Automatizace v GRC: kde pomáhá nejvíce a kde musí rozhodovat člověk
Organizace podléhající požadavkům NIS2, ISO 27001, DORA nebo dalším regulatorním rámcům pracují s velkým množstvím důkazů, kontrol, rizik a související dokumentace. Právě zde může GRC software výrazně snížit administrativní zátěž a zvýšit efektivitu řízení souladu.
Automatizace ale neznamená, že software může samostatně rozhodnout, zda je organizace v souladu s požadavky, zda je kontrola dostatečná nebo zda je konkrétní riziko přijatelné.
Praktické pravidlo je jednoduché: automatizujte sběr, evidenci, zpracování a správu informací. Odborný úsudek, odpovědnost a rozhodnutí o riziku ponechte lidem.
Dobře navržený GRC systém proto člověka nenahrazuje. Odstraňuje rutinní činnosti, zlepšuje dohledatelnost a poskytuje kvalitnější podklady pro rozhodování.
1. Sběr důkazů a informací
Největší prostor pro automatizaci se nachází právě ve fázi sběru a evidence informací.
Organizace obvykle pracují s velkým množstvím dokumentů, záznamů, reportů, výstupů kontrol, technických konfigurací, auditních zjištění a dalších důkazů. Ruční správa těchto informací v tabulkách a sdílených složkách je časově náročná a zároveň zvyšuje riziko chyb.
GRC software může automaticky:
přiřazovat odpovědnosti a vlastníky kontrol,
evidovat úkoly a termíny,
ukládat důkazy ke konkrétním požadavkům a kontrolám,
sledovat vazby mezi požadavky, kontrolami, riziky a důkazy,
vytvářet auditní stopu všech změn,
upozorňovat na chybějící informace,
identifikovat nevyplněná pole nebo nekompletní záznamy.
Velkou hodnotu přináší také propojený datový model. Jedno aktivum, riziko, bezpečnostní opatření nebo důkaz lze využít současně pro více regulatorních rámců. Informace tak není nutné spravovat opakovaně v několika nezávislých evidencích.
Podobně lze automatizovat i sběr technických údajů z důvěryhodných zdrojů. Pokud je stav kontroly objektivně měřitelný, může systém pravidelně ověřovat například konfiguraci, stav bezpečnostního nástroje nebo jiný technický parametr.
Právě tato část životního cyklu je vhodným kandidátem na vysokou míru automatizace. Většina činností je opakovatelná, jednoznačně definovaná a snadno ověřitelná.
2. Hodnocení důkazů a rozhodování
Ve chvíli, kdy je důkaz získán, nastupuje podstatně složitější fáze.
Samotná existence důkazu ještě neznamená, že je požadavek splněn nebo že je kontrola účinná. Někdo musí posoudit kvalitu důkazu, jeho relevanci, aktuálnost a vztah ke konkrétnímu požadavku.
Právě zde musí zůstat konečné rozhodnutí na člověku.
Software může evidovat důkaz. Může upozornit, že byl vložen. Může dokonce ověřit, že má správný formát nebo potřebné atributy. Nemůže však spolehlivě převzít odpovědnost za rozhodnutí, zda důkaz skutečně prokazuje plnění daného požadavku.
To platí zejména pro:
určení rozsahu,
posouzení aplikovatelnosti požadavků,
hodnocení rizik,
posouzení účinnosti kontrol,
schvalování výjimek,
interpretaci regulatorních požadavků,
rozhodování o přijatelnosti rizik.
Právě v této oblasti může významně pomáhat AI.
AI může analyzovat obsah dokumentace, porovnávat požadavky s dostupnými důkazy, identifikovat možné mezery, navrhovat vazby mezi požadavky a kontrolami nebo upozorňovat na rozpory v dokumentaci. Může také připravit předběžné hodnocení nebo doporučení pro odborníka.
Výstup AI by však měl být chápán jako podklad pro rozhodnutí, nikoli jako samotné rozhodnutí.
V odborném procesu GRC by měl být zachován princip člověka v rozhodovacím procesu. Odpovědná osoba musí rozumět použitým vstupům, ověřit správnost doporučení a převzít odpovědnost za konečný závěr.
Čím větší dopad má rozhodnutí na rizikový profil organizace, tím důležitější je lidský odborný úsudek.
3. Přezkum a aktualizace důkazů
Žádný důkaz není aktuální navždy.
Dokumentace se mění, procesy se vyvíjejí, systémy jsou nahrazovány novými řešeními a organizace zavádí další kontroly. Důkaz, který byl před rokem zcela relevantní, již dnes nemusí odrážet skutečný stav.
Proto musí být součástí každého systému řízení souladu také mechanismus pravidelného přezkumu.
I zde může automatizace výrazně pomoci.
GRC software může:
sledovat datum posledního přezkumu,
hlídat definovanou frekvenci kontrol,
upozorňovat vlastníky na blížící se přezkum,
eskalovat neprovedené kontroly,
evidovat historii změn,
sledovat platnost schválených výjimek,
identifikovat důkazy bez přiřazeného vlastníka,
upozorňovat na zastaralé nebo dlouhodobě nerevidované informace.
Automatizovat lze také průběžné reportování. Stav implementace kontrol, otevřená rizika, chybějící důkazy, úkoly po termínu nebo neuzavřená auditní zjištění by neměly být sestavovány ručně těsně před auditem. Pokud jsou informace spravovány v jednom systému, lze z nich průběžně vytvářet aktuální přehledy pro vedení organizace, CISO, audit nebo vlastníky procesů.
Organizace tak přechází od jednorázové přípravy na audit k průběžné připravenosti na audit.
Jak do toho zapadá AuditMaster
AuditMaster podporuje celý životní cyklus práce s důkazy.
Pomáhá shromažďovat a strukturovat informace, propojuje požadavky s kontrolami, riziky a důkazy, podporuje odborné hodnocení pomocí přehledných vazeb a poskytuje mechanismy pro pravidelný přezkum a aktualizaci informací.
Cílem není nahradit CISO, manažera rizik, specialistu na řízení souladu ani auditora. Cílem je odstranit rutinní práci, zajistit dohledatelnost informací a poskytnout odpovědným osobám kvalitnější podklady pro rozhodování.
Největší přínos automatizace nevzniká tím, že rozhoduje místo člověka. Největší přínos vzniká tím, že člověk nemusí trávit čas hledáním informací, jejich evidencí a správou, ale může se soustředit na samotné hodnocení a řízení rizik.