ציות לתקנות אינו הדבר הכי זוהר בעיני רוב מנהיגי העסקים. הם עשויים לראות זאת כצורך כדי להימנע מלחץ רגולטורי, אך גם כמשהו שניתן להעביר לעובד זוטר או לפחות לטפל בו על בסיס אד-הוק.
אבל עם הטכנולוגיה שהיא כיום עורק החיים של רוב העסקים המודרניים, פושעים מנצלים זאת ורגולטורים ובעלי עניין אחרים לוחצים כתוצאה מכך על חברות להתייחס ברצינות רבה יותר לתאימות, גישה כזו אינה בת קיימא עוד.
תאימות וממשל חייבים כעת להיות פעילות מתמשכת, הנתמכת על ידי מסגרות מאוחדות ותמיכה מהמנהיגות, כדי להתמודד עם שפע הולך וגדל של סיכוני מידע, סייבר ושרשרת אספקה העומדים בפני עסקים ובעלי העניין שלהם. כיצד ניתן להשיג זאת?
סיכון סייבר הוא סיכון עסקי
גורם מרכזי במעבר הציות מתרגיל של תיבות סימון לעדיפות אסטרטגית בפעילות היומיומית של עסקים הוא "מגוון החוקים, התקנות, הסטנדרטים והנהלים המומלצים" שאליהם מצופה כעת מהם לעמוד, לדברי סטפני לוק, ראש מחלקת המוצר במומחי הבינה המלאכותית נייטינגייל HQ. היא אומרת שאי ציות יכול להוביל להשלכות משמעותיות על התדמית והכספים.
דוגמאות בולטות לחוקים ותקנות שהניעו את השינוי הזה כוללות את הנחיית אבטחת הרשת והמידע 2 (NIS2) של האיחוד האירופי ואת חוק הבינה המלאכותית פורץ הדרך שלו - שלא לדבר על תקני פרטיות הנתונים המשתנים בחלקים שונים של העולם. בהתחשב בכך שהטכנולוגיה מושרשת עמוק בכל חלקי הפעילות של ארגון, לוק אומר שהדירקטוריונים מקדישים תשומת לב רבה לכללים אלה וכעת רואים בסיכון ה-IT סיכון ארגוני.
עם התפתחות מהירה של מערכת הטכנולוגיה – ונוף הרגולציה שנועד לשמור עליה תחת שליטה – שניהם, לוק אומרת שעסקים נאלצים כעת לנהל את סיכוני הסייבר באופן רציף ולא באופן תקופתי. היא מוסיפה: "בינה מלאכותית בפרט יוצרת סיכונים תפעוליים, משפטיים וסיכוני מוניטין חדשים, כאשר דפוסי אכיפה מוקדמים עשויים לשקף את ההשפעה המשבשת שהייתה ל-GDPR לאחר ההשקה."
ג'ייק מור - יועץ אבטחת סייבר גלובלי ביצרנית תוכנות האנטי-וירוס ESET - מהדהד מחשבות דומות, אומר כי עלייתן של מסגרות משפטיות כמו NIS2 וחוק הבינה המלאכותית של האיחוד האירופי הפכה את "סיכון הסייבר לסיכון עסקי". בהתחשב בכך, הוא אומר ששני החוקים מחייבים "אחריות ברמת הדירקטור" ומדגישים כי "ציות מכתיב כעת מודלים תפעוליים, ולא להיפך".
הוא אומר ל-IO: "עלות הטעות היא יקרה, ותיבות הסימון לא תמיד יכולות להספיק. תאימות היא אולי דרך ארוכה יותר לעשות דברים, אבל היא מוכיחה שארגונים יכולים לפעול בצורה מאובטחת ובקנה מידה גדול."
הרגולטורים הופכים חכמים יותר
הרגולטורים לא רק פועלים במהירות כדי להציג ולעדכן חוקים בתעשייה. הם גם עובדים הרבה יותר מהר מאחורי הקלעים כדי לזהות חברות שעשויות להפר את הכללים שלהם, הודות להתקדמות בבינה מלאכותית.
לי בריאן - מייסד ומנכ"ל ספקית פתרונות התאימות Arcus Compliance - אומר כי רגולטורים מסוגלים "לסרוק מוצרים, אריזות, נתונים ותיעוד בקנה מידה גדול" וב"קטגוריות שלמות". הטכנולוגיה גם מאפשרת להם "לאתר פערים, חוסר עקביות וטענות שווא באופן מיידי".
הוא מוסיף כי שינוי כה משמעותי באופן פעולת הרגולטורים פירושו שמותגים אינם יכולים עוד "להסתתר מאחורי בדיקות נפח, גיאוגרפיה או בדיקות ידניות איטיות", כלומר אין להם ברירה אלא להתייחס לתאימות כפעילות עסקית קריטית או להיפגע מפעולה רגולטורית.
כבר לא מחשבה שנייה
רגולטורים אינם הקבוצה היחידה שמצפה מעסקים להתייחס ברצינות לציות.
בעלי עניין אחרים, כגון משקיעים, לקוחות ושותפים, בוחנים יותר ויותר את מצב האבטחה והפרטיות של עסקים לפני חתימה על חוזים - ואפילו לאחר מכן.
