ТОП-6 ключевых инсайтов: как сделать GRC проактивным и связанным
Разговор получился содержательным, практическим и откровенным. Ниже приведены шесть ключевых выводов, которые важны для каждого руководителя в области рисков и комплаенса.
Почему архитектура создает проблему
Какова реальная стоимость реактивного GRC? | Реальная стоимость заключается в том, что риски остаются незамеченными до момента, когда они превращаются в инцидент. Риски одновременно возникают в киберсреде, логистике, регуляторной и финансовой сферах, а ежегодные циклы аудита не успевают их фиксировать. |
С чего начинать внедрение интеллектуального GRC? | Начинать следует с уже существующих данных. Необходимо связать информацию из корпоративных систем учета, страховых систем и операционных платформ. До внедрения новых инструментов важно устранить разрозненность между подразделениями безопасности, права, ИТ и защиты данных. |
Какие наиболее быстрые сценарии применения искусственного интеллекта? | Наиболее быстрый эффект дает повышение эффективности процессов. Например, автоматизация заполнения комплаенс-опросников и исключение ручного сбора доказательной базы уже дают измеримый результат. |
Как формировать доверие к моделям на основе искусственного интеллекта? | Используется подход прозрачной проверки. Сначала определяется цель, затем демонстрируются источники данных, далее показывается ценность и обосновывается вывод по риску. Прозрачность важнее абсолютной точности. |
Как меняется роль внутреннего аудитора? | Роль аудитора эволюционирует от учетной функции к управлению рисками и далее к инженерной роли. Ожидается не только отчет о прошлом, но и сценарное моделирование будущих рисков. |
Почему управление искусственным интеллектом является обязательным элементом GRC? | Искусственный интеллект не способен к саморегуляции. Требуются чистые данные, человеческий контроль, объяснимость решений и этические ограничения на всех уровнях. |
1. Реактивный GRC имеет скрытую стоимость, и ее все труднее игнорировать
Современные риски не изолированы. Они пересекаются между собой.
Например, сбой в логистике может одновременно приводить к:
- санкционным рискам;
- сбоям поставок;
- росту финансовых потерь.
2. Отправная точка интеллектуального GRC — уже существующие данные
Во многих случаях значительный объем структурированной информации уже содержится в:
- системах корпоративного учета;
- страховых базах данных;
- операционных системах управления.
Также необходимо устранить разрыв между подразделениями:
- безопасности;
- права;
- ИТ-управления;
- защиты данных.
3. Основная ценность искусственного интеллекта — повышение эффективности
Примеры:
- автоматическая обработка комплаенс-опросников;
- сокращение ручного сбора доказательств;
- увеличение охвата аудиторских проверок с частичного до полного.
4. Доверие к моделям искусственного интеллекта требует прозрачности
Подход основан на прозрачности:
- определить цель;
- показать источники данных;
- продемонстрировать ценность;
- обосновать вывод по риску.
Также рекомендуется использовать внешнюю независимую оценку для повышения доверия.
5. Роль внутреннего аудитора существенно меняется
- раньше: учетная функция;
- затем: управление рисками;
- сейчас: работа с данными и аналитическими моделями.
Современный аудитор должен уметь работать с:
- моделями данных;
- аналитическими системами;
- инструментами прогнозирования.
6. Управление искусственным интеллектом является обязательным условием
Необходимы:
- качественные данные;
- человеческий контроль;
- объяснимость решений;
- этические ограничения;
- контроль доступа.
Также важно обучать руководство рискам использования искусственного интеллекта, включая:
- современные виды фишинговых атак;
- ошибки генерации данных;
- некорректные автоматические выводы.
Что дальше для руководителей GRC
- качество данных;
- интеграцию процессов;
- взаимодействие человека и искусственного интеллекта;
- развитие систем управления рисками.
Вывод
- от реактивного контроля к проактивной аналитике;
- от разрозненных систем к связанной модели данных;
- от отчетности о прошлом к моделированию будущего.
Ключевым фактором становится способность организации объединять данные, процессы и аналитические инструменты в единую управляемую систему GRC.