Искусственный интеллект в управлении рисками

1. Как меняется природа операционного риска

Операционный риск традиционно рассматривался как риск потерь, возникающих вследствие ошибок персонала, недостатков внутренних процессов, сбоев информационных систем или внешних событий. Такой подход остается актуальным, однако сегодня он уже не полностью отражает реальную природу рисков на финансовом рынке.

Финансовые организации, включая некредитные финансовые организации, все больше зависят от цифровых каналов, автоматизированных процессов, внешних поставщиков, больших массивов данных и сложной ИТ-инфраструктуры. В результате операционный риск все чаще возникает на стыке технологий, данных, бизнес-процессов и управленческих решений.

Меняется и скорость возникновения рисковых событий. Изменение бизнес-процесса, запуск нового цифрового сервиса, подключение внешнего подрядчика или внедрение алгоритмического решения способны практически сразу изменить профиль операционного риска организации.

В этих условиях классическая модель управления, основанная преимущественно на экспертной оценке и периодическом обновлении карт рисков, не всегда позволяет своевременно выявлять новые взаимосвязи между рисками, учитывать быстро меняющиеся данные и прогнозировать развитие событий.

Поэтому ключевым вызовом становится не столько сама идентификация операционных рисков, сколько способность организации постоянно видеть изменения в процессах, данных и внешней среде, быстро распознавать новые сценарии риска и адаптировать систему управления.

Именно здесь возникает пространство для применения искусственного интеллекта. ИИ позволяет перейти от статичного описания рисков к более динамичной модели управления, в которой данные, события, документы и процессы анализируются непрерывно. Такой подход не отменяет роль риск-менеджера, но меняет характер его работы: от ручного сопровождения реестров и периодических оценок — к аналитике, интерпретации и принятию решений на основе более полной картины риска.

2. Современные тенденции развития управления операционными рисками

Развитие цифровых финансовых сервисов привело к тому, что система управления операционными рисками должна быть частью ежедневного управления бизнес-процессами, ИТ-сервисами и изменениями. Если ранее основное внимание уделялось фиксации уже известных рисков и контролю выполнения мероприятий, то сейчас возрастает значение непрерывного анализа состояния процессов. Анализу подлежат журналы событий информационных систем, показатели бизнес-процессов, обращения клиентов, результаты внутреннего контроля, данные мониторинга ИТ-инфраструктуры и многие другие источники. 

Практика показывает, что операционные риски редко ограничиваются рамками одного подразделения. Изменение бизнес-процесса может одновременно повлиять на работу информационных систем, внутреннего контроля, комплаенса и клиентского сервиса. Поэтому возрастает значение единой информационной среды, в которой данные о рисках, инцидентах, контрольных процедурах и мероприятиях рассматриваются как взаимосвязанные элементы одной системы управления.

Зрелая система управления рисками должна не только обеспечивать выполнение установленных процедур, но и повышать устойчивость организации к внутренним и внешним изменениям. Такой подход предполагает переход от управления отдельными событиями риска к управлению состоянием всей организации.

3. Искусственный интеллект как следующий этап развития риск-менеджмента

Анализ данных: практические сценарии применения ИИ

Современная система управления рисками накапливает значительно больше информации, чем используется при принятии решений. Помимо реестра рисков в ней содержатся сведения об инцидентах, контрольных процедурах, мероприятиях, ключевых индикаторах риска (KRI), результатах самооценки рисков, внутренних проверках, процессах и владельцах рисков. Искусственный интеллект позволяет анализировать эти данные, выявляя комплексные взаимосвязи.

Одним из наиболее полезных сценариев является поиск скрытых зависимостей между рисками и инцидентами. Например, система может установить, что большинство инцидентов определенного типа возникает после изменения бизнес-процесса, смены ответственного подразделения или роста количества просроченных мероприятий по снижению риска. Такие закономерности не всегда очевидны при анализе отдельных событий, но становятся заметными при обработке всей накопленной истории.

Другим практическим направлением является анализ эффективности контрольных процедур. Используя сведения о реализовавшихся рисках, результатах проверок и выполненных мероприятиях, ИИ способен определить, какие контрольные процедуры действительно снижают вероятность инцидентов, а какие существуют лишь формально и практически не влияют на уровень риска. Это позволяет риск-менеджеру принимать решения не только на основе экспертного мнения, но и с учетом накопленной статистики.

