Efterlevnad ni kan bevisa
De flesta efterlevnadsprogram har ett tyst glapp mellan ”vi har en policy för det” och ”här är beviset, någon har godkänt det, och det stämmer fortfarande idag”. Ett kalkylark fullt av gröna celler döljer det glappet. En revisors uppgift är att blottlägga det.
Aquils Requirement Tracker bygger på just den skillnaden. Istället för att markera en kontroll som klar dokumenterar ni vad er organisation faktiskt gör, och styrker det med bevis som en människa har bekräftat. Efterlevnad slutar vara ett påstående och blir istället något ni kan lämna över.
Svar är objekt, inte kryssrutor
Den centrala byggstenen är en förmåga: ett återanvändbart, bevisunderbyggt påstående om något ni gör, till exempel ”vi krypterar data i vila med AES-256-GCM, per tenant”. Ni länkar en förmåga till de krav den besvarar (en ISO 27001-kontroll, en policyklausul, en rad i en kunds säkerhetskrav) och dess status härleds från dessa bekräftade länkar; den skrivs aldrig in för hand.
Den härledningen är medvetet sträng. En förmåga med aktuella bevis får statusen Bevisad. Bekräftad men utan aktuella bevis blir den Hävdad. Är inget alls länkat, blir det ett Gap. Och om ett krav motsägs lyfts den konflikten fram direkt, istället för att jämnas ut. Statusen är en konsekvens av era bevis och kan därför inte tyst glida ur takt med dem.
Bevis med spårbarhet
Bevis kan vara ett länkat Aquil-dokument, en uppladdad fil, ett registrerat certifikat med utgångsdatum, en tjänstespecifik kontrollstatus, eller ett signerat original: ett oföränderligt dokument, enbart nedladdningsbart, som håller som bevis vid en revision. Varje bevis kopplas till den förmåga det styrker, så ”visa mig beviset för den här kontrollen” är ett klick, inte en skattjakt.
Eftersom certifikat har ett utgångsdatum åldras biblioteket ärligt. När ett certifikat går ut sjunker automatiskt den förmåga som det styrkte, från Bevisad till Hävdad. Er säkerhetsstatus speglar verkligheten det här kvartalet, inte förra årets pärm.
AI föreslår, en människa beslutar
Aquil kan föreslå vilken förmåga som besvarar vilket krav, och gör det mödosamma matchningsarbetet över ett helt ramverk åt er. Men ingen AI, och ingen automatisk sammanställning, sätter någonsin en officiell efterlevnadsstatus. En människa bekräftar varje länk, och varje bekräftelse attribueras och tidsstämplas.
Den gränsen är själva poängen. En bedömning ni kan försvara är en där en namngiven person står bakom varje svar; verktyget tar bara bort det tidsödande arbetet med att komma dit.
Byggt för revisorns perspektiv
Revisorer får en skrivskyddad roll som ser hela säkerhetsstatusen för tillsyn: en aktuell täckningssammanställning per ramverk och en att-göra-lista där det allvarligaste kommer först, med konflikter och gap högst upp. Varje ändring registreras, med historik ända ner på fältnivå: vem som bekräftade en länk, vem som omfördelade ett ägarskap, när ett krav lades till. Genomförda processkörningar går också att granska som bevis.
Den rekonstruktion från minnet som annars föregår en revision (vem gjorde vad, när och varför) är helt enkelt onödig när underlaget har byggts upp hela tiden.
Bevisbar efterlevnad handlar om att dokumentationen, beviset och godkännandet finns på samma plats, så att det ärliga svaret på frågan ”kan ni bevisa det?” när som helst är ja. Mer dokumentation än så krävs inte.