Ryzyko niezgodności

Ryzyko zgodności istnieje wyłącznie w odniesieniu do obowiązku, a obowiązki docierają do organizacji z trzech kierunków. Przepisy obowiązują według jurysdykcji i branży, niezależnie od tego, czy organizacja je przeczytała. Polityki wewnętrzne po opublikowaniu określają, co jest naruszeniem, dlatego audyty i spory toczą się właśnie wokół nich. Ryzyko zgodności to luka między tym, czego wymagają te źródła, a tym, co organizacja faktycznie robi. Obowiązki dotyczące prywatności to jeden z częstych przykładów, za które odpowiadają programy ochrony danych.

Ocena przebiega jak w każdej dyscyplinie zarządzania ryzykiem: każdy obowiązek jest identyfikowany, dostaje właściciela i jest oceniany na dwóch osiach. Pierwsza to prawdopodobieństwo naruszenia, oceniane z dojrzałości kontroli, złożoności obowiązku, przeszłych incydentów i ustaleń audytowych. Druga to skutek: maksymalne kary, utrata kontraktów, wymuszone zmiany operacyjne, szkody reputacyjne i w niektórych reżimach osobista odpowiedzialność kierowników.

Oba wyniki umieszczają ryzyko na mapie cieplnej i wyznaczają priorytety: luki o wysokim prawdopodobieństwie i dużym skutku naprawia się najpierw, a nisko ocenione monitoruje. Ocenę wykonuje się zwykle dwukrotnie, dla ryzyka pierwotnego przed kontrolami i resztkowego po nich, co pokazuje, ile ochrony dają istniejące zabezpieczenia. Wyniki trzyma się w rejestrze ryzyk, czyli wykazie obowiązków, ocen, właścicieli i terminów. Rejestr jest roboczym narzędziem zarządzania zgodnością, gdzie każdy wpis pozostaje powiązany ze swoim właścicielem.

Koszt niewywiązania się z wymogów rzadko jest jedną liczbą. Jego składniki wzajemnie się wzmacniają:

• Kary regulacyjne: Grzywny, które w niektórych reżimach rosną z obrotami, oraz nakazy i inspekcje
• Odpowiedzialność umowna i cywilna: Klauzule karne, roszczenia odszkodowawcze, rozwiązane umowy, wykluczenie z przetargów
• Zakłócenia operacyjne: Zawieszone licencje, zablokowane wdrożenia i zmiany procesów narzucone przez regulatora
• Szkody reputacyjne: Utracone zaufanie klientów i partnerów, które zwykle przetrwa formalną karę
• Odpowiedzialność osobista: W coraz większej liczbie reżimów kierownicy odpowiadają za przegapienia osobiście

Nie każde ryzyko zgodności uzasadnia nieograniczone wydatki, dlatego organizacje z góry określają, ile ryzyka są gotowe ponosić. Deklaracja apetytu na ryzyko, zwykle zatwierdzana przez zarząd, oddziela obszary zerowej tolerancji, gdzie każde naruszenie jest nieakceptowalne, od obszarów, w których mierzony poziom ryzyka jest znośny, bo pełna eliminacja kosztowałaby więcej niż samo niepowodzenie. Apetyt weryfikuje się przy wejściu na nowe rynki, przejęciu danych regulowanych lub zaostrzeniu prawa.

Zaakceptowanie ryzyka ponad apetyt musi być decyzją jawną: odnotowaną, podpisaną przez wskazanego właściciela, ograniczoną w czasie i objętą monitoringiem. Milczenie w tej sprawie jest samo w sobie błędem zarządczym.

Po ocenie każde istotne ryzyko zgodności kieruje się jedną z czterech klasycznych strategii, często łącznie dla różnych obowiązków. Akceptacja ryzyka to nie bezczynność: jest udokumentowana, ma właściciela, uzasadnienie i okresowy przegląd. Transfer przenosi pieniądze, a nie obowiązek prawny, bo regulator nadal zwraca się do organizacji.

• Mitygacja: Obniżenie prawdopodobieństwa lub skutków kontrolami, które dają dowody zgodności
• Transfer: Przeniesienie części skutków finansowych na stronę trzecią, na przykład przez ubezpieczenie
• Unikanie: Usunięcie ryzyka przez zaprzestanie działalności, która je tworzy
• Akceptacja: Formalne zatrzymanie ryzyka, gdy leczenie kosztuje więcej niż oczekiwana strata

W Anexet DLP każda kategoria ryzyka ma domyślny poziom, a Law violation startuje od poziomu High. Każda reguła bezpieczeństwa wybiera potem własną kategorię i poziom.

1 / 2

• 
• 

Ryzyko zgodności zarządza się cyklicznie. Wykaz obowiązków odświeża się wraz ze zmianami prawa i umów, kontrole mapuje się na obowiązki, którym służą, a ryzyka resztkowe ocenia się ponownie. Dowody działania kontroli zbiera się w sposób ciągły, bo podczas audytu kontrola bez dowodów liczy się jako nieobecna.

Organizacje, które traktują zgodność jako jednorazowe przedsięwzięcie, zwykle odkrywają lukę dopiero podczas incydentu, gdy koszt niepowodzenia jest już przesądzony. Duża część ryzyka zgodności tkwi w codziennym zachowaniu pracowników: w e-mailu wysłanym do złego adresata, plikach przenoszonych przez prywatne konta w chmurze czy urządzeniach zostawionych bez nadzoru. Dlatego szkolenia, przejrzyste polityki i widoczność tego, jak dane faktycznie krążą, są standardem programu zgodności, obok śledzenia samych przepisów. Ryzyka po stronie pracowników obejmuje zarządzanie ryzykiem insider.

Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.