Tutti vogliono l’AI nella gestione dei rischi. Pochi sono pronti per essa

Tutti stanno correndo per implementare l’AI. Ma nella gestione dei rischi di terze parti (TPRM), questa corsa potrebbe essere il più grande rischio di tutti.

L’AI dipende dalla struttura: dati puliti, processi standardizzati e risultati coerenti. Eppure, la maggior parte dei programmi di TPRM manca di queste fondamenta. Alcune organizzazioni hanno leader di rischio dedicati, programmi definiti e dati digitalizzati. Altre gestiscono il rischio in modo ad hoc attraverso fogli di calcolo e drive condivisi. Alcune operano sotto una stretta sorveglianza regolatoria, mentre altre accettano un rischio molto maggiore. Nessun due programmi sono uguali, e la maturità varia ancora ampiamente dopo 15 anni di sforzi.

Questa variabilità significa che l’adozione dell’AI nella TPRM non avverrà attraverso la velocità o l’uniformità. Avverrà attraverso la disciplina, e questa disciplina inizia con l’essere realistici sullo stato attuale del tuo programma, gli obiettivi e la tolleranza al rischio.

Come sapere se il tuo programma è pronto per l’AI

Non ogni organizzazione è pronta per l’AI, e questo va bene. Uno studio recente del MIT ha scoperto che il 95% dei progetti di AI generativa falliscono. E secondo Gartner, il 79% dei acquirenti di tecnologia afferma di pentirsi dell’ultimo acquisto perché il progetto non è stato pianificato correttamente.

Nella TPRM, la prontezza per l’AI non è un interruttore che si attiva. È un progresso, e una riflessione di quanto il tuo programma sia strutturato, connesso e governato. La maggior parte delle organizzazioni si trova da qualche parte lungo una curva di maturità che va dall’ad hoc all’agile, e sapere dove ti trovi è il primo passo per utilizzare l’AI in modo efficace e responsabile.

Nei primi stadi, i programmi di rischio sono in gran parte manuali, dipendenti da fogli di calcolo, memoria istituzionale e proprietà frammentata. C’è poca metodologia formale o sorveglianza coerente del rischio di terze parti. Le informazioni sui fornitori potrebbero vivere in thread di posta elettronica o nella testa di poche persone chiave, e il processo funziona, fino a quando non funziona. In questo ambiente, l’AI avrà difficoltà a separare il rumore dall’insight, e la tecnologia magnificherà l’incoerenza piuttosto che eliminarla.

Man mano che i programmi maturano, inizia a formarsi una struttura: i flussi di lavoro diventano standardizzati, i dati vengono digitalizzati e la responsabilità si estende ai dipartimenti. Qui, l’AI inizia ad aggiungere valore reale. Ma anche i programmi ben definiti rimangono spesso isolati, limitando la visibilità e l’insight.

La vera prontezza emerge quando questi isolamenti si rompono e la governance diventa condivisa. I programmi integrati e agili collegano i dati, l’automazione e la responsabilità in tutta l’azienda, permettendo all’AI di trovare il suo punto di appoggio — trasformando le informazioni disconnesse in intelligenza e supportando decisioni più rapide e trasparenti.

Comprendendo dove sei e dove vuoi andare, puoi costruire le fondamenta che trasformano l’AI da una promessa luminosa in un vero moltiplicatore di forza.

Perché una dimensione non si adatta a tutti, nonostante la maturità del programma

Anche se due aziende hanno entrambe programmi di rischio agili, non tracceranno lo stesso percorso per l’implementazione dell’AI, né vedranno gli stessi risultati. Ogni azienda gestisce una rete diversa di terze parti, opera sotto regolamenti unici e accetta livelli diversi di rischio.

Le banche, ad esempio, affrontano requisiti regolatori stringenti per la protezione dei dati e la privacy all’interno dei servizi forniti dai terzi. La loro tolleranza al rischio per errori, interruzioni o violazioni è quasi zero. I produttori di beni di consumo, d’altra parte, potrebbero accettare un rischio operativo maggiore in cambio di flessibilità o velocità, ma non possono permettersi interruzioni che influenzino i tempi di consegna critici.

Ogni azienda definisce la propria tolleranza al rischio, che determina quanto incertezza è disposta ad accettare per raggiungere i propri obiettivi, e nella TPRM, quella linea si sposta costantemente. È per questo che i modelli di AI preconfezionati raramente funzionano. Applicare un modello generico in uno spazio così variabile crea punti ciechi invece di chiarezza – creando la necessità di soluzioni più personalizzate e configurabili.

L’approccio più intelligente all’AI è modulare. Implementare l’AI dove i dati sono forti e gli obiettivi sono chiari, poi scalare da lì. I casi d’uso comuni includono:

• Ricerca dei fornitori: Utilizzare l’AI per setacciare migliaia di potenziali fornitori, identificando i partner a più basso rischio, più capaci o più sostenibili per un progetto imminente.
• Valutazione: Applicare l’AI per valutare la documentazione, le certificazioni e le prove di audit dei fornitori. I modelli possono segnalare incoerenze o anomalie che potrebbero indicare un rischio, liberando gli analisti per concentrarsi su ciò che conta di più.
• Pianificazione della resilienza: Utilizzare l’AI per simulare gli effetti a catena di una interruzione. Come verrebbero influenzati la tua base di fornitori da sanzioni in una regione o da un divieto regolatorio su un materiale? L’AI può elaborare dati commerciali, geografici e di dipendenza complessi per modellare gli esiti e rafforzare i piani di contingenza.

