Suurimman osan kahdesta viime vuosikymmenestä sääntelyvelvoite digitaalisessa työssä voitiin täyttää dokumentaatiolla. Yritys keräsi suostumukset, julkaisi tietosuojaselosteen, kirjoitti politiikan ja tuotti pyydettäessä paperit. Sitä, miten järjestelmät todellisuudessa käsittelivät dataa, tarkastettiin harvoin, ja politiikan väitteen ja järjestelmän todellisen toiminnan välinen kuilu saattoi pysyä mukavan leveänä. Tämä järjestely on päättymässä. Viimeisimmän eurooppalaisten säädösten sukupolvi ei kysy, onko sinulla politiikka, vaan käyttäytyvätkö järjestelmäsi niin kuin politiikka sanoo, ja se odottaa sinun todistavan sen jatkuvasti eikä vain tarkastushetkellä.

Useat voimat ovat yhdistyneet tehdäkseen tästä muutoksesta aineellisen eikä pelkästään retorisen. Valvontaviranomaiset ovat siirtyneet periaatteesta täytäntöönpanoon, ja seuraamukset ovat nyt riittävän suuria vaikuttaakseen pääoman kohdentamiseen. Sääntelyn kohde on laajentunut pelkästä henkilötiedosta toiminnalliseen kestävyyteen, algoritmien käyttäytymiseen ja toimitusketjun turvallisuuteen. Ja säädökset sisältävät yhä useammin henkilökohtaisen vastuun nimetyille johtajille, mikä muuttaa hallitusten käyttäytymistä. Järjestelmä, joka sakottaa yritystä, on liiketoiminnan kustannus; järjestelmä, joka asettaa johtajan vastuuseen todennettavasta valvonnasta, on kannustimen muutos.

Tarkastellaan tästä seuraavaa eroa hallitusten käyttäytymisessä. Pelkkiin sakkoihin perustuvassa järjestelmässä seuraamus mallinnetaan todennäköisyytenä kerrottuna kustannuksella, varaudutaan siihen ja siedetään se, jos odotusarvo puoltaa riskiä. NIS2:n ja DORAn nojalla johtoelimet voidaan asettaa henkilökohtaisesti vastuuseen valvonnan riittävyydestä, ja joidenkin tulkintojen mukaan seuraamus ulottuu yksilöön eikä pelkästään taseeseen. Johtaja, joka voidaan nimetä, ei voi delegoida riskiä budjettiriville. Tästä syystä viimeisimmät säädökset ovat muuttaneet hallitusten keskustelujen sävyä enemmän kuin mikään yksittäinen sakko: ne muuntavat abstraktin yritysaltistumisen henkilökohtaiseksi, ja henkilökohtainen altistuminen keskittää huomion tavalla, johon yritysaltistuminen harvoin pystyy.

Käytännön seuraus on, että oikeudellinen altistuminen on siirtynyt ylävirtaan, suunnitteluhetkeen. Päätös siitä, mihin data tallennetaan, mikä malli otetaan käyttöön tai mikä toimittaja päästetään kriittiseen prosessiin, on nyt päätös, jolla on sääntelyllistä painoarvoa, ja sen tekevät insinöörit ja arkkitehdit, jotka eivät välttämättä näe sitä sellaisena. Yritykset, jotka hallitsevat tätä hyvin, eivät ole niitä, joilla on suurimmat vaatimustenmukaisuusosastot. Ne ovat niitä, jotka ovat siirtäneet olennaisen päättelyn siihen huoneeseen, jossa tekniset valinnat tehdään, niin että rajoite on läsnä silloin, kun sen noudattaminen on halvinta.

