Το Μοντέλο Τριών Γραμμών αποτελεί εδώ και πολλά χρόνια δομικό στοιχείο του Συστήματος Εσωτερικού Ελέγχου και της Εταιρικής Διακυβέρνησης των οργανισμών διεθνώς. Για δεκαετίες, αυτό το πλαίσιο έχει διαχωρίσει την ιδιοκτησία κινδύνου, την εποπτεία και την ανεξάρτητη διασφάλιση. Ωστόσο, η άνευ προηγουμένου ταχύτητα και κλίμακα υιοθέτησης της τεχνητής νοημοσύνης (AI) έχουν ξεκινήσει μια βαθιά αλλαγή. Το παραδοσιακό μοντέλο δημιουργήθηκε για έναν πιο αργό, ντετερμινιστικό κόσμο που διέπεται από τυποποιημένες ροές εργασίας, περιοδικές δοκιμές και αναδρομικές αναφορές. Σήμερα, τα μοντέλα τεχνητής νοημοσύνης (π.χ. autonomous AI agents) λειτουργούν δυναμικά, αλλάζοντας το τοπίο κινδύνων σε κλάσματα δευτερολέπτου και καθιστώντας τα περιβάλλοντα στατικού ελέγχου παρωχημένα.
Σύμφωνα με πρόσφατες έρευνες, πάνω από το 70% των ηγετών μεσαίων ή μεγάλων επιχειρήσεων αναφέρουν ότι οι οργανισμοί τους αναπτύσσουν ενεργά ή δοκιμάζουν ροές εργασίας με τεχνητή νοημοσύνη, ωστόσο λιγότεροι από το 35% αισθάνονται σίγουροι ότι τα υπάρχοντα πλαίσια διαχείρισης κινδύνων τους μπορούν να διαχειριστούν αποτελεσματικά πρακτικές όπως algorithmic anomalies, data drift, or model bias. Επιπλέον, πρόσφατες ακαδημαϊκές και θεσμικές μελέτες αποκαλύπτουν ότι οι παραδοσιακές εταιρικές δομές υποφέρουν από σοβαρά κενά τεχνογνωσίας, με περισσότερο από το 60% των λειτουργιών συμμόρφωσης δεύτερης γραμμής να μην διαθέτουν τις προηγμένες τεχνικές δεξιότητες που απαιτούνται για την ερμηνεία της λογικής μηχανικής μάθησης.
Οι προκλήσεις στις τρεις γραμμές
Η τεχνητή νοημοσύνη δεν προσθέτει απλώς νέα στοιχεία γραμμής στα μητρώα κινδύνων, «προκαλεί» συστηματικά τα στεγανά που καθορίζουν το παραδοσιακό μοντέλο.
- Η πρώτη γραμμή (risk owners): από στατικές σε πραγματικού χρόνου δικλείδες ασφαλείας. Παραδοσιακά, η πρώτη γραμμή κατέχει και διαχειρίζεται τον κίνδυνο εκτελώντας προκαθορισμένους ελέγχους. Με την τεχνητή νοημοσύνη, οι επιχειρησιακές μονάδες αναπτύσσουν αλγόριθμους αυτομάθησης που επεξεργάζονται τεράστια σύνολα δεδομένων. Σε αυτό το περιβάλλον, η διαχείριση κινδύνου δεν μπορεί να είναι μια περιοδική λίστα ελέγχου. Η πρώτη γραμμή πρέπει να κατέχει την ακεραιότητα των συνόλων δεδομένων εκπαίδευσης και να παρακολουθεί συνεχώς τα αποτελέσματα του μοντέλου για δομική μετατόπιση. Όταν ένας λειτουργικός έλεγχος ενσωματώνεται απευθείας σε μια ροή εργασιών AI, η επιχειρηματική μονάδα αναλαμβάνει έναν ρόλο που απαιτεί συνεχή τεχνική επικύρωση, μεταμορφώνοντας θεμελιωδώς τι σημαίνει να «κατέχεις» τον κίνδυνο. Επίσης η ευθύνη του κινδύνου (risk ownership) πλέον δεν είναι ξεκάθαρη, καθώς εμπλέκονται πολλά μέρη (data owners, product teams, third party model providers, κλπ.)
- Η δεύτερη γραμμή (risk oversight): Η στροφή στην Ενσωματωμένη Διακυβέρνηση. Η δεύτερη γραμμή παραδοσιακά στοχεύει στη θέσπιση πολιτικών διαχείρισης κινδύνων, τον καθορισμό ορίων (risk appetite), τη συμμόρφωση με κανονιστικές απαιτήσεις και την παρακολούθηση εφαρμογής από την πρώτη γραμμή. Ωστόσο, η μη γραμμική φύση της τεχνητής νοημοσύνης σημαίνει ότι ένα μοντέλο μπορεί να συμμορφώνεται με πολιτικές που βασίζονται σε κείμενο κατά τη διάρκεια του σχεδιασμού, αλλά να παρουσιάζει μεροληπτικές συμπεριφορές κατά το χρόνο εκτέλεσης. Επίσης, η τεκμηρίωση πολιτικών και διαδικασιών και μοντέλων λειτουργίας δεν μπορεί να υποστηρίξει ένα δυναμικό μοντέλο, γεγονός που δημιουργεί προβληματισμούς για την κανονιστική συμμόρφωση, που βασίζεται σε επαρκή τεκμηρίωση (explainability and traceability).
