiliem ievaddatiem, skaidru īpašumtiesību un pārbaudāmu rezultātu. Bieži veikts piekļuves eksports var būt spēcīgāks pirmais kandidāts nekā rets, ļoti no konteksta atkarīgs lēmums par piegādātāju. Atkārtota izmantošana dažādu pienākumu izpildē palielina tā vērtību, taču biežums un pašreizējā piepūle ir svarīgi arī tad, ja attiecas tikai viens ietvars.

Neautomatizējiet neatrisinātu apstiprināšanas ķēdi. Ja neviens nezina, kurš apstiprina politikas izņēmumu, automatizēti atgādinājumi vienkārši ātrāk izplata neskaidrību. Pirms rīku maiņas nosakiet apstiprinātāju, eskalācijas ceļu un pieņemamos pierādījumus.

Atbilstības pārvaldības sistēma ir pienākumu, kontroļu, pierādījumu un lēmumu organizatoriskā struktūra. ISMS piemēro pārvaldības sistēmas disciplīnu informācijas drošībai. Programmatūra atbalsta šo struktūru; tā to neaizstāj. Vadība ir atbildīga par tvērumu un resursiem pat tad, ja analīzi sagatavo speciālisti.

Mēriet to, ko uzraudzība patiešām novēro

Nepārtraukta uzraudzība var samazināt laika atstarpi starp kontroles izmaiņām un brīdi, kad kāds to pamana. Tās vērtība ir atkarīga no pārklājuma, vākšanas biežuma, avotu uzticamības un funkcionējoša reaģēšanas procesa, nevis no zaļa informācijas paneļa esamības.

Palūdziet tehniskajam īpašniekam vienkāršā valodā aprakstīt katru pārbaudi: kuru kopu tā aptver, kādu nosacījumu tā pārbauda, cik bieži tā darbojas un kas notiek, ja trūkst datu.

Piemēri padara ierobežojumus konkrētus:

• Aizgājušo darbinieku saskaņošana: salīdziniet aiziešanas ierakstus ar aktīvajiem kontiem, ieskaitot lietotnes ārpus centralizētās identitāšu pārvaldības.
• MFA pārklājums: pārbaudiet reģistrāciju vai obligātu piemērošanu attiecīgajai kontu kopai, identificējot apstiprinātos izņēmumus.
• Galiekārtu šifrēšana: novērtējiet ierīces, kas sniedz pārskatus, un uzskatiet trūkstošu vai novecojušu telemetriju par nezināmu, nevis atbilstošu.
• Dublējumkopijas: nošķiriet veiksmīgus dublēšanas uzdevumus no pierādījumiem, ka atjaunošana darbojas.
• Ielāpu uzstādīšana: salīdziniet novērotās versijas ar apstiprinātajiem novēršanas termiņiem un dokumentētajiem izņēmumiem.
• Koda izmaiņas: pārbaudiet apstiprināšanas noteikumus un vienlaikus to, vai apiešanas atļaujas tos neiedragā.

Katra pārbaude atbalsta konkrētu secinājumu. Veiksmīgs dublēšanas uzdevums nepierāda atjaunošanu uzņēmumam nepieciešamajā termiņā. Apmācības apliecinājums nepierāda izpratni. Politikas dokuments nepierāda, ka cilvēki to ievēro.

Dažus pierādījumus var iegūt no fiziskās piekļuves sistēmām vai piegādātāju portāliem, taču pārklājums un interpretācija joprojām ir jāvalidē. Intervijas, mācības, izlases pārbaudes un iekšējie auditi joprojām noder, lai pārbaudītu, vai dokumentētais process atbilst faktiskajai darbībai.

Iekļaujiet pašas automatizācijas atteices veidus

Vākšanas uzdevums var neizdoties, jo beidzas akreditācijas datu derīgums, mainās API vai atļaujas kļūst pārāk šauras. Tas var arī tehniski izdoties, bet atgriezt tikai daļu no paredzētās kopas.

