随着法规的增多和新技术的融合，治理、风险和合规 (GRC) 功能对于当今企业的健康、财务和安全而言正变得越来越重要。然而，GRC 需要支持才能很好地完成工作，而这需要自上而下的支持——而这并不总是容易获得的。
董事会成员需要了解当今 GRC 的价值，尤其是在人工智能应用日益普及的背景下，这会以前所未有的速度为组织带来新风险。换句话说，你必须让董事会参与进来。
法规日益严格，新技术不断涌现
如今，组织面临着必须遵守的各种法规。美国的一个重大进展是证券交易委员会 (SEC) 出台了新规定，要求上市公司在四个工作日内披露网络安全事件，否则将面临罚款。
我们已经看到美国证券交易委员会的严厉打击。例如，2024 年 5 月，纽约证券交易所的母公司洲际交易所因未能在规定时间内披露网络入侵而被罚款。
我们还看到了规范人工智能使用的新尝试。例如，欧盟于 5 月颁布了《人工智能法案》 。去年年底，美国拜登政府发布了一项行政命令：安全、可靠和值得信赖地开发和使用人工智能。该命令启动了国会研究服务处所称的“一项全政府努力，通过联邦机构领导、行业监管和与国际合作伙伴的合作来指导负责任的人工智能 (AI) 的开发和部署。”
当然，这些只是政府采取的最新大型行动。组织所在的行业和位置决定了必须遵守的各种规定和法规——从 GDPR、PCI 和 DORA 到 HIPAA 以及无数其他法规。
尽管人工智能法规尚属新规，但欧盟的规则很可能成为其他国家的框架。而在美国，各州已经开始制定新法规。随着各公司纷纷将人工智能纳入其信息技术足迹，不仅要了解现有法规，还要了解正在制定的法规。
GRC 的作用和赢得民心
GRC 职能部门负责尽职调查，帮助确保企业满足其所受的各种法规和合规要求。从推动政策和标准到监督风险登记以提供决策信息，GRC 是合规要求的守门人。
合规远非令人兴奋和光鲜亮丽的事情。企业领导者常常将其视为麻烦，认为它妨碍了业务发展，但如今的现实是，合规对企业而言极其重要。事实上，它甚至可以成为业务的推动者。
然而，要做到这一点，GRC 需要董事会层面的支持才能做好工作——这说起来容易做起来难。一个挑战是，并非所有董事会都精通技术和安全，尤其是在网络安全和人工智能法规方面。虽然人们的意识在不断增强，但 2023 年 9 月的一份报告发现，只有12% 的标准普尔 500 指数公司的董事会成员拥有相关的网络资质。从正确的地方获取正确的信息是另一个持续的挑战。
让董事会关注
一个关键因素是支持 CISO 及其与董事会互动的同事，以帮助弥合 GRC 职能与董事会之间的差距，帮助后者了解前者的重要性和价值。教育是关键。董事会需要了解其角色以及当出现需要披露的违规行为等时对董事的期望。
公司在收集和报告合规指标方面正变得越来越先进，这是一大进步。但需要优先考虑的信息很多。信息需要以一种简单、相关和全面的方式呈现，但不能让人感到不知所措。
董事会需要提出问题，以确保他们了解组织需要关注的风险以及事件发生时对业务的实际影响。归根结底，需要向他们提供所需的信息，以便他们以易于理解的方式从整体上了解风险。GRC 主管可以帮助提供风险量化。
让董事会参与 GRC 的五大最佳实践
使用这些最佳实践来帮助董事会成员与 GRC 团队最有效地合作：
- 向董事会成员通报正在使用的风险框架，以展示结构和可信度，例如 NIST CSF 2.0 或 ISO27001。以对业务有意义的方式传达相关的合规性要求及其影响。
- 向董事会成员介绍组织对人工智能的使用情况，包括在整个业务中如何以及在何处使用人工智能，以及人工智能的使用对合规要求和监控的影响。
- 与外部专家合作对公司的风险状况进行独立评估并提供建议。
- 通过风险评估和持续监测支持根据所使用的标准做好准备，这有助于提高应对能力。
GRC、安全和 AI
成功的网络 GRC 功能可在所有组织层级提供一致的数据和指标，确保从运营人员到董事会的每个人都使用相同的信息。换句话说，GRC 可以根据相同的信息支持战略监督和运营管理。这种方法提供了透明度和对新法规和威胁的适应性。
GRC 一直很重要，但现在 AI 已进入监管领域。它正在改变威胁形势、运营模式、产品和服务。董事会需要在网络安全和 AI 方面变得更加精明，尤其是公司如何使用 AI 的具体细节。利用上述最佳实践，GRC 领导有机会以能够对组织的安全和合规状况产生持久积极影响的方式建立董事会对这些主题的了解。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/rang-dong-shi-hui-jie-shou-grc-you-qi-shi-sui-zhe-ai-de-cai