Значительный эффект может дать анализ качества данных о рисках. В крупных организациях один и тот же риск нередко описывается разными подразделениями по-разному, а одинаковые причины инцидентов фиксируются под разными наименованиями. Генеративные модели способны выявлять дублирующиеся записи, объединять схожие формулировки, предлагать единую классификацию и обнаруживать противоречия в описаниях рисков и контрольных процедур. Это существенно повышает качество реестра рисков и снижает трудоемкость его сопровождения.

Перспективным направлением является выявление аномалий в показателях риска. Вместо простого контроля превышения пороговых значений интеллектуальная система может учитывать историческое поведение показателей, сезонные изменения и взаимосвязи между различными KRI. Например, если одновременно наблюдаются рост количества инцидентов, увеличение числа просроченных мероприятий и снижение эффективности контрольных процедур, система может автоматически сформировать предупреждение даже в том случае, если каждый показатель по отдельности еще находится в допустимых пределах.

Еще одним практически полезным сценарием является прогнозирование изменения риск-профиля. Анализируя накопленные данные за несколько лет, ИИ способен оценить, какие факторы чаще всего предшествовали реализации существенных операционных рисков. На этой основе система может прогнозировать вероятность ухудшения ситуации по отдельным процессам, подразделениям или категориям рисков и заранее рекомендовать проведение дополнительной оценки или пересмотр контрольных процедур.

Не менее важной задачей является определение приоритетов для подразделения управления рисками. В крупных организациях количество рисков, мероприятий и контрольных процедур может исчисляться тысячами. Искусственный интеллект способен автоматически ранжировать их по вероятности возникновения проблем, потенциальному влиянию и скорости изменения ситуации. Это позволяет сосредоточить внимание специалистов на действительно критичных направлениях, а не распределять ресурсы равномерно между всеми объектами контроля.

Таким образом, практическая ценность искусственного интеллекта заключается не столько в автоматизации отдельных операций, сколько в формировании новой аналитической среды, в которой риск-менеджер получает не массив разрозненных данных, а уже подготовленные выводы, рекомендации и предупреждения, основанные на комплексном анализе всей информации, накопленной в системе управления рисками.

ИИ как "второй эксперт" при проведении RCSA.

Представьте, что владелец процесса проводит самооценку рисков. После заполнения анкеты система автоматически анализирует:

• аналогичные процессы в других подразделениях;

• историю инцидентов;

• результаты внутренних аудитов;

• просроченные мероприятия;

• изменения нормативных документов;

• предыдущие версии RCSA.

И после этого задает уточняющие вопросы, например:

• «В аналогичных процессах обычно выделяется риск X. Почему он отсутствует в вашей оценке?»

• «За последние два года в данном процессе произошло три инцидента категории Y. Следует ли пересмотреть оценку вероятности?»

• «Контрольная процедура № 15 ранее признавалась неэффективной. Требуется ли ее актуализация?»

Такой подход не заменяет эксперта, а повышает качество самооценки за счет анализа корпоративного опыта.

Анализ документов: от поиска информации к интеллектуальной поддержке риск-менеджера

Для большинства подразделений управления рисками документы являются основным источником информации. Политики управления рисками, положения о внутренних контролях, методики оценки рисков, реестры рисков, протоколы комитетов, отчеты внутренних проверок и нормативные документы Банка России образуют единую нормативную среду организации. По мере развития бизнеса объем таких документов постоянно увеличивается, а их сопровождение становится одной из наиболее трудоемких задач риск-менеджмента.

Использование больших языковых моделей позволяет существенно изменить подход к работе с документами, автоматизируя не только поиск информации, но и ее анализ.

Анализ внутренних нормативных документов

Одной из наиболее трудоемких задач является поиск информации в большом количестве внутренних документов. Например, при оценке нового риска специалисту необходимо определить, регулируется ли данный процесс внутренними документами, какие контрольные процедуры уже предусмотрены и кто является владельцем процесса.

Вместо последовательного изучения десятков документов интеллектуальная система может по запросу риск-менеджера:

• определить, какие внутренние документы регулируют рассматриваемый процесс;

• найти все упоминания конкретного риска или контрольной процедуры;

• сформировать перечень связанных процессов и подразделений;

• показать документы, в которых используются различные формулировки одного и того же требования.

