HelmGuard haluaa korvata compliance-paperityön jatkuvalla riskivarmennuksella

Compliance-työ tarkoittaa säännellyillä toimialoilla usein määräajoin toistuvia kyselyitä, dokumenttipyyntöjä ja raportteja. HelmGuardin ajatus on siirtää painopiste pois tällaisesta kertaluonteisesta paperityöstä: erikoistuneet tekoälyagentit keräisivät ja arvioisivat ajantasaista tietoa yrityksen asiakirjoista, jäsentymättömästä datasta ja niihin kytketyistä lähdejärjestelmistä. Näin hallinnosta, riskeistä ja vaatimustenmukaisuudesta — GRC:stä — pyrittäisiin tekemään jatkuvaa varmentamista. 5

Riskiä arvioidaan näytön, ei lomakkeiden perusteella

HelmGuard kuvaa tuotettaan tekoälyagentteihin perustuvaksi GRC- ja tietoturva-alustaksi. Sen agenttien on tarkoitus kerätä ja arvioida riskisignaaleja suoraan organisaation järjestelmistä ja dokumentaatiosta sen sijaan, että työntekijät tai toimittajat kokoaisivat pääosin erillisiä, tiettyä hetkeä kuvaavia todistusaineistopaketteja. Tavoitteena on muodostaa ajantasainen näkymä tietoturva-, compliance- ja kolmannen osapuolen riskeihin päätöksenteon tueksi. 5

Ero on merkittävä aloilla, joilla yritykset pyytävät toimittajilta, vastapuolilta ja omilta tiimeiltään toistuvasti samankaltaisia todisteita kontrollien toimivuudesta. HelmGuard kohdistaa teknologiaansa muun muassa kolmansien osapuolten riskienhallintaan, kontrollivajeiden arviointiin ja käytössä olevien tekoälyagenttien varmennukseen. Yhtiön mukaan arviointisyklit voivat lyhentyä viikoista tunneiksi. 5

Säännellylle ostajaorganisaatiolle lupaus ei siis ole vain se, että tekoäly täyttää kyselyitä nopeammin. HelmGuardin mukaan järjestelmä arvioi riskin, saatavilla olevan näytön ja riskiä pienentämään tarkoitettujen kontrollien välisiä suhteita. Johtopäätöksiin on tarkoitus liittää viittaukset lähdenäyttöön, päättelyjäljet ja ihmisen tekemä tarkastus, jotta sisäiset sidosryhmät, tilintarkastajat ja viranomaiset voivat tarkastella niitä. 5

Jatkuva varmentaminen vähentäisi vanhentuvan tiedon ongelmaa

Perinteinen arviointi on yleensä tilannekuva yhdestä hetkestä: toimittaja lähettää asiakirjat, arvioija käy ne läpi, ja raportti voi vanhentua, kun järjestelmät, kontrollit tai toimittajasuhteet muuttuvat. HelmGuardin malli perustuu olennaisten signaalien jatkuvaan keräämiseen ja uudelleenarviointiin lähdejärjestelmistä. 25

Käytännössä tämä voisi vähentää toistuvaa näytön keräämistä esimerkiksi toimittajien taustaselvityksissä ja tietoturvakontrollien tarkastuksissa. Samalla se asettaa tuotteelle korkean vaatimustason: näytön, sen tulkinnan sekä havainnon ja sitä tukevan aineiston välisten yhteyksien on oltava ihmiselle riittävän selkeitä kyseenalaistettaviksi ja tarkastettaviksi.