Pieprasiet redzamu vākšanas statusu, aktualitātes kritērijus, saskaņošanas pārbaudes un atbildīgo par kļūmēm. Praktisks ieteikums ir nošķirt apmierinošu, neapmierinošu un nezināmu stāvokli. Trūkstošiem pierādījumiem nevajadzētu klusi kļūt par sekmīgu rezultātu.

Iekļaujiet brīdinājumu apstrādi un avotu uzturēšanu darbības izmaksās. Sistēma, kas ietaupa četras vākšanas stundas, bet rada piecas stundas mazvērtīgas izmeklēšanas, ir pārvietojusi slodzi, nevis to samazinājusi. Nepārtraukta kontroļu uzraudzība sniedz noderīgu kontekstu pārbaužu definēšanai un atbildības par reaģēšanu noteikšanai.

Izmantojiet pierādījumus atkārtoti dažādiem pienākumiem, nepieņemot līdzvērtību

Vairāki ietvari var uzdot saistītus jautājumus par piekļuvi, incidentu apstrādi, piegādātājiem un izmaiņu pārvaldību. Kopīgi pierādījumi var samazināt dublētu vākšanu. Novērtējumam attiecībā uz katru pienākumu tomēr ir nepieciešams savs tvērums un pamatojums.

Piemēram, pārskatīts piekļuves ieraksts var atbalstīt informācijas drošības kontroli un privātuma drošības novērtējumu. Pats par sevi tas nenosaka apstrādes likumīgo pamatu, neizpilda visas līguma prasības un nepierāda, ka visa sistēma ir atbilstoša.

Saskaņā ar ISO/IEC 27001 priekšmets ir ISMS ar noteiktu tvērumu. Tā pārvaldības sistēmas prasības un uz risku balstītie apstrādes lēmumi ir nošķirti no attiecīgo A pielikuma kontroļu izvēles un ieviešanas. Tvērumam, Piemērojamības paziņojumam, riska apstrādei, iekšējam auditam un vadības pārskatam jāpaliek atpazīstamiem nododamajiem rezultātiem. Lēmums par sertifikāciju pieder neatkarīgai sertifikācijas institūcijai, nevis programmatūras piegādātājam.

VDAR papildina pienākumus atkarībā no lomas un apstrādes. 32. pants attiecas uz drošību, kas balstīta uz risku; apstrādes darbību reģistri, tiesību īstenošana, apstrādātāju līgumi un nosūtīšanas novērtējumi uzdod citus jautājumus. Drošības pierādījumi var atbalstīt privātuma darbu, neaizstājot juridisko analīzi.

NIS2 ietver ieviešanu nacionālajā līmenī, piemērojamības noteikumus, vadības uzraudzību, riska pārvaldības pasākumus un ziņošanu par incidentiem. Kontroļu sasaiste nevar noteikt, vai konkrētā vienība ietilpst tvērumā. Tāpat DORA prasa lomai specifisku novērtējumu attiecīgajām finanšu vienībām un būtiskajām IKT attiecībām; tas nav universāls pienākums katram tehnoloģiju piegādātājam.

Uzturiet sasaistes kopā ar prasību versijām, tvērumu, pamatojošajiem pierādījumiem, pārskatītāja pamatojumu un neatrisinātajām nepilnībām. Attiecība ir daudzi pret daudziem, nevis līdzvērtības sertifikāts. Raksts Tālāk par izklājlapu sasaistes tabulām skaidro, kāpēc sasaistēm vajadzīgs vairāk konteksta nekā sakrītoši kontroļu nosaukumi.

Mēriet atkārtotu izmantošanu kā novērstu dublētu vākšanu. Nereiziniet vienas ietaupītās stundas pilnu vērtību ar to ietvaru skaitu, kas atsaucas uz tās rezultātu. Saglabājiet arī apliecināšanas terminoloģiju: ISO 27001 sertifikācija un SOC 2 apliecinājuma ziņojums ir dažādi rezultāti, un neviens no tiem patstāvīgi nepierāda atbilstību VDAR vai NIS2.

