Herkes Risk Yönetiminde AI İstiyor. Ancak Çoğu Hazır Değil

Herkes AI’yi kullanmaya çalışıyor. Ancak üçüncü taraf risk yönetiminde (TPRM) bu yarış en büyük risk olabilir.

AI, yapıya bağlıdır: temiz veri, standartlaştırılmış süreçler ve tutarlı sonuçlar. Ancak çoğu TPRM programı bu temel öğelerden yoksundur. Bazı organizasyonlar risk liderlerine, tanımlanmış programlara ve dijitalleştirmiş verilere sahiptir. Diğerleri riski spreadsheet ve paylaşılan sürücüler aracılığıyla yönetir. Bazıları sıkı düzenleyici denetim altında çalışırken, diğerleri daha büyük riskleri kabul edebilir. Hiçbir iki program birbirinin aynı değildir ve olgunluk masih 15 yıllık çabanın ardından geniş ölçüde değişmektedir.

Bu çeşitlilik, TPRM’de AI benimsemesinin hız veya uniformite ile gerçekleşmeyeceğini gösterir. Disiplin ile gerçekleşecek ve bu disiplin, programınızın mevcut durumunu, hedeflerini ve risk iştahını gerçekçi bir şekilde değerlendirmeye başlamakla başlar.

Programınızın AI İçin Hazır Olup Olmadığını Nasıl Anlarsınız

Her organizasyon AI için hazır değildir ve bu sorun değildir. Recent bir MIT çalışması, GenAI projelerinin %95’inin başarısız olduğunu buldu. ve Gartner’a göre, teknoloji alıcılarının %79’u son satın almalarını doğru planlanmadığı için pişman olduklarını söylüyor.

TPRM’de AI hazırlığı, bir anahtarı çevirmek değildir. Bir ilerlemedir ve programınızın ne kadar yapılandırıldığına, bağlantılı olduğuna ve yönetildiğine bağlı bir yansımadır. Çoğu organizasyon, ad hoc’tan çevikliğe kadar değişen bir olgunluk eğrisi üzerinde yer alır ve nerede olduğunuzu bilmek, AI’ı etkili ve sorumlu bir şekilde kullanmanın ilk adımıdır.

Erken aşamalarda, risk programları büyük ölçüde manuel olarak yürütülür, spreadsheet’lere, kurumsal hafızaya ve parçalı sahipliğe dayanır. Resmi bir metodoloji veya tutarlı bir üçüncü taraf risk denetimi yoktur. Tedarikçi bilgileri e-posta iplerinde veya birkaç önemli kişinin zihninde yaşayabilir ve süreç çalışır, ta ki çalışmaz. Bu ortamda, AI gürültüyü içgörülerden ayırmakta zorlanacaktır ve teknoloji tutarlılığı ortadan kaldırmak yerine artıracaktır.

Programlar olgunlaştıkça, yapı oluşmaya başlar: iş akışları standartlaştırılmış, veriler dijitalleştirilmiş ve hesap verebilirlik departmanlar arasında genişletilmiştir. Burada, AI gerçek değer katağa başlar. Ancak iyi tanımlanmış programlar genellikle仍 siloludur, görünürlüğü ve içgörüyü sınırlar.

Gerçek hazırlık, bu siloların yıkılması ve yönetimlerin paylaşıldığı zaman ortaya çıkar. Tümleşik ve çevik programlar, verileri, otomasyonu ve hesap verebilirliği tüm işletme boyunca bağlar, AI’ın tutunmasına izin verir – bağlantısız bilgileri akıllıca dönüştürür ve daha hızlı, daha şeffaf karar almaya destek olur.

Nerede olduğunuzu ve nereye gitmek istediğinizi anladığınızda, AI’ı vaat edilen bir şeyden gerçek bir güç çarpanına dönüştüren temeli oluşturabilirsiniz.

Neden Bir Boyut Her Şeye Uymaz, Program Olgunluğuna Rağmen

İki şirketin de çevik risk programları olsa da, AI uygulaması için aynı yolu izlemeyeceklerdir, aynı sonuçları da görmeyeceklerdir. Her şirket farklı bir üçüncü taraf ağı yönetir, benzersiz düzenlemelere tabidir ve farklı risk seviyelerini kabul eder.

