Κίνδυνος Μη Συμμόρφωσης

Ένας κίνδυνος συμμόρφωσης υπάρχει μόνο σε σχέση με μια υποχρέωση, και οι υποχρεώσεις φτάνουν στον οργανισμό από τρεις κατευθύνσεις. Οι νόμοι ισχύουν ανά δικαιοδοσία και κλάδο, είτε τους έχει διαβάσει ο οργανισμός είτε όχι. Οι εσωτερικές πολιτικές, μόλις δημοσιευθούν, ορίζουν τι θεωρείται παράβαση, και πάνω τους στηρίζονται οι έλεγχοι και οι διαφορές. Ο κίνδυνος συμμόρφωσης είναι το χάσμα ανάμεσα σε όσα απαιτούν αυτές οι πηγές και σε όσα πράττει πραγματικά ο οργανισμός. Οι υποχρεώσεις απορρήτου είναι ένα συχνό παράδειγμα, που καλύπτεται από προγράμματα προστασίας δεδομένων.

Η αξιολόγηση ακολουθεί τη μεθοδολογία κάθε πειθαρχίας κινδύνου: κάθε υποχρέωση ταυτοποιείται, παίρνει υπεύθυνο και βαθμολογείται σε δύο άξονες. Ο πρώτος είναι η πιθανότητα παραβίασης, που κρίνεται από την ωριμότητα των ελέγχων, την πολυπλοκότητα της υποχρέωσης, τα προηγούμενα περιστατικά και τα ευρήματα ελέγχων. Ο δεύτερος είναι ο αντίκτυπος: μέγιστα πρόστιμα, απώλεια συμβάσεων, επιβαλλόμενες λειτουργικές αλλαγές, πλήγμα στη φήμη και, σε ορισμένα καθεστώτα, προσωπική ευθύνη των διευθυντικών στελεχών.

Οι δύο βαθμοί μαζί τοποθετούν τον κίνδυνο σε χάρτη θερμότητας και καθορίζουν προτεραιότητες: τα κενά υψηλής πιθανότητας και υψηλού αντικτύπου διορθώνονται πρώτα, ενώ τα χαμηλά βαθμολογημένα παρακολουθούνται. Η βαθμολόγηση γίνεται συνήθως δύο φορές, εγγενής κίνδυνος πριν από τους ελέγχους και υπολειπόμενος μετά, ώστε να φαίνεται πόση προστασία προσφέρουν οι υπάρχοντες έλεγχοι. Τα αποτελέσματα καταγράφονται στο μητρώο κινδύνων, μια ενιαία εικόνα υποχρεώσεων, βαθμών, υπευθύνων και προθεσμιών. Το μητρώο είναι το εργαλείο εργασίας της διαχείρισης συμμόρφωσης, όπου κάθε εγγραφή παραμένει συνδεδεμένη με τον υπεύθυνό της.

Το κόστος μιας αποτυχίας συμμόρφωσης σπάνια είναι ένας μόνο αριθμός. Τα στοιχεία του ενισχύουν το ένα το άλλο:

• Ρυθμιστικές κυρώσεις: Πρόστιμα που σε ορισμένα καθεστώτα αυξάνονται με τον τζίρο, και επιθεωρήσεις
• Συμβατική και αστική ευθύνη: Ποινικές ρήτρες, αξιώσεις αποζημίωσης, καταγγελμένες συμβάσεις, αποκλεισμός από διαγωνισμούς
• Λειτουργικές αναταραχές: Ανασταλμένες άδειες, μπλοκαρισμένες κυκλοφορίες και αλλαγές διαδικασιών
• Προσβολή της φήμης: Χαμένη εμπιστοσύνη πελατών και συνεργατών, που συχνά διαρκεί περισσότερο από την κύρωση
• Προσωπική ευθύνη: Σε αυξανόμενο αριθμό καθεστώτων, τα διευθυντικά στελέχη απαντούν προσωπικά για τις αποτυχίες