Īstenojiet pilotprojektu ar skaidriem apstiprināšanas vārtiem

Ierobežots pilotprojekts sniedz vadībai pierādījumus par ieviešanu, atlikušo piepūli un uzturēšanu pirms lielākām saistībām. Tā ilgumam jāatspoguļo darba plūsmas ritms. Trīs ikmēneša cikli atklāj citas problēmas nekā trīs demonstrācijas vienā nedēļā.

Vienojieties par pilotprojekta hartu

Nosauciet biznesa sponsoru, darba plūsmas īpašnieku, pārskatītāju, tehnisko uzturētāju un finanšu kontaktpersonu. Definējiet tvērumu un izslēdziet no ietaupījumu apgalvojuma nesaistītu pārveides darbu.

Hartā jāiekļauj sākuma stāvoklis, mērķa rezultāts, izmaksu griesti, kvalitātes kritēriji, pārskatīšanas ritms un nosacījumi apturēšanai vai paplašināšanai. Ilustratīvs mērķis varētu būt samazināta vākšanas un koordinācijas piepūle bez pilnīguma vai apstiprinājumu izsekojamības pasliktināšanās. Slieksnim jāizriet no organizācijas ekonomikas.

Sagatavojiet pierādījumu ceļu

Identificējiet autoritatīvos avotus un izlemiet, kā ieraksti tiks iegūti. Pirms uzskatāt piedāvātu savienojumu par pieejamu, validējiet pieejamās atļaujas, datu laukus, kopas pārklājumu un eksporta iespējas.

Notīriet dublētus ierakstus un piešķiriet īpašniekus. Definējiet, ko pierādījumi pierāda, kādu periodu tie aptver, cik ilgi tie paliek noderīgi un kur tiks glabāti pārskatīšanas lēmumi. Vēsturiskajiem pierādījumiem jāsaglabā sākotnējais konteksts, nevis jāizskatās kā tikko savāktiem.

Validējiet darbību, pirms atsakāties no vecā procesa

Pirmajā reprezentatīvajā ciklā salīdziniet jauno rezultātu ar neatkarīgu avotu vai esošo procesu. Izpētiet atšķirības. Pagaidu paralēlais darbs ir pārejas izmaksas, nevis ietaupīta regulārā piepūle.

Pārbaudiet neērtus gadījumus: līgumdarbinieku bez personāla ieraksta, lietotni ar lokāliem kontiem, prombūtnē esošu apstiprinātāju un neizdevušos vākšanu. Šie gadījumi bieži atklāj, vai darba plūsma var darboties bez tās sākotnējā izstrādātāja.

Pārskatiet un paplašiniet selektīvi

Salīdziniet vairākus ciklus, ieskaitot pārbaudi un uzturēšanu. Izpētiet izmaiņas, nevis izlīdziniet tās vidējos rādītājos. Ietaupījumam, kas samazinās, mainoties avotiem, var būt nepieciešams šaurāks dizains vai papildu atbalsts.

Paplašināšanai jāseko izmērītajai vērtībai un riskam. Stabila pierādījumu avota atkārtota izmantošana citā darba plūsmā var būt saprātīga; pilnīgi cita juridiskā novērtējuma pievienošanai nepieciešams jauns sākuma stāvokļa novērtējums. Apzināti atsakieties no liekajiem izsekošanas rīkiem, lai organizācija nemaksātu par abu sistēmu uzturēšanu bezgalīgi.

Ja jums jau ir sertifikāts, plānojiet pārejas budžetu atsevišķi

Iedibinātai programmai ir citāds investīciju pamatojums nekā pirmajai ieviešanai. Jūs aizstājat regulāru administratīvo darbu, nevis vēlreiz pērkat sertifikātu. Esošās kontroles, lēmumi un darbības vēsture ir aktīvi, kas jāsaglabā.

