Digital Risk, Compliance & Legal Advisory
अनुपालन को आमतौर पर महत्वाकांक्षा पर लगे कर के रूप में देखा जाता है: वे अड़चनें जो देर से, किसी अलग टीम द्वारा, ऐसे काम पर लागू की जाती हैं जो पहले ही तय हो चुका होता है. यह नजरिया अब महंगा पड़ता है, क्योंकि जब विनियमन इस बात तक पहुंच जाता है कि सिस्टम कैसे बनाए जाते हैं, डेटा कैसे प्रवाहित होता है और तीसरे पक्षों का शासन कैसे किया जाता है, तो बाद में सुधार करने की लागत सही तरीके से शुरुआत में ही डिजाइन करने की लागत से कहीं तेजी से बढ़ती है. GDPR, EU AI Act, DORA और NIS2 प्रक्रिया, साक्ष्य और जवाबदेही निर्धारित करते हैं, इसलिए डिजिटल जोखिम, अनुपालन और कानूनी जोखिम को अंत के पास लगे किसी द्वार के बजाय डिजाइन मापदंडों के रूप में देखना सबसे उचित है.
वर्तमान स्थिति और यह अभी क्यों मायने रखता है
पिछले लगभग दो दशकों के अधिकांश समय में, डिजिटल कार्य में विनियामक दायित्व दस्तावेजीकरण के जरिए पूरे किए जा सकते थे. कोई फर्म सहमतियां एकत्र करती, एक गोपनीयता सूचना प्रकाशित करती, एक नीति लिखती और, पूछे जाने पर, कागजी दस्तावेज पेश कर देती. सिस्टम वास्तव में डेटा को कैसे संसाधित करते हैं, इसकी बारीकी शायद ही कभी जांची जाती थी, और नीति जो दावा करती और सिस्टम जो वास्तव में करता, उसके बीच का फासला आराम से चौड़ा बना रह सकता था. वह व्यवस्था अब समाप्त हो रही है. यूरोपीय साधनों की हालिया पीढ़ी यह नहीं पूछती कि आपके पास कोई नीति है या नहीं; वह यह पूछती है कि आपके सिस्टम वैसा व्यवहार करते हैं या नहीं जैसा नीति कहती है, और वह अपेक्षा करती है कि आप इसे ऑडिट के समय नहीं, बल्कि निरंतर सिद्ध करें.
कई शक्तियां मिलकर इस बदलाव को शब्दाडंबर के बजाय ठोस बना चुकी हैं. पर्यवेक्षी प्राधिकरण सिद्धांत से हटकर प्रवर्तन की ओर बढ़ चुके हैं, और अब दंड इतने बड़े हैं कि वे पूंजी आवंटन को प्रभावित करते हैं. विनियमन का विषय केवल व्यक्तिगत डेटा से बढ़कर परिचालन लचीलेपन, एल्गोरिथमिक व्यवहार और आपूर्ति श्रृंखला की सुरक्षा तक विस्तृत हो चुका है. और ये साधन नामित अधिकारियों के लिए बढ़ती हुई व्यक्तिगत जवाबदेही अपने साथ लाते हैं, जो बोर्डों के व्यवहार को बदल देती है. जो व्यवस्था किसी कंपनी पर जुर्माना लगाती है वह कारोबार करने की एक लागत है; जो व्यवस्था किसी निदेशक को प्रदर्शनीय निगरानी के लिए जिम्मेदार ठहराती है वह प्रोत्साहन में एक बदलाव है.
