NEWVenvera 支持您的语言: 完整平台支持英语、德语、西班牙语、保加利亚语、阿拉伯语和简体中文。查看新功能 →
面向海湾地区监管机构的双语策略与证据
合规指南

面向海湾地区监管机构的双语策略与证据

·Alexander Sverdlov

大多数关于合规文档的指南都假定只有一种工作语言。海湾地区的实体却很少只有一种。约束员工的策略用阿拉伯语编写,证明策略得到执行的证据则以英语形式从各个系统中产生,而评估人员可能要求查看其中任何一种。本文讨论的是如何有意识地管理这种安排,而不是在评估过程中才发现这个问题。

存放阿拉伯语和英语文档的策略库
在海湾地区,双语合规计划是常态,因此工具也应将其视为常态。

确定以哪种语言为准

首先要决定的是,策略的哪个版本具有权威效力。如果同时存在阿拉伯语策略和英语策略,而两者逐渐出现偏差,评估人员就会发现其中的差异,而您将无法回答员工应当遵循的是哪一个版本。

有两种可行的模式。一种是以一种语言为准,另一种语言作为已发布的译本,并附注说明这一点;另一种是每份策略只以一种语言为准,整套策略按策略划分语言,而不是重复维护两套。第二种模式通常工作量更小,因为它避免了为同一份文档维护两个副本。

行不通的做法是由不同的人并行维护两整套文档。不出一年,两者就会分道扬镳,而在有人对比之前,这种分歧是看不出来的。

证据无需翻译

有一种根深蒂固的看法,认为提交给监管机构的所有材料都必须使用阿拉伯语。实际上,配置导出文件、系统日志、管理控制台截图和第三方审计报告,通常都可以按系统生成时所用的语言提交并被接受,因为翻译这些材料只会降低而不是提高其可靠性。翻译过的日志,就是重新录入过的日志。

真正需要使用评估所用语言的,是实体自己编写的材料:策略、风险方法论、处置计划和评估报告。这一区分可以省去大量不必要的翻译工作,值得尽早与评估人员确认,而不是想当然地做出任何一种假设。

以原始语言存放文件的证据库
配置导出文件和日志保持系统生成时的语言,才更加可靠。

保持术语固定统一

双语合规文档中最常见的质量问题不是语法,而是术语不一致:同一个控制措施概念在三份文档中有三种译法,读者因此无法判断这些文档描述的是否是同一项要求。

一次性把词汇固定下来。写下您将用于控制措施、风险、证据、处置、负责人和剩余风险的阿拉伯语术语,随整套策略一起发布,并要求译者严格遵守。这只需花一个下午,却能消除一整类评估问题。

如果某个框架发布了官方阿拉伯语术语,请使用官方术语,而不是自创术语。以阿拉伯语发布的地区性框架有其自身的词汇体系,评估人员在阅读您的文档时会以此为准进行比对。

各文档之间保持一致的控制措施术语
每个概念只使用一个约定好的阿拉伯语术语,就能消除一整类评估问题。

让配对关系清晰可见

切实可行的安排是按文档设定语言,并在同一个列表中同时显示两种语言的文档,这样一项控制措施就能同时显示其阿拉伯语策略和英语证据,而不会因语言切换而隐藏其中之一。

在评估工具时,测试方法很简单:打开一项控制措施,附加一份阿拉伯语策略和一份英语证据文件,然后切换界面语言,确认两者仍然可见。按界面语言过滤内容的平台无法通过这项测试,而在完全使用一种语言进行的演示中,这种缺陷很容易被忽略。

同时显示策略和证据的控制措施视图
切换界面语言应当只改变界面外观,而不应隐藏您的文档。

开始之前需要与评估人员商定的事项

在工具方面,阿拉伯语合规软件一文介绍了如何测试平台能否让两种语言同时可见,而 UAE IA 软件指南则涵盖了一个会立即遇到这一问题的框架。

以评估所用语言生成的评估报告
请在合规计划开始之前,而不是进行之中,商定评估报告所用的语言。

尽早提出三个问题,就能消除大部分不确定性:评估将使用哪种语言进行,自行编写的文档是否必须使用该语言,以及系统生成的证据能否按原样被接受。答案因监管机构而异,有时也因评估人员而异,而在一开始就取得书面答复不需要任何成本。当合规计划跨越国界时,有五个方面会出问题,语言就是其中之一。其余四个方面以及一份供应商评分表,请参阅多司法管辖区合规软件指南。

>
Alexander Sverdlov

Alexander Sverdlov

Venvera 首席执行官兼创始人

Alexander 是 Venvera 的创始人,在欧洲网络安全与合规领域拥有 20 多年经验。他曾为受监管的金融机构、金融科技公司和 SaaS 企业主导安全与风险项目,这些企业需要遵守 DORA、NIS2、GDPR、ISO 27001 和 EU AI Act。创立 Venvera 之前,他创办了进攻性安全咨询公司 Atlant Security,为 EU 和中东地区的客户开展渗透测试、红队演练和 ISO 27001 就绪项目。他的文章聚焦现代合规的跨框架实践:如何把一项控制措施映射到多项义务,电子表格会在哪里失灵,以及审计师真正坐下来之后,监管机构实际要求的是什么。

查看 Alexander 的更多文章 →

相关文章