Muž, který sedí u stolu s přenosným počítačem.

Co je dodržování právních předpisů?

Zjistěte, jak robustní strategie dodržování předpisů pomáhá snižovat finanční sankce, právní rizika a poškození pověsti – a zároveň zvyšuje důvěryhodnost na trhu a konkurenční výhodu.

Prozkoumejte řešení dodržování právních předpisů

Definice dodržování právních předpisů

Dodržování právních předpisů se vztahuje na dodržování zákonů, právních předpisů, pokynů a specifikací organizace, které jsou relevantní pro její obchodní činnost.

Tyto právní předpisy slouží jako právní povinnosti a rámce pro lepší řízení rizik. Rozsah je široký a vztahuje se na řadu oblastí, například:

Ochrana dat a osobních údajů
Kybernetická bezpečnost a zabezpečení informací
Odpovědná umělá inteligence a algoritmické řízení
Finanční integrita a vytváření sestav
Environmentální a sociální oblast a oblast správy a řízení (ESG)
Bezpečnost na pracovišti a pracovní postupy
Etické podnikání a boj proti korupci
Dodavatelský řetězec a dodržování obchodních předpisů

Hlavní poznatky

Strategické dodržování právních předpisů snižuje finanční sankce, právní rizika i poškození pověsti a zároveň posiluje důvěru zákazníků a provozní odolnost.
Organizace čelí napříč různými jurisdikcemi řadě rámců dodržování předpisů, což vyžaduje koordinované strategie řízení namísto izolovaných přístupů.
Technologie, jako jsou AI a automatizace, mění způsob řízení dodržování předpisů a pomáhají organizacím efektivněji a účinněji se přizpůsobovat vyvíjejícím se regulatorním požadavkům.

Právní rámce po celém světě

Globální regulatorní prostředí v oblasti zabezpečení dat a ochrany soukromí je roztříštěné a tvořené překrývajícími se právními rámci, přičemž jednotlivé oblasti zavádějí předpisy odrážející jejich vlastní priority a přístupy. Organizace s nadnárodní působností podléhají mnoha, ne-li všem, těmto předpisům.

Níže je uveden přehled hlavních předpisů, který však zdaleka není úplný. Abyste se vyhnuli nečekaným poplatkům, právním problémům nebo poškození pověsti, ujistěte se, že rozumíte všem předpisům, které upravují zabezpečení dat ve vaší organizaci.

USA
USA přistupují k regulaci dat sektorově, přičemž využívají několik klíčových rámců zaměřených na konkrétní obory a datové typy:

Zákon o odpovědnosti za přenos údajů o zdravotním pojištění (HIPAA) stanovuje standardy pro ochranu citlivých zdravotních údajů pacientů a vyžaduje, aby subjekty podléhající regulaci zaváděly fyzická, síťová i procesní bezpečnostní opatření.

CMMC (Cybersecurity Maturity Model Certification)
Certifikace CMMC je povinná pro dodavatele v oblasti obrany spolupracující s ministerstvem obrany USA a zajišťuje soulad se standardem NIST 800-171 i odpovídající úroveň kybernetické bezpečnosti podle citlivosti zpracovávaných informací.

Kalifornský zákon o ochraně soukromí spotřebitelů (CCPA) uděluje obyvatelům Kalifornie konkrétní práva týkající se jejich osobních údajů, včetně práva vědět, jaké údaje jsou shromažďovány, a práva požadovat jejich odstranění.

Zákon Sarbanes-Oxley (SOX) ukládá veřejně obchodovaným společnostem přísné požadavky na finanční zveřejňování a obsahuje ustanovení vyžadující řádnou správu a ochranu finančních údajů.

Rámec NIST Cybersecurity Framework (CSF) poskytuje dobrovolná doporučení pro organizace v soukromém sektoru, která jim pomáhají hodnotit a zlepšovat schopnost předcházet kybernetickým útokům, odhalovat je a reagovat na ně.

Evropská unie
EU zvolila k ochraně osobních údajů komplexnější přístup než USA a zavedla rozsáhlé a systémové předpisy:

Obecné nařízení o ochraně osobních údajů (GDPR): vztahuje se na organizace zpracovávající údaje občanů EU bez ohledu na sídlo společnosti. Stanovuje přísné požadavky na zpracování osobních údajů a za jejich nedodržení ukládá významné sankce.