Riski on portfolio, ei tarkistuslista. Ensimmäinen periaate on, että digitaalista riskiä ei voida hallita velvoite kerrallaan, koska velvoitteet menevät päällekkäin, vaikuttavat toisiinsa ja ajoittain ovat ristiriidassa keskenään. GDPR säätelee henkilötietoja, DORA säätelee toiminnallista kestävyyttä finanssialalla, NIS2 säätelee keskeisten ja tärkeiden toimijoiden turvallisuutta, ja tekoälyasetus säätelee mallien käyttöönottoa riskiluokan mukaan. Yrityksellä, johon useat näistä kohdistuvat, ei ole neljää ohjelmaa; sillä on yksi järjestelmämaisema, jota vasten neljä vaatimusjoukkoa esitetään. Niiden hallitseminen erikseen tuottaa päällekkäisiä todisteita, ristiriitaisia kontrolleja ja aukkoja saumakohdissa. Analyysin yksikkö on järjestelmämaisema ja sen datavirrat, ei sääntely.

Vaatimustenmukaisuus on järjestelmien ominaisuus, ei asiakirjojen. Toinen periaate seuraa ensimmäisestä. Jos sääntelijä voi tarkastaa käyttäytymistä, niin kontrolli, joka on olemassa vain paperilla, ei ole kontrolli; se on löytymistään odottava vastuu. Sisäänrakennettu suojaus, ilmaus jonka GDPR esitteli ja jonka myöhemmät säädökset olettavat, tarkoittaa, että haluttu ominaisuus pannaan täytäntöön arkkitehtuurin toimesta: pääsyä rajoitetaan, koska järjestelmä rajoittaa sitä, säilytys päättyy, koska järjestelmä poistaa, korkean riskin mallia valvotaan, koska valvonta on kytketty sisään. Dokumentaatio kuvaa tällöin todellisuutta sen sijaan, että korvaisi sen.

Vastuu on paikannettava, ei hajautettava. Kolmas periaate on, että komitean yli hajautettu vastuu on vastuu, jota kukaan ei kanna. Tehokas hallinto osoittaa jokaisen merkittävän riskin nimetylle omistajalle, jolla on toimivalta toimia, ja se erottaa päättävät henkilöt neuvovista. Säädökset koodaavat tätä yhä useammin edellyttäen, että hallitukset osoittavat valvontaa sen sijaan, että delegoisivat sen. Hallintomalli, joka ei voi vastata minkä tahansa kontrollin osalta, kuka sen omistaa ja mihin todisteisiin hän tukeutuu, ei ole vielä alkanut.

Sääntely on liikkuva maali, joten suunnittele muutosta varten. Neljäs periaate on, että mikään yhteen säännön versioon suunniteltu kontrolli ei selviä säännön tarkistuksesta. Säädöksiä muutetaan, valvojat tulkitsevat niitä uudelleen ja niitä täydennetään teknisillä standardeilla, jotka saapuvat perustekstin jälkeen. Vaatimustenmukaisuusarkkitehtuuri, joka on kiinnitetty sääntelyn nykyiseen sanamuotoon, on vanhentunut siihen mennessä, kun se on rakennettu. Suunnittelun tulisi siksi erottaa vakaa tarkoitus (rajoita pääsyä, todista poisto, valvo mallia) sääntelijän asettamasta yksittäisestä parametrista (säilytysaika, riskikynnys, raportointi-ikkuna), niin että parametrin muutos on konfiguraation muutos eikä uudelleenrakennus. Yritykset, jotka koodaavat nykyisen säännön kovakoodattuna, maksavat seuraavasta tarkistuksesta kahdesti.

Tekoälyasetus suunnittelujärjestelmänä. Merkittävin viimeaikainen kehitys on, että EU:n tekoälyasetus kohtelee tekoälyä ei kertaalleen sertifioitavana tuotteena vaan hallittavana elinkaarena. Järjestelmät luokitellaan riskin mukaan, ja korkean riskin käyttöönotot kantavat velvoitteita datan laadusta, ihmisen suorittamasta valvonnasta, lokituksesta ja läpinäkyvyydestä, jotka säilyvät niin kauan kuin järjestelmä toimii. Tässä merkityksellinen malli on, että asetus ulottuu siihen, miten mallia koulutetaan, arvioidaan ja valvotaan, mikä tarkoittaa, että vaatimustenmukaisuuskysymys saapuu kehityksen aikana eikä koskaan täysin sulkeudu.