HelmGuard on kertonut varhaisista asiakasesimerkeistä, joihin kuuluu 1 250 vastapuolen arviointi yhdysvaltalaiselle vakuutusasiakkaalle alle viikossa. Yhtiön mukaan eräällä etäterveys- ja telekommunikaatioasiakkaalla varmennusvastauksiin kuluva aika lyheni päivistä minuutteihin. Nämä ovat yhtiön raportoimia tapaustutkimuksia, eivät riippumattomasti auditoituja suorituskykymittareita. 5

Seuraava askel: tekoälyagenttien valvonta niiden käytön aikana

HelmGuard keräsi 7,3 miljoonan dollarin siemenrahoituksen. Kierrosta vetivät yhdessä Infinity Ventures ja Frontline, ja siihen osallistuivat myös FinTech Collective, Stage 2 Capital sekä Entrepreneurs First. 25

Keskeinen suunniteltu rahoituksen käyttökohde on varmennuskerros, joka arvioi tekoälyagenttien toimintaa niiden ollessa käynnissä. 5 Tämä vastaa käytännön hallintahaasteeseen: tekoälyjärjestelmän operatiivinen riski voi muuttua esimerkiksi mallipäivitysten, uusien työkalukytkentöjen tai laajempien data- ja toimintaoikeuksien myötä. Ajonaikaisen arvioinnin tarkoituksena on auttaa organisaatioita seuraamaan tällaisia muutoksia niiden tapahtuessa sen sijaan, että tarkastus tehtäisiin vain ennen käyttöönottoa. 5

Rahoituksella on tarkoitus tukea myös laajentumista Yhdysvalloissa ja rekrytointeja tuotekehityksen sekä kaupallisten roolien tehtäviin. HelmGuard on kertonut suunnittelevansa toimipisteitä New Yorkiin ja San Franciscoon Lontoon pääkonttorinsa rinnalle. 56

Verified Risk Network korvaisi toistuvat dokumenttipyynnöt

HelmGuardin pidemmän aikavälin konsepti on Verified Risk Network, eli verkosto, jossa organisaatiot voisivat vaihtaa jatkuvasti varmennettuja, näyttöön perustuvia riskiväitteitä sen sijaan, että ne lähettäisivät toisilleen yhä uudelleen sertifikaatteja, raportteja ja kyselyvastauksia. 5

Ajateltu toimintamalli on yksinkertainen: kun yksi organisaatio tarvitsee toiselta varmennusvastauksen, agentit voisivat toimittaa ajantasaisen, taustalla olevalla näytöllä perustellun väitteen. Toisen osapuolen ei tarvitsisi koota staattista vastausta alusta asti. HelmGuardin mukaan vaihdettavissa väitteissä säilyisivät viittaukset, päättelyjäljet ja ihmisen valvonta. 5

Jos malli toimii tarkoitetulla tavalla, se voisi vähentää päällekkäistä työtä kolmansien osapuolten varmennuksessa ja pitää vastaukset paremmin ajan tasalla. Sitä ei kuitenkaan pidä tulkita täysin autonomiseksi compliance-päätöksenteoksi. Yhtiön ilmoittamaan suunnitteluun sisältyy edelleen ihmisen suorittama tarkastus, ja jatkuvan varmennuksen luotettavuus laajemmassa asiakas- ja sääntely-ympäristössä on vielä osoitettava tuotantokäytössä. 5

Ratkaisevaa on luottamus auditointitilanteessa

HelmGuardin strategia yhdistää kolme toisiinsa liittyvää tavoitetta: näytön keräämisen suoraan lähdejärjestelmistä, riskien jatkuvan uudelleenarvioinnin ja tekoälyagenttien itsensä valvonnan. 7,3 miljoonan dollarin rahoitus antaa yhtiölle resursseja kasvattaa kaupallista läsnäoloaan sekä kehittää ajonaikaista varmennuskerrosta ja Verified Risk Networkia. 56

Todellinen testi on, luottavatko organisaatiot järjestelmän väitteisiin silloin, kun panokset ovat korkeimmillaan — auditoinneissa, toimittaja-arvioinneissa, tietoturvapoikkeamissa ja viranomaisvalvonnassa. Nopeammat arvioinnit eivät yksin riitä: niitä tukevan näytön, päättelyn ja ihmisen vastuun on oltava vähintään yhtä kestäviä kuin paperiprosessien, joita HelmGuard pyrkii korvaamaan.