Agente di Attestazione dei Controlli
Trova i controlli che esistono solo sulla carta e da nessun'altra parte
- 8regole invalicabili
- Cose che non deve mai fare, imposte a ogni esecuzione
- 5regole di passaggio
- Condizioni in cui si ferma e affida il lavoro a una persona
- 11campi in uscita
- Un risultato strutturato, non un paragrafo da rileggere
- ≤7passaggi per esecuzione
- Lavoro delimitato: al massimo 5 chiamate a strumenti, imposte dal runtime
Sola lettura per costruzione. Questo agente non ha alcun modo di inviare, spendere, pubblicare o impegnare nulla. Dove quel limite è il prodotto, toglierlo toglierebbe la ragione per fidarsi del risultato.
Panoramica
I programmi di compliance accumulano controlli. Ciascuno è stato creato per una ragione reale, scritto in una policy, assegnato a un owner e a una frequenza, e poi lasciato lì. Nessuno lo rimuove, perché rimuovere un controllo significa spiegare perché è superfluo — più difficile che lasciarlo. Il registro cresce ogni anno e la capacità di eseguirli no.
Quello che segue è prevedibile. Controlli di proprietà di persone che se ne sono andate. Controlli eseguiti ma mai documentati, il che è indistinguibile dal non essere stati eseguiti quando un revisore lo chiede. Controlli trimestrali eseguiti due volte l'anno. Controlli che richiedono un revisore indipendente, dove il revisore è la stessa persona che ha svolto il lavoro — il fallimento della segregazione che trasforma un controllo in carta. E attestazioni firmate in blocco a ridosso di una scadenza, che è una firma, non una verifica.
La versione pericolosa è il controllo documentato che nessuno esegue, perché l'organizzazione crede che un rischio sia coperto quando non lo è. Una lacuna non documentata è quantomeno nota.
Questo agente confronta il registro con ciò che è stato realmente fatto e riporta quali rischi sono coperti solo sulla carta. Non afferma mai che un controllo sia stato efficace — quel giudizio richiede evidenza e responsabilità che appartengono a una persona che ci mette la firma.
Vantaggi
Sai quali rischi sono effettivamente coperti
Anziché quali hanno una policy che li riguarda.
Riscontri prima di quelli del revisore
E un registro che puoi difendere.
Un argomento per eliminare controlli
Quelli che nessuno esegue e a nessuno mancano.
Che cosa fa
Trova controlli che esistono solo sulla carta
Il tipo pericoloso. L'organizzazione crede che un rischio sia coperto quando non lo è, e una lacuna non documentata è quantomeno nota.
Separa eseguito da documentato
Un controllo eseguito e mai documentato è indistinguibile da uno mai eseguito, quando viene richiesto.
Individua l'autoverifica
Una verifica indipendente eseguita dalla stessa persona che ha svolto il lavoro. Il controllo esiste e non fa nulla.
Rileva l'attestazione in blocco
Quaranta approvazioni in un minuto a ridosso di una scadenza sono una firma, non una verifica.
Trova controlli orfani
Di proprietà di qualcuno che se n'è andato. Nessuno se ne accorge, perché un controllo senza owner non produce lamentele.
Non afferma alcuna efficacia
Se un controllo abbia funzionato è un giudizio su cui qualcuno mette la propria firma. Questo agente riporta ciò che è stato fatto.
Che cosa cambia
Che cosa cambia nella tua settimana
- Se ne occupa lui
- Verificare se i controlli documentati sono effettivamente eseguiti e documentati.
- Oggi lo fa
- L'attestazione, che è una firma anziché una verifica.
- Con quale frequenza
- Trimestrale, a ridosso di una scadenza.
- Lavoro manuale tipico
- Ogni controllo verificato incrociando registri di esecuzione, owner e indipendenza.
Perché proprio Conformità e rischio. Un controllo documentato che nessuno esegue è peggio di nessun controllo, perché l'organizzazione crede che un rischio sia coperto. Una lacuna non documentata è quantomeno nota.
Funziona senza sorveglianza
Lo avvii tu o lo avvia un evento, e arriva in fondo da solo. Niente resta in attesa che qualcuno sia alla scrivania.
Lo stesso standard ogni volta
Il duecentesimo elemento è trattato con il rigore del primo. La costanza è la parte che le persone non riescono a mantenere.
