سود:
- امکان ترجمه یک مقررات یا استاندارد به یک چک لیست انطباق قابل اجرا
- امکان قرار دادن هر نیاز در یک جدول قابل ممیزی با نقش مسئول، شواهد و وضعیت تحقق
- توانایی پیکربندی شکاف های انطباق (تحلیل شکاف) و برنامه اقدام اصلاحی
یک مقررات، استاندارد یا متن خط مشی به تنهایی بی فایده است. لازم است آن را به کنترل های مشخصی تبدیل کرد که سازمان بتواند هر روز آن را اجرا کند. جمله "ما با KVKK مطابقت خواهیم داشت" یک قصد است. "برای هر فعالیت پردازش داده یک سابقه قانونی نگهداری خواهد شد، افسر حفاظت از داده ها مسئول است، و موجودی پردازش شواهد" یک کنترل است. هوش مصنوعی (AI) در تبدیل متون قانونی طولانی و انتزاعی به چک لیست های قابل بازرسی و تجزیه و تحلیل شکاف بسیار سریع است. در این بخش، ما یاد خواهیم گرفت که چگونه یک مقررات را به یک چارچوب انطباق قابل اجرا تبدیل کنیم، هر الزام را با سه گانه مسئول-شواهد-وضعیت ترسیم کنیم، و شکاف ها را به یک برنامه اقدام اصلاحی متصل کنیم.
بیایید شرایط را روشن کنیم. انطباق عبارت است از تحقق الزامات قوانین، مقررات و استانداردهایی که مؤسسه مشمول آن است. کنترل یک اقدام مشخص است که برای کاهش خطر یا برآورده کردن یک نیاز اجرا می شود. شواهد یک سند/رکورد است (ورود، فرم امضا شده، اسکرین شات) که نشان می دهد یک کنترل واقعاً اجرا شده است. تحلیل شکاف مطالعه ای است که تفاوت بین «آنچه باید باشد» و «وضعیت فعلی» را آشکار می کند. برنامه اقدام اصلاحی (CAP) طرحی است که به این سؤالات پاسخ می دهد که چه کسی، چه چیزی و چه زمانی شکاف های شناسایی شده را برطرف کند.
تبدیل سازمان به چک لیست
آنچه یک متن انتزاعی را قابل کنترل می کند، تجزیه آن به «نیاز → مسئول → شواهد → موقعیت» است. اگر این ساختار را به هوش مصنوعی بدهید، هر جمله از ویرایش را به یک خط قابل پیگیری ترجمه می کند. گام به گام:
- منبع و محدوده را مشخص کنید. کدام آیین نامه، کدام بخش، برای کدام واحد.
- الزامات را تجزیه کنید. هر عبارت «باید/ارائه» یک خط الزام جداگانه است.
- یک نقش مسئول تعیین کنید. هر ضرورتی باید صاحبی داشته باشد. کنترل یتیم اعمال نمی شود.
- شواهد را شناسایی کنید. چه چیزی نشان می دهد که این الزام برآورده شده است؟
- وضعیت را ارزیابی کنید. برآورده شده است / جزئی / برآورده نشده است.
- فضاها را به عمل وصل کنید. گام اصلاحی برای هر آسیب پذیری با مسئول و تاریخ.
نقش شما: یک متخصص انطباق. متن مقررات زیر را به یک چک لیست قابل بازرسی تبدیل کنید. جدول خروجی:| نه | مورد نیاز (متن محور) | منبع (مقاله/فصل) | نقش مسئول (توصیه) | شواهد مورد انتظار | شرط (خالی بگذارید) |قوانین: - هر عبارت "باید/ارائه شده" را خط جداگانه قرار دهید. الحاق.- نقش و شواهد مسئول را به عنوان پیشنهاد ارائه دهید، یادداشت "باید تایید شود" را اضافه کنید. - الزامات مربوطه در متن نیست. نظر ندهید.<edit>[ویرایش یا متن canon]</edit>
نکته: اضافه کردن یک ستون "شواهد مورد انتظار" به هر نیاز، چک لیست را از یک لیست آرزوها به یک ابزار قابل بازرسی تبدیل می کند. در حسابرسی گفتن «خوابیم» کافی نیست. شما باید بتوانید بگویید "اینجا مدرک است". تعریف شواهد از ابتدا تضمین می کند که شما همیشه برای ممیزی آماده هستید.
تجزیه و تحلیل شکاف و اقدام اصلاحی
چک لیست به شما می گوید "چه باید اتفاق بیفتد"؛ تجزیه و تحلیل شکاف نشان می دهد "جایی که ما نیستیم". شما به هوش مصنوعی وضعیت فعلی (سیاست فعلی، پیاده سازی، ثبت نام) را می دهید و آن را با الزامات مقایسه می کنید.
