IAPP协会2024《组织数字化治理报告》中文版上线！

什么是组织数字化治理？

这种纠结的部分原因在于不断变化的宏观环境，以及数字化治理所涵盖的众多且多样的主题领域。

我们所说的组织层面的数字化治理，指的是为组织在处理与数字技术相关的社会技术、战略和监管领域事务时，确立角色、职责和问责机制的架构和框架。

从广义上讲，数字化治理涵盖了隐私与数据保护、人工智能治理、网络安全、内容审核、网络安全、平台责任、数字可及性、数据治理以及伦理道德等方面的任意组合。当版权、贸易、执法与国家安全、竞争、第三方管理以及公民权利等方面与公司对数字产品和服务的开发、使用或部署产生交集时，与之相关的治理需求也可纳入数字化治理的范畴。

在一个组织内部，数字化治理的职责在不同的防线中或多或少都有所体现。

第一道防线：一线团队

一线团队承担并管理风险，并且很可能在诸如业务和产品团队等不同的业务职能部门中开展工作。他们可能负责通过设计和实施适当的风险缓解控制措施来管理运营风险。

第二道防线：专家/监督团队

这主要由那些在治理、风险管理和合规方面进行监督或提供专业领域知识的团队组成，例如风险管理团队、隐私保护和信息安全团队。他们可能负责帮助一线团队建立风险缓解控制措施，监控这些措施的有效性，并制定风险管理的政策和程序。

第三道防线：保障团队

内部审计团队提供独立的保障，以确定前两道防线中的团队是否在有效地运作。其职责可能包括向管理层提供独立的报告。

传统模式治理

一个组织的传统模式治理试图在各个子领域内部并通过这些子领域来实施数字化治理，但却没有一个明确界定或协调统一的数字化治理方法。

大多数接受采访的领导者表示，他们所在的组织在设计和实施数字化治理框架方面的思考和工作还处于早期阶段。这并不是说这些组织没有在实施数字化治理；而是说，他们是在现有的架构体系中并基于这些架构来开展数字化治理工作的，而这些现有的架构在很大程度上并没有通过数字化治理项目进行协调或整合。我们将这种治理方式称为传统模式治理。

在构建和完善数字化治理方法的过程中，需要克服的挑战包括：

• 各个第二道防线职能部门的成熟度不足。

• 第一道防线对风险缺乏认知、责任意识和（或）担当精神。

• 第一道防线以及整个组织期望第二道防线来设计并实施控制措施，这影响了第二道防线独立测试和监控这些控制措施的能力。

下一页的组织结构图展示了一个数字化治理方面的高层级示例组织结构。各委员会很可能是为了直接应对监管法规和政策的发展而设立的，其职责是监督合规要求的落实情况。随着相关项目取得成果，这些委员会中的许多可能会转变为问题升级处理的节点。

借助技术实现合规的本质上可能会受到限制，因为会使用从传统工具到从众多第三方采购的各种工具，来解决相互重叠的问题。

增强型治理

组织的增强型治理模式旨在通过明确且结构化的数字化治理框架，借助各种跨学科流程和架构来实施数字化治理。

在数字化治理方面拥有更明确和/或更成熟方法的组织中，高层领导者指出了一些使其能够采取更协调的数字化治理方式的组织结构特征，包括：

• 由领域负责人主持的特定领域委员会，例如由首席隐私官（CPO）领导隐私委员会，并根据需要吸纳其他领域代表参与，如采购部门负责人出席隐私委员会并进行汇报。  

• 人工智能治理的兴起凸显了以下两方面协调的必要性：一是负责有效部署人工智能以实现业务目标的业务职能部门，二是应对人工智能治理要求的合规驱动型职能部门。

• 第一道防线对风险有了更强的认知，并明确了风险决策的正式职责，这使得第二道防线能够承担起监控和测试控制措施的责任，而非设计和实施这些措施。

• 成立风险治理和数据治理咨询委员会。风险委员会可解读法律和政策要求并批准基于风险的决策，而数据治理咨询委员会则支持基于价值观的决策，以涵盖组织可能需要做出的“我们是否应该”和“我们能否”等伦理决策。

聚焦人工智能治理委员会

随着各组织应对人工智能的快速发展，许多机构已将人工智能列为战略重点。对此，受访者指出，由于该主题需要跨职能专业知识和协作，因此已设立特定的子治理架构来处理人工智能战略和治理问题。右侧列出了一个示例架构。

董事会层面的人工智能委员会对组织人工智能活动的决策和方向设定负有最终责任。该委员会可能由组织内的高级领导者组成，负责日常决策、优先级确定，并对人工智能应用案例进行监督。与此同时，创新委员会可能针对新型人工智能应用开展研发活动，旨在使组织的人工智能策略领先于竞争对手。人工智能战略、治理和运营委员会则可能在组织更广泛的人工智能战略框架内，处理有关人工智能治理的日常决策。这些工作均由人工智能治理业务合作伙伴网络提供支持，该网络由具备人工智能治理专业知识的人员组成，他们可能隶属于第一道防线，或位于第一道与第二道防线之间，以支持人工智能治理控制措施的设计和实施。

随着人工智能治理项目的成熟，组织可能会发现可以调整这些组织结构以管理数字战略和风险，目标是过渡到数字化治理运营模式。

END