Non può agire da solo
Agente di Attestazione dei Controlli non ha alcun modo di inviare, spendere o impegnare. È proprio questo limite a rendere sicuro agire sul suo risultato.
Come funziona
Questo agente viene eseguito lato server tramite il runtime di PROMIVO. Ogni esecuzione viene registrata passo per passo e ogni chiamata a uno strumento viene verificata rispetto ai permessi prima di essere eseguita.
- 1InputConvalidato rispetto allo schema di input dell'agente
- 2Modelloclaude-opus-5 con fallback automatico
- 3Strumentisearch_knowledge, extract_structured_data
- 4PermessiEsegue automaticamente le azioni di livello READ; tutto ciò che sta sopra attende un'approvazione
- 5OutputRisultato strutturato conforme allo schema di output
- 6RegistrazioneToken, durata e ogni passaggio vengono registrati
Demo
Dati dimostrativiIllustrative sample output, abridged.
Input
{
"period": "H1 2026",
"controls": []
}Output
{
"escalate": true,
"disclaimer": "A review of the control register against performance records. Nothing has been signed, attested, approved or performed; no control is stated to be effective; no compliance determination is made; and no individual is assessed.",
"onPaperOnly": [
{
"control": "CTL-118 — Quarterly review of privileged access",
"riskRating": "High",
"riskAddressed": "Unauthorised access to production systems"
}
],
"bulkAttestation": [
"41 attestations were signed within 90 seconds on the final day of the quarter. That is a signature rather than a check, and it is a process finding rather than one about anybody."
],
"escalationReason": "A control mapped to a High risk has no performance record, a control requiring independence was self-reviewed six times, and three controls are owned by people who have left.",
"orphanedControls": [
"Three controls are owned by two people who left in March. Nobody noticed, because a control with no owner produces no complaints."
],
"candidatesForReview": [
"CTL-402 has been performed 24 times over three years and raised no finding. Worth asking whether it addresses a live risk — a design question, not a recommendation to remove it."
],
"frequencyShortfalls": [
{
"control": "CTL-090 — Quarterly reconciliation review",
"required": 2,
"performed": 1
}
],
"independenceFailures": [
"CTL-311 requires review by someone other than the preparer. All 6 performances were prepared and reviewed by the same person. The control exists and does nothing."
],
"performedNotEvidenced": [
"CTL-204 was performed 6 times with no evidence attached to any. To an auditor that is identical to never having been performed."
],
"risksCoveredOnlyOnPaper": [
"Unauthorised access to production systems is rated High and its only control has no performance record this period. The organisation believes this is covered."
]
}Requisiti
Integrazioni
Non serve alcuna integrazione.
Prima di iniziare
- Il registro dei controlli: controllo, owner, frequenza, requisito di indipendenza
- Registri di esecuzione con date e responsabili dell'esecuzione
- Registri di attestazione con marca temporale
- Elenco aggiornato del personale
- Richiede il piano Accesso completo o superiore
Casi d'uso
Revisione trimestrale dei controlli
Cosa è stato eseguito, documentato e da chi.
Prima di un audit
Le lacune da cui partirebbe un revisore.
Dopo una riorganizzazione
Quali controlli hanno perso il proprio owner nel cambiamento.
Razionalizzare un registro
Quali controlli meritano di rimanere.
Prezzo
Accesso completo
Fatturato mensilmente tramite il tuo abbonamento PROMIVO. Puoi disdire in qualsiasi momento.
Le esecuzioni consumano la disponibilità del tuo piano per esecuzioni di agenti e token. Vedi limiti del piano
Domande frequenti
Decide se i controlli sono efficaci?
No. L'efficacia è un giudizio con una responsabilità legata a chi lo firma. Questo agente riporta se un controllo è stato eseguito, documentato e da una persona indipendente — i fatti di cui quel giudizio ha bisogno.
Esegue o approva controlli?
Mai. Non firma nulla, non attesta nulla e non chiude nulla. Un controllo firmato da un agente non è un controllo.
Giudica le singole persone?
No. Riporta riscontri a livello di controllo. Quando uno schema riguarda un unico owner, lo segnala come una questione di capacità o di disegno del registro, perché una persona con quaranta controlli in carico è un problema del registro, non un problema personale.
Recensioni
Le recensioni si aprono quando i clienti avranno eseguito questo agente.
Ti serve che questo agente funzioni diversamente?
Dicci che cosa cambiare e il nostro team definirà una versione personalizzata per la tua azienda.
Personalizza questo agente