Pirms migrācijas inventarizējiet materiālus: apstiprinātās politikas, riska ierakstus, piemērojamības lēmumus, iepriekšējo auditu pierādījumus, neatrisinātos konstatējumus un pārskatīšanas vēsturi. Nosakiet, kuri ieraksti paliek autoritatīvi un no kuriem dublikātiem var atteikties. Pārvietojot visus failus, neatrisinot pretrunīgas versijas, saskaņošanas problēma tiek pārnesta uz jauno darbvietu.

Saglabājiet sākotnējos pierādījumu datumus, apstiprināšanas kontekstu un saites uz ietekmētajām sistēmām. Tikko augšupielādēts dokuments nav tikko veikta kontroles darbība. Uzglabājiet vēsturiskos ierakstus pieejamus attiecīgajā glabāšanas periodā ar to sensitivitātei atbilstošu piekļuvi.

Katrai darba plūsmai nosakiet pārslēgšanās punktu. Norādiet, kur notiek jaunie apstiprinājumi, kurš var labot migrētos ierakstus un kad vecais izsekošanas rīks kļūst tikai lasāms. Apmāciet ne tikai atbilstības komandu, bet arī neregulāros pārskatītājus; viņu grūtības atrast un apstiprināt darbu parādīsies koordinācijas izmaksās.

Visbeidzot, plānojiet iziešanas testu. Pajautājiet, vai cita pilnvarota persona var iegūt pierādījumu paketi un saprast tās lēmumus bez migrācijas vadītāja palīdzības. Tas pārbauda darbības neatkarību, nevis tikai veiksmīgu failu pārsūtīšanu. Migrācijas laika plānam jāizriet no inventarizācijas un validācijas darba, nevis no pieņemta universāla ieviešanas grafika.

Izvēlieties starp izstrādi, iegādi vai hibrīdu, balstoties uz reālu darbu

Neliela vākšanas skripta izstrāde var būt saprātīga, ja avots ir neparasts un inženieru komanda to spēj uzturēt. Darbvietas iegāde var būt jēgpilnāka, ja problēma ir īpašumtiesības, pierādījumu konteksts, apstiprinājumi un koordinācija starp komandām. Hibrīds var saglabāt specializētu vākšanu, vienlaikus apvienojot pārskatīšanas darbu.

Salīdziniet kopējās īpašumtiesību izmaksas, nevis tikai abonementa maksu pret sākotnējo programmēšanas piepūli. Iekļaujiet atbalstu, piekļuves kontroli, avotu izmaiņas, dokumentāciju, personāla mainību un iespēju vēlāk eksportēt ierakstus.

Izvēles laikā lūdziet piegādātājiem demonstrēt reprezentatīvu darba plūsmu ar jūsu pierādījumu veidiem. Noderīgi jautājumi:

• Vai pārskatītāji var izsekot secinājumu līdz attiecīgajam avotam un periodam?
• Kas notiek, ja pierādījumi ir novecojuši, nepilnīgi vai pretrunīgi?
• Kuri piedāvātie savienojumi ir pieejami jau tagad un kuriem nepieciešams darbs?
• Vai īpašumtiesības, apstiprināšana un izņēmumu apstrāde var atbilst jūsu procesam?
• Kas paliek manuāls un no kura tiek gaidīts, ka viņš to veiks?
• Vai pierādījumus un lēmumu vēsturi var eksportēt lietojamā formā?

Ceļveži var informēt par nākotnes lēmumu, taču pašreizējā biznesa pamatojumā jāizmanto pieejamās iespējas. Raksts Kā izvēlēties GRC programmatūru sniedz plašāku skatījumu uz izvēli.

Uzskaitiet MI rezultātu pārbaudi, nevis tikai ģenerēšanas ātrumu

MI atbalstītām darba plūsmām nepieciešams papildu mērījums: cik ilgs laiks vajadzīgs rezultāta pārbaudei? Uzreiz sagatavots melnraksts joprojām var būt dārgs, ja tā avoti ir neskaidri.