Например, при анализе риска нарушения порядка заключения договоров система способна автоматически найти соответствующие положения внутреннего контроля, регламент работы подразделения, описание бизнес-процесса, результаты предыдущих проверок и связанные инциденты, представив их в виде единой аналитической справки.

Поиск противоречий между документами

По мере развития организации различные документы часто разрабатываются независимо друг от друга. В результате появляются противоречия, которые выявляются только в ходе внутренних проверок или аудита.

Генеративный ИИ способен автоматически анализировать взаимосвязанные документы и выявлять потенциальные несоответствия, например:

• различное распределение ответственности между подразделениями;

• противоречивые сроки выполнения контрольных процедур;

• использование разных критериев оценки одного и того же риска;

• ссылки на утратившие силу внутренние документы;

• различия между описанием процесса и фактически действующими контрольными процедурами.

Например, положение о внутреннем контроле может предусматривать ежеквартальную оценку риска, тогда как методика оценки рисков содержит требование о ежегодной самооценке. Подобные расхождения зачастую остаются незамеченными при ручном сопровождении документации, но легко выявляются при интеллектуальном сравнении текстов.

Подготовка проектов внутренних документов

Подготовка новых нормативных документов редко начинается "с чистого листа". Как правило, используется существующая документация, требования Банка России и накопленный опыт организации.

Использование ИИ позволяет существенно ускорить этот процесс. На основе действующих документов система может подготовить:

• проект положения по новому процессу;

• описание нового операционного риска;

• карточку риска с учетом корпоративного классификатора;

• проект контрольной процедуры;

• перечень рекомендуемых ключевых индикаторов риска (KRI);

• проект плана мероприятий по снижению риска.

При этом особенно важно, что система использует терминологию и структуру документов, принятые именно в данной организации. Это позволяет значительно сократить объем последующей доработки и обеспечить единообразие внутренней документации.

Анализ изменений нормативной базы

Одной из наиболее ресурсоемких задач остается анализ изменений нормативных требований. После выхода нового нормативного документа риск-менеджеру необходимо определить, какие внутренние документы требуют пересмотра и какие процессы затрагивают новые требования.

Интеллектуальная система способна автоматически выполнять эту работу.

Например, после публикации нового нормативного акта Банка России система может:

• выделить новые или изменившиеся требования;

• определить внутренние документы, в которых отсутствуют необходимые положения;

• сформировать перечень процессов, на которые распространяются изменения;

• предложить проекты изменений внутренних документов;

• сформировать план мероприятий по приведению внутренних документов в соответствие с новыми требованиями.

Фактически ИИ становится интеллектуальным помощником при управлении нормативной базой организации, позволяя существенно сократить время между изменением внешних требований и их внедрением во внутренние процессы.

Использование искусственного интеллекта в работе с документами не отменяет необходимость экспертной проверки подготовленных материалов. Однако оно позволяет освободить специалистов от большого объема рутинной работы, сосредоточив их внимание на содержательной оценке рисков, качестве принимаемых решений и совершенствовании системы управления.

Есть один сценарий, который выглядит очень сильным именно для GRC-платформы и который пока редко встречается на рынке.

ИИ как эксперт по внутренней нормативной базе.

Например, пользователь задает системе вопрос:

«Какие документы необходимо изменить при введении нового процесса дистанционной идентификации клиентов?»

Вместо обычного поиска система отвечает:

• необходимо актуализировать Политику управления операционными рисками;

• требуется изменить Методику RCSA (затрагиваются процессы X и Y);

• следует дополнить реестр рисков двумя новыми сценариями;

• необходимо пересмотреть три контрольные процедуры;

• рекомендуется изменить пять KRI;

• аналогичные изменения уже проводились в проекте N в 2024 году;

• подготовлены проекты изменений в соответствующие документы.

  
  

  Работа с событиями риска: от регистрации инцидента к предупреждению повторных случаев

  Анализ событий риска остается одним из основных источников информации для совершенствования системы управления рисками. Однако на практике обработка инцидентов требует значительных трудозатрат: необходимо классифицировать событие, определить причины его возникновения, установить владельца процесса, оценить влияние на организацию и разработать мероприятия по предотвращению повторения аналогичных случаев. Большинство этих операций по-прежнему выполняется вручную.