इसके बाद बोर्ड के व्यवहार में आने वाले अंतर पर विचार करें. केवल जुर्माने वाली व्यवस्था के तहत, दंड को एक संभावना और लागत के गुणनफल के रूप में देखा जाता है, इसके लिए प्रावधान रखा जाता है, और यदि अपेक्षित मूल्य जोखिम के पक्ष में हो तो उसे सहन कर लिया जाता है. NIS2 और DORA के तहत, प्रबंधन निकायों को निगरानी की पर्याप्तता के लिए व्यक्तिगत रूप से जिम्मेदार ठहराया जा सकता है, और कुछ व्याख्याओं में यह दंड केवल तुलन-पत्र के बजाय व्यक्ति तक पहुंचता है. जिस निदेशक का नाम लिया जा सकता है वह जोखिम को किसी बजट पंक्ति को नहीं सौंप सकता. यही कारण है कि हालिया साधनों ने बोर्ड की बातचीत की दिशा को किसी भी एकल जुर्माने से अधिक बदल दिया है: वे एक अमूर्त कॉर्पोरेट जोखिम को एक व्यक्तिगत जोखिम में बदल देते हैं, और व्यक्तिगत जोखिम ध्यान को इस तरह केंद्रित करता है जैसा कॉर्पोरेट जोखिम शायद ही कभी करता है.
इसका व्यावहारिक परिणाम यह है कि कानूनी जोखिम ऊपर की ओर, डिजाइन के क्षण में, स्थानांतरित हो गया है. डेटा कहां संग्रहीत किया जाए, कौन-सा मॉडल तैनात किया जाए, या किसी महत्वपूर्ण प्रक्रिया में किस आपूर्तिकर्ता को स्वीकार किया जाए, इसका निर्णय अब विनियामक भार वाला निर्णय है, जो उन इंजीनियरों और वास्तुकारों द्वारा लिया जाता है जो शायद इसे ऐसा न समझें. जो फर्में इसे अच्छे ढंग से संभालती हैं वे सबसे बड़े अनुपालन विभागों वाली नहीं हैं. वे वे हैं जिन्होंने प्रासंगिक तर्क को उस कमरे में पहुंचा दिया है जहां तकनीकी विकल्प चुने जाते हैं, ताकि अड़चन तब मौजूद रहे जब उसका पालन करना सबसे सस्ता होता है.
मूल ढांचा या प्रथम सिद्धांत
जोखिम एक पोर्टफोलियो है, चेकलिस्ट नहीं. पहला सिद्धांत यह है कि डिजिटल जोखिम को दायित्व-दर-दायित्व प्रबंधित नहीं किया जा सकता, क्योंकि दायित्व एक-दूसरे से ओवरलैप करते हैं, परस्पर क्रिया करते हैं और कभी-कभी टकराते हैं. GDPR व्यक्तिगत डेटा को नियंत्रित करता है, DORA वित्तीय सेवाओं में परिचालन लचीलेपन को नियंत्रित करता है, NIS2 आवश्यक और महत्वपूर्ण संस्थाओं की सुरक्षा को नियंत्रित करता है, और AI Act जोखिम वर्ग के अनुसार मॉडलों की तैनाती को नियंत्रित करता है. इनमें से कई के अधीन कोई फर्म चार कार्यक्रम नहीं रखती; उसके पास एक ही सिस्टम परिदृश्य होता है जिसके विरुद्ध चार सेट आवश्यकताएं दावा की जाती हैं. उन्हें अलग-अलग प्रबंधित करने से दोहराए गए साक्ष्य, परस्पर विरोधी नियंत्रण और जोड़ों पर खाइयां पैदा होती हैं. विश्लेषण की इकाई सिस्टम परिदृश्य और उसके डेटा प्रवाह हैं, विनियमन नहीं.
अनुपालन सिस्टम का गुण है, दस्तावेजों का नहीं. दूसरा सिद्धांत पहले से निकलता है. यदि कोई नियामक व्यवहार का निरीक्षण कर सकता है, तो वह नियंत्रण जो केवल कागज पर मौजूद है, नियंत्रण नहीं है; वह खोजे जाने की प्रतीक्षा में एक देनदारी है. डिजाइन द्वारा सुरक्षा, जो वाक्यांश GDPR ने प्रस्तुत किया और बाद के साधन जिसे मानकर चलते हैं, का अर्थ है कि वांछित गुण वास्तुकला द्वारा लागू किया जाए: पहुंच सीमित है क्योंकि सिस्टम उसे सीमित करता है, अवधारण समाप्त होता है क्योंकि सिस्टम विलोपित करता है, एक उच्च-जोखिम मॉडल की निगरानी होती है क्योंकि निगरानी अंतर्निहित है. फिर दस्तावेजीकरण किसी वास्तविकता का वर्णन करता है, उसका विकल्प नहीं बनता.