- Η Τρίτη Γραμμή (Εσωτερικός Έλεγχος): Οι προκλήσεις για αποτελεσματική διασφάλιση. Για τους Εσωτερικούς Ελεγκτές, η πρόκληση είναι διαρθρωτική. Η παραδοσιακή εντολή είναι να παρέχουν μια ανεξάρτητη, αντικειμενική διασφάλιση μέσω δειγματοληπτικών δοκιμών ιστορικών ελέγχων. Αλλά πώς μπορείτε να δοκιμάσετε έναν αυτόνομο πράκτορα AI agent που χειρίζεται εκατομμύρια αυτοματοποιημένες αποφάσεις την ώρα; Εάν περιμένουμε έναν ετήσιο κύκλο ελέγχου για να επανεξετάσουμε ένα σύστημα τεχνητής νοημοσύνης, μια μεμονωμένη μη παρακολουθούμενη αλγοριθμική μετατόπιση θα μπορούσε να προκαλέσει σοβαρή οικονομική ζημιά ή ζημιά στη φήμη πολύ πριν ξεκινήσει η ελεγκτική εργασία.
Τα παραπάνω καταδεικνύουν τις προκλήσεις που εντάσσει η τεχνητή νοημοσύνη στον τρόπο λειτουργίας των τριών γραμμών άμυνας, τη δυναμικότητα των νέων μοντέλων λειτουργίας και το συνεχώς μεταβαλλόμενο περιβάλλον κινδύνων. Καθίσταται πλέον πολύ δύσκολο να υπάρχει πλέον «επαρκή τεκμηρίωση», τα όρια μεταξύ των υπευθύνων κινδύνου δεν είναι τόσο διακριτά, και η εποπτεία και συμμόρφωση ακολουθεί των νέων εξελίξεων. Πως μπορεί ένα σημερινό λειτουργικό μοντέλο λειτουργίας να συμμορφωθεί αποτελεσματικά με κανόνες διακυβέρνησης ή συστήματος εσωτερικού ελέγχου που έχει θεσπιστεί έστω και λίγα χρόνια πριν αλλά δεν λαμβάνει υπόψη τις ΑΙ εξελίξεις;
Οι λεπτές γραμμές μεταξύ των τριών γραμμών άμυνας εξελίσσονται και προσαρμόζονται. Θέματα όπως risk ownership, dynamic monitoring και embedded governance θα μας απασχολήσει αρκετά στο μέλλον. Η πολυπλοκότητα των σημερινών μοντέλων λειτουργίας των επιχειρήσεων μπορεί να σημαίνει αυξημένη πολυπλοκότητα στα μοντέλα αναφοράς (π.χ. οριζόντιες γραμμές διαχωρισμού και embedded μοντέλα διακυβέρνησης;) ή μοντέλα που θέτουν τις βάσεις διακυβέρνησης σε υψηλό επίπεδο, και συμπληρώνονται από ειδικευμένους οδηγούς (guidelines) που ενημερώνονται πολύ συχνά (και με ΑΙ; chic!).
Ειδικά για τον Εσωτερικό Έλεγχο, οι προκλήσεις είναι πολλαπλές σε όλους τους τομείς των εργασιών του. Πως προγραμματίζουμε ελεγκτικά έργα, αρκεί ο π.χ. τριετής κύκλος; Πως διεξάγουμε ελεγκτικά έργα σε τεχνολογικούς τομείς και λειτουργίες των οργανισμών που βασίζονται σε ΑΙ; Πως βρίσκουμε ή αναπτύσσουμε τους εσωτερικούς ελεγκτές για να έχουν τις κατάλληλες δεξιότητες; Πως διατηρούμε την ισορροπία μεταξύ σύντομων ελεγκτικών έργων, με χρήση και ΑΙ, αλλά ταυτόχρονα και βαθιά διασφάλιση προς τη Διοίκηση ότι οι σημαντικότεροι κίνδυνοι διαχειρίζονται επαρκώς;
Οι εξελίξεις είναι σημαντικές και πραγματικά μετασχηματίζουν τον κλάδο μας με σημαντική ταχύτητα. Τα ερωτήματα αυτά συζητούμε συχνά με τους πελάτες μας και σχεδιάζουμε λύσεις για αποτελεσματικά μοντέλα λειτουργίας, σε ένα συνεχώς μεταβαλλόμενο επιχειρηματικό περιβάλλον κινδύνων και απαιτήσεις συμμόρφωσης.
