Зачем компании из Борисова таблица рисков
Допустим, производственная компания из Борисова хочет подключить ИИ-агента к почте, 1С и таблицам. Руководитель понимает выгоду, но не уверен в последствиях. Вместо споров на совещании удобнее сесть и записать риски в таблицу. Тогда обсуждение идёт по фактам: что именно может случиться, кого это заденет, чем это можно предотвратить. Таблица также служит основанием для разговора с юристом и ИТ-специалистом: им проще дать заключение, когда перед глазами конкретные риски, а не общий вопрос, безопасен ли ИИ.
Образец таблицы оценки рисков
Вероятность и последствия оцениваются простыми словами: низкая, средняя, высокая. Точные числа здесь не нужны, достаточно сравнения:
| Риск | Вероятность | Последствие | Что делаем заранее |
|---|---|---|---|
| Агент получил доступ к лишним данным | Средняя | Высокое | Выдать права только на нужные разделы и пересмотреть их через некоторое время |
| Черновик документа содержит неточность | Высокая | Среднее | Обязательная проверка сотрудником перед отправкой |
| Данные уходят во внешнюю модель | Зависит от выбора | Высокое | Выбрать модель с учётом требований к данным, согласовать с юристом |
| Сотрудники не пользуются агентом | Средняя | Среднее | Начать с задач, которые экономят время, и обучить на реальных примерах |
| Работа держится на одном энтузиасте | Средняя | Среднее | Назначить заместителя и описать правила агента письменно |
Типичные ошибки при заполнении
Таблица легко превращается в формальность. Вот что чаще всего идёт не так:
- риски записывает один человек, и важные вопросы других отделов остаются неучтёнными
- в графе мер стоит слово контролировать без указания, кто, как и когда
- вероятность занижают, потому что не хочется откладывать запуск
- оценивают только технические риски и забывают о людях, процессах и юридической стороне
- после запуска таблицу убирают в папку и больше не возвращаются к ней
Как пользоваться таблицей по шагам
Собрать участников
Пригласите руководителя, ИТ-специалиста, юриста или ответственного за данные и владельца процесса, в котором будет работать агент. У каждого свой взгляд на риски.
Записать риски без оценки
Сначала перечислите всё, что приходит в голову, и не спорьте о вероятности. Спор мешает полноте списка.
Оценить и назначить меры
Для каждого риска договоритесь об оценке и запишите конкретную меру с ответственным. Меры без имени не работают.
Вернуться к таблице после запуска
Через несколько недель посмотрите, какие риски проявились, а какие оказались надуманными, и обновите оценки.
Для ИИ-агента в Coagent часть мер задаётся правилами: важные действия, такие как отправка письма, платёж или изменение договора, выполняются только после подтверждения человека. Это снижает последствия ошибки, но не отменяет необходимости проверки. Поэтому в таблице стоит отдельно отмечать, какие меры реализуются настройками агента, а какие остаются организационными: обучением, регламентом, назначением ответственных. Организационные меры сложнее забыть, если за них назначен конкретный человек и записан срок проверки.
Вопросы, которые возникают при оценке рисков
Нужно ли привлекать юриста к оценке рисков?
Да, особенно если агент будет работать с персональными данными или коммерческой тайной. Юрист поможет понять, что допустимо передавать нейросети и какие правила хранения нужно соблюдать по законодательству Республики Беларусь.
Как часто пересматривать таблицу?
Сразу после пробного запуска, затем при любом расширении доступов агента или подключении новых систем. Если ничего не менялось, достаточно просмотра раз в квартал.
Можно ли вести таблицу в обычном Excel?
Вполне. Главное, чтобы у таблицы был владелец, а изменения фиксировались с датой и именем. Сложная система для такой задачи в начале не нужна.
Заполните таблицу на встрече с юристом и ИТ-специалистом до подключения агента.