जवाबदेही को स्थित किया जाना चाहिए, वितरित नहीं. तीसरा सिद्धांत यह है कि किसी समिति में फैली हुई जिम्मेदारी वह जिम्मेदारी है जिसे कोई नहीं थामता. प्रभावी शासन प्रत्येक महत्वपूर्ण जोखिम को एक नामित स्वामी को सौंपता है जिसके पास कार्य करने का अधिकार होता है, और यह उन लोगों में अंतर करता है जो निर्णय लेते हैं और जो सलाह देते हैं. ये साधन इसे बढ़ती हुई मात्रा में संहिताबद्ध करते हैं, बोर्डों से निगरानी को सौंपने के बजाय उसे प्रदर्शित करने की मांग करते हैं. एक शासन मॉडल जो किसी भी दिए गए नियंत्रण के लिए यह उत्तर नहीं दे सकता कि उसका स्वामी कौन है और वे किस साक्ष्य पर निर्भर करते हैं, अभी शुरू भी नहीं हुआ है.
विनियमन एक चलता हुआ लक्ष्य है, इसलिए बदलाव के लिए डिजाइन करें. चौथा सिद्धांत यह है कि किसी नियम के एकल संस्करण के अनुसार डिजाइन किया गया कोई भी नियंत्रण उस नियम के संशोधन के बाद टिका नहीं रहेगा. साधनों में संशोधन होते हैं, पर्यवेक्षक उनकी पुनर्व्याख्या करते हैं और प्राथमिक पाठ के बाद आने वाले तकनीकी मानक उन्हें पूरक बनाते हैं. आज जैसा विनियमन है उसके अक्षर से बंधी एक अनुपालन वास्तुकला जब तक बनकर तैयार होगी तब तक अप्रचलित हो चुकी होगी. इसलिए डिजाइन को स्थिर आशय (पहुंच सीमित करना, विलोपन सिद्ध करना, मॉडल की निगरानी करना) को उस विशिष्ट मापदंड से अलग करना चाहिए जो नियामक निर्धारित करता है (अवधारण अवधि, जोखिम सीमा, रिपोर्टिंग विंडो), ताकि मापदंड में बदलाव एक कॉन्फ़िगरेशन का बदलाव हो, न कि पुनर्निर्माण. जो फर्में वर्तमान नियम को हार्ड-कोड कर देती हैं वे अगले संशोधन के लिए दो बार भुगतान करती हैं.
वर्तमान घटनाक्रम और पैटर्न
AI Act एक डिजाइन व्यवस्था के रूप में. सबसे परिणामकारी हालिया घटनाक्रम यह है कि EU AI Act कृत्रिम बुद्धिमत्ता को एक बार प्रमाणित किए जाने वाले उत्पाद के रूप में नहीं, बल्कि शासित की जाने वाली जीवनचक्र के रूप में मानता है. सिस्टम जोखिम के अनुसार वर्गीकृत होते हैं, और उच्च-जोखिम तैनातियां डेटा गुणवत्ता, मानवीय निगरानी, लॉगिंग और पारदर्शिता के दायित्व अपने साथ लाती हैं जो तब तक बने रहते हैं जब तक सिस्टम संचालित रहता है. यहां जो पैटर्न मायने रखता है वह यह है कि यह Act इस बात तक पहुंचता है कि किसी मॉडल को कैसे प्रशिक्षित, मूल्यांकित और निगरानी किया जाता है, जिसका अर्थ है कि अनुपालन का प्रश्न विकास के दौरान आ जाता है और कभी पूरी तरह बंद नहीं होता.