Örneğin, bankalar, üçüncü taraf outsourcer’lerin sunduğu hizmetler içindeki veri gizliliği ve koruma konusunda sıkı düzenleyici gereksinimlerle karşı karşıyadır. Hatalar, kesintiler veya ihlaller için risk toleransları neredeyse sıfırdır. Tüketim malları üreticileri, ise operasyonel riski daha fazla kabul edebilir, ancak kritik teslimat zamanlamalarını etkileyen kesintileri karşılayamazlar.

Her organizasyonun risk toleransı, hedeflerine ulaşmak için ne kadar belirsizliği kabul edebileceğini tanımlar ve TPRM’de bu sınır sürekli değişir. Bu nedenle, hazır AI modelleri nadiren çalışır. Değişken bir alanda generic bir model uygulamak, açıklık yerine kör noktalar oluşturur – daha amaçlı, yapılandırılabilir çözümlere ihtiyaç duyar.

AI’a yönelik daha akıllı yaklaşım, modülerdir. AI’ı güçlü veri ve net hedeflere sahip alanlarda kullanın, ardından ölçeklendirin. Ortak kullanım örnekleri arasında:

• Tedarikçi araştırması: AI’ı binlerce potansiyel satıcıyı araştırmak için kullanın, en düşük riskli, en yetenekli veya en sürdürülebilir ortakları belirleyin.
• Değerlendirme: AI’ı tedarikçi belgelerini, sertifikalarını ve denetim kanıtlarını değerlendirmek için kullanın. Modeller tutarsızlıkları veya anomalileri saptayabilir, analistlerin önemli olan şeylere odaklanmasını sağlar.
• Dayanıklılık planlaması: AI’ı bir bölgedeki yaptırımların veya bir malzeme üzerindeki düzenleyici yasağının tedarik tabanınıza nasıl etkileyebileceğini simüle etmek için kullanın. AI, karmaşık ticaret, coğrafi ve bağımlılık verilerini işleyerek sonuçları modelleyebilir ve acil durum planlarını güçlendirebilir.

Her bir kullanım örneği, amaçlı bir şekilde uygulandığında ve yönetişimle desteklendiğinde değer sağlar. AI ile risk ve tedarik zinciri yönetiminde gerçek başarı gören organizasyonlar, en çok otomasyon yapanlar değildir. Bunlar, küçük başlayıp sık sık uyarlayan ve adapte edenlerdir.

TPRM’de Sorumlu AI’ya Doğru İnşaat

Organizasyonlar TPRM’de AI ile deneysel çalışmaya başladığında, en etkili programlar inovasyonu hesap verebilirlikle dengelemelidir. AI, gözetimi güçlendirmelidir, onu değiştirmemelidir.

Üçüncü taraf risk yönetiminde başarı, yalnızca bir satıcıyı nasıl hızlı bir şekilde değerlendirebileceğinizle ölçülmüyor; risklerin nasıl tanımlanıp nasıl düzeltici önlemlerin uygulandığıyla da ölçülmektedir. Bir tedarikçi başarısız olduğunda veya bir uyumluluk sorunu manşetlere çıkarsa, kimse sürecin ne kadar verimli olduğunu sormaz. Onun nasıl yönetildiğini sorar.

Bu soru, “nasıl yönetiliyor“, hızla全球 bir soru haline geliyor. AI benimsemesi hızlandıkça, düzenleyiciler dünyanın farklı yerlerinde “sorumlu”nun ne anlama geldiğini farklı şekillerde tanımlamaktadır. AB AI Yasası, yüksek riskli sistemler için şeffaflık ve hesap verebilirlik talep eden bir risk temelinde çerçeve oluşturdu. Buna karşılık, Birleşik Devletler, NIST AI Risk Yönetimi Çerçevesi gibi gönüllü standartlara vurgu yapan daha merkezi bir yolu izliyor. Diğer bölgeler, Japonya, Çin ve Brezilya da dahil, AI yönetimine insan hakları, denetim ve ulusal öncelikleri dahil ederek farklı AI yönetim modelleri geliştiriyor.

