Conformité et risques

Agent d'Attestation des Contrôles

Trouve les contrôles qui existent sur le papier et nulle part ailleurs

Version 2Publié le 2 sept. 2026
Conformité et risquesKnowledgeExtractclaude-opus-5Read-only · auto8 hard rules5 handover rulesResult
8règles strictes
Ce qu'il ne doit jamais faire, appliqué à chaque exécution
5règles de transfert
Les cas où il s'arrête et confie le travail à une personne
11champs de sortie
Un résultat structuré, pas un paragraphe à relire
≤7étapes par exécution
Travail borné : au plus 5 appels d'outils, imposé par le moteur d'exécution

Lecture seule par conception. Cet agent n'a aucun moyen d'envoyer, de dépenser, de publier ou de valider quoi que ce soit. Là où cette limite est le produit, la retirer supprimerait la raison de faire confiance au résultat.

Câblage en direct de la version 2. Les nœuds d'outil sont les capacités que cet agent est habilité à appeler — rien d'autre ne peut s'exécuter.

Aperçu

Les programmes de conformité accumulent des contrôles. Chacun a été créé pour une vraie raison, inscrit dans une politique, doté d’un responsable et d’une fréquence, puis laissé là. Personne n’en retire un, car retirer un contrôle oblige à expliquer pourquoi il est inutile — plus difficile que de le laisser. Le registre grossit chaque année et la capacité à les exécuter, non.

La suite est prévisible. Des contrôles dont le responsable est parti. Des contrôles exécutés et jamais prouvés, ce qui est indiscernable de non exécutés quand un auditeur demande. Des contrôles trimestriels exécutés deux fois par an. Des contrôles exigeant un relecteur indépendant où le relecteur est celui qui a fait le travail — le défaut de séparation qui transforme un contrôle en paperasse. Et des attestations signées en bloc le jour de l’échéance, ce qui est une signature et non une vérification.

La version dangereuse est le contrôle documenté que personne n’exécute, car l’organisation croit qu’un risque est couvert alors qu’il ne l’est pas. Un trou non documenté est au moins connu.

Cet agent lit le registre face à ce qui a réellement été fait et signale quels risques ne sont couverts que sur le papier. Il n’affirme jamais qu’un contrôle a été efficace : ce jugement exige des preuves et une responsabilité qui appartiennent à une personne qui y met son nom.

Bénéfices

Vous savez quels risques sont réellement couverts

Plutôt que lesquels ont une politique à leur sujet.

Vos constats avant ceux de l’auditeur

Et un registre que vous pouvez défendre.

Un argument pour retirer des contrôles

Ceux que personne n’exécute et dont personne ne remarque l’absence.

Ce qu'il fait

  • Trouve les contrôles qui n’existent que sur le papier

    Les dangereux. L’organisation croit qu’un risque est couvert alors qu’il ne l’est pas, et un trou non documenté est au moins connu.

  • Sépare l’exécuté du prouvé

    Un contrôle exécuté et jamais prouvé est indiscernable d’un contrôle jamais exécuté, quand on vous le demande.

  • Repère l’auto-relecture

    Une vérification indépendante réalisée par celui qui a fait le travail. Le contrôle existe et ne fait rien.

  • Détecte l’attestation en bloc

    Quarante validations en une minute le jour de l’échéance, c’est une signature, pas une vérification.

  • Trouve les contrôles orphelins

    Dont le responsable est parti. Personne ne le remarque, car un contrôle sans responsable ne génère aucune plainte.

  • N’affirme aucune efficacité

    Qu’un contrôle ait fonctionné est un jugement que quelqu’un signe. Il rapporte ce qui a été fait.

Ce que cela change

Ce que cela change à votre semaine

Ce qu'il reprend
Vérifier si les contrôles documentés sont réellement exécutés et prouvés.
Fait aujourd'hui par
L’attestation, qui est une signature et non une vérification.
À quelle fréquence
Chaque trimestre, contre une échéance.
Effort manuel habituel
Chaque contrôle recoupé avec les enregistrements d’exécution, les responsables et l’indépendance.

Pourquoi Conformité et risques en particulier. Un contrôle documenté que personne n’exécute est pire que pas de contrôle, car l’organisation croit qu’un risque est couvert. Un trou non documenté est au moins connu.

  • Fonctionne sans surveillance

    Lancé par vous ou par un événement, il termine seul. Rien n'attend que quelqu'un soit à son bureau.

  • La même exigence à chaque fois

    Le deux centième élément est tenu au niveau du premier. La régularité est la part que les humains ne tiennent pas.