DORA ja kestävyyskäänne. Finanssialalla digitaalisen toiminnan kestävyyttä koskeva asetus on siirtänyt keskustelun häiriöiden estämisestä niistä selviytymiseen. Se edellyttää yrityksiä testaamaan kykyään kestää häiriöitä, kartoittamaan riippuvuutensa kriittisistä kolmansista osapuolista ja raportoimaan merkittävistä häiriöistä määritellyissä aikatauluissa. Laajempi malli, joka näkyy myös NIS2:ssa, on, että sääntelijät eivät enää hyväksy turvallisuutta tavoitteena; he haluavat todisteita siitä, että yritys on olettanut vaarantumisen ja varautunut siihen.

Toimitusketju laajenevana kehänä. Kaikkien näiden säädösten läpi kolmannen osapuolen ja toimitusketjun riski on noussut hallitsevaksi huoleksi, koska nykyaikainen maisema on koottu palveluista, joita yritys ei hallitse. NIS2 työntää velvoitteet toimitusketjuun; DORA vaatii kriittisten ICT-palveluntarjoajien valvontaa; tekoälyasetus tekee käyttöönottajat vastuullisiksi malleista, joita he eivät rakentaneet. Malli on sen kehän laajeneminen, josta olet vastuussa, selvästi omistamasi rajan yli.

Jatkuva todiste tietyn hetken vahvistuksen sijaan. Kehityssuunta on pois vuosittaisesta tarkastuksesta ja kohti jatkuvaa varmistusta. Valvojat odottavat yhä useammin, että kontrolleja valvotaan reaaliajassa ja että todisteet syntyvät toiminnan sivutuotteena eikä jälkikäteen koottuina. Tämä suosii yrityksiä, jotka ovat instrumentoineet järjestelmänsä, ja asettaa epäedulliseen asemaan ne, jotka kohtelevat vaatimustenmukaisuutta ajoittaisena kuvakaappausten keräämisharjoituksena.

Yhdentyminen ja sen kitka. Viides malli on, että säädökset alkavat viitata toisiinsa ja vahvistaa toisiaan, mikä on kätevää periaatteessa mutta hankalaa käytännössä. Häiriö, joka laukaisee DORA-raportin, voi olla myös GDPR:n mukainen henkilötietojen loukkaus ja NIS2:n mukainen merkittävä häiriö, kullakin oma määritelmänsä, kynnyksensä ja kellonsa. Yritys, joka on rakentanut yhden häiriöprosessin, joka pystyy täyttämään useita ilmoitusjärjestelmiä yhdestä tosiseikkajoukosta, säästyy saman tapahtuman kolmen selvityksen sovittamisen kiireeltä määräajassa. Yhdentyminen palkitsee yhtenäisen ohjelman ja rankaisee yritystä, joka on pystyttänyt erillisen vasteen jokaiselle sääntelylle.

Käsittele datavirtoja ensisijaisena artefaktina. Vaatimustenmukaisuutta tukeva arkkitehtuuri alkaa tarkasta, ylläpidetystä kartasta siitä, miten data liikkuu: mitä kerätään, missä se lepää, kuka voi ulottua siihen, kuinka kauan se säilyy ja missä se ylittää rajan. Suurin osa sääntelykysymyksistä palautuu kysymyksiin tästä kartasta. Yritys, joka ylläpitää sitä elävänä mallina, jota päivitetään järjestelmien muuttuessa, voi vastata valvojalle päivissä; yritys, joka rekonstruoi sen pyynnöstä, ei voi vastata rehellisesti lainkaan, koska rekonstruktio on arvaus.