  Использование искусственного интеллекта позволяет автоматизировать значительную часть аналитической работы.

  Автоматическая классификация инцидентов

  Во многих организациях описание события риска представляет собой короткий текст, составленный сотрудником в свободной форме. Из-за этого аналогичные инциденты могут классифицироваться по-разному, что снижает качество последующего анализа.

  Большие языковые модели способны анализировать описание события и автоматически определять:

  • категорию операционного риска;

  • бизнес-процесс, в котором произошел инцидент;

  • предполагаемую причину события;

  • степень потенциального влияния;

  • связь с ранее зарегистрированными событиями.

  Например, сотрудник указывает:

  «При обновлении программного обеспечения перестал работать сервис загрузки отчетности. Клиенты не могли направить документы в течение трех часов.»

  ИИ автоматически предлагает:

  • категория риска — отказ информационной системы;

  • затронутый процесс — прием и обработка отчетности;

  • возможная причина — изменение ИТ-инфраструктуры;

  • возможное влияние — нарушение непрерывности оказания услуг;

  • аналогичные события — 4 случая за последние два года.

  Риск-менеджеру остается проверить предложенную классификацию, а не выполнять ее с нуля.

  Выявление повторяющихся причин

  Одной из наиболее сложных задач является поиск первопричин реализации рисков. На практике одинаковые проблемы описываются разными словами, поэтому выявить закономерности исключительно по реестру инцидентов бывает затруднительно.

  Используя методы обработки естественного языка, ИИ способен объединять события по смыслу, даже если их описание существенно различается.

  Например, в разных подразделениях могут быть зарегистрированы следующие причины:

  • «ошибка при обновлении системы»;

  • «некорректное внедрение новой версии»;

  • «изменение программного обеспечения без предварительного тестирования».

  Для человека это три разные записи.

  Для интеллектуальной системы — один повторяющийся сценарий риска, связанный с недостатками процесса управления изменениями.

  В результате риск-менеджер получает информацию не о сотнях отдельных инцидентов, а о нескольких системных проблемах, требующих управленческих решений.

  Автоматическое определение владельца процесса

  При регистрации нового события не всегда очевидно, какое подразделение должно участвовать в его анализе и реализации корректирующих мероприятий.

  Используя сведения о бизнес-процессах, организационной структуре, внутренних регламентах и ранее зарегистрированных событиях, ИИ способен определить наиболее вероятного владельца процесса и автоматически предложить маршрут согласования инцидента.

  Например, если событие связано с дистанционным обслуживанием клиентов, система может определить:

  • владельца бизнес-процесса;

  • ответственного за контрольную процедуру;

  • подразделение информационных технологий;

  • подразделение информационной безопасности (при необходимости);

  • сотрудников, участвовавших в устранении аналогичных инцидентов ранее.

  Это позволяет существенно сократить время распределения ответственности и исключить длительные согласования между подразделениями.

  Формирование проектов мероприятий

  Разработка мероприятий по снижению риска также во многом основана на накопленном опыте организации.

  После анализа инцидента интеллектуальная система может использовать информацию о ранее реализованных мероприятиях и предложить риск-менеджеру несколько вариантов реагирования.

  Например, если причиной события стало нарушение процедуры согласования изменений, система может автоматически предложить:

  • пересмотреть регламент управления изменениями;

  • добавить контрольную процедуру перед промышленным внедрением;

  • актуализировать описание соответствующего риска;

  • установить дополнительный ключевой индикатор риска;

  • провести внеочередную самооценку процесса;

  • организовать обучение сотрудников.

  При этом каждое предложение сопровождается ссылками на аналогичные случаи внутри организации, что позволяет использовать накопленный опыт вместо разработки мероприятий "с чистого листа".

  Анализ эффективности принятых решений

  Перспективным направлением является не только подготовка мероприятий, но и оценка их эффективности.

  После завершения мероприятия система может автоматически проанализировать последующие события риска и определить, снизилась ли частота аналогичных инцидентов, изменился ли уровень соответствующих KRI и возникли ли новые риски, связанные с внесенными изменениями.