  • Il ne peut pas agir de lui-même

    Agent d'Attestation des Contrôles n'a aucun moyen d'envoyer, de dépenser ou d'engager quoi que ce soit. C'est précisément cette limite qui rend son résultat sûr à exploiter.

Comment il fonctionne

Cet agent s'exécute côté serveur via l'environnement d'exécution PROMIVO. Chaque exécution est journalisée étape par étape et chaque appel d'outil est soumis à une vérification des autorisations avant d'être exécuté.

  1. 1EntréeValidée par rapport au schéma d'entrée de l'agent
  2. 2Modèleclaude-opus-5 avec repli automatique
  3. 3Outilssearch_knowledge, extract_structured_data
  4. 4PermissionsExécute automatiquement les actions READ ; tout ce qui est au-dessus attend une validation
  5. 5SortieRésultat structuré conforme au schéma de sortie
  6. 6JournalisationJetons, durée et chaque étape sont enregistrés

Démo

Données de démonstrationIllustrative sample output, abridged.

Entrée

{
  "period": "H1 2026",
  "controls": []
}

Sortie

{
  "escalate": true,
  "disclaimer": "A review of the control register against performance records. Nothing has been signed, attested, approved or performed; no control is stated to be effective; no compliance determination is made; and no individual is assessed.",
  "onPaperOnly": [
    {
      "control": "CTL-118 — Quarterly review of privileged access",
      "riskRating": "High",
      "riskAddressed": "Unauthorised access to production systems"
    }
  ],
  "bulkAttestation": [
    "41 attestations were signed within 90 seconds on the final day of the quarter. That is a signature rather than a check, and it is a process finding rather than one about anybody."
  ],
  "escalationReason": "A control mapped to a High risk has no performance record, a control requiring independence was self-reviewed six times, and three controls are owned by people who have left.",
  "orphanedControls": [
    "Three controls are owned by two people who left in March. Nobody noticed, because a control with no owner produces no complaints."
  ],
  "candidatesForReview": [
    "CTL-402 has been performed 24 times over three years and raised no finding. Worth asking whether it addresses a live risk — a design question, not a recommendation to remove it."
  ],
  "frequencyShortfalls": [
    {
      "control": "CTL-090 — Quarterly reconciliation review",
      "required": 2,
      "performed": 1
    }
  ],
  "independenceFailures": [
    "CTL-311 requires review by someone other than the preparer. All 6 performances were prepared and reviewed by the same person. The control exists and does nothing."
  ],
  "performedNotEvidenced": [
    "CTL-204 was performed 6 times with no evidence attached to any. To an auditor that is identical to never having been performed."
  ],
  "risksCoveredOnlyOnPaper": [
    "Unauthorised access to production systems is rated High and its only control has no performance record this period. The organisation believes this is covered."
  ]
}

Prérequis

Intégrations

Aucune intégration requise.

Avant de commencer

  • Le registre des contrôles : contrôle, responsable, fréquence, exigence d’indépendance
  • Les enregistrements d’exécution avec dates et exécutants
  • Les enregistrements d’attestation avec horodatage
  • La liste du personnel actuel
  • Nécessite le forfait Accès complet ou supérieur

Cas d'usage

Revue trimestrielle des contrôles

Ce qui a été exécuté, prouvé et par qui.

Avant un audit

Les trous par lesquels un relecteur commencerait.

Après une réorganisation

Quels contrôles ont perdu leur responsable au passage.

Rationaliser un registre

Quels contrôles méritent leur place.

Tarifs

Accès complet

Facturé mensuellement via votre abonnement PROMIVO. Résiliable à tout moment.

Les exécutions consomment le quota de votre offre pour les exécutions d’agents et les tokens. Voir les limites de l’offre

FAQ

Décide-t-il si les contrôles sont efficaces ?

Non. L’efficacité est un jugement dont répond celui qui le signe. Il rapporte si un contrôle a été exécuté, prouvé, et par quelqu’un d’indépendant — les faits dont ce jugement a besoin.

Exécute-t-il ou valide-t-il des contrôles ?

Jamais. Il ne signe rien, n’atteste rien et ne clôt rien. Un contrôle signé par un agent n’est pas un contrôle.

Juge-t-il les personnes ?

Non. Il rapporte des constats au niveau du contrôle. Quand un motif implique un même responsable, il le pose comme une question de capacité ou de conception, car une personne portant quarante contrôles est un problème de registre, pas un problème personnel.

Avis

Les avis s'ouvrent une fois que des clients ont exécuté cet agent.

Vous voulez que cet agent fonctionne autrement ?

Dites-nous ce qui doit changer et notre équipe cadrera une version sur mesure pour votre entreprise.

Personnaliser cet agent