در زیر الزامات انطباق در سمت چپ، و وضعیت فعلی سازمان ما در سمت راست آمده است. یک جدول تجزیه و تحلیل شکاف تهیه کنید:| ضرورت | وضعیت فعلی | فضا (حال / غایب / جزئی) | سطح ریسک | اقدام اصلاحی توصیه شده | مسئول (پیشنهاد) | مدت زمان هدف (توصیه) | فضاها را بر اساس سطح خطر (بالا/متوسط/کم) مرتب کنید. اگر شواهد در حال حاضر نامشخص هستند، بنویسید "تایید شواهد مورد نیاز"؛ ساخت.<requirements>[...]</requirements><current_status>[...]</current_status>
کار انطباق یک بار انجام نمی شود و تمام می شود. نیاز به تکرار منظم دارد. هوش مصنوعی همچنین در تولید یک نظرسنجی خودارزیابی دوره ای یا مجموعه ای از سوالات حسابرسی داخلی مفید است.
از چک لیست بالا، یک نظرسنجی خودارزیابی برای مدیران واحد تهیه کنید تا هر سه ماه یکبار آن را تکمیل کنند. برای هر شرط: گزینه بله/خیر/جزئی، فیلد «پیوند به شواهد» و قسمت «آخرین بررسی». نظرسنجی را کوتاه و واضح نگه دارید؛ اصطلاحات حقوقی را ساده کنید.
در مؤسساتی که همزمان مشمول بیش از یک آیین نامه هستند، تطبیق معادل های کنترل یکسان در آیین نامه های مختلف (نقشه کنترلی) کارایی زیادی را فراهم می کند. یک مدرک واحد ممکن است چندین مورد را برآورده کند. دیدن این هم حجم کار و هم تکرار را کاهش می دهد.
در زیر الزامات دو آیین نامه مختلف آورده شده است. مطابقت با کنترل های رایج یا همپوشانی:| کنترل مشترک | الزامات مقررات A | الزام مقررات B | آیا با شواهد واحد ارضا می شود شباهت ها را مجبور نکنید الزامات غیر همپوشانی خاص هر مقررات را به طور جداگانه فهرست کنید.
اعلان ضعیف / اعلان قوی
اعلان ضعیف: یک چک لیست برای رعایت این مقررات تهیه کنید.
نتیجه: فهرستی از عناوین چکیده مقالات بدون مسئولیت، بدون مدرک و بدون وضعیت. مشخص نیست چه کسی چه کاری انجام خواهد داد و ما چگونه نشان خواهیم داد که رعایت می کنیم. قابل ردیابی نیست
اعلان قدرتمند: [نقش کارشناس انطباق + الزامات-مسئول-شواهد-جدول وضعیت + "خط جداگانه برای هر یک باید انجام شود" + ستون شواهد + تجزیه و تحلیل شکاف با وضعیت فعلی + رتبه بندی خطر + اقدام اصلاحی + مسئولیت / تاریخ]
نتیجه: صاحب هر ضرورت و دلیل و موقعیت; یک چارچوب قابل حسابرسی که شکاف ها را بر اساس ریسک رتبه بندی می کند و آنها را به اقدامات اصلاحی مرتبط می کند.
سطوح بلوغ کنترل انطباق
سطح
علامت
مشکل
قصد
او می گوید: ما رعایت می کنیم
ناملموس، غیرقابل ردیابی
فهرست کنید
الزامات نوشته شده است
مسئول / بدون مدرک
کنترل کنید
مسئول + مدرک تعریف شده است
وضعیت اندازه گیری نشده است
قابل ممیزی
موقعیت + شکاف + عمل
تکرار دوره ای یا قدیمی می شود
مستمر
خودارزیابی فصلی
هدف ایده آل
سه کیف کوچک
مورد 1 - آمادگی حسابرسی. یک شرکت فینتک قبل از ممیزی نظارتی، مقررات 60 صفحهای را به 84 خط الزامات با هوش مصنوعی تقسیم کرد. نقش مسئول و شواهد مورد انتظار را به هر خط اضافه کرد. این تیم 17 مورد را که هیچ مدرکی برای آنها وجود نداشت تشخیص داد و مستندات را آماده کرد. در حسابرسی، "چگونه این نیاز را برآورده می کنید؟" آنها به سؤالات خود با پوشه ای از شواهد پاسخ دادند. مدت زمان حسابرسی از حدود 5 روز به 3 روز کاهش یافت و هیچ یافته مهمی به دست نیامد.