Mēriet visu ceļu no avota materiāla līdz apstiprinātam rezultātam: sagatavošanu, ģenerēšanu, avotu pārbaudi, labošanu, apstiprināšanu un vēlāku pārstrādi. Salīdziniet to ar to pašu uzdevumu, kas veikts bez palīdzības. Būtiskas kļūdas uzskaitiet atsevišķi no stilistiskiem labojumiem.

Pārskatītājiem jāspēj nošķirt faktu ar avotu, secinājumu un trūkstošu atbildi. Piegādātāja novērtējumā apgalvojums, ka dokuments apraksta šifrēšanu, atšķiras no secinājuma, ka piegādātāja ieviešana ir pietiekama jūsu lietojumam.

Pilotprojektā izmantojiet reprezentatīvus sarežģītus dokumentus, nevis tikai sakārtotus piemērus. Iekļaujiet pretrunīgas versijas, neskaidru tvērumu un pierādījumus, kas atbalsta tikai daļu prasības. Apstiprinājumiem jāpaliek skaidriem, īpaši attiecībā uz sasaistēm, secinājumiem par pierādījumiem un klientiem paredzētām atbildēm.

Ierobežojiet piekļuvi līdz uzdevumam nepieciešamajiem materiāliem. Atbilstības pierādījumi var saturēt personas datus, drošības arhitektūru un sensitīvu komerciālo informāciju. Pirms šādu materiālu ievietošanas MI atbalstītā procesā novērtējiet pakalpojumu sniedzēja nosacījumus, glabāšanu un paredzēto izmantošanu.

Secani pieeja MI vietējai atbilstībai sasaista palīdzību ar pierādījumiem un cilvēka veiktu pārskatīšanu. Biznesa rādītājs ir apstiprināts darbs, kas pabeigts pieņemamā kvalitātē, nevis ģenerēti melnraksti.

Novērtējiet pašas automatizētās darba plūsmas atbilstību

Atbilstības darba automatizācija var radīt jaunus apstrādes un drošības apsvērumus. Darbinieku kontu datu apkopošana pārskatīšanas darbvietā maina to, kas var šos datus redzēt, kur tie tiek glabāti un cik ilgi tie paliek pieejami.

Saskaņā ar VDAR novērtējiet apstrādes nolūku, juridisko pamatu, lomas, minimizēšanu, glabāšanu un drošību. Ja piemērojams 30. pants, atjauniniet apstrādes darbību reģistru. Apstrādātāju līgumiem un starptautiskai datu nosūtīšanai nepieciešams atsevišķs novērtējums; vēlamā mitināšanas vieta vien šos jautājumus neatrisina.

Nošķiriet palīdzību no automatizētas lēmumu pieņemšanas ar būtiskām sekām. Piekļuves pārskatīšanas melnraksta sagatavošana atšķiras no tikai automatizēta lēmuma darba attiecību jomā ar juridiskām vai līdzīgi būtiskām sekām. 22. pants prasa šādu lēmumu un to izņēmumu specifisku novērtējumu; formāls apstiprināšanas solis nedrīkst aizstāt jēgpilnu pārskatīšanu.

MI izmantošanas gadījumā pirms lēmuma par piemērojamajiem pienākumiem nosakiet organizācijas lomu un sistēmas lietošanas gadījuma klasifikāciju. Izmantojiet Komisijas aktuālo Mākslīgā intelekta akta pārskatu, nevis novecojušu veidni. Šīs pārbaudes pieder ieviešanas izmaksām un pārvaldībai pat tad, ja efektivitātes pilotprojekts izskatās daudzsološs.

Ziņojiet par rezultātiem un uzturiet darba plūsmu aktuālu

Vadības rādītāju kartei jābūt pietiekami nelielai, lai to varētu pārbaudīt, un pietiekami konkrētai, lai to varētu apstrīdēt. Izsekojiet patērēto laiku, nepilnīgus pierādījumus, atkārtotus izņēmumus, pārskatītāju labojumus un nokavētu darbu. Iekļaujiet uzturēšanu, kad mainās avotu sistēmas vai prasības.

