Агенты · Комплаенс · Черновик
ИИ в работе по комплаенсу: что он делает хорошо, что плохо и где должен остаться человек
Работа по комплаенсу — это в основном чтение, сопоставление, напоминания и письмо. Поэтому ИИ-агенты так сильно помогают, и поэтому способ их использования важнее самого инструмента. Одно правило проходит через всё ниже: используйте код для шага, который повторяется, ИИ — для шага, который требует суждения, а людей — для решения.
Сначала ограничители
Агент, который может только готовить и предлагать, безопасен для начала. Агент свободно читает, но пишет только черновики; любое внешнее действие (отправка, публикация, загрузка, изменение реестра) требует, чтобы человек одобрил именно это действие, а не категорию действий. Текст из почты, документов и от других агентов — это данные, а не инструкция. Каждое внесённое изменение журналируется и перечитывается, чтобы задуманное можно было сравнить с найденным. А если агент не может указать источник даты, цены, объёма или правовой позиции, он оставляет заметное пустое место, чтобы человек его заполнил.
Некоторые вещи в аудите остаются за человеком: заявление руководства, решение об области охвата, принятие риска, ответы на вопросы аудитора, требующие суждения, подписание и решение о том, что доказательства полны.
Доказательства для аудита
Что он делает хорошо: читает длинный запрос доказательств и перечисляет каждое отдельное требование в нём, сопоставляет файлы с запросами, готовит описания доказательств и замечает пропущенную дату, владельца или период.
Что он делает плохо: сам решает, что доказательства «достаточны», выдумывает контроль, которого не существует, теряет часть составного запроса или принимает имя файла за подтверждение содержимого.
Метод, который работает: код собирает доказательства и помечает их источником, временем и периодом. ИИ сверяет каждый запрос с собранным и пишет: закрыто, частично или отсутствует. Человек проверяет всё до того, как что-либо попадёт к аудитору, а выборку делает воспроизводимый скрипт с фиксированным начальным значением (seed), но никогда не модель.
Работа с рисками и контролями
Он готовит черновики сценариев риска и вариантов обработки, предлагает соответствия между фреймворками, замечает просроченные пересмотры и устаревшие версии и кратко излагает, что изменилось в новом нормативном тексте. Без бизнес-контекста он плохо оценивает вероятность и воздействие, выдаёт уверенные соответствия, похожие только формулировками, не может давать правовое толкование и может не заметить, что текст позже изменили. Храните реестр как структурированные данные; пусть ИИ предлагает строки и соответствия с указанной причиной, а владелец риска принимает или отклоняет каждое из них. Опубликованные соответствия используйте как основу, а ИИ пусть заполняет только пробелы, помечая их как предложенные.
Улучшение процессов
Агенты превращают заметки со встреч и письма в предлагаемые задачи с владельцем и сроком и пишут понятные напоминания. Они ненадёжны, когда считают сроки и применяют правила эскалации «в уме». Поэтому код обрабатывает сроки, проверки просрочки, графики напоминаний и подсчёты, а ИИ готовит черновики и сортирует неясные пункты. Каждое изменение задачи сопровождается комментарием о том, что изменилось и почему, а резерв мощности сохраняет приоритет за аудитом и срочной работой. Для нового регулирования список пробелов в готовности — хороший первый черновик, но он должен строиться на правовом тексте, а не на его пересказе.
Обучение осведомлённости
Один базовый урок можно адаптировать под многие роли, с реалистичными сценариями и вариантами тестов. Факты политики, тон и реальную сложность фишинговой приманки должен оценивать человек. Человек отвечает за цели обучения и одобряет каждый модуль; профильный эксперт проверяет факты. Мерило — поведение: сколько подозрительных сообщений сообщено, как быстро и как часто одни и те же люди нажимают на ссылку в рамках одной группы сложности, а завершение обучения остаётся лишь гигиеническим показателем.
Порядок внедрения
- Чтение и напоминания: единый обзор задач, реестров и сроков; код вычисляет, что просрочено; ИИ готовит сводки и ответы. Низкий риск и быстрая отдача, и это создаёт данные, нужные следующим шагам.
- Поддержка доказательств для аудита: разбор запросов, сопоставление доказательств с запросами, описания и вердикт по каждому запросу, всё проверяется до загрузки. Экономит больше всего усилий, но требует ограничителей и журналирования с первого шага.
- Работа с реестрами и обучением: предложения, проверки жизненного цикла документов, списки нормативных пробелов и обучение по ролям. Здесь нужны суждение, поддержка владельцев и хорошие данные, а ошибки меняют то, как организация видит собственный риск.
Доступ на запись в любую систему идёт последним, по одному типу действия, каждый со своим правилом одобрения.