Nakoming is nie die mees glansryke ding in die oë van die meeste sakeleiers nie. Hulle mag dit as 'n noodsaaklikheid beskou om regulatoriese druk te vermy, maar ook iets wat aan 'n junior personeellid oorhandig kan word of ten minste op 'n ad hoc-basis hanteer kan word.
Maar met tegnologie nou die lewensaar van die meeste moderne besighede, misdadigers wat dit uitbuit en reguleerders en ander belanghebbendes gevolglik druk op maatskappye plaas om nakoming meer ernstig op te neem, is so 'n benadering nie meer volhoubaar nie.
Nakoming en bestuur moet nou 'n voortdurende oefening wees, ondersteun deur verenigde raamwerke en leierskapsondersteuning, om die groeiende oorvloed inligting-, kuber- en voorsieningskettingrisiko's waarmee besighede en hul belanghebbendes te kampe het, teen te werk. Hoe kan dit egter bereik word?
Kuberrisiko is besigheidsrisiko
'n Kerndrywer in die verskuiwing van voldoening van 'n merkblokkie-oefening na 'n strategiese prioriteit in die daaglikse bedrywighede van besighede is "die blote omvang van wette, regulasies, standaarde en goeie praktyk" waaraan hulle nou verwag word om te voldoen, volgens Stephanie Locke, hoof van produk by KI-kundiges Nightingale HQ. Sy sê nie-nakoming kan lei tot beduidende reputasie- en finansiële implikasies.
Noemenswaardige voorbeelde van wette en regulasies wat hierdie verandering aangedryf het, sluit in die Europese Unie se Netwerk- en Inligtingsekuriteitsrichtlijn 2 (NIS2) en sy baanbrekende Wet op Kunsmatige Intelligensie – om nie eens te praat van die verskillende standaarde vir dataprivaatheid in verskillende dele van die wêreld nie. Aangesien tegnologie diep in alle dele van 'n organisasie se bedrywighede ingewortel is, sê Locke dat direksies noukeurig aandag gee aan hierdie reëls en IT-risiko nou as 'n ondernemingsrisiko beskou.
Met die tegnologie-ekosisteem – en die regulatoriese landskap wat ontwerp is om dit in toom te hou – wat albei vinnig ontwikkel, sê Locke dat besighede nou gedwing word om kuberrisiko voortdurend eerder as periodiek te bestuur. Sy voeg by: “KI skep veral nuwe operasionele, wetlike en reputasierisiko's, met vroeë afdwingingspatrone wat waarskynlik die ontwrigtende impak wat GDPR na die bekendstelling gehad het, sal weerspieël.”
Jake Moore – globale kuberveiligheidsadviseur by antivirusprogrammatuurvervaardiger ESET – herhaal soortgelyke gedagtes en sê dat die opkoms van wetlike raamwerke soos NIS2 en die EU se KI-wet “kuberrisiko in 'n sakerisiko” verander het. Met dit in gedagte, sê hy dat beide wette “direkteurvlak-aanspreeklikheid” noodsaaklik maak en beklemtoon dat “nakoming nou bedryfsmodelle dikteer, eerder as andersom”.
Hy sê vir IO: “Die koste om dit verkeerd te doen is duur, en merkblokkies kan dit nie altyd doen nie. Nakoming is dalk 'n langer pad om dinge te doen, maar dit bewys dat organisasies veilig en op skaal kan funksioneer.”
Reguleerders word slimmer
Reguleerders beweeg egter nie net teen 'n spoed om bedryfswette in te stel en aan te pas nie. Hulle werk ook baie vinniger agter die skerms om maatskappye op te spoor wat moontlik hul reëls oortree, danksy vooruitgang in kunsmatige intelligensie.
Lee Bryan – stigter en uitvoerende hoof van die voldoeningsoplossingsverskaffer Arcus Compliance – sê dat reguleerders met behulp van KI “produkte, verpakking, data en dokumentasie op 'n skaal” en oor “hele kategorieë” kan skandeer. Die tegnologie stel hulle ook in staat om “gapings, teenstrydighede en valse bewerings onmiddellik raak te sien”.
Hy voeg by dat so 'n groot verandering in hoe reguleerders werk, beteken dat handelsmerke nie meer kan "wegkruip agter volume-, geografie- of stadige handmatige kontroles nie", wat beteken dat hulle geen ander keuse het as om voldoening as 'n belangrike sake-aktiwiteit te beskou of met regulatoriese optrede getref te word nie.
Nie meer 'n nagedagte nie
Reguleerders is nie die enigste groep wat verwag dat besighede voldoening ernstig moet opneem nie.
Ander belanghebbendes, soos beleggers, kliënte en vennote, ondersoek toenemend die sekuriteits- en privaatheidshouding van besighede voordat hulle kontrakte onderteken – en selfs daarna.
