你的决定
此工作流程的预期用途、信息流、权限边界和操作控制是否可接受？
技术背后的决定
接受哪些风险、由谁接受以及基于什么证据？
有效的审查使决策成为可能。它标识了使用、受影响的人员、信息流、服务依赖性和操作权限；然后将强制性条件与授权所有者可能接受的风险分开。没有明确工作流程的长调查问卷很少能解决这些问题。
探索决策和证据流程
选择一个阶段来检查其所有者、证据和停止情况。
受控进展
评估范围
定义工作流程、客户影响、数据类别、地理边界和外部提供商。
- 问责负责人
- 业务发起人和风险负责人
- 保留证据
- 风险场景·数据流·供应商库存
- 停止或升级
- 不对未指定的未来用途或管辖范围进行一揽子批准。
示例性商业环境
说明性审查：代理人准备内部批准的文件。如果它可以向外部发送这些文件或更新受监管的记录，那么风险就会发生重大变化。在过渡时审查权限和目标控制，而不是为整个产品分配一个风险标签。
团队讨论清单
与您的团队一起使用这些提示。检查的项目是当地的工作辅助工具，而不是准备情况证明；当您离开本指南时，它们会重置。
0 / 4提示已审核 显示
围绕您的决定规划评估
使用本指南在演示或 MVP 之前协调正确的利益相关者。
Genellipse 有帮助
与您的专家一起绘制要求和证据。探索 GeneComply 的控制过程、GeneSecure 的调查以及每个参与产品的控制。
评价什么
敏感数据、提供商边界、代理访问、人工批准、日志记录、升级以及故障或误用场景测试。
索取证据
数据流、责任矩阵、适用的产品文档、测试证据、未决问题和商定的控制所有者。
一 次有用的第一次约会
与业务和技术所有者一起审查一项代表性工作流程，然后记录生产使用之前必须满足的条件。
构建一个审阅包以做出决定
围绕风险场景和证据来组织包，而不是产品功能列表。与您的法律和监管专家确认适用的义务。
隐私和数据使用
文档用途、数据最小化、访问、位置、保留、删除和第三方处理。考虑日志、提示、检索的上下文、导出以及主数据库。
供应商和集中度风险
识别关键的云、模型、数据和集成依赖项。评估中断、替代、访问撤销和退出的可行性。合同补救措施不一定能恢复中断的业务服务。
人工智能和行动风险
区分不准确的内容、未经授权的披露和未经授权的执行。要求在每个相关边界进行控制，并测试可能造成物质损害的路径。
证据新鲜度
分配审核日期并更改触发器。旧配置的证据可能不支持新模型、工具、区域或业务目的。
批准后残留风险可见
已批准的部署仍需要控制监控。定义哪些指标需要调查、遏制或重新审查。
有条件批准
准确说明允许的内容、禁止的内容、需要满足的条件以及截止日期。将例外情况与负责任的所有者联系起来，而不是让它们处于积压状态。
持续保证
采样真实的操作证据，审查事件和超控，并监控逾期行动。在适当的情况下，将操作控制的团队与独立挑战控制的团队分开。
重新评估触发器
在材料来源、提供商、模型、许可、目的或客户影响发生变化后重新审视决策。保留先前的决定以及评估更改的原因。
标准和延伸阅读
相关指南的主要参考。特定于参与的架构、控制和义务需要他们自己的评估。