Tee kontrollista oletuspolku. Sisäänrakennetun suojauksen taustalla oleva periaate on, että vaatimustenmukaisen käyttäytymisen tulisi olla helpoin käyttäytyminen ja ihanteellisesti ainoa. Pääsy rajoitettuna politiikkamoottoreilla eikä konvention perusteella, säilytys pantuna täytäntöön automatisoiduilla elinkaarisäännöillä eikä muistutuksilla, salaus sovellettuna alustan toimesta eikä kunkin tiimin. Kun kontrolli asuu alustassa, jokainen sovellus perii sen, ja vaatimustenmukaisuuden kustannus laskee jokaisen uuden järjestelmän myötä eikä nouse.

Suunnittele todistetta varten, ei vain oikeellisuutta. Järjestelmä voi käyttäytyä oikein ja silti epäonnistua tarkastuksessa, jos se ei voi osoittaa niin tehneensä. Arkkitehtuurin tulisi tuottaa tietue, joka todistaa kontrollin toimineen: muuttumattomat lokit pääsystä, mallipäätöksistä, datan poistosta, häiriövasteesta. Tämä on ero ominaisuuden väittämisen ja sen osoittamisen välillä, ja nykyisten säädösten nojalla osoittaminen on velvoite.

Rajaa kolmannen osapuolen riski rajalla. Koska kehä ulottuu nyt toimittajiin, arkkitehtuurin on oletettava, että mikä tahansa kolmas osapuoli voi pettää tai vaarantua. Kriittiset riippuvuudet tulisi tunnistaa, vaihtoehdot pitää elinkelpoisina, ja toimittajan pettämisen vaikutussäde rajoittaa suunnittelulla. Sopimuksellisilla vakuuksilla on merkitystä, mutta ne palautetaan jälkikäteen; arkkitehtoninen rajaaminen on se, mikä suojaa yritystä itse tapahtuman aikana.

Suosi peruutettavissa olevia päätöksiä siellä, missä sääntö on vakiintumaton. Siellä missä vaatimusta yhä tulkitaan, arkkitehtuurin tulisi välttää valintoja, joiden peruminen on kallista. Data sijoitettuna tavalla, joka voidaan siirtää, malli kääritty niin että se voidaan vaihtaa, toimittaja integroituna rajapinnan taakse eikä koodikannan läpi: kukin pitää myöhemmän sääntelykäänteen kustannuksen alhaisena. Kuri on erottaa päätökset, jotka on tehtävä nyt, niistä, jotka voidaan lykätä halvalla, ja pitää jälkimmäiset avoimina, kunnes sääntö vakiintuu.

Vaatimustenmukaisuus myöhäisenä porttina. Yleisin ja kallein epäonnistuminen on kohdella vaatimustenmukaisuutta lähellä julkaisua tehtävänä tarkasteluna, sen jälkeen kun arkkitehtuuri on lyöty lukkoon. Siihen mennessä halvat vaihtoehdot ovat poissa, ja valinta on kalliin jälkiasennuksen ja tunnetun altistumisen toimittamisen välillä. Rajoite oli aina tuleva sovellettavaksi; sen lykkääminen vain nosti sen hintaa.

Paperikontrollit. Politiikka, joka kuvaa kontrollia, jota järjestelmät eivät pane täytäntöön, on pahempi kuin ei politiikkaa lainkaan, koska se luo dokumentoidun kuilun väitteen ja todellisuuden välille, jonka sääntelijä lukee joko laiminlyöntinä tai väärintulkintana. Epäonnistuminen on sekoittaa säännön kirjoittaminen sen toteuttamiseen.

Hallintoteatteri. Komiteat, jotka tarkastelevat riskirekistereitä ilman päätösvaltaa, niin että rekisteri kasvaa mutta altistumiset pysyvät. Vastuu, joka ei voi toimia, on vastuu vain nimeltä, ja se tapaa romahtaa juuri silloin, kun todellinen häiriö koettelee sitä.

