Lợi nhuận:
- Khả năng chuyển một quy định hoặc tiêu chuẩn thành một danh sách kiểm tra tuân thủ có thể áp dụng được
- Khả năng đưa từng yêu cầu vào một bảng có thể kiểm tra được với vai trò chịu trách nhiệm, bằng chứng và trạng thái thực hiện
- Khả năng định cấu hình các lỗ hổng tuân thủ (phân tích lỗ hổng) và kế hoạch hành động khắc phục
Chỉ một văn bản quy định, tiêu chuẩn hoặc chính sách thôi là vô ích; Cần phải chuyển nó thành các biện pháp kiểm soát cụ thể mà tổ chức có thể thực hiện hàng ngày. Câu “Chúng tôi sẽ tuân thủ KVKK” là một ý định; "Một hồ sơ cơ sở pháp lý sẽ được lưu giữ cho mỗi hoạt động xử lý dữ liệu, Nhân viên bảo vệ dữ liệu chịu trách nhiệm và việc kiểm kê xử lý bằng chứng" là một biện pháp kiểm soát. Trí tuệ nhân tạo (AI) rất nhanh chóng trong việc biến các văn bản quy định dài dòng, trừu tượng thành danh sách kiểm tra có thể kiểm tra và phân tích lỗ hổng. Trong phần này, chúng ta sẽ tìm hiểu cách chuyển một quy định thành một khuôn khổ tuân thủ có thể thực thi được, lập biểu đồ từng yêu cầu bằng bộ ba tình huống-bằng chứng-trách nhiệm và kết nối các lỗ hổng với kế hoạch hành động khắc phục.
Hãy làm rõ các điều khoản. Tuân thủ là việc thực hiện các yêu cầu của pháp luật, quy định và tiêu chuẩn mà tổ chức phải tuân theo. Kiểm soát là một biện pháp cụ thể được thực hiện để giảm thiểu rủi ro hoặc đáp ứng yêu cầu. Bằng chứng là tài liệu/hồ sơ (nhật ký, mẫu có chữ ký, ảnh chụp màn hình) cho thấy biện pháp kiểm soát đã được thực hiện trên thực tế. Phân tích khoảng cách là nghiên cứu cho thấy sự khác biệt giữa "điều gì nên xảy ra" và "tình hình hiện tại". Kế hoạch hành động khắc phục (CAP) là một kế hoạch trả lời các câu hỏi ai, cái gì và khi nào để thu hẹp những khoảng trống đã xác định.
Biến tổ chức thành một danh sách kiểm tra
Điều làm cho một văn bản trừu tượng có thể kiểm soát được là chia nó thành “yêu cầu → trách nhiệm → bằng chứng → tình huống”. Nếu bạn đưa cho AI cấu trúc này, nó sẽ dịch từng câu của bản chỉnh sửa thành một dòng có thể theo dõi được. Từng bước một:
- Xác định nguồn và phạm vi. Quy định nào, ban ngành nào, đơn vị nào.
- Phân tích các yêu cầu. Mỗi câu lệnh "phải/cung cấp" là một dòng yêu cầu riêng biệt.
- Phân công một vai trò có trách nhiệm. Mọi sự cần thiết đều phải có chủ nhân; kiểm soát mồ côi không được áp dụng.
- Xác định bằng chứng. Điều gì sẽ chỉ ra rằng yêu cầu này đã được đáp ứng?
- Đánh giá tình hình. Nó được đáp ứng/một phần/không được đáp ứng.
- Kết nối không gian với hành động. Bước khắc phục cho từng lỗ hổng có trách nhiệm và ngày tháng.
Vai trò của bạn: một chuyên gia tuân thủ. Chuyển văn bản quy định sau đây thành danh sách kiểm tra có thể kiểm tra được. Bảng đầu ra:| Không | Yêu cầu (dựa trên văn bản) | Nguồn (bài/chương) | Vai trò chịu trách nhiệm (khuyến nghị) | Bằng chứng dự kiến | Điều kiện (để trống) |Quy tắc:- Tạo mỗi dòng riêng biệt "phải/được cung cấp"; nối.- Đưa ra vai trò và bằng chứng có trách nhiệm như ĐỀ XUẤT, thêm ghi chú “phải được xác minh”.- Yêu cầu khớp nối không có trong văn bản; không bình luận.<edit>[edit hoặc canon text]</edit>
Mẹo: Việc thêm cột “bằng chứng mong đợi” vào mỗi yêu cầu sẽ biến danh sách kiểm tra từ danh sách mong muốn thành một công cụ có thể kiểm tra được. Nói "chúng tôi đang ngủ" trong cuộc kiểm toán là chưa đủ; Bạn có thể nói "đây là bằng chứng". Xác định bằng chứng ngay từ đầu đảm bảo rằng bạn luôn sẵn sàng cho cuộc kiểm toán.
Phân tích khoảng cách và hành động khắc phục
Danh sách kiểm tra cho bạn biết “điều gì sẽ xảy ra”; Phân tích khoảng trống cho thấy "chúng ta không ở đâu". Bạn cung cấp cho AI trạng thái hiện tại (chính sách hiện tại, cách triển khai, đăng ký) và so sánh nó với các yêu cầu.