DORA और लचीलेपन की ओर मोड़. वित्तीय सेवाओं में, Digital Operational Resilience Act ने बातचीत को घटनाओं को रोकने से हटाकर उन्हें झेलकर बच निकलने की ओर मोड़ दिया है. यह फर्मों से मांग करता है कि वे व्यवधान झेलने की अपनी क्षमता का परीक्षण करें, महत्वपूर्ण तीसरे पक्षों पर अपनी निर्भरता का मानचित्रण करें, और निर्धारित समय-सीमाओं पर महत्वपूर्ण घटनाओं की रिपोर्ट करें. व्यापक पैटर्न, जो NIS2 में भी दिखाई देता है, यह है कि नियामक अब सुरक्षा को एक आकांक्षा के रूप में स्वीकार नहीं करते; वे इसका साक्ष्य चाहते हैं कि किसी फर्म ने समझौता होने की धारणा बना ली है और उसके लिए तैयारी कर ली है.
आपूर्ति श्रृंखला विस्तृत होती परिधि के रूप में. इन सभी साधनों में, तीसरे पक्ष और आपूर्ति-श्रृंखला जोखिम प्रमुख चिंता बन गया है, क्योंकि आधुनिक परिदृश्य उन सेवाओं से जुड़कर बना है जिन्हें कोई फर्म नियंत्रित नहीं करती. NIS2 दायित्वों को आपूर्ति श्रृंखला में नीचे तक धकेलता है; DORA महत्वपूर्ण ICT प्रदाताओं की निगरानी की मांग करता है; AI Act तैनात करने वालों को उन मॉडलों के लिए जिम्मेदार बनाता है जिन्हें उन्होंने नहीं बनाया. पैटर्न यह है कि जिस परिधि के लिए आप जवाबदेह हैं वह चौड़ी होती जा रही है, आपके स्वामित्व वाली सीमा से कहीं आगे तक.
बिंदु-समय के प्रमाणन के बजाय निरंतर साक्ष्य. यात्रा की दिशा वार्षिक ऑडिट से हटकर निरंतर आश्वासन की ओर है. पर्यवेक्षक बढ़ती हुई मात्रा में यह अपेक्षा करते हैं कि नियंत्रणों की वास्तविक समय में निगरानी हो और साक्ष्य संचालन के उपोत्पाद के रूप में उत्पन्न हो, न कि पिछली तारीख से एकत्र किए जाएं. इससे उन फर्मों को लाभ होता है जिन्होंने अपने सिस्टम को सुसज्जित किया है और उन्हें नुकसान होता है जो अनुपालन को स्क्रीनशॉट जुटाने की आवधिक कवायद के रूप में देखते हैं.
अभिसरण और उसका घर्षण. एक पांचवां पैटर्न यह है कि ये साधन एक-दूसरे को संदर्भित और सुदृढ़ करने लगे हैं, जो सिद्धांत में सुविधाजनक और व्यवहार में असहज है. एक घटना जो DORA रिपोर्ट को सक्रिय करती है वह GDPR के तहत एक व्यक्तिगत-डेटा उल्लंघन और NIS2 के तहत एक महत्वपूर्ण घटना भी हो सकती है, प्रत्येक की अपनी परिभाषा, सीमा और घड़ी के साथ. जिस फर्म ने एक ही घटना प्रक्रिया बनाई है, जो तथ्यों के एक सेट से कई अधिसूचना व्यवस्थाओं को संतुष्ट करने में सक्षम है, वह समय-सीमा के तहत एक ही घटना के तीन विवरणों में तालमेल बिठाने की भागदौड़ से बच जाती है. अभिसरण एक एकीकृत कार्यक्रम को पुरस्कृत करता है और उस फर्म को दंडित करता है जिसने प्रत्येक विनियमन के लिए एक अलग प्रतिक्रिया खड़ी की है.
