Plattformen producerar bevisen löpande: vem godkände, vilken version gick ut, vilka kontroller kördes och vad de sa. Beviset blir en artefakt i pipelinen, inte en skärmdump någon tar fram i efterhand.
Varför ASSESS
Idén är stark och underutnyttjad. En granskare planerar sitt arbete för att minska sin egen risk, och frågar hellre efter befintliga underlag än kör egna kontroller. Serverar plattformen underlagen i det format granskaren ändå vill ha blir fieldwork en läsövning i stället för fyra veckors grävande i olika team.
Skälet till att den ligger i ASSESS och inte högre är att jag inte sett ett färdigt mönster som håller över flera organisationer. Formatet beror på vem som granskar, och verktygen på marknaden är antingen tomma ramverk eller hela GRC-plattformar.
Vad det kostar
Fyra saker blandas lätt ihop: regelkravet, kontrollen, beviset för att kontrollen fungerade, och granskarens önskade format. En logg är inte automatiskt en kontroll, och en PR är inte automatiskt uppdelat ansvar. Slarvar ni med skillnaden bygger ni en bevismaskin som producerar fel sorts bevis, snyggt och i stor volym.
När det är värt att börja
När revision eller kundkrav redan kostar er personveckor per år. Då finns det en siffra att räkna mot. Börja med en kontroll, den ni får frågor om oftast, och producera beviset automatiskt för just den. Bygg inte plattformen för allt först.