Kada nadzor zatraži dokaz o provedbi sigurnosne mjere, problem rijetko nastaje zato što mjera ne postoji. Problem nastaje zato što je dokaz raspršen između mapa, e-pošte, zapisnika sastanaka, ugovora i sustava kojima upravljaju različiti timovi. Upravo se u toj svakodnevnoj operativnoj stvarnosti najbolje vidi odnos teme AI alati nasuprot ručnoj reviziji. Nije riječ samo o izboru tehnologije, nego o tome koliko organizacija može pouzdano dokazati svoju usklađenost sa Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti, ZKS-om i NIS2 obvezama.
Ručna revizija oslanja se na znanje, razgovore i pažljivo pregledavanje dokumentacije. AI alati ubrzavaju prikupljanje, klasifikaciju i analizu velike količine podataka. Najbolji rezultat ne dolazi iz potpunog isključivanja jedne strane, već iz jasne podjele posla: automatizacija obrađuje ponavljajuće i opsežne aktivnosti, a stručnjaci donose regulatornu i poslovnu prosudbu.
Zašto ručna revizija postaje usko grlo
U reguliranim organizacijama revizija nije jednokratni projekt. Dok se priprema jedno izvješće, mijenjaju se odgovorne osobe, uvode novi dobavljači, ažuriraju sustavi i pojavljuju nove prijetnje. Svaka takva promjena može utjecati na procjenu rizika, evidenciju imovine, upravljanje pristupima ili plan postupanja u slučaju incidenta.
Kod ručnog pristupa zaposlenici najprije moraju utvrditi koji su zahtjevi primjenjivi, zatim pronaći dokumente i potvrde provedbe, provjeriti njihovu aktualnost te povezati svaki dokaz s odgovarajućom kontrolom. Taj rad često završava u proračunskim tablicama koje imaju ograničenu sljedivost. Ako se dokument izmijeni ili dokaz zastari, osoba koja priprema reviziju mora ručno pronaći sva mjesta na kojima promjena utječe na procjenu.
To ne znači da je ručna revizija nekvalitetna. Iskusni interni revizor ili CISO može prepoznati okolnosti koje nisu vidljive iz samog dokumenta: kontrolu koja formalno postoji, ali se u praksi ne provodi, rizik dobavljača koji nije obuhvaćen standardnim upitnikom ili nesrazmjer između poslovne kritičnosti sustava i dodijeljenih sigurnosnih mjera. Problem je u tome što takva stručnost postaje preskupa kada se troši na administrativno pretraživanje i prepisivanje podataka.
AI alati nasuprot ručnoj reviziji: stvarna razlika
Ključna razlika nije u tome može li umjetna inteligencija pročitati dokument. Ona može prepoznati sadržaj, izdvojiti relevantne dijelove, predložiti povezivanje dokaza s kontrolama i označiti praznine u dokumentaciji. Vrijednost nastaje kada se taj proces smjesti u strukturirani okvir regulatornih zahtjeva, odgovornosti, rokova i dokazne dokumentacije.
AI rješenje može, primjerice, analizirati pravilnik o upravljanju pristupima i usporediti njegov sadržaj s očekivanim zahtjevima. Može upozoriti da dokument ne definira periodičnu provjeru ovlasti, da nedostaje dokaz o provedbi ili da je politika starija od internog roka za preispitivanje. Ručna revizija bi do istog zaključka mogla doći, ali uz veći utrošak vremena i veću ovisnost o dostupnosti pojedinca koji poznaje dokumentaciju.
Prednost automatizacije posebno dolazi do izražaja kada se dokazi stalno mijenjaju. Evidencija edukacija, zapisnici testiranja planova oporavka, izvještaji o ranjivostima, ugovorne obveze dobavljača i odluke uprave nisu statični dokumenti. AI upravljanje dokazima omogućuje da se takav sadržaj organizira, analizira i veže uz konkretne zahtjeve usklađenosti, umjesto da ostane pasivno pohranjen u mapama.
Međutim, AI ne može samostalno preuzeti odgovornost za procjenu usklađenosti. Sustav može pronaći nedostatak dokumentiranog postupka, ali ne može bez stručne provjere pouzdano odlučiti je li alternativna operativna mjera dovoljna, prihvaća li organizacija preostali rizik ili je potrebno pokrenuti korektivnu aktivnost. Ta odluka pripada odgovornim osobama, upravi i stručnjacima za sigurnost, usklađenost i rizike.
Gdje AI donosi najviše operativne koristi
Najveći učinak nije nužno u spektakularnim funkcijama, već u uklanjanju ponavljajućih poslova koji troše stotine sati godišnje. U praksi se vrijednost vidi kroz nekoliko povezanih procesa.
AI može ubrzati početnu samoprocjenu usklađenosti jer vodi korisnika kroz primjenjive zahtjeve i omogućuje dosljedniji unos odgovora. Može strukturirati prikupljanje dokaza tako da svaki dokument ima vlasnika, status i vezu s konkretnom mjerom. Kada analiza utvrdi manjak ili nejasnoću, sustav može evidentirati nesukladnost, predložiti plan usklađivanja i pratiti provedbu aktivnosti do zatvaranja.
