将NIST人工智能治理原则与您的交易风险管理计划相整合
美国国家标准与技术研究院（NIST）于2023年1月发布了人工智能风险管理框架（AI RMF）。据NIST称，该框架旨在"为设计、开发、部署或使用人工智能系统的组织提供资源，以帮助管理人工智能的诸多风险，并促进人工智能系统的可信赖与负责任的开发及应用"。
风险管理框架（RMF）提出了四项功能，以帮助组织应对人工智能系统的风险：治理、映射、测量和管理。
Prevalent可协助贵组织将其第三方风险管理（TPRM）计划与NIST人工智能风险管理框架对接，从而对第三方人工智能使用建立更完善的管控与问责机制。
相关要求
-
制定治理政策、标准和流程，作为整体技术风险管理计划的一部分，以保护数据和系统免受人工智能风险的影响。
-
对第三方进行分类和分级，同时量化使用第三方人工智能相关的固有风险，确保所有风险均被全面识别。
-
在全面风险管理框架下，开展全面的第三方风险评估，并持续监测和衡量人工智能特有的风险。
-
确保对第三方实体引发的人工智能特定风险实施全面事件响应
NIST人工智能风险管理框架中的TPRM考量
下表回顾了NIST人工智能框架中的四项功能和选定类别，并提出了应对潜在第三方人工智能风险的考虑因素。
注：此为摘要表。如需全面了解NIST人工智能风险管理框架，请下载完整版文件，并联合贵机构内部审计、法律、IT、安全及供应商管理团队共同研读。
| 美国国家标准与技术研究院人工智能风险管理框架分类 | 我们如何提供帮助 |
|---|---|
| 治理是风险管理框架（RMF）中的基础功能，旨在建立风险管理文化；定义流程；并为该计划提供结构框架。 | |
|
治理1：组织内部关于人工智能风险的识别、衡量和管理相关的政策、流程、程序及实践已建立到位，且具有透明度并得到有效实施。 GOVERN 2：已建立问责机制，确保相关团队和个人获得授权、承担责任并接受培训，以实现人工智能风险的识别、评估与管控。 GOVERN 3：在人工智能风险的生命周期中，劳动力多样性、公平性、包容性和无障碍性流程被优先纳入风险映射、评估与管理流程。 治理原则4：组织团队致力于营造一种重视并沟通人工智能风险的文化。 GOVERN 5：已建立与相关人工智能行为体开展有效互动的机制。 GOVERN 6：已制定政策和程序，以应对第三方软件和数据及其他供应链问题所引发的人工智能风险与效益。 |
普瑞瓦尔与您携手制定人工智能政策与流程，将其纳入您全面的第三方风险管理（TPRM）计划，并与您更广泛的信息安全及治理、风险与合规框架保持一致。 我们的专家将与您的团队协作，共同制定并实施人工智能与第三方风险管理（TPRM）流程及解决方案；筛选风险评估问卷与框架；并根据贵组织的风险偏好，优化项目方案以应对整个第三方生命周期中的人工智能风险——涵盖从供应商遴选与尽职调查，到终止合作与退出管理等全流程环节。 在此过程中，我们定义：
|
| 映射是建立框架以界定人工智能系统相关风险的函数。 | |
|
图1：背景已建立并被理解。 图2：对人工智能系统进行分类。 图3：理解人工智能能力、目标应用场景、目标以及预期效益与成本，并与相应基准进行比较。 图4：对人工智能系统所有组件（包括第三方软件和数据）的风险与收益进行可视化呈现。 图5：描述了对个人、群体、社区、组织及社会的影响特征。 |
普瑞维尔可协助贵机构建立健全的风险管理流程，通过对第三方进行画像与分层评估，量化所有第三方（本案例中指人工智能）的固有风险，从而深入理解人工智能应用场景。用于计算第三方分类与分级所依据的固有风险评估标准包括：
基于此内在风险评估，您的团队可自动按AI风险暴露程度对供应商进行分级；设定相应的尽职调查深度；并确定持续评估的范围。 基于规则的分层逻辑通过综合数据交互与监管考量，实现供应商分类。 |
| 衡量是分析、评估、基准测试和监控人工智能风险及相关影响的功能。 | |
|
措施1：确定并应用适当的方法和指标。 措施2：对人工智能系统进行可信赖性特征评估。 措施3：已建立机制，用于长期追踪已识别的AI风险。 措施4：收集并评估关于测量有效性的反馈。 |
主流第三方风险管理平台配备了庞大的预制模板库，用于第三方风险评估。第三方供应商应在入驻、合同续签时，或根据重大变更情况按规定频率（如季度或年度）对其人工智能实践进行评估。 评估工作由中央统一管理，并依托工作流、任务管理及自动化证据审查功能，确保团队在整个合作关系生命周期内能够全面掌握第三方风险状况。 值得注意的是，Prevalent基于风险评估结果内置了补救建议，确保第三方能够及时妥善处理风险，同时为审计人员提供充分的证据支持。 为补充供应商人工智能评估，Prevalent持续追踪并分析针对第三方外部威胁。该平台通过监测互联网及暗网中的网络威胁与漏洞，将所有监测数据与评估结果关联，集中存储于各供应商的统一风险登记册中，从而优化风险审查、报告、整改及响应流程。 监测来源包括
最后，Prevalent持续根据您的要求对第三方关键绩效指标（KPI）和关键风险指标（KRI）进行评估，助力您的团队发现风险趋势、判定第三方风险状态，并识别可能需要进一步调查的异常行为。 |
| 管理职能包括定期将风险资源分配给已映射和测量的风险，具体分配方式由治理职能定义。这涵盖针对事件或事故的响应计划、恢复计划及沟通计划。 | |
|
管理1：基于MAP和MEASURE功能的评估及其他分析结果，对人工智能风险进行优先级排序、响应及管理。 管理2：制定、准备、实施、记录并参考相关人工智能参与者的意见，以最大化人工智能效益并最小化其负面影响的策略。 管理3：来自第三方实体的人工智能风险与收益得到管控。 管理4：针对已识别和量化的AI风险，其风险应对措施（包括响应与恢复）及沟通计划均已记录在案，并定期进行监控。 |
作为您更广泛的事件管理策略的一部分，Prevalent 助力确保您的第三方事件响应计划能够快速识别、应对、报告并减轻第三方供应商人工智能安全事件的影响。 主要功能包括
凭借这些洞察，您的团队能够更有效地管理和分级处理第三方实体；了解事件的范围和影响；明确涉及哪些数据；判断第三方运营是否受到影响；并掌握修复措施的完成时间。 |