Nařízení Evropské unie o umělé inteligenci: stanovuje pravidla pro vývoj a nasazování AI s cílem zajistit jejich bezpečnost, transparentnost a respektování základních práv.

Směrnice NIS2 (Network and Information Security Directive)
Posiluje řízení kybernetických rizik a povinnosti v oblasti reportování napříč kritickými a zásadními odvětvími, například zdravotnictví, energetika, bankovnictví a poskytovatelé ICT.

Nařízení o digitální provozní odolnosti (DORA)
Zaměřuje se na sektor finančních služeb a vyžaduje, aby organizace zajistily vysokou úroveň provozní odolnosti a řízení rizik v oblasti ICT, včetně dohledu nad poskytovateli služeb z řad třetích stran.

Globální normy
Několik rámců překračuje geografické hranice a měly by se jimi řídit všechny společnosti působící v mezinárodním měřítku.

ISO/IEC 42001 – norma pro systém řízení umělé inteligence
Jako první mezinárodní norma pro řízení odpovědné AI poskytuje rámec pro řízení rizik spojených s umělou inteligencí, transparentnost, spravedlnost a odpovědnost.

Norma PCI DSS (Payment Card Industry Data Security Standard) se vztahuje na všechny subjekty, které zpracovávají informace o platebních kartách, a stanovuje požadavky na zabezpečené zpracování platebních transakcí.

Norma ISO/IEC 27001: poskytuje mezinárodní standard pro systémy řízení zabezpečení informací a pomáhá organizacím všech typů zavádět komplexní bezpečnostní kontrolní mechanismy.

Rámec System and Organization Controls (SOC 2) vyvinutý organizací AICPA (American Institute of CPAs), si získal mezinárodní uznání jako norma, která poskytovatelům služeb umožňuje prokazovat kontrolní mechanismy v oblasti zabezpečení, dostupnosti, integrity zpracování, důvěrnosti a ochrany soukromí. Přestože má SOC 2 původ v USA, dodržování této normy se stalo běžným globálním požadavkem v obchodní praxi.

Dodržování předpisů není jen důležité – je nepostradatelné

Efektivní programy dodržování předpisů nejsou jen formálním splněním požadavků, ale přinášejí organizaci významnou hodnotu napříč mnoha oblastmi.

Právní povinnosti
Z právního hlediska je samozřejmě dodržování právních předpisů nevyhnutelné. Národní i mezinárodní předpisy a oborové rámce stanovují jasné právní povinnosti, jak musí organizace nakládat s citlivými údaji. Nedodržení těchto povinností může vést k donucovacím opatřením sahajícím od upozornění až po významné finanční sankce.

Odlišení od konkurence
V době, kdy jsou úniky dat pod drobnohledem médií, posiluje prokazatelný soulad s předpisy důvěru zákazníků, partnerů a zainteresovaných stran. Tato důvěra se promítá do konkrétních obchodních přínosů: zákazníci jsou ochotnější sdílet informace, partneři mají větší zájem o spolupráci a investoři jsou jistější ohledně vašeho budoucího úspěchu. Ve skutečnosti se organizace, které vynikají v dodržování právních předpisů, mohou odlišit od konkurence tím, že své robustní iniciativy v oblasti ochrany dat prezentují jako klíčové prodejní argumenty.

S rostoucími obavami podniků i spotřebitelů o ochranu soukromí a zabezpečení se prokazatelné dodržování předpisů může stát faktorem, který rozhoduje o nákupních rozhodnutích. Díky tomuto strategickému přístupu se dodržování předpisů stává nástrojem růstu výnosů, zejména ve vysoce regulovaných odvětvích, kde zákazníci aktivně vyhledávají partnery s prokazatelnými referencemi v oblasti dodržování předpisů.

Provozní efektivita
Přestože zavádění opatření v oblasti dodržování předpisů vyžaduje investice, výsledné procesy často vedou k efektivnějším a kvalitnějším provozním postupům. Rámce pro dodržování předpisů vedou organizace k dokumentování postupů, vyjasnění rolí, stanovení konzistentních norem a zavádění kontrolních mechanismů, které snižují rizika.

Systematický přístup k dodržování právních předpisů často odhaluje neefektivity a zranitelná místa, která by jinak zůstala bez povšimnutí. Systematická analýza datových toků přináší lepší přehled o fungování organizace a vytváří příležitosti ke zlepšení, díky nimž se dodržování předpisů stává strategickou výhodou, nikoli zátěží.

