איך הדירקטוריון יכול לפקח על טכנולוגיה בלי רקע טכני?

בקשו את הסיכון העסקי לכל ממצא: מה עלול לקרות, מה הסיכוי וכמה זה יעלה, משני הגורמים באותו דף. אחר כך הביאו מבט חיצוני על נקודות המחלוקת וקבעו מועד סגירה או קבלת סיכון רשמית. זה נקבע לפי הממצאים שנוגעים למערכות קריטיות והשאלה אם הבקרות קיימות במקום אחר בצורה שונה.

מיינו את הממצאים לכאלה שהתקבלו, התקבלו חלקית עם נימוק, וכאלה שבמחלוקת עם ראיות, השיבו בתוכנית שמתחייבת רק לצעדים שהארגון מסוגל לבצע, עם אחראים ולוחות זמנים. מחלוקות דורשות הוכחות. ויכוחים לא פותרים אותן. זה נקבע לפי אילו ממצאים מבוססים על עובדות ואילו על שיקול דעת, ולפי מה שהגוף מסוגל לקחת על עצמו.

בקשו חמישה דברים: המערכות הקריטיות לפעילות, הפרויקטים הגדולים ומצבם, ספקים ותלויות עיקריים, רמת האבטחה במילים פשוטות, והתקריות האחרונות ומה תוקן. פגשו את מי שמנהל אותם, ואז תחליטו אם צריך מבט מבחוץ. זה נקבע לפי מידת התלות של החברה בטכנולוגיה ולפי מה שהסקירה חושפת.

דרגו את הממצאים הפתוחים לפי סיכון ודרשו לטפל תחילה בליקויים החמורים ביותר עם צוות ותאריכים מוגדרים, כאשר השאר יתוכננו מחדש רשמית או יאושרו כסיכון בדירקטוריון. תוכנית תקועה ללא דירוג מתייחסת לכשל קריטי כמו לפער בירוקרטי. זה נקבע לפי אילו ממצאים נוגעים למערכות ליבה ומה החברה באמת מסוגלת להקצות.

תחליטו לפי התלות הטכנולוגית והיקף ההחלטות בנושא: ועדה מתאימה כשפרויקטים, אבטחה והחלטות ספקים דורשים בדיקת עומק שוטפת; דירקטור מהתחום מסייע למליאה לשאול שאלות מדויקות יותר. שניהם צריכים הגדרת סמכויות: מה סוקרים, מה מאשרים, ועל מה מדווחים. זה נקבע לפי מידת התלות של הארגון בטכנולוגיה והיכולת הנוכחית של הדירקטוריון.

דרשו דיווח על אירועי כמעט-ונפגע שמשפיעים על קבלת החלטות, עם משמעות ואחריות ברורות. הפיקוח נקבע לפי קריטריונים ברורים להעברת אירועים לדיון בדרג המתאים, גורמים חוזרים, והשאלה אם הבקרות מנעו נזק או שסתם היה מזל.

שחזרו החלטות מהותיות ואת הסמכות להן לפני שמסתמכים על התוכנית הנוכחית. הפיקוח נקבע לפי היקף מוסכם, היגיון, תנאים ודרישות שאושרו מול הרכש והגורמים המשפטיים.

דרשו זכויות מידע שקשורות להנחות השקעה מהותיות לצד הגנות סודיות מתאימות. התנאים נקבעים לפי זכויות ממשל תאגידי, רגישות עסקית, ויכולת אכיפה שנבדקה מול עורכי דין לעסקאות.