वास्तुकला और डिजाइन सिद्धांत जो इसे कारगर बनाते हैं
डेटा प्रवाहों को प्राथमिक कलाकृति के रूप में मानें. अनुपालन का समर्थन करने वाली वास्तुकला इस बात के एक सटीक, अनुरक्षित मानचित्र से शुरू होती है कि डेटा कैसे चलता है: क्या एकत्र किया जाता है, यह कहां टिकता है, इसे कौन पहुंच सकता है, यह कितने समय तक टिकता है और यह कहां किसी सीमा को पार करता है. अधिकांश विनियामक प्रश्न इस मानचित्र के बारे में प्रश्नों में सिमट जाते हैं. जो फर्म इसे एक जीवंत मॉडल के रूप में अनुरक्षित करती है, सिस्टम बदलने के साथ अद्यतन करती है, वह किसी पर्यवेक्षक को दिनों में उत्तर दे सकती है; जो फर्म इसे मांग पर पुनर्निर्मित करती है वह बिल्कुल भी ईमानदारी से उत्तर नहीं दे सकती, क्योंकि वह पुनर्निर्माण एक अनुमान है.
नियंत्रण को डिफ़ॉल्ट पथ बनाएं. डिजाइन द्वारा सुरक्षा के पीछे का सिद्धांत यह है कि अनुपालक व्यवहार सबसे आसान व्यवहार होना चाहिए, और आदर्श रूप से एकमात्र. पहुंच परंपरा के बजाय नीति इंजनों द्वारा सीमित हो, अवधारण अनुस्मारकों के बजाय स्वचालित जीवनचक्र नियमों द्वारा लागू हो, एन्क्रिप्शन प्रत्येक टीम के बजाय प्लेटफॉर्म द्वारा लागू हो. जब नियंत्रण प्लेटफॉर्म में रहता है, तो हर एप्लिकेशन उसे विरासत में पाता है, और अनुपालन की लागत हर नए सिस्टम के साथ बढ़ने के बजाय घटती है.
केवल शुद्धता के लिए नहीं, साक्ष्य के लिए डिजाइन करें. एक सिस्टम सही व्यवहार कर सकता है और फिर भी ऑडिट में असफल हो सकता है यदि वह यह नहीं दिखा सकता कि उसने ऐसा किया. वास्तुकला को वह अभिलेख उत्सर्जित करना चाहिए जो सिद्ध करे कि नियंत्रण संचालित हुआ: पहुंच के, मॉडल निर्णयों के, डेटा विलोपन के, घटना प्रतिक्रिया के अपरिवर्तनीय लॉग. यही किसी गुण का दावा करने और उसे प्रदर्शित करने के बीच का अंतर है, और वर्तमान साधनों के तहत प्रदर्शन ही दायित्व है.
तीसरे पक्ष के जोखिम को सीमा पर रोकें. चूंकि परिधि अब आपूर्तिकर्ताओं तक फैल जाती है, वास्तुकला को यह मानकर चलना चाहिए कि कोई भी दिया गया तीसरा पक्ष विफल हो सकता है या उससे समझौता हो सकता है. महत्वपूर्ण निर्भरताओं की पहचान की जानी चाहिए, विकल्पों को व्यवहार्य रखा जाना चाहिए, और किसी आपूर्तिकर्ता की विफलता के प्रभाव-क्षेत्र को डिजाइन द्वारा सीमित रखा जाना चाहिए. संविदात्मक आश्वासन मायने रखते हैं, लेकिन वे घटना के बाद वसूले जाते हैं; वास्तुशिल्प नियंत्रण वह है जो घटना के दौरान ही फर्म की रक्षा करता है.
जहां नियम अनिश्चित है वहां प्रतिवर्ती निर्णयों को प्राथमिकता दें. जहां किसी आवश्यकता की अभी भी व्याख्या हो रही है, वहां वास्तुकला को उन विकल्पों से बचना चाहिए जिन्हें पूर्ववत करना महंगा है. डेटा इस तरह स्थानीयकृत किया जाए कि उसे पुनर्स्थापित किया जा सके, एक मॉडल इस तरह लपेटा जाए कि उसे बदला जा सके, एक आपूर्तिकर्ता को कोडबेस के माध्यम से नहीं बल्कि एक इंटरफेस के पीछे एकीकृत किया जाए: इनमें से प्रत्येक बाद के विनियामक मोड़ की लागत को कम रखता है. अनुशासन यह है कि उन निर्णयों में अंतर किया जाए जो अभी लिए ही जाने चाहिए और उनमें जिन्हें सस्ते में टाला जा सकता है, और बाद वालों को तब तक खुला रखा जाए जब तक नियम स्थिर न हो जाए.
