ความพร้อมด้านการบริหารความเสี่ยง AI

เราตรวจว่ากระบวนการบริหารความเสี่ยงที่องค์กรใช้อยู่ มองเห็น AI ที่องค์กรใช้งานอยู่แล้วหรือไม่ ไม่ว่าจะเป็นโมเดล, API key, AI agent, ผู้ให้บริการ และฟังก์ชัน AI ที่อยู่เบื้องหลังกระบวนการทางธุรกิจ จากนั้นเราช่วยบันทึกส่วนที่ขาดลงในทะเบียน การวิเคราะห์ผลกระทบทางธุรกิจ (BIA) และแผนความต่อเนื่องทางธุรกิจ (BCP) ที่องค์กรมีอยู่แล้ว ไม่ต้องสร้างกรอบการทำงานใหม่ และไม่ต้องตั้งคณะกรรมการใหม่

ตรวจสอบย้อนกลับได้ทุกผลการประเมินระบุที่มา

ใช้เอกสารเดิมทะเบียน BIA และ BCP ที่องค์กรมีอยู่แล้ว

ไม่ต้องเข้าถึงระบบในขั้นเริ่มต้น

เป็นอิสระระบุผลลัพธ์ ไม่ระบุผลิตภัณฑ์

คำถามที่งานนี้ตอบ

หากผู้ให้บริการ AI หลักขององค์กรหยุดให้บริการในวันพรุ่งนี้ กระบวนการทางธุรกิจใดบ้างจะหยุดชะงัก และคำตอบนั้นมีบันทึกอยู่ในทะเบียนขององค์กรแล้วหรือไม่

Before and after view of four records: the IT asset register, the third-party register, the business impact analysis and the business continuity plan. On the left, today, each record has an empty row marked no AI rows, and the answer box reads "We don't know." On the right, after the work, each record has one AI row: model, version, key and owner; provider, contract and exit option; three processes that depend on the provider; and an outage scenario with a reduced mode and who switches. Lines from the four rows lead to the answer: three processes stop, customer chat assistant, loan document reading and credit memo drafting, each with an owner and a reduced mode. — เอกสารสี่รายการชุดเดิม ก่อนและหลัง คำตอบจะมีได้ก็ต่อเมื่อมีรายการ AI อยู่ในเอกสารเหล่านั้น

ภาพเปรียบเทียบก่อนและหลังของเอกสารสี่รายการ ได้แก่ ทะเบียนทรัพย์สินด้าน IT ทะเบียนบุคคลภายนอก การวิเคราะห์ผลกระทบทางธุรกิจ และแผนความต่อเนื่องทางธุรกิจ ด้านซ้ายคือวันนี้ แต่ละรายการมีแถวว่างที่ระบุว่ายังไม่มีรายการ AI และกล่องคำตอบระบุว่ายังตอบไม่ได้ ด้านขวาคือหลังทำงานร่วมกัน แต่ละรายการมีแถว AI หนึ่งแถว ได้แก่ โมเดล เวอร์ชัน คีย์ และเจ้าของ ผู้ให้บริการ สัญญา และทางเลือกในการยกเลิก สามกระบวนการที่พึ่งพาผู้ให้บริการรายนี้ และสถานการณ์ขัดข้องพร้อมรูปแบบการดำเนินงานแบบจำกัดและผู้มีอำนาจสั่งสลับ เส้นจากทั้งสี่แถวนำไปสู่คำตอบว่า สามกระบวนการจะหยุด ได้แก่ ผู้ช่วยแชตสำหรับลูกค้า การอ่านเอกสารสินเชื่อ และการร่างบันทึกเสนอสินเชื่อ โดยแต่ละกระบวนการมีเจ้าของและรูปแบบการดำเนินงานแบบจำกัดรองรับ — เอกสารสี่รายการชุดเดิม ก่อนและหลัง คำตอบจะมีได้ก็ต่อเมื่อมีรายการ AI อยู่ในเอกสารเหล่านั้น

องค์กรส่วนใหญ่ยังไม่สามารถตอบคำถามทั้งสองข้อนี้ได้ทันทีจากเอกสารที่มีอยู่ เพราะ AI เข้าสู่องค์กรผ่านช่องทางที่ทะเบียนไม่ได้ติดตาม ได้แก่ พนักงานใช้ Generative AI สาธารณะ ฟังก์ชัน AI ที่เปิดใช้อยู่ในซอฟต์แวร์ที่องค์กรมีสิทธิ์ใช้งาน และ API key หรือรายการชำระเงินค่าบริการ AI ที่ไม่มีใครบันทึกไว้ ตราบใดที่ทะเบียน BIA และ BCP ยังไม่แสดงการพึ่งพาเหล่านี้ ก็ไม่มีใครบอกได้ว่ากระบวนการใดจะหยุด เมื่อผู้ให้บริการ AI ขัดข้องหรือเปลี่ยนโมเดล