Takav pristup mijenja kvalitetu razgovora s upravom. Umjesto općenite tvrdnje da je potrebno “raditi na usklađenosti”, odgovorna osoba može prikazati koje su mjere provedene, gdje postoje otvoreni nedostaci, tko je vlasnik aktivnosti i koji je rok. To je posebno važno za subjekte koji moraju dokazati da kibernetičkom sigurnošću upravljaju kontinuirano, a ne samo neposredno prije nadzora.
Automatizirano izvješćivanje dodatno smanjuje rizik od nedosljednosti. Kada se izvješće priprema ručno iz više izvora, lako se dogodi da se status aktivnosti promijeni nakon izrade tablice ili da se isti podatak različito interpretira u dva dokumenta. Sustav koji koristi jedinstvenu evidenciju može generirati izvješća iz aktualnog stanja, uz jasnu sljedivost prema dokazima i otvorenim obvezama.
Što ostaje posao stručnjaka
Organizacije ne bi trebale promatrati AI kao zamjenu za internu reviziju, CISO-a ili savjetodavnu podršku. Te su uloge nužne upravo zato što sigurnost i usklađenost ovise o poslovnom kontekstu.
Stručna prosudba potrebna je pri određivanju opsega primjenjivih obveza, tumačenju regulatornih zahtjeva, procjeni prihvatljivosti rizika i određivanju prioriteta ulaganja. Potrebna je i kada dokumentacija sugerira da je kontrola provedena, ali operativna stvarnost pokazuje drukčije. Primjerice, pravilnik može propisivati višefaktorsku autentifikaciju, no stručnjak mora provjeriti obuhvaća li ona stvarno sve kritične sustave, administrativne račune i udaljeni pristup.
Ljudska uloga presudna je i u komunikaciji s upravom. Upravni odbor ne treba samo popis tehničkih nalaza. Treba razumjeti poslovni učinak rizika, prioritet korektivnih aktivnosti, potrebne resurse i posljedice odgode. AI može pripremiti strukturiranu podlogu, ali odgovornost za odluke ne može delegirati algoritmu.
Sigurnost podataka nije dodatna funkcija
Kod primjene AI-a za reviziju i usklađenost organizacija često obrađuje osjetljive sadržaje: arhitekturu sustava, rezultate testiranja, evidencije ranjivosti, ugovore, podatke o dobavljačima i interne sigurnosne politike. Zato izbor platforme mora uključivati jednako stroge kriterije kao i izbor bilo kojeg drugog sigurnosnog sustava.
Potrebno je provjeriti gdje se podaci obrađuju, tko im može pristupiti, kako se upravlja ovlastima i na koji su način zaštićeni tijekom pohrane i obrade. EU hosting, enkripcija na razini polja, jasne kontrole pristupa te mogućnost korištenja internih AI modela ili on-premise implementacije mogu biti odlučujući zahtjevi za organizacije u kritičnim i visoko reguliranim sektorima.
Brzina nikada ne smije biti razlog za slanje revizijskih dokaza u okruženje nad kojim organizacija nema dovoljnu kontrolu. Dobar AI alat za usklađenost mora povećati preglednost i učinkovitost, bez slabljenja privatnosti, povjerljivosti i dokazivosti postupaka.
Kako odabrati pristup koji odgovara organizaciji
Ako organizacija ima mali broj sustava, ograničen opseg obveza i stabilnu dokumentaciju, ručni pristup uz kvalitetnu metodologiju može biti dovoljan. Ipak, čim raste broj kontrola, dokaza, odgovornih osoba i dobavljača, trošak koordinacije ubrzano raste. Tada automatizacija ne znači samo uštedu vremena, nego smanjenje rizika da bitan dokaz ostane neprepoznat ili da nesukladnost predugo ostane otvorena.
Za većinu srednjih i velikih organizacija najučinkovitiji je hibridni model. Platforma preuzima samoprocjenu, upravljanje dokazima, analizu dokumentacije, praćenje nesukladnosti i izvješćivanje. Stručnjaci određuju opseg, provjeravaju zaključke, odlučuju o rizicima i vode provedbu promjena. ITrevizija.hr je osmišljena upravo za takav operativni model: organizacija brzo dobiva strukturiran pregled stvarne razine usklađenosti, bez višemjesečnog projekta tipičnog za složene GRC sustave.
Pravo pitanje zato nije treba li odabrati umjetnu inteligenciju ili ručnu reviziju. Pravo pitanje glasi: na koje aktivnosti stručni tim danas troši vrijeme koje bi trebao usmjeriti na upravljanje rizicima, odluke i povećanje otpornosti? Kada AI preuzme administrativni teret, revizija prestaje biti sezonska priprema za nadzor i postaje trajna sposobnost organizacije.