सामान्य विफलता के तरीके
अनुपालन एक देर से लगने वाले द्वार के रूप में. सबसे आम और सबसे महंगी विफलता अनुपालन को रिलीज के पास आयोजित एक समीक्षा के रूप में मानना है, वास्तुकला तय हो जाने के बाद. तब तक सस्ते विकल्प जा चुके होते हैं, और चुनाव एक महंगे पुनर्निर्माण और एक ज्ञात जोखिम के साथ रिलीज करने के बीच होता है. अड़चन हमेशा लागू होने ही वाली थी; उसे टालने से केवल उसकी कीमत बढ़ी.
कागजी नियंत्रण. एक नीति जो ऐसे नियंत्रण का वर्णन करती है जिसे सिस्टम लागू नहीं करते, किसी नीति न होने से भी बदतर है, क्योंकि यह दावे और वास्तविकता के बीच एक प्रलेखित खाई पैदा करती है जिसे कोई नियामक या तो लापरवाही या गलतबयानी के रूप में पढ़ेगा. विफलता एक नियम लिख देने को एक नियम लागू कर देने के साथ भ्रमित करना है.
शासन का दिखावा. ऐसी समितियां जो निर्णय अधिकार रखे बिना जोखिम रजिस्टरों की समीक्षा करती हैं, इसलिए रजिस्टर बढ़ता है जबकि जोखिम बने रहते हैं. जो जवाबदेही कार्य नहीं कर सकती वह केवल नाम की जवाबदेही है, और वह ठीक तब ढह जाती है जब कोई वास्तविक घटना उसकी परीक्षा लेती है.
अमानचित्रित आपूर्ति श्रृंखला. फर्में अक्सर किसी घटना के दौरान यह पाती हैं कि वे किसी ऐसे आपूर्तिकर्ता पर निर्भर थीं जिसे उन्होंने महत्वपूर्ण के रूप में पहचाना नहीं था, या किसी चौथे पक्ष पर जिसके अस्तित्व का उन्हें पता नहीं था. विफलता केवल उन अनुबंधों को शासित करना है जिन पर आपने हस्ताक्षर किए, न कि उन निर्भरताओं को जिन्हें आप वास्तव में चलाते हैं.
ऐसा नियंत्रण जो गति का गला घोंट दे. उल्टी विफलता भी उतनी ही वास्तविक है: एक अनुपालन व्यवस्था इतनी भारी कि हर बदलाव के लिए समिति की मंजूरी चाहिए, और संगठन तब तक धीमा हो जाता है जब तक वह बाजार के प्रति प्रतिक्रिया नहीं दे पाता. नियंत्रण और गति का सौदा तब बुरी तरह होता है जब नियंत्रण मैनुअल हो और प्रति बदलाव लागू हो; वे तब मेल खाते हैं जब नियंत्रण स्वचालित हो और प्रति प्लेटफॉर्म लागू हो.
उपकरण को कार्यक्रम समझ बैठना. एक बार-बार होने वाली गलती शासन, जोखिम और अनुपालन सॉफ्टवेयर का एक टुकड़ा खरीदना और उस खरीद को काम के पूरा होने के रूप में मान लेना है. उपकरण नियंत्रणों को अभिलेखित करता है; वह उन्हें लागू नहीं करता, और नियंत्रणों का एक रजिस्टर जिसे सिस्टम लागू नहीं करते, कागजी-नियंत्रण की विफलता ही है जो एक लाइसेंस शुल्क पहने हुए है. यह साधन केवल एक ऐसे सिस्टम परिदृश्य के ऊपर एक बहीखाते के रूप में उपयोगी है जो पहले से ही ठीक व्यवहार करता है; उस व्यवहार के विकल्प के रूप में खरीदा जाए, तो यह आश्वासन का एक अधिक महंगा भ्रम पैदा करता है.