In die lig van toenemende kuber-aanvalle in die voorsieningsketting soos die een wat SolarWinds ervaar het, sê Locke van Nightingale dat besighede bewus is van die risiko's wat derdeparty-tegnologieverskaffers kan inhou as hulle nie voldoen aan die beste praktyke en reëls vir kuberrisiko nie. Sy voeg by: "Gevolglik het sekuriteit en privaatheidshouding kernkomponente van kommersiële en beleggingsondersoeke geword."
Spesifiek, wat digitale omsigtigheidsondersoek betref, verduidelik George Tziahanas – visepresident van voldoening by argiveringsagtewarespesialiste Archive360 – dat potensiële kliënte afgeskrik kan word om met besighede saam te werk wat nie kan verduidelik hoe hulle data stoor, bestuur en verwyder nie en dit as 'n "operasionele risiko" beskou.
Bestaande belanghebbendes verwag ook hoë vlakke van regulatoriese nakoming van die besighede waarmee hulle werk, aangesien hulle probeer om nie by voorsieningskettingvoorvalle betrokke te raak nie. Tziahanas sê versuim om dit te doen, kan daartoe lei dat besighede "kontraktuele boetes, regulatoriese optrede en reputasie-impak" ervaar.
Vermyding van Silo's
Swak nakoming is egter nie bloot besighede wat dit as 'n afmerkblokkie-oefening beskou nie. Tziahanas verduidelik dat nakomingsgapings soos "inkonsekwente beheermaatreëls, onvolledige rekords en onbetroubare data" kan lei tot probleme soos "valse rapportering, mislukte attestasies en oormatige behoud".
Om dit te vermy, moet besighede ideaal gesproke al die verskillende aspekte van voldoening – risiko, sekuriteit, privaatheid en kontinuïteit – in 'n enkele bestuursdraad kombineer. Volgens Moore van ESET sal dit daartoe lei dat hul voldoening- en risikohouding van "reaktiewe brandbestryding" na "proaktief" verskuif – iets wat "terselfdertyd geld en versteekte koste bespaar".
John Phillips, hoofbestuurder van EMEA by die rekeningkundige sagtewareverskaffer FloQast, sien ook die voordele van 'n verenigde en proaktiewe benadering tot voldoening en kuberrisikobestuur. Hy sê spanne wat hierdie benadering volg, kan "interne en eksterne veranderinge antisipeer, vroegtydig met leierskap in lyn kom en hulpbronne fokus waar hulle die grootste impak sal maak".
Om te voldoen aan bedryfsreëls en beste praktyke in die vroeë stadiums van 'n nuwe sakeonderneming of produk kan ook op die lange duur voordelig wees. Om mee te begin, sê Tziahanas van Archive360 dat dit "duur opknappings" sal voorkom aangesien "klassifikasie-, behoud- en verwyderingsreëls" reeds gedefinieer en geïmplementeer sal wees.
’n Robuuste nakomingshouding sal besighede ook help om sterk verhoudings met belanghebbendes op vertroue te bou, voeg Tziahanas by. Dit is die sleutel tot “vinniger transaksiesiklusse en gladder marktoegang”.
Praktiese stappe
Wanneer dit kom by die bou en implementering van 'n sterk voldoeningsstrategie, kan gerespekteerde bedryfsraamwerke soos ISO 27001, ISO 42001, SOC 2 en ISO 27701 'n goeie beginpunt wees.
Locke van Nightingale HQ beskryf hulle as 'n "beginner-handleiding vir bestuur" en sê dat hulle besighede voorsien van al die "grondbeginsels" wat nodig is om hul nakomings- en bestuursverpligtinge na te kom. Sy voeg by dat sulke raamwerke ook organisasies en hul belanghebbendes in staat stel om hulle te verbind tot "gedeelde verwagtinge en verbintenisse" rakende nakoming en bestuur.
Duidelike risikosigbaarheid is ook belangrik. Bryan van Arcus Compliance verduidelik dat sakeleiers dalk nie bewus is van die risiko's waarmee hulle te kampe het nie, omdat "data, dokumentasie en verskaffers oor stelsels versprei is". Hy glo dat dit opgelos kan word deur die aanvaarding van "rats stelsels, 'n risikogebaseerde benadering en 'n egte nakomingskultuur".
Vir ESET se Moore is leierskapsondersteuning noodsaaklik om voldoenings- en bestuursplanne te laat werk. Maar dit kan slegs bereik word deur leiers op te voed oor die vinnig groeiende kuberbedreigingslandskap en hoe dit die besigheid kan beïnvloed, sê hy.
Op die oog af lyk nakoming na 'n vervelige taak wat net reguleerders tevrede stel. Maar dit kan eintlik besighede bevoordeel deur hulle in staat te stel om risiko's raak te sien en op te los voordat dit ernstige skade veroorsaak. Terselfdertyd kan dit potensiële kliënte lok en bande met bestaande kliënte versterk – wat almal bekommerd is oor onlangse kuber-aanvalle in die voorsieningsketting en wil verseker dat enige besigheid waarmee hulle werk hierdie risiko's ernstig opneem.