Apvienojiet efektivitāti ar kvalitāti. Noderīgi rādītāji ir aktīvās stundas uz pabeigtu ciklu, kopējais ilgums līdz apstiprinātiem pierādījumiem, bez labojumiem pieņemtie pierādījumi, kopas pārklājums, nokavētās korektīvās darbības un uzturēšanas piepūle. Definējiet katru saucēju, lai tvēruma izmaiņas neizliktos par uzlabojumu.

Sākotnējs atklāto izņēmumu skaita pieaugums var nozīmēt, ka uzlabojusies redzamība. Nošķiriet jaunatklātas problēmas no atkārtotām neatrisinātām problēmām un izsekojiet slēgšanas vecumu. Tāpat mazāks audita konstatējumu skaits pats par sevi nepierāda, ka labākas kontroles radīja automatizācija; audita tvērums un izlase var būt mainījušies.

Komerciālajiem rezultātiem mēriet anketu sagatavošanas un apstiprināšanas laiku atsevišķi no plašākā pārdošanas cikla. Pirms darījuma paātrināšanu attiecināt uz atbilstības rīkiem, reģistrējiet, vai drošības pārskatīšana patiešām bija kritiskajā ceļā.

Uztveriet regulējuma izmaiņas kā darba plūsmas versijētus ievaddatus, nevis pieņemiet, ka vecs kontrolsaraksts joprojām ir aktuāls. Reģistrējiet avotu, piemērojamības lēmumu, ietekmētās kontroles, īpašnieku un ieviešanas statusu. Procesam jāspēj pieņemt pārskatītus pienākumus, klusi nepārrakstot vēsturiskos lēmumus.

Vadībai jāpārbauda arī tas, kur nonāca atbrīvotā kapacitāte. Piešķiriet to konkrētam drošības uzlabojumam, pārskatīšanas uzkrātajam darbam vai darbības prioritātei, pēc tam pārbaudiet, vai šis darbs ir virzījies uz priekšu. Pretējā gadījumā ietaupītās stundas paliek izklājlapas rezultāts, nevis organizācijas ieguvums.

Pārvērtiet mērījumu praktiskā nākamajā solī

Secani apvieno prasības, pierādījumus, īpašniekus, uzdevumus un pārskatīšanas lēmumus vienā savienotā darbvietā. Ierobežotam pilotprojektam modelējiet tvērumā esošās sistēmas un pakalpojumus, augšupielādējiet esošos pierādījumus, piesaistiet tos tam, ko tie atbalsta, un pārvērtiet nepilnības piešķirtos uzdevumos. Pārskatiet MI atbalstītos ieteikumus pret to avotiem un saglabājiet komentārus, apstiprinājumus un laika zīmogus pie būtiskiem lēmumiem. Tas nodrošina konkrētu darba plūsmu, kuras piepūli un kvalitāti var izmērīt, nejaucot palīdzību ar apstiprināšanu.

Sāciet ar vienu regulāru procesu un sagatavojiet tā sākuma stāvokļa novērtējumu, pirms uzņematies saistības par plašāku automatizāciju. Saskaņojiet izmaksas ar finanšu nodaļu, nosakiet kvalitātes vārtus kopā ar pārskatītāju un norīkojiet uzturētāju. Pēc vairākiem salīdzināmiem cikliem izlemiet, vai paplašināt, pārveidot vai apturēt.

Biznesa pamatojums, kas balstīts uz jūsu pašu darbu, paliek noderīgs arī pēc pirmā audita: tas parāda, kuru uzdevumu izpilde ir lētāka, kuriem lēmumiem joprojām vajadzīgi cilvēki un vai investīcija joprojām attaisno savu vietu darbības budžetā.