हम कैसे काम करते हैं
हम एक सामान्य चेकलिस्ट स्वीकार करने के बजाय सिस्टम परिदृश्य का उन दायित्वों के विरुद्ध मानचित्रण करके शुरू करते हैं जो वास्तव में उस पर लागू होते हैं. कौन-से साधन इस फर्म को, किन सिस्टमों और डेटा पर बांधते हैं, और उनकी आवश्यकताएं कहां ओवरलैप या टकराती हैं. परिणाम एक नीति दस्तावेज नहीं बल्कि एक मॉडल है: डेटा प्रवाहों, निर्भरताओं और नियंत्रणों का एक चित्र, प्रत्येक द्वारा वहन किए जाने वाले विनियामक भार के साथ टिप्पणीबद्ध. यह मॉडल कानूनी, सुरक्षा, इंजीनियरिंग और बोर्ड के लिए साझा संदर्भ बन जाता है, ताकि वही तर्क किसी अनुबंध वार्ता और किसी वास्तुशिल्प निर्णय को सूचित करे.
वहां से हम प्रासंगिक अड़चनों को डिजाइन प्रक्रिया में लाने की दिशा में काम करते हैं, ताकि वे तब मौजूद रहें जब विकल्प चुने जाते हैं, बजाय इसके कि बाद में खोजी जाएं. इसका अर्थ है डिजाइन द्वारा सुरक्षा और डिजाइन द्वारा साक्ष्य को उन प्लेटफॉर्मों में अंतर्निहित करना जिन पर टीमें निर्माण करती हैं, ताकि हर नया सिस्टम नियंत्रणों को पुनराविष्कृत करने के बजाय उन्हें विरासत में पाए. इसका अर्थ नियंत्रण और गति के बीच के सौदे के बारे में ईमानदार होना और उसे स्वचालन के जरिए हल करना भी है: एक नियंत्रण जो हर तैनाती पर बिना किसी मानव की भागीदारी के चलता है, वह ऐसा है जो फर्म को धीमा किए बिना उसकी रक्षा करता है.
हम काम को आसानी के बजाय जोखिम के अनुसार क्रमबद्ध करने पर भी जोर देते हैं. किसी भी कार्यक्रम में प्रलोभन उन नियंत्रणों से शुरू करने का होता है जिन्हें लागू करना सबसे सरल है, जो दृश्यमान प्रगति पैदा करता है और सबसे बड़े जोखिमों को अछूता छोड़ देता है. हम प्रयास को इस अनुसार क्रमबद्ध करते हैं कि कोई घटना या पर्यवेक्षक कहां सबसे अधिक चोट पहुंचाएगा, इसे स्वीकार करते हैं कि इसलिए आरंभिक काम सबसे कठिन है, और प्रगति को बंद किए गए कार्यों के बजाय समाप्त किए गए जोखिम से मापते हैं.
हम जवाबदेही को अपने आप में एक डिजाइन समस्या के रूप में मानते हैं. प्रत्येक महत्वपूर्ण जोखिम के लिए हम एक नामित स्वामी, वे जो निर्णय थामते हैं, और जिस साक्ष्य पर वे निर्भर करते हैं, स्थापित करते हैं, और हम वह रिपोर्टिंग बनाते हैं जो किसी बोर्ड को निगरानी को केवल दावा करने के बजाय प्रदर्शित करने देती है. तीसरे पक्ष और आपूर्ति-श्रृंखला जोखिम को वहां तक जहां यह मायने रखता है चौथे पक्ष तक मानचित्रित किया जाता है, महत्वपूर्ण निर्भरताओं की पहचान और नियंत्रण को डिजाइन में शामिल करके. आद्योपांत, हम उन नियंत्रणों को प्राथमिकता देते हैं जो अपना साक्ष्य स्वयं उत्पन्न करते हैं, क्योंकि निरंतर पर्यवेक्षण के तहत किसी गुण को सिद्ध करने की क्षमता उसके होने से अविभाज्य है.