Co se stane, když se zjistí, že vaše organizace nedodržuje předpisy?

Požadavky na dodržování právních předpisů nikdy nebyly vyšší. S tím, jak organizace shromažďují, zpracovávají a ukládají stále větší objemy citlivých dat, se zvyšují i finanční postihy za jejich nedostatečnou ochranu.

Finanční postihy
Regulační orgány po celém světě dávají jasně najevo, že porušování předpisů bude postihováno významnými finančními sankcemi.

Právní rizika
Selhání v oblasti dodržování předpisů často vedou k soudním sporům, které jdou nad rámec sankcí uložených regulatorními orgány, čímž zvyšují finanční rizika a výrazně zatěžují zdroje organizace.

Poškození pověsti
Poškození pověsti se sice hůře vyčísluje, jeho dopady však nejsou o nic méně závažné. Když se selhání v oblasti dodržování předpisů dostanou na veřejnost, zejména v případech úniků uživatelských dat, může následná ztráta důvěry mít dlouhodobé dopady. Zákazníci mohou odejít ke konkurenci, partneři mohou přehodnotit spolupráci a obnovení důvěry často vyžaduje roky prokazatelného a důsledného úsilí.

Provozní narušení
Regulační orgány mohou omezit způsob, jakým organizace vykonává svou činnost, vyžadovat rozsáhlá nápravná opatření nebo nařídit průběžný dohled, který omezuje provozní flexibilitu. Tato opatření odvádějí zdroje od strategických iniciativ směrem k aktivitám zaměřeným na nápravu v oblasti dodržování předpisů.

Dopad na kariéru
Pro vrcholové vedení mohou mít důsledky nedodržení předpisů i osobní charakter. Členové správních orgánů a vrcholové vedení jsou při selháních v oblasti dodržování předpisů vystaveni zvýšenému dohledu, což může negativně ovlivnit jejich profesní pověst i další kariérní vývoj.

Tyto důsledky společně ukazují, že proaktivní dodržování předpisů je strategickou nutností. Je lepší řešit otázky dodržování předpisů včas, než je začít řešit až ve chvíli, kdy už nelze zabránit negativním důsledkům.

Nejběžnější problémy

Dosažení souladu s předpisy často vyžaduje značné úsilí

Mezi hlavní výzvy spojené s dodržováním předpisů patří měnící se předpisy, provozní neefektivita a rostoucí náklady.

Různorodá regulatorní prostředí

V různých zemích a oblastech se předpisy liší svými požadavky, vymáháním i sankčními opatřeními. Pro nadnárodní podniky to znamená budovat programy dodržování předpisů, které dokážou současně naplnit požadavky řady někdy i vzájemně protichůdných regulatorních rámců.

Hledání rovnováhy mezi zabezpečením a dodržováním předpisů

Základní požadavky na dodržování předpisů představují výchozí bod, nikoli však plnohodnotnou ochranu před dynamicky se vyvíjejícími hrozbami. Experti na dodržování předpisů čelí výzvě sladit robustní bezpečnostní opatření s regulatorními požadavky.

Omezení prostředků

Budování komplexních programů dodržování předpisů vyžaduje specializované odborné znalosti, vyhrazené personální kapacity a technologické investice, které mohou zatěžovat dostupné zdroje. Hledání způsobů, jak splnit zákonné požadavky v rámci těchto omezení, vyžaduje kreativní přístup, zejména u menších firem.

Vyvíjející se předpisy

S tím, jak se technologie vyvíjejí a mění se očekávání ohledně ochrany osobních údajů, se v reakci na ně dále vyvíjejí regulační rámce. Vznikají nové předpisy, stávající se revidují a jejich výklad se dále vyvíjí prostřednictvím vymáhání ze strany orgánů dohledu. Aby s tímto vývojem udržely krok, musí být organizace obezřetné a flexibilní.

Interní sila

Postupný vývoj nesourodých systémů a procesů může vést k izolovaným silům napříč organizací. Odstranění těchto sil s cílem zavést jednotné programy dodržování předpisů představuje významnou výzvu, která přesahuje technickou rovinu a zasahuje do firemní kultury i správy a řízení organizace.