مورد 2 - حفره پنهان. هنگامی که یک شرکت تولیدی الزامات ایمنی و بهداشت حرفه ای خود را تجزیه و تحلیل کرد، متوجه شد که آخرین تمرین 19 ماه پیش برگزار شده است، حتی اگر فکر می کرد که الزامات "مانور اضطراری باید سالی یک بار برگزار شود" برآورده شده است. پرچم "تأیید مدارک مورد نیاز" هوش مصنوعی این شکاف را آشکار کرد. شرکت تمرین را برنامه ریزی کرد و دوره را تقویم کرد. خطر مسئولیتی را که در صورت وقوع حادثه کار تشدید میکرد، بسته شد.
مورد 3 - از انتزاعی به عینی. سازمانی فکر میکرد که سالها سیاستی را اجرا میکند که «اصول اخلاقی را رعایت میکند»، اما کنترلی نداشت. با هوش مصنوعی، این سیاست به 22 کنترل مشخص (ثبت هدیه، اعلام تضاد منافع، تکمیل آموزش) تبدیل شد. به هر یک از آنها مسئولیت و مدرک اختصاص داده شد. در اولین خودارزیابی سه ماهه، تنها 41 درصد از کنترل ها ثابت شد. ظرف یک سال این نرخ به 88 درصد افزایش یافت. قصد انتزاعی به یک برنامه قابل اندازه گیری تبدیل شد.
اشتباهات رایج
- تهیه لیست مسئولانه و بدون مدرک. الزام بی ادعا و بدون شواهد در حسابرسی غیرقابل اجرا و بی فایده است.
- ترکیب الزامات. اگر بیش از یک «باید انجام دهید» در یک خط وجود داشته باشد، پیگیری آن غیرممکن میشود. هر کدام باید یک خط جداگانه باشد.
- گفتن "خوابیم" بدون بررسی وضعیت فعلی. انطباق فرضی بدون تأیید اثبات به معنای خلأ پنهان است.
- عدم اتصال شکاف ها به عمل. تجزیه و تحلیل شکاف بدون یک برنامه اصلاحی حساب شده و تاریخ دار تبدیل به دکوراسیون قفسه می شود.
- یک بار این کار را انجام دهید و آن را در همان حال رها کنید. هارمونی نیاز به تکرار دوره ای دارد. اگر یک چرخه خودارزیابی ایجاد نشود، چارچوب منسوخ می شود.
- با فرض اینکه دوره مسئولیت/زمان پیشنهادی توسط هوش مصنوعی مشخص باشد. نقش ها و مدت زمان پیشنهاد هستند. مردم باید بر اساس ساختار نهاد و قانون آن را تصویب کنند.
به طور خلاصه
انطباق وظیفه تبدیل مقررات انتزاعی به کنترل های ملموس، تحت مالکیت و شواهد است. هوش مصنوعی این ترجمه را تسریع میکند: تقسیم مقررات به خطوط مورد نیاز-مسئول-شواهد-وضعیت، مقایسه آن با وضعیت فعلی، آشکار کردن شکافها و مرتبط کردن آن با اقدامات اصلاحی. اما هر پیشنهاد مسئول، مدرک و زمانی باید توسط انسان تایید شود. وضعیت فعلی باید با شواهد تایید شود و چارچوب باید به صورت دوره ای تکرار شود. هوش مصنوعی چک لیست و تجزیه و تحلیل شکاف را تولید می کند. متخصص ذیصلاح تصمیم می گیرد که آیا انطباق واقعاً محقق شده است و چه کسی مسئول است.
وظیفه کاربردی
مقررات یا استانداردی را انتخاب کنید که به سازمان شما مربوط می شود. (1) آن را به یک جدول نیازمندی-مسئول-شواهد-وضعیت با دستور چک لیست تبدیل کنید. بررسی کنید که هر "باید" یک خط جداگانه باشد. (2) وضعیت فعلی را وارد کنید و تجزیه و تحلیل شکاف تولید کنید و شکاف ها را به ترتیب ریسک رتبه بندی کنید. (3) اقدام اصلاحی را با مسئولیت و تاریخ برای 3 شکاف بالاتر خطر تعریف کنید. (4) یک نظرسنجی سه ماهه خودارزیابی تهیه و برنامه ریزی کنید.
چک لیست
- [ ] آیا هر نیاز به عنوان یک خط جداگانه تجزیه می شود؟
- [ ] آیا نقش مسئول و شواهد مورد انتظار به هر نیاز اختصاص داده شده است؟
- [ ] آیا وضعیت (مطلوب/ جزئی/ برآورده نشده) ارزیابی شده است؟
- [ ] آیا وضعیت فعلی با شواهد تایید می شود (فرض نمی شود)؟
- [ ] آیا شکاف ها به ترتیب ریسک رتبه بندی شده اند و با اقدامات اصلاحی مرتبط هستند؟
- [ ] آیا توصیه های مسئول و زمانی توسط انسان تایید شده است؟
- [ ] آیا یک چرخه خودارزیابی دوره ای ایجاد شده است؟