Kartoittamaton toimitusketju. Yritykset löytävät säännöllisesti häiriön aikana, että ne olivat riippuvaisia toimittajasta, jota ne eivät olleet tunnistaneet kriittiseksi, tai neljännestä osapuolesta, jonka olemassaolosta ne eivät tienneet. Epäonnistuminen on hallita vain allekirjoittamiaan sopimuksia eikä todellisuudessa ajamiaan riippuvuuksia.

Kontrolli, joka kuristaa nopeuden. Vastakkainen epäonnistuminen on yhtä todellinen: vaatimustenmukaisuusjärjestelmä niin raskas, että jokainen muutos vaatii komitean hyväksynnän, ja organisaatio hidastuu, kunnes se ei enää voi vastata markkinoihin. Kontrolli ja nopeus vaihdetaan huonosti, kun kontrolli on manuaalinen ja sovelletaan muutosta kohti; ne sovitetaan yhteen, kun kontrolli on automatisoitu ja sovelletaan alustaa kohti.

Työkalu erehdyksessä ohjelmana. Toistuva virhe on ostaa hallinnon, riskin ja vaatimustenmukaisuuden ohjelmisto ja kohdella ostoa työn valmistumisena. Työkalu kirjaa kontrollit; se ei pane niitä täytäntöön, ja rekisteri kontrolleista, joita järjestelmät eivät toteuta, on paperikontrolliepäonnistuminen lisenssimaksua pukevana. Väline on hyödyllinen vain pääkirjana jo käyttäytyvän järjestelmämaiseman yllä; sen käyttäytymisen korvikkeeksi ostettuna se tuottaa kalliimman illuusion varmuudesta.

Aloitamme kartoittamalla järjestelmämaiseman niitä velvoitteita vasten, jotka siihen todellisuudessa kohdistuvat, sen sijaan että hyväksyisimme geneerisen tarkistuslistan. Mitkä säädökset sitovat tätä yritystä, minkä järjestelmien ja datan yli, ja missä niiden vaatimukset menevät päällekkäin tai ovat ristiriidassa. Lopputulos ei ole politiikka-asiakirja vaan malli: kuva datavirroista, riippuvuuksista ja kontrolleista, varustettuna merkinnällä siitä sääntelyllisestä painoarvosta, jonka kukin kantaa. Tästä mallista tulee yhteinen viitepiste juridiikalle, turvallisuudelle, insinöörityölle ja hallitukselle, niin että sama päättely ohjaa sopimusneuvottelua ja arkkitehtonista päätöstä.

Sieltä työskentelemme siirtääksemme olennaiset rajoitteet suunnitteluprosessiin, niin että ne ovat läsnä valintoja tehtäessä eikä löydettävissä jälkikäteen. Se tarkoittaa sisäänrakennetun suojauksen ja sisäänrakennetun todisteen upottamista alustoihin, joille tiimit rakentavat, niin että jokainen uusi järjestelmä perii kontrollit sen sijaan, että keksisi ne uudelleen. Se tarkoittaa myös rehellisyyttä kontrollin ja nopeuden välisestä vaihtokaupasta ja sen ratkaisemista automaation kautta: kontrolli, joka ajetaan jokaisessa käyttöönotossa ilman ihmistä silmukassa, on sellainen, joka suojaa yritystä hidastamatta sitä.

Vaadimme myös työn järjestämistä altistumisen mukaan eikä helppouden. Kiusaus missä tahansa ohjelmassa on aloittaa yksinkertaisimmin toteutettavista kontrolleista, mikä tuottaa näkyvää edistystä ja jättää suurimmat riskit koskematta. Järjestämme ponnistuksen sen mukaan, missä häiriö tai valvoja sattuisi eniten, hyväksymme, että varhainen työ on siksi vaikeinta, ja mittaamme edistystä poistetun altistumisen mukaan eikä suljettujen tehtävien mukaan.