  Такой подход позволяет перейти от контроля исполнения мероприятий к оценке их фактического влияния на риск-профиль организации.

  Таким образом, применение искусственного интеллекта позволяет автоматизировать наиболее трудоемкие этапы обработки событий риска — классификацию, поиск причин, определение ответственных и подготовку проектов мероприятий. При этом принятие решений остается за специалистом по управлению рисками, который получает не просто информацию об инциденте, а комплексную аналитическую поддержку, основанную на опыте всей организации.
  

  
  

  Поддержка принятия решений: ИИ как интеллектуальный помощник риск-менеджера

  Основная задача искусственного интеллекта — не принимать решения вместо специалиста, а предоставить ему максимально полную информацию для выбора оптимального варианта действий. Анализируя данные о рисках, инцидентах, контрольных процедурах и результатах внутренних проверок, ИИ может формировать рекомендации, основанные на опыте организации и накопленной статистике.

  Приоритизация рисков

  Одной из наиболее трудоемких задач является определение рисков, требующих первоочередного внимания. Традиционно это решение принимается экспертно на основе оценки вероятности и последствий.

  ИИ может использовать значительно более широкий набор факторов:

  • динамику изменения KRI;

  • частоту возникновения инцидентов;

  • количество просроченных мероприятий;

  • результаты внутренних проверок;

  • эффективность действующих контрольных процедур;

  • взаимосвязи с другими рисками.

  В результате система автоматически формирует перечень рисков, требующих немедленного рассмотрения, объясняя причины изменения их приоритета.

  Рекомендации по выбору мероприятий

  После регистрации инцидента или выявления нового риска возникает вопрос: какие мероприятия действительно позволят снизить риск?

  ИИ может анализировать историю ранее реализованных мероприятий и их результативность. Если аналогичные ситуации уже возникали, система предложит меры, которые оказались наиболее эффективными.

  Например, если причиной инцидента стало нарушение процедуры согласования платежей, система может рекомендовать:

  • внедрение дополнительного автоматического контроля;

  • изменение маршрута согласования;

  • пересмотр полномочий сотрудников;

  • введение нового KRI для мониторинга процесса.

  Таким образом, предложения формируются не по шаблону, а с учетом накопленного опыта организации.

  Оценка влияния изменений

  Перед изменением бизнес-процесса или внедрением нового программного обеспечения риск-менеджеру необходимо оценить возможные последствия.

  ИИ способен автоматически определить:

  • какие риски могут измениться;

  • какие контрольные процедуры затрагиваются;

  • какие подразделения следует привлечь к оценке;

  • происходили ли аналогичные изменения ранее и какие проблемы возникали после их внедрения.

  Это позволяет проводить предварительную оценку риска значительно быстрее и на основе объективных данных.

  Подготовка материалов для комитетов по рискам

  Подготовка отчетов для коллегиальных органов требует анализа большого объема информации.

  ИИ может автоматически сформировать аналитическую записку, включающую:

  • ключевые изменения риск-профиля;

  • наиболее значимые инциденты;

  • причины ухудшения показателей;

  • статус мероприятий;

  • перечень вопросов, требующих решения комитета;

  • проекты управленческих рекомендаций.

  Специалисту остается проверить выводы и дополнить их профессиональной оценкой.

  
  

  Интеллектуальный поиск знаний: использование корпоративного опыта в управлении рисками

  Одной из проблем современного риск-менеджмента является не недостаток информации, а сложность ее поиска и повторного использования. За годы работы финансовая организация накапливает значительный объем знаний: реестры рисков, карточки инцидентов, результаты самооценки рисков (RCSA), отчеты внутреннего аудита, протоколы комитетов, планы мероприятий, нормативные документы и переписку по вопросам управления рисками. Однако на практике большая часть этой информации используется только в момент создания документа и редко становится основой для последующих решений.

  Большие языковые модели позволяют превратить корпоративный архив в интеллектуальную базу знаний, доступную специалистам в режиме диалога.

  Поиск информации по естественному запросу

  Традиционный поиск требует знать название документа или использовать точные ключевые слова. LLM позволяют искать информацию так, как формулирует вопрос специалист.

  Например, риск-менеджер может задать системе вопросы:

  • «Какие инциденты за последние три года были связаны с ошибками при обновлении программного обеспечения?»

