In compliance il problema non è mai stato vedere il rischio. Le dashboard lo mostrano da anni: rosso, giallo, verde, un controllo fallito qui, una configurazione esposta lì.
Il punto in cui i programmi si rompono è un altro: trasformare quella vista in qualcosa di difendibile davanti a un auditor. Una dashboard dice lo stato nel momento in cui la guardi. Un audit chiede cosa hai fatto, quando, perché, e se puoi provarlo.
Spostare la compliance da revisione statica a operazione continua cambia cosa conta. Non è l’automazione del controllo a fare la differenza, quella esisteva già negli script. È che ogni passaggio (valutazione, raccolta dell’evidenza, azione correttiva) deve lasciare una traccia ricostruibile. Il lavoro diventa la prova.
Qui un agente che esegue il processo non vale per quanto è autonomo, ma per quanto è documentato. Un’azione che non puoi ricostruire passo per passo, in compliance, è un’azione che non puoi difendere. L’accuratezza non è ‘ha trovato il problema’: è ‘la catena regge quando qualcuno la contesta’.
È un test diverso da quello con cui di solito si valida l’automazione. Non basta che funzioni. Deve poter rispondere a chi chiede conto.
