Mendapatkan Dewan pada Papan dengan GRC – Terutama karena Adopsi AI Meningkat

Saat peraturan meningkat dan teknologi baru berkembang, fungsi tata kelola, risiko, dan kepatuhan (GRC) dengan cepat menjadi lebih penting bagi kesehatan, keuangan, dan keamanan perusahaan saat ini. Namun, GRC membutuhkan dukungan untuk melakukan tugasnya dengan baik, dan itu memerlukan dukungan dari atas – yang tidak selalu mudah untuk diperoleh.

Anggota dewan perlu memahami nilai GRC saat ini, terutama di tengah adopsi AI yang meningkat, yang memperkenalkan organisasi pada risiko baru lebih cepat dari sebelumnya. Dengan kata lain, Anda harus mendapatkan dewan pada papan.

Meningkatnya peraturan dan teknologi baru

Organisasi saat ini menghadapi berbagai peraturan yang harus dipenuhi. Salah satu perkembangan besar di AS adalah aturan baru dari Komisi Sekuritas dan Bursa (SEC) yang mengharuskan perusahaan yang tercatat di bursa untuk mengungkapkan insiden keamanan siber dalam waktu empat hari kerja atau menghadapi denda.

Kita sudah melihat SEC menindak. Misalnya, pada Mei 2024, Intercontinental Exchange, perusahaan induk NYSE, dikenakan denda karena tidak mengungkapkan pelanggaran keamanan siber dalam waktu yang ditentukan.

Kita juga melihat upaya baru untuk mengatur penggunaan AI. Di UE, misalnya, Undang-Undang AI disahkan pada Mei. Akhir tahun lalu di AS, Administrasi Biden mengeluarkan Perintah Eksekutif: Pengembangan dan Penggunaan AI yang Aman, Terpercaya, dan Bertanggung Jawab. Perintah ini memulai apa yang disebut Layanan Penelitian Kongres sebagai “upaya pemerintah untuk memandu pengembangan dan penerapan AI yang bertanggung jawab melalui kepemimpinan badan federal, regulasi industri, dan keterlibatan dengan mitra internasional.”

Dan tentu saja, ini hanya beberapa tindakan besar pemerintah terakhir. Industri dan lokasi organisasi menentukan berbagai ketentuan dan peraturan yang harus dipenuhi – dari GDPR, PCI, dan DORA hingga HIPAA dan banyak lainnya.

Saat peraturan AI masih baru, aturan UE kemungkinan akan menjadi kerangka bagi negara lain. Dan di AS, negara bagian individu sudah mulai mengembangkan legislasi baru. Ketika perusahaan berlomba untuk mengadopsi AI ke dalam jejak teknologi informasi mereka, penting untuk memahami tidak hanya peraturan yang ada tetapi juga yang ada dalam pipa.

Peran GRC dan memenangkan hati dan pikiran

Fungsi GRC melakukan due diligence untuk membantu memastikan bisnis memenuhi berbagai peraturan dan ketentuan kepatuhan yang berlaku. Dari mengemudi kebijakan dan standar hingga mengawasi daftar risiko untuk memandu keputusan, GRC adalah penjaga ketentuan kepatuhan.

Kepatuhan jauh dari dipandang sebagai hal yang menarik dan glamor. Pemimpin perusahaan sering memandangnya sebagai gangguan; mereka melihatnya sebagai menghalangi bisnis, tetapi kenyataannya saat ini adalah bahwa itu sangat penting bagi bisnis. Bahkan, itu bisa menjadi penggerak bisnis.

Agar ini terjadi, bagaimanapun, GRC membutuhkan dukungan tingkat dewan untuk melakukan tugasnya dengan baik – dan itu bisa lebih mudah dikatakan daripada dilakukan. Salah satu tantangan, terutama ketika datang ke peraturan keamanan siber dan AI, adalah bahwa tidak semua dewan memiliki keahlian teknologi dan keamanan. Sementara kesadaran tumbuh, laporan dari September 2023 menemukan bahwa hanya 12% perusahaan S&P 500 memiliki direktur dewan dengan kredential siber yang relevan. Mendapatkan informasi yang tepat dari tempat yang tepat adalah tantangan berkelanjutan lainnya.

Mendapatkan dewan untuk peduli

Salah satu faktor kunci adalah mendukung CISO dan rekan-rekannya yang berinteraksi dengan dewan untuk membantu menjembatani kesenjangan antara fungsi GRC dan dewan, untuk membantu yang terakhir memahami pentingnya dan nilai yang pertama. Pendidikan adalah kunci. Dewan perlu memahami peran mereka dan apa yang diharapkan dari direktur ketika ada, misalnya, pelanggaran yang memerlukan pengungkapan.

Perusahaan menjadi lebih maju dalam hal mengumpulkan dan melaporkan metrik kepatuhan, yang merupakan langkah maju. Tetapi ada banyak informasi yang perlu diprioritaskan. Informasi perlu disajikan dengan cara yang sederhana, relevan, dan komprehensif tanpa membingungkan.

Dewan perlu mengajukan pertanyaan untuk memastikan mereka memahami risiko yang perlu difokuskan organisasi dan dampak nyata pada bisnis jika insiden terjadi. Ini semua tentang memberikan mereka informasi yang mereka butuhkan untuk memahami risiko dengan cara yang dapat diakses dengan pandangan holistik. Pemimpin GRC dapat membantu menyediakan kuantifikasi risiko tersebut.

Lima praktik terbaik untuk mendapatkan dewan pada papan dengan GRC

Gunakan praktik terbaik ini untuk membantu anggota dewan bekerja paling efektif dengan tim GRC:

• Beritahu anggota dewan tentang kerangka risiko yang digunakan untuk menunjukkan struktur dan kredibilitas, seperti NIST CSF 2.0 atau ISO27001. Komunikasikan persyaratan kepatuhan yang relevan dan implikasinya dengan cara yang bermakna bagi bisnis.
• Berikan pendidikan kepada anggota dewan tentang penggunaan AI organisasi, termasuk bagaimana dan di mana AI digunakan di seluruh bisnis dan dampak penggunaannya pada persyaratan kepatuhan dan pemantauan.
• Libatkan ahli eksternal untuk melakukan penilaian independen terhadap profil risiko perusahaan dan memberikan rekomendasi.
• Dukung kesiapan berdasarkan standar yang digunakan melalui penilaian risiko dan pemantauan berkelanjutan, yang membantu mengembangkan kemampuan respons.

GRC, keamanan, dan AI

Fungsi GRC keamanan siber yang sukses menyediakan data dan metrik yang konsisten di semua lapisan organisasi, memastikan semua orang dari staf operasional hingga dewan bekerja dengan informasi yang sama. Dengan kata lain, GRC dapat mendukung baik pengawasan strategis dan manajemen operasional dari informasi yang sama. Pendekatan ini menyediakan transparansi dan fleksibilitas terhadap peraturan dan ancaman baru.

GRC selalu penting, tetapi sekarang AI telah memasuki gambaran peraturan. Ini mengubah lanskap ancaman, model operasional, produk, dan layanan. Dewan perlu menjadi lebih pintar ketika datang ke keamanan siber dan AI, terutama spesifik tentang bagaimana perusahaan menggunakan AI. Dengan menggunakan praktik terbaik yang dibahas di atas, pemimpin GRC memiliki kesempatan untuk membangun pengetahuan dewan tentang topik-topik ini dengan cara yang dapat memiliki dampak positif yang langgeng pada postur keamanan dan kepatuhan organisasi.