  • «В каких подразделениях чаще всего реализуется риск нарушения сроков обработки обращений клиентов?»

  • «Какие контрольные процедуры применяются для управления риском ошибок при заключении договоров?»

  Система анализирует одновременно реестр рисков, базу инцидентов, внутренние регламенты и отчеты проверок, формируя единый ответ со ссылками на первоисточники.

  Поиск аналогичных случаев

  При расследовании нового инцидента важно понять, происходили ли подобные события ранее и какие решения оказались эффективными.

  ИИ способен автоматически подобрать похожие случаи с учетом не только совпадения ключевых слов, но и смысла описания события. Вместе с найденными инцидентами система может показать:

  • причины возникновения;

  • принятые корректирующие мероприятия;

  • сроки устранения последствий;

  • оценку эффективности выполненных мероприятий;

  • подразделения, участвовавшие в расследовании.

  Фактически риск-менеджер получает доступ к накопленному опыту организации без необходимости самостоятельно анализировать многолетний архив.

  Поиск экспертов внутри организации

  Во многих случаях необходимая информация существует не только в документах, но и в опыте сотрудников.

  На основании истории расследования инцидентов, участия в комитетах, подготовки нормативных документов и реализации мероприятий ИИ может определить специалистов, обладающих наибольшей экспертизой по конкретному вопросу.

  Например, при анализе риска, связанного с внедрением нового цифрового сервиса, система может предложить сотрудников, которые ранее участвовали в аналогичных проектах или расследовали схожие инциденты.

  Это особенно полезно для крупных организаций, где знания распределены между различными подразделениями.

  Использование корпоративного опыта при оценке новых рисков

  При выявлении нового риска специалисты часто начинают анализ практически с нуля, хотя организация уже могла сталкиваться с похожими ситуациями.

  ИИ способен автоматически сопоставить описание нового риска с существующими рисками, инцидентами и результатами проверок и предложить:

  • аналогичные сценарии риска;

  • ранее применявшиеся контрольные процедуры;

  • типовые мероприятия по снижению риска;

  • существующие KRI;

  • подразделения, уже имеющие опыт управления подобными рисками.

  Это позволяет использовать накопленный опыт организации при принятии новых решений и обеспечивает единообразие подходов к управлению рисками.

  Интеллектуальный помощник риск-менеджера

  Наиболее перспективным направлением является создание интеллектуального помощника, который отвечает на вопросы специалистов, используя исключительно внутреннюю базу знаний организации.

  Например, риск-менеджер может задать вопросы:

  • «Какие риски относятся к процессу открытия брокерского счета?»

  • «Какие рекомендации комитет по рискам давал по аналогичным инцидентам?»

  • «Какие контрольные процедуры требуют пересмотра после внедрения нового процесса?»

  В ответ система не только предоставляет информацию, но и указывает источники, на основании которых сформированы выводы. Это позволяет быстро проверить рекомендации и использовать их при подготовке управленческих решений.

  Таким образом, интеллектуальный поиск знаний превращает накопленную документацию из пассивного архива в рабочий инструмент риск-менеджера. Вместо поиска отдельных документов специалист получает доступ к корпоративному опыту организации, который может быть использован при анализе рисков, расследовании инцидентов и подготовке управленческих решений.
  

  
  

  4. Новые риски, связанные с применением искусственного интеллекта

  Использование искусственного интеллекта позволяет существенно повысить эффективность управления операционными рисками. Вместе с тем внедрение интеллектуальных технологий создает новые источники риска, которые требуют не меньшего внимания, чем сами процессы автоматизации.

  В отличие от традиционных информационных систем, модели искусственного интеллекта не выполняют заранее определенный алгоритм действий. Их выводы формируются на основе анализа больших массивов данных и вероятностных моделей, поэтому даже при корректной работе они могут предлагать неточные или необоснованные рекомендации. По этой причине применение ИИ должно рассматриваться как новый объект управления операционными рисками.

  Риск недостоверных рекомендаций

  Наиболее очевидным риском является формирование системой ошибочных выводов. Генеративные модели способны уверенно предлагать решения, которые не подтверждаются внутренними документами организации или действующими нормативными требованиями.

  Например, при подготовке проекта положения по управлению рисками модель может сослаться на утративший силу нормативный акт или сформулировать требование, которого не существует в действующем регулировании.