Nashua कहां फर्क पैदा करता है
इस क्षेत्र में हमारे काम को जो अलग करता है वह यह है कि हम कानूनी, परिचालन और तकनीकी के जोड़ पर बैठते हैं, और हम अनुपालन को उन सिस्टमों से अलग हुए दस्तावेज बनने देने से इनकार करते हैं जिन्हें वह शासित करता है. इस क्षेत्र में अधिकांश परामर्श कार्य अपने अनुशासन की सीमा पर रुक जाता है: वकील एक व्याख्या पेश करते हैं, सलाहकार एक नीति पेश करते हैं, और इंजीनियरों को दोनों में तालमेल बिठाने के लिए छोड़ दिया जाता है, बिना किसी एक को बदलने के अधिकार के. हम किसी विनियमन को वास्तुकला के लिए एक निर्देश के रूप में पढ़ते हैं, उसे ऐसे नियंत्रणों में अनुवादित करते हैं जिन्हें प्लेटफॉर्म डिफ़ॉल्ट रूप से लागू करता है, और वह साक्ष्य डिजाइन करते हैं जो सिद्ध करता है कि वे नियंत्रण संचालित होते हैं. परिणाम एक ऐसी फर्म है जो तेजी से आगे बढ़ सकती है क्योंकि उसकी अड़चनों का स्वचालित रूप से पालन होता है, और किसी पर्यवेक्षक को आत्मविश्वास से उत्तर दे सकती है क्योंकि उसके आश्वासन एक ऐसी वास्तविकता का वर्णन करते हैं जिसे वह प्रदर्शित कर सकती है, न कि एक ऐसे दावे का जिसके टिके रहने की वह उम्मीद करती है.
एक व्यावहारिक उपसिद्धांत भी है जो बदल देता है कि काम को क्या मानकर चलने की अनुमति है. जब किसी कार्य को ऐसी क्षमता की आवश्यकता होती है जो अभी मौजूद नहीं है, तो उसे किसी खरीद चक्र या किसी विक्रेता के रोडमैप की प्रतीक्षा नहीं करनी पड़ती. enterprise platform को इस तरह बनाया गया है कि वह लगभग किसी भी फीचर को तेजी से समायोजित कर सके, agentic engineering के जरिए: जो आवश्यक है उसे सामान्य भाषा में वर्णित किया जाता है और तेजी से उत्पन्न किया जाता है, लेकिन हमेशा दृढ़ वास्तुकला सिद्धांतों के भीतर और कठोर गुणवत्ता आश्वासन के तहत, ताकि गति कभी सुसंगतता, सुरक्षा या नियंत्रण की कीमत पर न आए. प्रभाव केवल सुविधाजनक होने के बजाय रणनीतिक है. यह बनाओ-या-खरीदो की रेखा को खिसकाता है, विकल्पशीलता को सस्ता रखता है, और वास्तुकला को रणनीति का अनुसरण करने देता है, बजाय इसके कि रणनीति उसके सामने झुके जो संयोगवश किसी शेल्फ पर मौजूद था.
विनियमन इस बात में और आगे तक पहुंचता रहेगा कि डिजिटल सिस्टम कैसे बनाए जाते हैं, और उन फर्मों के बीच का फासला जिन्होंने इसके लिए डिजाइन किया और जिन्होंने इसे टाल दिया, चौड़ा होता जाएगा. डिजिटल जोखिम, अनुपालन और कानूनी जोखिम को डिजाइन मापदंडों के रूप में मानना सावधानी नहीं है; यह ऐसे जोखिम को जमा किए बिना तेजी से निर्माण करने की शर्त है जिसे आप देख नहीं सकते. जो फर्में इसे समझती हैं वे समय के साथ अनुपालन पर कम खर्च करेंगी, अधिक नहीं, क्योंकि प्लेटफॉर्म में निर्मित एक नियंत्रण के लिए एक बार भुगतान किया जाता है और उसे उसके बाद का हर सिस्टम विरासत में पाता है. हम फर्मों को यह बदलाव सोच-समझकर करने में मदद करते हैं, इससे पहले कि कोई घटना या पर्यवेक्षक उनके लिए यह कर दे.