Přílíšné řízení rizik zabíjí RPA

Řízení rizik možná není to první, co vás napadne v souvislosti s nasazováním RPA. Podle analytiků Gartneru je to ale kromě produktivity hlavní faktor, o němž by CIO a lídři zodpovědní za řešení typu robotické automatizace měli uvažovat (a navzájem oba vyvažovat) – a to zejména ve finančním sektoru (který je tradičně jednou z hlavních vertikál využívajících RPA).

Celopodniková adopce RPA ve finanční sféře (bankovnictví, finanční služby, pojišťovnictví) dosáhne do roku 2022 úrovně 90 % (oproti 55 % v roce 2019). A právě s rozšiřováním RPA do dalších oblastí bude souviset větší potřeba řešit důslednější pravidla a dohled nad jeho fungováním. Mohlo by to dojít až tak daleko, že část úspor lidské práce, kterou RPA přináší, bude „kompenzována“ nároky na lidskou práci při „ručním“ dohledu na ni.

„Dostali jsme se do bodu, kdy formální dohled a pravidla konečně RPA dohánějí, hrozí ale riziko nadměrné kontroly a v konečném důsledku promrhané snahy o zvýšení efektivity,“ říká Hilary Richardsová, viceprezidentka výzkumu Gartner Finance. „Výběrem vhodného governance modelu pro RPA a vytvořením jasných pravidel umožňujících vyřešit ta nejdůležitější rizika předem lze efektivně dosáhnout cíle, aniž jsou redukovány hlavní přínosy RPA.“

Jak tedy optimalizovat rizika v oblasti RPA? Počáteční snahy o hodnocení souvisejících rizik byly většinou zaměřené na problém nedostatečně kontrolovaných prostředí. Jinými slovy, hlavní obavy souvisely se vznikem stínového IT, narušení souladu s předpisy, selhání RPA botů a možný dopadů na provoz či byznys kontinuitu. To vedlo ke tvorbě formálnější a pevnější governance.

„Některé organizace investovaly do RPA značný objem času a peněz, nicméně jejich míra využití botů je kolem 30 % kapacity právě vinou příliš omezujících pravidel či dohledu. Revize governance procesů může těmto organizacím pomoci dosáhnout rychlejší návratnosti investic, aniž  vystaví riziku,“ vysvětluje Richardsová.

Jak tedy vhodnou RPA governance navrhnout? Analytici doporučují, aby se organizace usnesla na jednotném či jediném governance modelu pro technologii, dohled na oddělení povinností a pravidlech pro vyhodnocování souladu s předpisy, jež je třeba dodržet.

• Při vlastním výběru RPA governance modelu analytici doporučují, aby organizace začaly s jediným centralizovaným, a teprve až získají dostatek zkušeností a sebevědomí, uvažovaly o modelu federovaném nabízejícím jednotlivým oddělením více flexibility.
• Důležité je řízení SOD rizik, tedy rizik souvisejících se souběhem pravomocí a povinností, respektive jejich oddělováním (segregation of duties), při nedostatečné regulaci a dohledu v této oblasti jsou podvody páchané prostřednictvím botů (RPA) stejným problémem jako ty prováděné lidmi. Přílišná regulace vede k nedostatečnému vytížení botů. Namísto segregace každého procesu a vyhrazení bota pro daný proces doporučují analytici oddělení pravomocí, rolí a činností lidí, jež s boty interagují (vývoj, dohled, procesní vlastnictví) a umožnit jednomu botu pokrýt více procesů.
• Zkoumání či monitorování každého možného dopadu nasazení botů na soulad s předpisy je časově náročná a převážně manuální činnost s potenciálem přehltit projektový či realizační tým. Organizace by namísto toho měly vytvořit procesní pravidla, jež označí příslušné RPA návrhy pro podrobnější revizi jen v případě, že se jejich činnost nějakým způsobem dotkne regulovaných témat.

Tématu se podrobně věnuje studie RPA Operating Models: Internal Control Risk Implications for Internal Auditors dostupná klientům Gartneru. Volně dostupná je pak související brožura Digital Future of Finance.