Přechod na práci na dálku

Modely hybridní práce a práce na dálku komplikují dodržování předpisů, protože distribuované týmy působí napříč více jurisdikcemi s rozdílnými předpisy. Domácí sítě, osobní zařízení a rozdílné podmínky fyzického zabezpečení zároveň vytvářejí nekonzistentní úrovně ochrany citlivých informací.

Efektivní strategie dodržování právních předpisů je zásadní

Zavedení efektivního dodržování právních předpisů vyžaduje strategický přístup, který přesahuje pouhé formální splnění požadavků a směřuje k vytvoření udržitelných a odolných programů. Dodržování osvědčených postupů pomáhá expertům na dodržování předpisů a zabezpečení budovat programy, které nejen plní regulatorní požadavky, ale zároveň posilují celou organizaci.

Přijměte přístup založený na rizicích
Namísto toho, abyste ke všem požadavkům na dodržování předpisů přistupovali se stejnou prioritou, zhodnoťte svůj konkrétní rizikový profil a určete oblasti, které vyžadují největší pozornost. Začněte komplexními hodnoceními rizik, která vyhodnotí pravděpodobnost a potenciální dopad různých selhání v oblasti dodržování předpisů, což vám umožní efektivněji alokovat zdroje.

Budujte kulturu zaměřenou na dodržování předpisů
Budování kultury dodržování předpisů vyžaduje závazek vedení a konzistentní komunikaci. Vrcholové vedení by mělo otevřeně podporovat iniciativy v oblasti dodržování předpisů a systematicky oceňovat chování v souladu s těmito zásadami. Je důležité zavést otevřené komunikační kanály pro dotazy a podněty týkající se dodržování předpisů, implementovat nepostihující systém hlášení potenciálních porušení a veřejně oceňovat úspěchy v oblasti dodržování předpisů. Pokud k porušením skutečně dojde, využijte je jako příležitost ke zlepšení procesů v organizaci.

Tyto postupy přispívají k tomu, aby bylo dodržování regulačních předpisů chápáno nejen jako povinnost, ale i jako přínos pro organizaci. Pro to, aby se dodržování předpisů stalo odpovědností celé organizace, je potřeba posunout se za hranice každoročních kontrol a pomoci zaměstnancům pochopit, jak dodržování předpisů souvisí s jejich každodenními aktivitami. Zavedením pravidelného školení přizpůsobeného jednotlivým rolím zaměstnanci pochopí nejen své osobní odpovědnosti, ale také důvody, které za těmito požadavky stojí.

Využití nových technologií
Pokročilé nástroje pro dodržování předpisů dnes nabízejí možnosti automatizovaného monitorování, centralizované správy zásad a reportování v reálném čase. Zvláštní pozornost si zaslouží nástup generativní AI v řešeních pro dodržování právních předpisů, která umožňuje analyzovat texty právních předpisů, identifikovat relevantní požadavky a navrhovat přístupy k implementaci přizpůsobené konkrétním potřebám a kontextu jednotlivých organizací.

Zajišťujte dodržování předpisů prostřednictvím důsledné dokumentace
Vytvářejte komplexní záznamy zásad, postupů, kontrolních mechanismů a aktivit v oblasti dodržování předpisů, které vytvoří protokol auditu, prokážou předinvestiční prověrku a podpoří reakce na dotazy regulačních orgánů. Tato dokumentace by měla být komplexní i snadno přístupná a sloužit jak jako vodítko pro zaměstnance, tak jako důkazní materiál pro auditory.

Opírejte se o modely vyspělosti v oblasti dodržování předpisů
Modely vyspělosti dodržování předpisů představují rámce, které poskytují cenné vodítko pro hodnocení a rozvoj schopností organizace v oblasti dodržování předpisů. Modely, jako je CMMI (Capability Maturity Model Integration) a OCEG (Open Compliance and Ethics Group), pomáhají organizacím posoudit jejich aktuální stav v oblasti správy a řízení, hodnocení rizik, kontrolních činností a monitorování. Zjištění, kde se na těchto škálách vyspělosti nacházíte – obvykle v rozmezí od ad hoc po optimalizovaný přístup – pomáhá navrhnout cílené rozvojové plány (roadmapy) pro strategické a měřitelné posilování schopností v oblasti dodržování předpisů.