องค์กรที่อยู่ภายใต้การกำกับดูแลมีเอกสารที่งานนี้ต้องใช้อยู่แล้ว ทั้งธนาคาร รัฐวิสาหกิจ หน่วยงานภาครัฐ และบริษัทจดทะเบียน ต่างมีการบริหารความเสี่ยงและแผนความต่อเนื่องทางธุรกิจ (BCP) และมีผู้ตรวจสอบเอกสารเหล่านั้น ไม่ว่าจะเป็นหน่วยงานกำกับดูแล หน่วยงานที่ทำหน้าที่ตรวจติดตาม หรือคณะกรรมการตรวจสอบ และทุกองค์กรอยู่ภายใต้ พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล สิ่งที่ใหม่คือ AI ในเอกสารเหล่านั้น ไม่ใช่ตัวเอกสาร ภาคธนาคารไทยเป็นตัวอย่างชัดเจนว่าเกณฑ์ที่มีอยู่รองรับเรื่องนี้ไว้แล้วเพียงใด ประกาศ ธปท. เรื่องความเสี่ยงด้าน IT กำหนดให้มีทะเบียนทรัพย์สินด้าน IT ที่ครบถ้วน และให้เตรียมความต่อเนื่องของบริการจากบุคคลภายนอก ส่วนแนวนโยบาย AI ของ ธปท. ให้ระบุและติดตามความเสี่ยงจากการใช้ AI ส่วนการกำกับดูแลภาคการเงิน MAS ของสิงคโปร์แสดงทิศทางของเกณฑ์ในระยะถัดไป พร้อมกำหนดวันที่ชัดเจน

งานนี้เหมาะกับใคร

ผู้สนับสนุนโครงการ: CIO, CDO, CISO หรือ DPO ซึ่งเป็นผู้ถืองบประมาณและดูแลระบบ
ผู้ร่วมรับฟังผล: CRO และหัวหน้าหน่วยงานตรวจสอบภายใน เพราะผลงานจะบันทึกลงในทะเบียน BIA และ BCP ที่ทั้งสองฝ่ายดูแล
กลุ่มองค์กร: ธนาคารและสถาบันการเงินเฉพาะกิจ ผู้ประกอบธุรกิจการชำระเงินภายใต้การกำกับ บริษัทจดทะเบียน และรัฐวิสาหกิจ ที่ใช้ AI ในกระบวนการทำงานจริง

สิ่งที่องค์กรจะได้รับ

Heat map แสดงความครอบคลุมด้านความเสี่ยง AI ขององค์กร แต่ละด้านแสดงสถานะแดง เหลือง หรือเขียว เทียบกับเกณฑ์ของไทยที่ใช้บังคับกับองค์กร และเทียบกับเกณฑ์อ้างอิงสากลที่เป็นที่ยอมรับในเรื่องที่เกณฑ์ของไทยยังไม่ได้กำหนด โดยไม่มีคะแนนรวม เพราะค่าเฉลี่ยจะบดบังด้านที่เป็นสีแดง
ที่มาของทุกผลการประเมิน สำหรับทุกด้านที่เป็นสีแดงหรือเหลือง เราระบุว่าตรวจอะไร พบอะไร และผลนั้นอ้างอิงจากเอกสารที่เราได้เห็นหรือจากคำตอบที่ได้รับ ผู้ตรวจสอบขององค์กรจึงตรวจสอบย้อนกลับได้ทุกรายการ
การตรวจสอบเฉพาะจุดที่บุคลากรขององค์กรดำเนินการเอง ครอบคลุมการใช้ Generative AI สาธารณะ ฟังก์ชัน AI ในซอฟต์แวร์ที่มีสิทธิ์ใช้งาน และ API key หรือรายการชำระเงินค่าบริการ AI ที่ไม่อยู่ในทะเบียนใด ผลที่ได้เป็นตัวเลขจำนวนรายการ แยกตามเครื่องมือและหน่วยงาน
ผลลัพธ์ที่ต้องบรรลุเรียงตามลำดับความสำคัญ ไม่ใช่รายการจัดซื้อ แต่ละรายการผูกกับช่องว่างที่ต้องปิด และเขียนในรูปที่ผู้ให้บริการรายใดก็นำไปดำเนินการได้ หากช่องว่างใดต้องประเมินเชิงลึกก่อน เราจะระบุไว้ และผล "ไม่จำเป็นต้องดำเนินการเพิ่มเติม" ถือเป็นผลที่ใช้ได้
การนำเสนอผล แก่ผู้สนับสนุนโครงการ โดยเชิญ CRO และหัวหน้าหน่วยงานตรวจสอบภายในร่วมรับฟัง

ขอบเขตของงานนี้ และสิ่งที่ดำเนินการต่อได้

งานนี้คือการประเมิน ส่วนการสร้างมาตรการแก้ไขและการดูแลมาตรการเหล่านั้นให้ทำงานต่อเนื่องเป็นทางเลือกแยกต่างหาก เราจะเสนอราคาหลังจากองค์กรรับมอบผลการประเมินแล้วเท่านั้น และองค์กรนำผลการประเมินไปใช้กับผู้ให้บริการรายใดก็ได้