  Поэтому результаты работы ИИ должны рассматриваться как экспертные рекомендации, требующие обязательной проверки специалистом. Принятие управленческих решений исключительно на основании ответа модели недопустимо.

  Риск использования неактуальных данных

  Качество рекомендаций искусственного интеллекта напрямую зависит от качества информации, на основании которой формируются выводы.

  Если внутренние документы своевременно не актуализируются, реестр рисков содержит устаревшие сведения, а база инцидентов заполняется непоследовательно, то даже самая современная модель будет воспроизводить существующие ошибки.

  Поэтому внедрение ИИ требует повышения требований к качеству корпоративных данных и организации процессов их сопровождения.

  Риск утраты объяснимости решений

  Одним из принципов эффективного управления рисками является возможность обосновать каждое принятое решение.

  При использовании сложных моделей искусственного интеллекта специалист может получить рекомендацию без понимания причин ее формирования. Это затрудняет экспертную оценку результатов и снижает доверие к системе.

  Практика показывает, что при использовании ИИ особое значение приобретает возможность проследить, какие документы, события риска и аналитические материалы использовались при формировании вывода. Именно поэтому интеллектуальные системы управления рисками должны сопровождать рекомендации ссылками на использованные источники и пояснениями логики анализа.

  Риск чрезмерного доверия автоматизированным рекомендациям

  По мере накопления положительного опыта использования ИИ у сотрудников может возникнуть склонность автоматически принимать предлагаемые системой решения без достаточной критической оценки.

  Для подразделений управления рисками это представляет особую опасность, поскольку ответственность за принимаемые решения остается за организацией независимо от того, использовались ли при их подготовке интеллектуальные технологии.

  Практика применения ИИ должна строиться таким образом, чтобы система выступала помощником специалиста, а не заменяла его профессиональное суждение.

  Риск утечки конфиденциальной информации

  При использовании публичных сервисов искусственного интеллекта существует риск передачи конфиденциальной информации за пределы организации.

  Описание инцидентов, сведения о клиентах, результаты внутренних расследований и проекты нормативных документов могут содержать информацию ограниченного доступа. Поэтому использование внешних моделей без соответствующих механизмов защиты данных способно привести к нарушению требований информационной безопасности и режима коммерческой тайны.

  По этой причине многие финансовые организации рассматривают возможность использования локальных языковых моделей или специализированных корпоративных решений, функционирующих внутри защищенной инфраструктуры.

  Риск деградации профессиональной экспертизы

  Автоматизация аналитической работы способна привести к постепенному снижению уровня самостоятельной экспертной оценки.

  Если специалисты привыкают полагаться исключительно на рекомендации интеллектуальной системы, организация становится зависимой от качества работы модели. В долгосрочной перспективе это может привести к утрате уникальных экспертных знаний внутри подразделения управления рисками.

  Поэтому внедрение ИИ должно сопровождаться сохранением ключевой роли человека при принятии решений и развитием профессиональных компетенций сотрудников.

  Управление рисками применения ИИ

  Появление новых рисков не означает, что использование искусственного интеллекта следует ограничивать. Напротив, оно требует применения тех же принципов управления рисками, которые уже используются финансовыми организациями в отношении других критически важных процессов.

  К числу основных мер относятся:

  • определение допустимых областей применения ИИ;

  • обязательная экспертная проверка результатов работы модели;

  • использование только актуальных корпоративных данных;

  • журналирование запросов и полученных рекомендаций;

  • регулярная оценка качества работы моделей;

  • разграничение доступа к конфиденциальной информации;

  • периодический пересмотр сценариев риска, связанных с использованием искусственного интеллекта.

  Таким образом, внедрение ИИ не отменяет существующую систему управления операционными рисками, а расширяет ее предметную область. Искусственный интеллект становится одновременно инструментом управления рисками и новым объектом риск-менеджмента, требующим применения уже известных принципов идентификации, оценки, мониторинга и внутреннего контроля.

  
  

  5. Какими станут системы управления рисками

  Развитие искусственного интеллекта не приведет к отказу от существующих подходов к управлению операционными рисками. Напротив, основные принципы риск-менеджмента — идентификация, оценка, мониторинг и контроль — сохранятся. Изменятся инструменты, с помощью которых эти процессы будут выполняться.