Käsittelemme vastuuta omana suunnitteluongelmanaan. Jokaiselle merkittävälle riskille määritämme nimetyn omistajan, hänen pitämänsä päätökset ja todisteet, joihin hän tukeutuu, ja rakennamme raportoinnin, joka antaa hallituksen osoittaa valvontaa sen sijaan, että vain väittäisi sitä. Kolmannen osapuolen ja toimitusketjun altistuminen kartoitetaan neljänteen osapuoleen asti siellä missä sillä on merkitystä, kriittiset riippuvuudet tunnistettuna ja rajaaminen suunniteltuna sisään. Kautta linjan suosimme kontrolleja, jotka tuottavat oman todisteensa, koska jatkuvan valvonnan alla kyky todistaa ominaisuus on erottamaton sen omistamisesta.

Työtämme tällä alalla erottaa se, että istumme juridiikan, toiminnallisen ja teknisen liitoskohdassa, ja kieltäydymme antamasta vaatimustenmukaisuuden tulla asiakirjaksi, joka on irrallaan järjestelmistä joita se hallitsee. Suurin osa alan neuvontatyöstä pysähtyy oman tieteenalansa rajalle: juristit tuottavat tulkinnan, konsultit tuottavat politiikan, ja insinöörit jätetään sovittamaan nämä kaksi yhteen ilman valtaa muuttaa kumpaakaan. Luemme sääntelyn ohjeena arkkitehtuurille, käännämme sen kontrolleiksi, jotka alusta panee täytäntöön oletuksena, ja suunnittelemme todisteen, joka todistaa noiden kontrollien toimivan. Tuloksena on yritys, joka voi liikkua nopeasti, koska sen rajoitteita noudatetaan automaattisesti, ja vastata valvojalle luottavaisesti, koska sen vakuudet kuvaavat todellisuutta, jonka se voi osoittaa, eikä väitettä, jonka se toivoo kestävän.

On myös käytännöllinen seuraus, joka muuttaa sen, mitä työn on sallittua olettaa. Kun toimeksianto vaatii kyvykkyyttä, jota ei vielä ole olemassa, sen ei tarvitse odottaa hankintasykliä tai toimittajan tiekarttaa. enterprise platform on rakennettu mukautumaan lähes mihin tahansa ominaisuuteen vauhdilla, agenttipohjaisen insinöörityön kautta: se mitä tarvitaan kuvataan selkeällä kielellä ja generoidaan nopeasti, mutta aina vankkojen arkkitehtuuriperiaatteiden puitteissa ja tiukan laadunvarmistuksen alla, niin että nopeus ei koskaan tule koherenssin, turvallisuuden tai kontrollin kustannuksella. Vaikutus on strateginen eikä pelkästään kätevä. Se siirtää tee tai osta -rajaa, pitää valinnanvapauden halpana ja antaa arkkitehtuurin seurata strategiaa sen sijaan, että strategia taipuisi siihen, mitä sattui olemaan hyllyllä.

Sääntely jatkaa ulottumistaan yhä syvemmälle siihen, miten digitaaliset järjestelmät rakennetaan, ja kuilu niiden yritysten välillä, jotka suunnittelivat sitä varten, ja niiden, jotka lykkäsivät sitä, levenee. Digitaalisen riskin, vaatimustenmukaisuuden ja oikeudellisen altistumisen käsitteleminen suunnitteluparametreina ei ole varovaisuutta; se on ehto rakentaa vauhdilla kerryttämättä altistumista, jota et voi nähdä. Yritykset, jotka ymmärtävät tämän, käyttävät vaatimustenmukaisuuteen vähemmän ajan myötä, eivät enemmän, koska alustaan rakennettu kontrolli maksetaan kerran ja perii sen jokainen sen jälkeinen järjestelmä. Autamme yrityksiä tekemään tuon siirtymän tietoisesti, ennen kuin häiriö tai valvoja tekee sen niiden puolesta.