Dưới đây là các yêu cầu tuân thủ ở bên trái và trạng thái HIỆN TẠI của tổ chức chúng tôi ở bên phải. Tạo bảng phân tích khoảng cách:| Sự cần thiết | Tình hình hiện tại | Không gian (hiện tại/vắng mặt/một phần) | Mức độ rủi ro | Hành động khắc phục được đề xuất | Chịu trách nhiệm (gợi ý) | Thời lượng mục tiêu (khuyến nghị) | Sắp xếp không gian theo mức độ rủi ro (cao/trung bình/thấp). Nếu hiện tại bằng chứng chưa rõ ràng thì ghi "cần có bằng chứng xác nhận"; bịa đặt.<requirements>[...]</requirements><current_status>[...]</current_status>
Công việc điều chỉnh không phải làm một lần là xong; Nó đòi hỏi sự lặp lại thường xuyên. AI cũng hữu ích trong việc tạo ra một bản khảo sát tự đánh giá định kỳ hoặc bộ câu hỏi kiểm toán nội bộ.
Từ danh sách kiểm tra ở trên, hãy tạo một bản khảo sát tự đánh giá để người quản lý đơn vị hoàn thành hàng quý. Đối với mỗi yêu cầu: tùy chọn có/không/một phần, trường “liên kết đến bằng chứng” và trường “xem xét lần cuối”. Giữ cuộc khảo sát ngắn gọn và rõ ràng; Đơn giản hóa thuật ngữ pháp lý.
Trong các tổ chức phải tuân theo nhiều quy định cùng một lúc, việc kết hợp các nội dung tương đương của cùng một biện pháp kiểm soát trong các quy định khác nhau (sơ đồ kiểm soát) mang lại hiệu quả cao. Một bằng chứng có thể đáp ứng nhiều yêu cầu; Thấy được điều này làm giảm cả khối lượng công việc và sự lặp lại.
Dưới đây là các yêu cầu của hai quy định khác nhau. Khớp các điều khiển chung hoặc chồng chéo:| Kiểm soát chung | Quy định A yêu cầu | Yêu cầu của Quy định B | Nó có được thỏa mãn bởi bằng chứng duy nhất không | Chỉ ghép những bằng chứng thực sự trùng lặp; đừng ép buộc sự tương đồng. Liệt kê riêng các yêu cầu không chồng chéo cụ thể cho từng quy định.
Nhắc yếu / Nhắc mạnh
Lời nhắc yếu: Lập danh sách kiểm tra việc tuân thủ quy định này.
Kết quả: Một danh sách các tiêu đề bài viết trừu tượng không có trách nhiệm, không có bằng chứng và không có trạng thái. Không rõ ai sẽ làm gì và bằng cách nào chúng tôi sẽ chứng tỏ rằng chúng tôi tuân thủ; không thể theo dõi được.
Lời nhắc mạnh mẽ: [vai trò chuyên gia tuân thủ + bảng tình huống-bằng chứng-có trách nhiệm-yêu cầu + "dòng riêng cho từng việc nên được thực hiện" + cột bằng chứng + phân tích khoảng cách với tình hình hiện tại + xếp hạng rủi ro + hành động khắc phục + trách nhiệm/ngày]
Kết luận: Chủ nhân của mọi sự cần thiết, bằng chứng và tình huống; Một khuôn khổ có thể kiểm toán được để xếp hạng các lỗ hổng theo rủi ro và liên kết chúng với hành động khắc phục.
Mức độ hoàn thiện của kiểm soát tuân thủ
Cấp độ
triệu chứng
vấn đề
ý định
"Chúng tôi sẽ tuân thủ" anh ấy nói
Vô hình, không thể truy tìm được
Danh sách
Yêu cầu bằng văn bản
chịu trách nhiệm/không có bằng chứng
kiểm soát
Trách nhiệm + bằng chứng được xác định
Trạng thái không được đo
có thể kiểm tra được
Tình huống + khoảng cách + hành động
Lặp lại định kỳ nếu không nó sẽ cũ
liên tục
Tự đánh giá hàng quý
mục tiêu lý tưởng
Ba hộp nhỏ
Trường hợp 1 - Sự sẵn sàng đánh giá. Một công ty fintech đã chia quy định dài 60 trang thành 84 dòng yêu cầu với AI trước khi tiến hành kiểm tra theo quy định; đã bổ sung thêm vai trò chịu trách nhiệm và bằng chứng mong đợi cho từng dòng. Nhóm đã nhận ra 17 yêu cầu mà không có bằng chứng nào và đã chuẩn bị tài liệu. Trong cuộc kiểm tra, "làm thế nào để bạn đáp ứng yêu cầu này?" Họ trả lời câu hỏi của mình bằng một tập tài liệu bằng chứng; Thời gian kiểm tra đã giảm từ khoảng 5 ngày xuống còn 3 ngày và không có phát hiện quan trọng nào được đưa ra.