Zavedení pravidelných cyklů přezkumu umožňuje, aby se programy dodržování předpisů vyvíjely spolu s předpisy i samotnou organizací. Pravidelná hodnocení identifikují nedostatky, posuzují účinnost stávajících kontrolních mechanismů a zohledňují poznatky a informace získané z incidentů i situací, kterým se podařilo předejít, čímž vytvářejí cyklus kontinuálního zlepšování, který průběžně posiluje stav dodržování předpisů.

Vznikající trendy v oblasti dodržování právních předpisů

Změny v oblasti dodržování právních předpisů jsou formovány technologickými inovacemi, měnícími se očekáváními v oblasti ochrany soukromí a nově se objevujícími riziky. Prozíravým expertům na dodržování předpisů a zabezpečení umožňuje pochopení těchto trendů uplatňovat proaktivnější přístupy ke správě dodržování předpisů.

Rozšiřování právních předpisů
Po vzoru nařízení GDPR vytvářejí regiony po celém světě vlastní právní rámce s odlišnými požadavky a mechanismy vymáhání. To vytváří výzvy pro nadnárodní organizace, které se musí orientovat v překrývajících se a někdy i protichůdných požadavcích.

Požadavky na suverenitu dat
Mnoho vlád dnes požaduje, aby určité typy dat zůstávaly na území jednotlivých zemí či oblastí, což odráží narůstající obavy z přeshraničních toků dat a jejich dopadů na národní bezpečnost i hospodářskou konkurenceschopnost. Organizace budou potřebovat sofistikovanější strategie klasifikace a ukládání dat.

Dodržování předpisů s podporou AI
Umělá inteligence a strojové učení mění řízení dodržování předpisů díky automatizovanému monitorování, detekci změn v právních předpisech a prediktivní analýze. Tyto technologie umožňují proaktivnější přístup založený na řízení rizik tím, že identifikují potenciální problémy s dodržováním předpisů ještě před jejich vznikem.

Technologie zvyšující ochranu soukromí (PET)
Technologie, jako je homomorfní šifrování, které umožňuje provádět výpočty nad šifrovanými daty, a federované učení, jež umožňuje trénování modelů bez centralizace citlivých dat, získávají na významu jako způsoby, jak splnit požadavky vyplývající právních předpisů a zároveň nadále vytvářet hodnotu z dat.

Rozšířené zaměření na dodržování právních předpisů
Právní předpisy začínají přesahovat oblast ochrany osobních údajů a zaměřují se také na algoritmickou spravedlnost a etiku AI. S tím, jak organizace stále častěji využívají systémy AI v rozhodovacích procesech, vytvářejí regulační orgány nové rámce, které mají zajistit transparentní fungování těchto systémů a jejich provoz bez zaujatosti. Tento trend bude vyžadovat, aby organizace zavedly nové struktury správy a řízení a kontrolní mechanismy, které se budou specificky zaměřovat na vývoj a nasazení algoritmů.

Řešení dodržování právních předpisů

Aby se dodržování předpisů pro organizace nestalo pouze zátěží, ale příležitostí ke strategickému rozvoji, potřebují odpovídající nástroje, které jim poskytují přehled, kontrolu a flexibilitu.

Zabezpečení od Microsoftu pomáhá zabezpečit a řídit data napříč heterogenní datovou infrastrukturou. Díky sjednocení zabezpečení dat, zásad správného řízení, dodržování předpisů a ochrany osobních údajů umožňuje zabezpečení od Microsoftu moderní ochranu dat a podporuje požadavky na dodržování právních předpisů.

Tato řešení také pomáhají chránit vaše inovace v oblasti AI tím, že snižují rizika a složitost, zvyšují produktivitu týmů a chrání data, což vám umožňuje uspět v éře umělé inteligence.

ZDROJE INFORMACÍ

Zjistěte, jak zvýšit připravenost na dodržování právních předpisů

Detailní záběr na ženu, která se usmívá.

Řešení

Zabezpečení a řízení dat napříč vaší datovou infrastrukturou

Sjednoťte zabezpečení dat, zásady správného řízení, dodržování předpisů a ochranu osobních údajů pro éru AI se zabezpečením od Microsoftu.

Další informace

Muž, který sedí na podlaze a pracuje na notebooku

Blog

Chraňte, spravujte a řiďte svá data v éře umělé inteligence pomocí Microsoft Purview

Prozkoumejte nové funkce, které vám pomůžou sjednotit zabezpečení dat, zásady správného řízení a dodržování předpisů do jediné platformy.