לנוכח עלייה במספר התקפות הסייבר בשרשרת האספקה, כמו זו שחוותה SolarWinds, לוק מ-Nightingale אומרת שעסקים מודעים לסיכונים שספקי טכנולוגיה חיצוניים עלולים להוות אם אינם עומדים בשיטות העבודה והכללים המומלצים בנוגע לסיכוני סייבר. היא מוסיפה: "כתוצאה מכך, אבטחה ופרטיות הפכו למרכיבים מרכזיים של בדיקת נאותות מסחרית והשקעתית."
באופן ספציפי, בכל הנוגע לבדיקת נאותות דיגיטלית, ג'ורג' ציאהנאס - סגן נשיא לתאימות בחברת Archive360, מומחית תוכנת ארכיון - מסביר כי לקוחות פוטנציאליים עשויים להירתע מעבודה עם עסקים שאינם מסוגלים להסביר כיצד הם מאחסנים, מנהלים ומוחקים נתונים ורואים זאת כ"סיכון תפעולי".
בעלי עניין קיימים מצפים גם הם לרמות גבוהות של תאימות רגולטורית מצד העסקים איתם הם עובדים, שכן הם מבקשים להימנע ממעורבות בתקריות בשרשרת האספקה. ציאהנאס אומר כי אי עמידה בכך עלולה לגרום לעסקים לחוות "עונשים חוזיים, צעדים רגולטוריים ופגיעה בתדמית".
הימנעות ממגורות
תאימות לקויה אינה רק עניין של עסקים שרואים בה תרגיל של סימון. ציאהנס מסביר שפערי תאימות כמו "בקרות לא עקביות, רישומים לא שלמים ונתונים לא אמינים" עלולים לגרום לבעיות כמו "דיווח כוזב, אישורים כושלים ושימור יתר".
כדי להימנע מכך, עסקים צריכים באופן אידיאלי לשלב את כל נקודות הציות השונות - סיכון, אבטחה, פרטיות והמשכיות - לתוך חוט ניהולי יחיד. לדברי מור מ-ESET, פעולה זו תגרום לשינוי תנוחת הציות והסיכון שלהם מ"כיבוי שריפות תגובתי" ל"פרואקטיבי" - דבר ש"חוסך כסף ועלויות נסתרות" בו זמנית.
ג'ון פיליפס, המנהל הכללי של EMEA בספקית תוכנות החשבונאות FloQast, רואה גם את היתרונות של גישה מאוחדת ופרואקטיבית לניהול סיכוני תאימות וסייבר. הוא אומר שצוותים המאמצים גישה זו יכולים "לצפות שינויים פנימיים וחיצוניים, להתיישר מוקדם עם ההנהגה ולמקד משאבים במקומות שבהם הם יביאו את ההשפעה הגדולה ביותר".
עמידה בכללי התעשייה ובשיטות העבודה המומלצות בשלבים המוקדמים של מיזם עסקי או מוצר חדש יכולה להיות מועילה גם בטווח הארוך. ראשית, ציאהאנאס מ-Archive360 אומר שזה ימנע "התאמות יקרות" מכיוון ש"כללי סיווג, שמירה ומחיקה" כבר הוגדרו ויושמו.
תנוחת תאימות איתנה תעזור לעסקים גם לבנות קשרים חזקים עם בעלי עניין הבנויים על אמון, מוסיף ציאהנס. זהו המפתח ל"אפשרות מחזורי עסקאות מהירים יותר וכניסה חלקה יותר לשוק".
צעדים מעשיים
כשמדובר בבנייה ויישום של אסטרטגיית תאימות חזקה, מסגרות מכובדות בתעשייה כמו ISO 27001, ISO 42001, SOC 2 ו-ISO 27701 יכולות להוות נקודת התחלה טובה.
לוק ממטה נייטינגייל מתארת אותם כ"מדריך להתחלה לממשל", ואומרת שהם מספקים לעסקים את כל "היסודות" הדרושים כדי לעמוד בהתחייבויות הציות והממשל שלהם. היא מוסיפה שמסגרות כאלה גם מאפשרות לארגונים ולבעלי העניין שלהם להתחייב ל"ציפיות והתחייבויות משותפות" בנוגע לציות וממשל.
נראות ברורה של הסיכונים חשובה גם כן. בריאן מ-Arcus Compliance מסביר שייתכן שמנהיגים עסקיים אינם מודעים לסיכונים העומדים בפניהם מכיוון ש"נתונים, תיעוד וספקים מפוזרים במערכות שונות". הוא מאמין שניתן לפתור זאת באמצעות אימוץ "מערכות זריזות, גישה מבוססת סיכונים ותרבות תאימות אמיתית".
עבור מור מ-ESET, תמיכה בהנהגה היא חיונית להפעלת תוכניות תאימות וממשל. אך ניתן להשיג זאת רק על ידי חינוך מנהיגים לגבי נוף איומי הסייבר המתרחב במהירות וכיצד הוא יכול להשפיע על העסק, הוא אומר.
על פניו, ציות לתקנות נראה כמשימה מייגעת שרק נותנת חן לרצות את הרגולטורים. אבל זה יכול למעשה להועיל לעסקים בכך שהוא מאפשר להם לזהות ולפתור סיכונים לפני שהם גורמים נזק חמור. במקביל, זה יכול למשוך לקוחות פוטנציאליים ולחזק קשרים עם לקוחות קיימים - שכולם מודאגים מהתקפות סייבר אחרונות בשרשרת האספקה ורוצים להבטיח שכל עסק איתו הוא עובד לוקח את הסיכונים הללו ברצינות.