Trường hợp 2 - Khoang ẩn. Khi một công ty sản xuất phân tích các yêu cầu về an toàn và sức khỏe nghề nghiệp của mình, họ phát hiện ra rằng cuộc diễn tập cuối cùng đã được tổ chức cách đây 19 tháng, mặc dù họ cho rằng yêu cầu "diễn tập khẩn cấp phải được tổ chức mỗi năm một lần" đã được đáp ứng. Cờ "yêu cầu xác minh bằng chứng" của AI đã bộc lộ lỗ hổng này. Công ty đã lên kế hoạch thực hiện và lên lịch cho giai đoạn này; Nó đóng lại nguy cơ trách nhiệm pháp lý có thể trở nên trầm trọng hơn trong trường hợp xảy ra tai nạn lao động.
Trường hợp 3 - Từ trừu tượng đến cụ thể. Một tổ chức cho rằng họ đã thực hiện chính sách nêu rõ “các nguyên tắc đạo đức được tuân thủ” trong nhiều năm nhưng không có sự kiểm soát. Với AI, chính sách này được chuyển thành 22 biện pháp kiểm soát cụ thể (đăng ký quà tặng, tuyên bố xung đột lợi ích, hoàn thành đào tạo); Mỗi người được giao trách nhiệm và bằng chứng. Trong đợt tự đánh giá hàng quý đầu tiên, chỉ có 41% biện pháp kiểm soát được chứng minh; Trong vòng một năm, tỷ lệ này đã tăng lên 88%. Ý định trừu tượng đã trở thành một chương trình có thể đo lường được.
Những lỗi thường gặp
- Lập danh sách một cách có trách nhiệm và không có bằng chứng. Yêu cầu không được xác nhận và không có bằng chứng là không thể thực thi được và vô ích trong cuộc kiểm toán.
- Kết hợp các yêu cầu. Nếu có nhiều hơn một từ "phải làm" trong một dòng thì sẽ không thể theo dõi được; Mỗi cái phải là một dòng riêng biệt.
- Nói "chúng tôi đang ngủ" mà không xác minh tình hình hiện tại. Giả định tuân thủ mà không có bằng chứng xác minh có nghĩa là lỗ hổng ẩn.
- Không kết nối khoảng cách với hành động. Phân tích khoảng cách sẽ trở thành vật trang trí mà không có kế hoạch khắc phục kịp thời và có trách nhiệm.
- Làm một lần rồi để đó. Sự hài hòa đòi hỏi sự lặp lại định kỳ; Nếu chu trình tự đánh giá không được thiết lập, khuôn khổ sẽ trở nên lỗi thời.
- Giả sử rằng khoảng thời gian/trách nhiệm do AI đề xuất là chắc chắn. Vai trò và thời lượng là những gợi ý; Người dân phải phê duyệt nó theo cơ cấu của thể chế và pháp luật.
Tóm lại
Tuân thủ là nhiệm vụ chuyển các quy định trừu tượng thành các biện pháp kiểm soát cụ thể, được sở hữu và chứng minh. AI tăng tốc quá trình dịch này: chia quy định thành các dòng trạng thái bằng chứng-yêu cầu-có trách nhiệm, so sánh nó với trạng thái hiện tại, phát hiện các lỗ hổng và liên kết nó với hành động khắc phục. Nhưng mọi đề xuất có trách nhiệm, bằng chứng và thời gian đều phải được con người xác minh; Tình hình hiện tại cần được xác nhận bằng bằng chứng và khuôn khổ cần được lặp lại định kỳ. AI tạo ra danh sách kiểm tra và phân tích lỗ hổng; Chuyên gia có thẩm quyền quyết định liệu việc tuân thủ có thực sự đạt được hay không và ai chịu trách nhiệm.
Nhiệm vụ ứng dụng
Chọn một quy định hoặc tiêu chuẩn liên quan đến tổ chức của bạn. (1) Biến nó thành một bảng tình huống-bằng chứng-có trách nhiệm về yêu cầu với lời nhắc danh sách kiểm tra; Xác minh rằng mỗi "nên" là một dòng riêng biệt. (2) Nhập tình hình hiện tại và đưa ra phân tích khoảng trống và xếp hạng các khoảng trống theo thứ tự rủi ro. (3) Xác định hành động khắc phục kèm theo trách nhiệm và ngày tháng đối với 3 khoảng trống rủi ro cao nhất. (4) Lập và tổ chức khảo sát tự đánh giá hàng quý.
danh sách kiểm tra
- [ ] Mỗi yêu cầu có được phân tích thành một dòng riêng biệt không?
- [ ] Vai trò chịu trách nhiệm và bằng chứng dự kiến có được giao cho từng yêu cầu không?
- [ ] Trạng thái (đạt/một phần/không đáp ứng) đã được đánh giá chưa?
- [ ] Tình hình hiện tại có được xác nhận (không phải giả định) bằng bằng chứng không?
- [ ] Các lỗ hổng đã được xếp hạng theo mức độ rủi ro và liên quan đến hành động khắc phục chưa?
- [ ] Các khuyến nghị về trách nhiệm và thời gian đã được con người phê duyệt chưa?
- [ ] Chu trình tự đánh giá định kỳ đã được thiết lập chưa?