Ognuno di questi casi d’uso fornisce valore quando implementato intenzionalmente e supportato dalla governance. Le organizzazioni che vedono un successo reale con l’AI nella gestione dei rischi e della catena di approvvigionamento non sono quelle che automatizzano di più. Sono quelle che iniziano con piccoli passi, automatizzano con intenzione e si adattano frequentemente.

Costruire verso un’AI responsabile nella TPRM

Mentre le organizzazioni iniziano a sperimentare con l’AI nella TPRM, i programmi più efficaci bilanciano l’innovazione con la responsabilità. L’AI dovrebbe rafforzare la sorveglianza, non sostituirla.

Nella gestione dei rischi di terze parti, il successo non si misura solo da quanto rapidamente puoi valutare un fornitore; si misura da quanto accuratamente i rischi vengono identificati e da come vengono implementate azioni correttive. Quando un fornitore fallisce o una questione di conformità fa notizia, nessuno chiede quanto efficiente fosse il processo. Chiedono come è stato governato.

Quella domanda, “come è governato“, sta diventando globale. Mentre l’adozione dell’AI si accelera, i regolatori in tutto il mondo stanno definendo cosa significa “responsabile” in modi molto diversi. L’Atto AI dell’UE ha impostato il tono con un quadro basato sul rischio che richiede trasparenza e responsabilità per i sistemi ad alto rischio. In contrasto, gli Stati Uniti stanno seguendo un percorso più decentrato, enfatizzando l’innovazione accanto a standard volontari come il Quadro di gestione del rischio AI del NIST. Altre regioni, tra cui Giappone, Cina e Brasile, stanno sviluppando le loro varianti che combinano diritti umani, sorveglianza e priorità nazionali in modelli distinti di governance dell’AI.

Per le aziende globali, questi approcci divergenti introducono nuovi strati di complessità. Un fornitore che opera in Europa potrebbe affrontare obblighi di segnalazione stringenti, mentre uno negli Stati Uniti potrebbe avere aspettative più lasche ma ancora in evoluzione. Ogni definizione di “AI responsabile” aggiunge sfumature a come il rischio deve essere valutato, monitorato e spiegato.

I leader del rischio hanno bisogno di strutture di sorveglianza adattabili che possano flettersi con regolamenti in evoluzione mantenendo la trasparenza e il controllo. I programmi più avanzati stanno incorporando la governance direttamente nelle loro operazioni di TPRM, assicurando che ogni decisione guidata dall’AI possa essere spiegata, tracciata e difesa — indipendentemente dalla giurisdizione.

Come iniziare

Trasformare l’AI responsabile in realtà richiede più di dichiarazioni di intenti. Significa mettere in place le fondamenta giuste: dati puliti, responsabilità chiara e sorveglianza continua. Ecco cosa significa.

• Standardizzare fin dall’inizio. Stabilire dati puliti e coerenti e processi allineati prima dell’automazione. Implementare un approccio graduale che integri l’AI passo dopo passo nel tuo programma di rischio, testando, convalidando e raffinando ogni fase prima di scalare. Rendere l’integrità dei dati, la privacy e la trasparenza non negoziabili fin dall’inizio. L’AI che non può spiegare la sua logica o che si basa su input non verificati introduce rischi piuttosto che ridurli.
• Iniziare con piccoli passi e sperimentare spesso. Il successo non dipende dalla velocità. Lanciare piloti controllati che applicano l’AI a problemi specifici e ben compresi. Documentare come i modelli si eseguono, come vengono prese le decisioni e chi ne è responsabile. Identificare e mitigare le sfide critiche, tra cui la qualità dei dati, la privacy e gli ostacoli regolatori, che impediscono alla maggior parte dei progetti di AI generativa di fornire valore aziendale.
• Sempre governare. L’AI dovrebbe aiutare ad anticipare le interruzioni, non causarne altre. Trattare l’AI come qualsiasi altra forma di rischio. Stabilire politiche chiare e competenze interne per valutare come la tua organizzazione e i suoi terzi utilizzano l’AI. Mentre le regolamentazioni evolvono in tutto il mondo, la trasparenza deve rimanere costante. I leader del rischio dovrebbero essere in grado di tracciare ogni insight guidato dall’AI fino alle sue fonti di dati e logica, assicurando che le decisioni resistano allo scrutinio dei regolatori, dei consigli di amministrazione e del pubblico.

Non esiste un modello universale per l’AI nella TPRM. La maturità, l’ambiente regolatorio e la tolleranza al rischio di ogni azienda plasmeranno come l’AI viene implementata e fornisce valore, ma tutti i programmi dovrebbero essere costruiti con intenzione. Automatizzare ciò che è pronto, governare ciò che è automatizzato e adattarsi continuamente mentre la tecnologia e le regole che la circondano evolvono.