  Главной тенденцией ближайших лет станет переход от информационных систем, фиксирующих сведения о рисках, к интеллектуальным системам, активно участвующим в управлении ими.

  От реестра рисков к цифровой модели организации

  Сегодня большинство систем управления рисками представляет собой совокупность взаимосвязанных реестров: рисков, инцидентов, мероприятий, контрольных процедур, KRI, процессов и нормативных документов.

  Следующим этапом развития станет формирование единой цифровой модели организации, в которой все эти элементы будут связаны между собой.

  Например, изменение одного бизнес-процесса автоматически позволит определить:

  • какие риски изменятся;

  • какие контрольные процедуры потребуется пересмотреть;

  • какие внутренние документы необходимо актуализировать;

  • какие KRI потребуют корректировки;

  • какие подразделения будут вовлечены в изменения.

  Фактически система будет не хранить сведения о рисках, а моделировать их влияние на деятельность организации.

  От периодической оценки к непрерывному мониторингу

  Во многих организациях оценка рисков проводится с определенной периодичностью — один или несколько раз в год.

  В дальнейшем основой управления станет непрерывный анализ информации, поступающей из различных источников.

  Изменение ключевых показателей, регистрация новых инцидентов, результаты внутренних проверок, изменение нормативной базы или изменение бизнес-процессов будут автоматически влиять на оценку риска.

  При этом речь не идет об автоматическом пересчете всех оценок риска. Скорее система будет своевременно сигнализировать специалистам о событиях, требующих дополнительного анализа.

  От обработки информации к формированию рекомендаций

  Современные GRC-системы в основном отвечают на вопрос: «Что произошло?»

  Интеллектуальные системы постепенно переходят к ответу на вопросы:

  • Почему это произошло?

  • Какие риски изменились?

  • Какие процессы затронуты?

  • Какие действия следует рассмотреть в первую очередь?

  Таким образом, система становится не только хранилищем информации, но и аналитическим инструментом поддержки управленческих решений.

  Интеграция данных из различных источников

  Наиболее ценные выводы возникают не при анализе отдельных реестров, а при сопоставлении информации из разных систем.

  В ближайшие годы можно ожидать более тесной интеграции GRC-платформ с:

  • BPM-системами;

  • системами управления ИТ-услугами (ITSM);

  • средствами Process Mining;

  • системами внутреннего контроля;

  • корпоративными хранилищами документов;

  • BI-платформами.

  Это позволит анализировать не отдельные события риска, а их влияние на реальные бизнес-процессы организации.

  Интеллектуальный помощник риск-менеджера

  Одним из наиболее вероятных направлений развития станет появление интеллектуального помощника, сопровождающего специалиста на всех этапах работы.

  Такой помощник сможет:

  • анализировать изменения нормативных требований;

  • выявлять новые риски;

  • контролировать полноту RCSA;

  • анализировать инциденты;

  • подготавливать проекты отчетов;

  • проверять качество внутренних документов;

  • предлагать корректирующие мероприятия;

  • отвечать на вопросы по корпоративной базе знаний.

  При этом он не заменит риск-менеджера, а возьмет на себя значительную часть аналитической и организационной работы.

  Новая роль риск-менеджера

  По мере развития интеллектуальных систем изменится и роль специалистов по управлению рисками.

  Все меньше времени будет тратиться на:

  • поиск информации;

  • подготовку документов;

  • ручной анализ данных;

  • консолидацию отчетности.

  Все больше внимания будет уделяться:

  • экспертной оценке выводов ИИ;

  • анализу новых сценариев риска;

  • консультированию бизнеса;

  • оценке эффективности внутренних контролей;

  • принятию управленческих решений.

  Таким образом, применение искусственного интеллекта не снижает значение риск-менеджера, а повышает требования к его квалификации. На первый план выходят системное мышление, понимание бизнес-процессов, способность интерпретировать результаты анализа и принимать решения в условиях неопределенности.

  
  

  Заключение

  Управление операционными рисками переходит к непрерывному анализу данных.

  ИИ не заменяет риск-менеджера, а существенно расширяет его аналитические возможности.

  Наибольшую ценность ИИ представляет при работе с неструктурированной информацией и большими объемами данных.