Compliance-skulden går inte att betala i efterhand
Mejlet landar en tisdag i mars. Internrevisionen ska granska hur ändringar når produktion och vill ha underlag inom två veckor: vilka som haft access till produktionsmiljön det senaste året, bevis för att varje ändring i betalflödet godkändes innan den deployades, och konfigurationshistoriken för ett system som byttes ut i höstas. Teamleaden gör som alla teamleads före honom: öppnar en ticket, bokar ett möte och börjar samla skärmdumpar.
Under den sprinten blev det inga features. Tiden gick åt till att försöka återskapa bevis som borde ha skrivits medan arbetet gjordes.
Bevisjakten
Alla som har jobbat på en bank eller i annan reglerad verksamhet känner igen fortsättningen. Någon pusslar ihop gamla gruppmedlemskap i AD, någon letar efter den som godkände en akut ändring i ett ärende som är stängt sedan länge, någon hinner rädda råloggar precis innan de raderas. Svaren går inte att återanvända, så hela teamet sitter fast och gräver i närmare två veckor.
I finanssektorn har EU:s DORA-förordning gett ännu ett namn åt en gammal fråga: visa att ni har kontroll. Internrevisionen vill se ändringsspåret, säkerhetsteamet accesshistoriken, en extern granskare konfigurationen vid incidenten. Samma tekniska verklighet ska bevisas om och om igen.
Ingen äger vägen till beviset
Problemet är inte kraven: spårbarhet är precis det du själv vill ha den natt något går sönder. Problemet är att ingen äger hela vägen fram till svaret. Kontrollägaren bestämmer vad organisationen måste kunna visa. Plattformen bestämmer vilka spår arbetet faktiskt lämnar. När de två besluten fattas var för sig hamnar mellanskillnaden hos produktteamet.
En efterhandskontroll har dessutom en blind fläck: den mäter bara det som går att bevisa, inte det som är sant. Utan spår ser teamet med full kontroll likadant ut som teamet utan.
Compliance-skulden
Jag kallar det compliance-skulden. Varje ändring vid sidan av den spårbara vägen är ett lån. Molnresursen som klickades ihop i konsolen, accessen som delades ut för att det var bråttom, hotfixen utanför pipelinen. Allting fungerar, ingenting syns, och skulden växer. Den förfaller vid nästa granskning. Allt på en gång. Räntan betalas i övertid.
Teknisk skuld går att betala senare. Compliance-skulden är värre. Ett godkännande som inte dokumenterades i april går inte att skapa i oktober. Du kan samla indicier. Du kan inte återskapa spåret. Den här skulden måste förebyggas när vägen byggs.
Låt vägen skriva underlaget
Motsatsen är en väg som lämnar bevis efter sig medan arbetet görs. Ta det vanligaste fallet: tillfällig access till produktion.
I den manuella modellen skriver någon i Teams att det är bråttom. En admin lägger till personen i en grupp, och någon ska komma ihåg att ta bort den på fredag. Vid nästa granskning finns tre olika klockslag i tre olika system, och inget säkert svar.
I den spårbara modellen begär utvecklaren en tidsbegränsad roll. Begäran knyts till hans identitet och till ärendet, och policyn avgör vem som får godkänna. Accessen upphör automatiskt efter två timmar. Loggen visar både beslutet och användningen. När granskaren frågar finns svaret redan, eftersom samma flöde som gav accessen också skrev underlaget. En bevisjakt som nyss slukade två veckor blir en eftermiddag för en person.
En git-logg är däremot inte automatiskt ett revisionsunderlag: committen måste kunna knytas till rätt identitet och rätt policy. Automation tar inte bort kontrollarbetet. Den flyttar det till vägens design.
Långt ifrån allt finns i plattformen: ansvarsfördelning och incidentprocesser kräver fortfarande människor och dokument, och granskaren kan fortfarande vilja ha sin blankett i sitt format. Skillnaden är om den fylls i från en sökning eller från en jakt.
För de tekniska spåren behövs inget separat complianceprojekt. PR-flödet, koden och pipelinen är redan den väg teamen går varje dag. Compliance-skulden uppstår när bevisen blir ett projekt i efterhand. Motmedlet är att göra dem till en bieffekt av den normala vägen. Autonom och granskningsbar är samma egenskap, sedd från två håll. Utvecklaren ser en väg som inte står i vägen. Granskaren ser ett system som alltid kan svara.
Nästa granskning har redan börjat
Nästa granskning börjar inte när mejlet landar. Den började i natt när någon fick akut access för att laga betalflödet, och i morse när fixen deployades. Antingen skrev vägen beviset redan då, eller så får någon försöka återskapa det i oktober.
Behöver ni få access, ändringar och konfiguration att lämna användbara revisionsspår utan ett separat complianceprojekt? Hör av er.