Δεν δικαιολογεί κάθε κίνδυνος συμμόρφωσης απεριόριστες δαπάνες, γι' αυτό οι οργανισμοί ορίζουν εκ των προτέρων πόσο κίνδυνο είναι διατεθειμένοι να φέρουν. Μια δήλωση όρεξης για κίνδυνο, συνήθως εγκεκριμένη σε επίπεδο διοικητικού συμβουλίου, διαχωρίζει τις περιοχές μηδενικής ανοχής, όπου κάθε παράβαση είναι απαράδεκτη, από τις περιοχές όπου ένα μετρημένο επίπεδο κινδύνου είναι ανεκτό, επειδή η πλήρης εξάλειψη θα κόστιζε περισσότερο από την ίδια την αποτυχία. Η όρεξη επανεξετάζεται όταν ο οργανισμός εισέρχεται σε νέες αγορές, αναλαμβάνει ρυθμιζόμενα δεδομένα ή όταν ο νόμος αυστηροποιείται.

Η αποδοχή κινδύνου συμμόρφωσης πέρα από την όρεξη πρέπει να είναι ρητή απόφαση: καταγεγραμμένη, υπογεγραμμένη από επώνυμο υπεύθυνο, χρονικά περιορισμένη και συνοδευόμενη από παρακολούθηση. Η σιωπή επί του θέματος αποτελεί αυτή καθαυτή αποτυχία διακυβέρνησης.

Μετά την αξιολόγηση, κάθε σημαντικός κίνδυνος συμμόρφωσης κατευθύνεται σε μία από τέσσερις κλασικές στρατηγικές, συχνά σε συνδυασμό για διαφορετικές υποχρεώσεις. Η αποδοχή κινδύνου δεν σημαίνει απραξία: είναι τεκμηριωμένη, έχει υπεύθυνο, αιτιολόγηση και περιοδική επανεξέταση. Η μεταφορά μετακινεί χρήματα, όχι τη νομική υποχρέωση, αφού ο ρυθμιστής εξακολουθεί να αντιμετωπίζει τον οργανισμό.

• Μετριασμός: Μείωση πιθανότητας ή αντίκτυπου με έλεγχους που παράγουν αποδείξεις
• Μεταφορά: Μετατόπιση μέρους του οικονομικού αντίκτυπου σε τρίτους, π.χ. με ασφάλιση
• Αποφυγή: Εξάλειψη του κινδύνου με διακοπή της δραστηριότητας που τον δημιουργεί
• Αποδοχή: Διατήρηση του κινδύνου όταν η αντιμετώπισή του κοστίζει περισσότερο

Στο Anexet DLP κάθε κατηγορία κινδύνου έχει προεπιλεγμένο επίπεδο, και η Law violation ξεκινά από High. Έπειτα, κάθε κανόνας ασφαλείας επιλέγει τη δική του κατηγορία και επίπεδο.

1 / 2

• 
• 

Ο κίνδυνος συμμόρφωσης διαχειρίζεται κυκλικά. Ο κατάλογος υποχρεώσεων ανανεώνεται όσο αλλάζουν νόμοι και συμβάσεις, οι έλεγχοι αντιστοιχίζονται στις υποχρεώσεις που εξυπηρετούν και οι υπολειπόμενοι κίνδυνοι επαναβαθμολογούνται. Τα αποδεικτικά στοιχεία της λειτουργίας τους συλλέγονται συνεχώς, γιατί σε έλεγχο ένας έλεγχος χωρίς αποδείξεις μετράει ως απών.

Οι οργανισμοί που αντιμετωπίζουν τη συμμόρφωση ως εφάπαξ άσκηση συνήθως ανακαλύπτουν το κενό μόνο κατά τη διάρκεια ενός περιστατικού, όταν το κόστος της αποτυχίας έχει ήδη καθοριστεί. Μεγάλο μέρος του κινδύνου βρίσκεται στην καθημερινή συμπεριφορά των εργαζομένων: το email σε λάθος παραλήπτη, αρχεία που μεταφέρονται μέσω προσωπικών λογαριασμών cloud, συσκευές που φεύγουν από το γραφείο χωρίς επίβλεψη. Γι' αυτό η εκπαίδευση ευαισθητοποίησης, οι σαφείς πολιτικές και η ορατότητα στη ροή των δεδομένων αποτελούν τυπικά στοιχεία ενός προγράμματος συμμόρφωσης, δίπλα στην παρακολούθηση των ίδιων των κανονισμών. Οι κίνδυνοι από την πλευρά των εργαζομένων καλύπτονται από τη διαχείριση κινδύνου εσωτερικού χρήστη.

Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.