科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道安全管理构建合规遵从文化:要从错误中吸取教训

构建合规遵从文化:要从错误中吸取教训

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

本文介绍了企业如何从突发事故中完善自己的合规规划。在成熟的组织内,对于发生了什么错误以及为什么发生的了解,为组织提供了完善他们计划的绝好机会。

来源:TechTarget中国 2011年12月14日

关键字: 合规 规则遵从

  • 评论
  • 分享微博
  • 分享邮件

  所有的风险系统是围绕着不断改善这个想法建立的,包括合规遵从规划。

  如果一切都顺利的话,企业建立和管理规划来确保他们完全地遵从策略、流程、规划、法律、法规等等。但是合规经理们意识到,尽管他们的出发点很好,事情有时也不会按计划进行。在成熟的组织内,对于发生了什么错误以及为什么发生的了解,为组织提供了完善他们计划的绝好机会。

  为了从突发事件中吸取教训,公司必须能够开诚布公地讨论关键的问题,“为什么那件事会发生?”和“对于那件事情我们该做什么”。这个关于常规性流程失败的谈话足以让人感到尴尬,也许会损失一些金钱或是给一些顾客带来不便。当涉及到数据安全问题时,紧张程度往往呈指数级增长。

  数据安全与其他大多数业务风险略有不同,安全和合规团队正努力管理以达到“零事件发生”(换句话说,数据泄漏是不可接受的结果并且绝对不能发生)。理智上我们知道那(数据泄漏)是可能的,但是当事情发生时人们往往想尽可能快地处理掉它并且继续前行。同样的规则也会适用于其他所有业务故障,但是如果合规规划参与者没有从他们的错误中吸取教训,这个规划永远不会变得更好。对于组织的风险管理和合规规划来说,没有比同一件事情发生两次更难堪的了。

  坦率地说,许多组织对发生的故障保持缄默,以避免尴尬、职责或法律责任。那些明显成熟的组织(以及管理团队)意识到,如果没有从错误中学习到的数据和教训,那就不是真正意义上的管理风险、而只是管理事件。

  构建合规遵从文化:实际学习中

  一旦辨识出突发事件,合规遵从团队必须先回答四个关键的问题,从而回到一个稳定状态。

  发生了什么事情?这要求公正地分析到底发生了什么问题。

  这件事情意味着什么?接下来从财务、业务、名誉和监管暴露方面分析对组织的可能影响。在初期进行估计,然后随着更多的信息可用时进行调整。

  这个事件还在发生么?是否数据仍然在泄漏?如果是这样的话,现在需要做什么来补救问题?

  必须做什么来让一切回到正规?需要采取什么恢复步骤来解决客户数据泄漏,通知监管机构、管理媒体的询问等等?

  这样,事情应该明朗了,这个过程基本上集中于事故响应和破坏控制,但是到目前为止这些措施并不能告诉我们为什么事件会发生、以及它如何体现了组织的风险概况。一旦事件处理完成,然后就可以开始真正有价值的工作了(很不幸的是,一些组织在这里戛然而止)。

  构建合规遵从文化:再走一里路

  一旦问题解决,随后的问题就是:

  与故障有关的控制问题是:

  1.控制缺失?完全不存在控制措施。

  2.控制不充分?问题的风险或是结果被低估或是误解。

  3.控制是多余的?预期的损失少于合适的控制成本。

  4.控制执行失败?正确地设计了控制措施,但就是没有遵守。

  是否有到位的机制来充分地识别事件并对其做出响应?

  假定有关于事件的新信息、需要的效果和恢复尝试,这会如何影响组织理解它的风险和相关控制措施的?对风险概况的新认识是否影响特定的合规遵从要求?

  接下来是价值百万美元的问题:我们有什么需要改变?

  当分析完成、弄明白需要改变什么(如果有的话)后,行动起来!如果在经历了所有这些工作后没人接棒继续前行(无论是推理或体制上的障碍),没有比这更会扼杀人们对分析过程的重视了。

  从长远来看,另一个关键的因素就是记录、记录、再记录。没有记录的话,组织永远无法彻底从这些分析中获得体制上的教训。任何不止一次地经历了故障的组织,需要仔细查看他们记录事件的能力,并真正从中学习。

  最后,通过从这些详细的分析中排除责任因素,组织有望仔细地审视到位的控制,并且诚实地评估他们是否作好充足的准备继续前行。但是(这一点很重要),如果事实上是某个特定的人造成了问题,首先应该衡量这个人应该提高什么或是应该做什么,这就是组织如何来建立问责制度。

  有些经理最初可能不太愿意和太多人进行这种类型的分析,这个想法是对的。涉及的主要负责人必须参与进来,以进行充分的分析、记录结果并做出恰当的运作改变。随着时间的推移,人们会发现这些练习对于风险和合规遵从规划是富有成效和巩固的。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章