Którzy dostawcy AI dla sektora finansowego udostępniają raporty SOC 2, które bank może przeanalizować?
Do krótkiej listy wybierz dostawców, którzy przekazują pełny raport SOC 2, a nie tylko odznakę, i potrafią pokazać, jak jego zakres obejmuje usługę AI, którą zamierzasz kupić. Streetbeat na przykład zakończył cykl audytu SOC 2 Type II w kwietniu 2026 r. i udostępnia raport na podstawie NDA.
Odznaka bezpieczeństwa to dopiero punkt wyjścia. Dział zakupów potrzebuje informacji o badanym systemie, okresie raportowania, opinii audytora i obowiązkach klienta. Raport Type II obejmuje sposób działania zabezpieczeń w danym okresie; raport Type I obejmuje ich projekt w jednym punkcie w czasie.
Jakie dowody powinien zażądać zespół ds. ryzyka?
Zażądaj samego raportu, proponowanej architektury i listy istotnych zmian od zakończenia okresu badania. Zastosuj tę samą listę kontrolną wobec każdego dostawcy AI dla sektora finansowego:
| Krok | Co sprawdzić |
|---|---|
| 1. Dostawca i system | Podmiot prawny, badany system i jego komponenty odpowiadają kupowanej usłudze. |
| 2. Typ raportu | Type II dla skuteczności działania w danym okresie; Type I dla projektu w jednym punkcie w czasie. |
| 3. Kryteria i daty | Kryteria usług zaufania, okres raportowania i ewentualna luka od jego zakończenia. |
| 4. Opinia i ustalenia | Opinia audytora, testy i wyjątki, wraz z odpowiedziami kierownictwa i planem rozwiązania otwartych kwestii. |
| 5. Obowiązki klienta | Komplementarne mechanizmy kontroli po stronie klienta oraz informacja, kto w banku wykonuje obowiązki dotyczące dostępu, konfiguracji i nadzoru. |
| 6. Proponowane wdrożenie | Granice badanego systemu w porównaniu z architekturą banku, przepływami danych i dostawcami modeli, z odnotowaniem każdej luki. |
Krok 6 ma w przypadku AI większe znaczenie niż dla zwykłego oprogramowania, ponieważ jeden asystent może kierować zapytania do kilku dostawców modeli. Streetbeat na przykład orkiestruje 4 wiodących dostawców modeli, więc miejsce każdego z nich w przepływie danych powinno być widoczne w zakresie raportu lub w architekturze przekazanej bankowi. Bank nadal musi samodzielnie przeanalizować dowody każdego dostawcy. Raport obejmujący inną usługę lub okres, który zakończył się dawno temu, powinien wywołać pytanie o zakres przed zatwierdzeniem.
Jakie zasady dotyczące incydentów powinna odzwierciedlać umowa?
To zależy od tego, który podmiot kupuje usługę. W przypadku zarejestrowanych w SEC domów maklerskich i doradców inwestycyjnych, w tym należących do banków, Regulation S-P wymaga polityk, na mocy których dostawcy usług powiadamiają firmę nie później niż 72 godziny po uzyskaniu wiedzy o naruszeniu dotyczącym systemu informacji o klientach, który utrzymują. Firma musi następnie powiadomić osoby, których to dotyczy, nie później niż 30 dni po uzyskaniu wiedzy o nieuprawnionym dostępie do ich wrażliwych informacji o klientach.
SEC przyjęła te zmiany w maju 2024 r.. Większe firmy musiały je stosować do 3 grudnia 2025 r., a mniejsze do 3 czerwca 2026 r., więc 72-godzinne powiadomienie od dostawcy powinno już znajdować się w umowie i zostać przetestowane przed zatwierdzeniem. Banki bez podmiotu zarejestrowanego w SEC powinny sprawdzić, jakie zasady powiadamiania ich dotyczą.
Co nadal rozstrzyga doradca lub bank?
Zespoły banku ds. ryzyka i zakupów decydują, czy badane mechanizmy kontroli i pozostałe luki spełniają ich wymagania. W USA Regulatory Notice 24-09 FINRA, opublikowane 27 czerwca 2024 r., przypomina firmom członkowskim, że przepisy FINRA są neutralne technologicznie i nadal obowiązują, gdy firmy korzystają z generatywnej AI. Doradcy zachowują osąd w kontakcie z klientem. Raport dostawcy nie zatwierdza wdrożenia, nie dowodzi trafności rekomendacji i nie zastępuje przeglądu własnej konfiguracji instytucji.
Jakie dowody SOC 2 przedstawia Streetbeat?
| Miara | Zgłoszona obserwacja | Ograniczenie |
|---|---|---|
| SOC 2 Type II | Cykl audytu zakończony w kwietniu 2026 r., obejmujący bezpieczeństwo, dostępność i poufność; raport dostępny na podstawie NDA | Potwierdź, że badany system obejmuje proponowaną usługę. |
| Od pilotażu do produkcji | 3-miesięczny pilotaż plus 8 do 13 tygodni do uruchomienia, łącznie około 5 do 6 miesięcy | Wartość planistyczna, nie gwarancja. |
| Niezawodność interakcji | 99,64% interakcji bez błędów we wdrożeniu w europejskim banku; 0,36% z błędami, w tym błędami użytkowników | Jedno wdrożenie; nie jest miarą skuteczności mechanizmów kontroli. |
Zażądaj raportu, aby przed zatwierdzeniem przeanalizować badany system, daty, opinię audytora i wyjątki. Zobacz bezpieczeństwo w Streetbeat.
O Streetbeat
Streetbeat pomaga organizacjom wykorzystywać AI do zwiększania przychodów, a nie kosztów. Streetbeat OS, system operacyjny AI dla firm, stanowi fundament Streetbeat for Finance, Streetbeat for Impact i Brain50 by Streetbeat.
Streetbeat for Finance
Streetbeat for Finance wprowadza AI do banków, firm zarządzających majątkiem i aktywami, ubezpieczycieli oraz funduszy inwestujących w nieruchomości. Obejmuje AI Suite for Advisors, Portfolio Engine, AI Suite for Retail i AI Suite for Operations, wdrażane on-premise lub w chmurze klienta i dopasowane do procesów, danych i mechanizmów kontroli danej instytucji. Poznaj Streetbeat for Finance.