Küresel işletmeler için, bu farklılaşan yaklaşımlar yeni karmaşıklık katmanları ekliyor. Avrupa’da faaliyet gösteren bir tedarikçi, sıkı raporlama yükümlülüklerine tabi olabilirken, ABD’de faaliyet gösteren bir tedarikçi daha esnek ancak gelişen beklentilere sahip olabilir. Her “sorumlu AI” tanımı, riskin nasıl değerlendirileceği, izleneceği ve açıklanacağı konusunda nüans ekliyor.

Risk liderlerine, değişen düzenlemelere uyum sağlayabilen ve şeffaflığı koruyabilen adaptable yönetim yapıları gerekiyor. En gelişmiş programlar, AI ile alınan her kararın açıklanabilir, izlenebilir ve savunulabilir olmasını sağlamak için doğrudan TPRM operasyonlarına yönetim ekliyor – hangi yargı bölgesinde olursa olsun.

Başlamak İçin

Sorumlu AI’ı gerçekleştirmek için politika beyanlarından daha fazlası gerekiyor: doğru temel yapıyı oluşturmak gerekiyor: temiz veri, net hesap verebilirlik ve sürekli denetim. İşte bunun nasıl görüneceği.

• Başlangıçta standartlaştırın. Otomasyondan önce temiz, tutarlı veri ve uyumlu süreçler oluşturun. AI’ı risk programınıza adım adım entegre eden bir aşama yaklaşımı uygulayın, her aşamanın testini, doğrulamasını ve iyileştirmesini ölçeklendirmeden önce yapın. Veri bütünlüğü, gizlilik ve şeffaflığı baştan itibaren müzakere edilemez kılın.
• Küçük başlayın ve sık sık deneysel çalışın. Başarı, hız ile ilgili değildir. Belirli, iyi anlaşılmış sorunlara AI uygulayan kontrol pilotları başlatın. Modellerin nasıl performans gösterdiğini, kararların nasıl alındığını ve kimin sorumlu olduğunu belgeleyin. İşletme değerini teslim etmeyen çoğu generatif AI projesini engelleyen kritik zorlukları, veri kalitesi, gizlilik ve düzenleyici engelleri tanımlayın ve hafifletin.
• Her zaman yönetin. AI, daha fazla kesinti yaratmak yerine kesintileri öngörmenize yardımcı olmalıdır. AI’ı herhangi bir risk türü gibi ele alın. AI’ın organizasyonunuz ve üçüncü taraflarınız tarafından nasıl kullanıldığını değerlendirmek için net politikalar ve iç uzmanlık oluşturun. Düzenlemeler dünya çapında evrimleşirken, şeffaflık sürekli olmalıdır. Risk liderleri, her AI tarafından yönlendirilen içgörüyü veri kaynaklarına ve mantığına geri izleyebilmeli ve kararların düzenleyiciler, yönetim kurulları ve halk tarafından yapılan incelemelerden geçebilmesi gerekir.

TPRM için evrensel bir AI planı yoktur. Her şirketin olgunluğu, düzenleyici ortamı ve risk toleransı, AI’ın nasıl uygulanacağını ve değer teslim edeceğini şekillendirecektir, ancak tüm programlar amaçlı bir şekilde inşa edilmelidir. Hazır olanı otomatikleştirin, otomatikleştirileni yönetin ve teknoloji ve etrafındaki kurallar evrimleşirken sürekli olarak adapte edin. Her şirketin olgunluğu, düzenleyici ortamı ve risk toleransı, AI’ın nasıl uygulanacağını ve değer teslim edeceğini şekillendirecektir, ancak tüm programlar amaçlı bir şekilde inşa edilmelidir. Hazır olanı otomatikleştirin, otomatikleştirileni yönetin ve teknoloji ve etrafındaki kurallar evrimleşirken sürekli olarak adapte edin.