Assess: งานนี้

การประเมินช่องว่าง การสำรวจและจัดทำทะเบียนการพึ่งพา AI และการวิเคราะห์ความมีนัยสำคัญและความต่อเนื่องทางธุรกิจ

Build: ขั้นตอนถัดไป

ผู้ให้บริการหรือโมเดลสำรองรายที่สอง ผ่านช่องทางออกเดียวที่ควบคุมได้ พร้อมผู้สั่งสลับที่ระบุชื่อไว้ Playbook รูปแบบการดำเนินงานแบบจำกัดที่ซ้อมร่วมกับบุคลากรแล้ว Guardrails สำหรับ AI agent และขอบเขตข้อมูล (data boundary) สำหรับข้อมูลส่วนบุคคลและข้อมูลลับ ส่งมอบผ่านบริการ AI Development

Run: ดูแลต่อเนื่อง

การติดตามการพึ่งพา AI ขององค์กร การปรับปรุงทะเบียนตามรอบ และการซ้อมแผนบนโต๊ะประจำปี ส่งมอบผ่านบริการ AI Analytics และ AI Excellence

ขั้นตอนการทำงาน

ห้าขั้นตอน แบ่งเป็นสองส่วน คือ สิ่งที่เราทำ และสิ่งที่ทีมขององค์กรทำ ไม่มีข้อมูลใดออกจากองค์กรจนกว่าองค์กรจะอนุมัติรายงาน

โดยสรุป สิ่งที่องค์กรต้องเตรียมคือ ผู้สนับสนุนโครงการที่ระบุชื่อ ขอบเขตงานเป็นลายลักษณ์อักษร เอกสารตามรายการที่เราแจ้ง (การตอบว่า "ไม่มี" ถือเป็นคำตอบที่ใช้ได้) ผู้แทนจากหน่วยงานบริหารความเสี่ยงสำหรับการประชุมเชิงปฏิบัติการ บุคลากรสำหรับการตรวจสอบเฉพาะจุด และเวลาสำหรับการนำเสนอผล

หลักความเป็นอิสระ

เราดูแลให้ผลการประเมินเป็นกลางอย่างไร

INFOZENSE เป็นตัวแทนจำหน่ายและพันธมิตรของผู้ผลิตเทคโนโลยีหลายราย เราเปิดเผยความสัมพันธ์เหล่านี้ทั้งหมดเป็นลายลักษณ์อักษรในข้อเสนอทุกฉบับ และรายงานการประเมินจะไม่ระบุชื่อผู้ผลิตหรือผลิตภัณฑ์รายใด
ผลการประเมินระบุผลลัพธ์ที่ควรบรรลุ ไม่ระบุงานติดตั้ง งานพัฒนา หรือผลิตภัณฑ์ใด และผล "ไม่จำเป็นต้องดำเนินการเพิ่มเติม" ถือเป็นผลที่ใช้ได้
งานติดตั้งหรือพัฒนาระบบจะเสนอราคาแยกต่างหาก และเสนอหลังจากองค์กรรับมอบผลการประเมินแล้วเท่านั้น องค์กรนำผลการประเมินไปใช้กับผู้ให้บริการรายใดก็ได้
ระบบที่เราพัฒนาหรือดูแลให้องค์กร จะบันทึกไว้ในทะเบียน แต่เราไม่ประเมินระบบนั้นเอง โดยให้หน่วยงานตรวจสอบภายในหรือบุคคลภายนอกที่ระบุชื่อเป็นผู้ทบทวน

ข้อมูลขององค์กรอยู่ภายในองค์กร

การประเมินขั้นแรกไม่ต้องเข้าถึงระบบขององค์กร เราตรวจดูเอกสาร ณ สถานที่ขององค์กร หรือผ่านการแชร์หน้าจอที่องค์กรเป็นผู้จัด และไม่เก็บสำเนาใด ๆ ในการสำรวจเชิงลึก script ทุกชุดทำงานภายในสภาพแวดล้อมขององค์กร ภายใต้บัญชีผู้ใช้ขององค์กร และผ่านการตรวจทานจาก CISO ก่อนใช้งาน สิ่งที่ออกจากองค์กรมีเพียงผลงานที่ตกลงกันไว้ และต้องได้รับความเห็นชอบจากองค์กรก่อน

ที่ปรึกษาของเราเป็นผู้อ่านและประเมินเอง หากใช้ AI ช่วยค้นหาในเอกสารจำนวนมาก องค์กรเป็นผู้กำหนดว่า AI เข้าถึงเอกสารใดได้และทำงานบนระบบใด และข้อกำหนดนั้นระบุไว้ในข้อตกลงการว่าจ้าง