CybersicurezzaIn evidenza

Agente di Revisione Sicurezza Fornitori

Legge cosa dice davvero il report di assurance

Versione 2Pubblicato il 2 set 2026

8regole invalicabili: Cose che non deve mai fare, imposte a ogni esecuzione
5regole di passaggio: Condizioni in cui si ferma e affida il lavoro a una persona
11campi in uscita: Un risultato strutturato, non un paragrafo da rileggere
≤8passaggi per esecuzione: Lavoro delimitato: al massimo 6 chiamate a strumenti, imposte dal runtime

Sola lettura per costruzione. Questo agente non ha alcun modo di inviare, spendere, pubblicare o impegnare nulla. Dove quel limite è il prodotto, toglierlo toglierebbe la ragione per fidarsi del risultato.

Collegamenti attivi della versione 2. I nodi strumento sono le capacità che questo agente è autorizzato a chiamare — nient'altro può essere eseguito.

Panoramica

La revisione della sicurezza di terze parti è diventata un rituale. Un fornitore invia un questionario compilato e un report di assurance, qualcuno li archivia, e il fornitore viene approvato. I documenti raramente vengono letti con attenzione, perché farlo correttamente significa sapere cosa cercare in un centinaio di pagine scritte per rassicurare.

Ciò che conta non è quasi mai nelle risposte. È nella dichiarazione di ambito — un report di assurance che copre un prodotto diverso da quello che si sta acquistando è comune e non vale nulla per voi. È nelle eccezioni, che ogni report ha e nessun riepilogo menziona. È nel periodo, perché un report che copre un anno terminato quattordici mesi fa non dice nulla sull'azienda oggi. È nei subprocessori, la catena di fornitura del fornitore stesso che eredita i vostri dati, di solito elencati in una pagina web piuttosto che vincolati in un contratto.

E soprattutto è nella discrepanza tra ciò che il questionario afferma e ciò che il report ha effettivamente verificato. Questo è il controllo più utile disponibile e quasi nessuno lo esegue, perché significa leggere entrambi i documenti confrontandoli l'uno con l'altro.

Questo agente effettua questa lettura e riporta cosa ha trovato, cosa non è stato in grado di verificare, e le domande specifiche da porre al fornitore. Non approva nulla e non assegna alcun punteggio: una decisione sul rischio spetta alla persona che ne è responsabile.

Vantaggi

Revisioni che revisionano davvero

Invece di archiviare documenti e chiamarla due diligence.

Domande specifiche da rimandare indietro

Ciò che smuove un fornitore, non un follow-up generico.

Un registro difendibile

Di cosa è stato controllato e cosa è stato accettato, con le motivazioni.

Che cosa fa

Controlla prima l'ambito
Un report che copre un prodotto diverso da quello che si sta acquistando è comune, non vale nulla, ed è dichiarato in un paragrafo che nessuno legge.
Trova le eccezioni
Ogni report le ha e nessun riepilogo le menziona. Un'opinione con quattro eccezioni non è un'opinione pulita.
Verifica che il periodo sia attuale
Un report terminato quattordici mesi fa descrive un'azienda che potrebbe non esistere più in quella forma.
Mappa i subprocessori
Il percorso successivo dei vostri dati. Di solito una pagina web che il fornitore può modificare senza dirvelo.
Confronta le affermazioni con le prove
Dove il questionario afferma qualcosa che il report non ha mai verificato. Il controllo più utile che esiste, e il meno eseguito.
Non approva nulla
Produce risultati e le domande da porre. Accettare un rischio spetta alla persona che ne è responsabile.

Che cosa cambia

Che cosa cambia nella tua settimana

Se ne occupa lui: Leggere davvero il questionario di un fornitore e il report di assurance confrontandoli l'uno con l'altro.
Oggi lo fa: Chiunque li archivi, il che non equivale a leggerli.
Con quale frequenza: All'onboarding e annualmente, sulla carta.
Lavoro manuale tipico: Un centinaio di pagine di linguaggio di assurance scritto per rassicurare.

Perché proprio Cybersicurezza. Ciò che conta non è mai nelle risposte — è nel paragrafo sull'ambito, nelle eccezioni che il riepilogo omette, nel periodo terminato più di un anno fa, e nelle affermazioni che il report non ha mai verificato.

Funziona senza sorveglianza
Lo avvii tu o lo avvia un evento, e arriva in fondo da solo. Niente resta in attesa che qualcuno sia alla scrivania.
Lo stesso standard ogni volta
Il duecentesimo elemento è trattato con il rigore del primo. La costanza è la parte che le persone non riescono a mantenere.
Non può agire da solo
Agente di Revisione Sicurezza Fornitori non ha alcun modo di inviare, spendere o impegnare. È proprio questo limite a rendere sicuro agire sul suo risultato.

Come funziona

Questo agente viene eseguito lato server tramite il runtime di PROMIVO. Ogni esecuzione viene registrata passo per passo e ogni chiamata a uno strumento viene verificata rispetto ai permessi prima di essere eseguita.

1InputConvalidato rispetto allo schema di input dell'agente
2Modelloclaude-opus-5 con fallback automatico
3Strumentisearch_knowledge, extract_structured_data
4PermessiEsegue automaticamente le azioni di livello READ; tutto ciò che sta sopra attende un'approvazione
5OutputRisultato strutturato conforme allo schema di output
6RegistrazioneToken, durata e ogni passaggio vengono registrati

Demo

Dati dimostrativiIllustrative sample output, abridged.

Input

{
  "vendor": "Northwind Analytics",
  "reviewDate": "2026-09-02",
  "serviceBeingBought": "Hosted reporting platform"
}

Output

{
  "scope": {
    "note": "You are buying the hosted reporting platform. The report covers the data warehouse product only. Everything below applies to a system you are not purchasing.",
    "entityCovered": "Northwind Holdings Inc.",
    "productCovered": "Northwind Data Warehouse",
    "matchesServiceBought": false
  },
  "period": {
    "covers": "1 Jan 2025 – 31 Dec 2025",
    "current": false,
    "endedMonthsAgo": 20
  },
  "escalate": true,
  "disclaimer": "A reading of the documents supplied. No vendor system was tested or contacted, no approval or risk rating is given, and no statement is made that this vendor is secure or compliant. An untested claim is unverified rather than false.",
  "exceptions": [
    {
      "meaning": "The same control failure that would put your data in reach of someone who has left their company. Present in the detail; absent from the summary they sent.",
      "exception": "Two instances where access for departed personnel was not revoked within the stated period.",
      "affectsOurData": true
    }
  ],
  "subprocessors": [
    "A cloud hosting provider (US)",
    "A support ticketing provider (US)",
    "An email provider (EU)"
  ],
  "couldNotAssess": [
    "Incident response times — no evidence supplied and the report does not test them."
  ],
  "escalationReason": "The assurance report covers a different product than the one being bought, its period ended 20 months ago, and a questionnaire claim about subprocessor location is contradicted by the vendor's own published list.",
  "questionsToSendBack": [
    "Send the assurance report covering the hosted reporting platform, or confirm in writing that none exists.",
    "Confirm whether customer-managed keys are available on the reporting platform, and whether any assessment has tested it.",
    "Reconcile questionnaire item 6.1 with the two US subprocessors on your published list."
  ],
  "claimsVersusEvidence": [
    {
      "claim": "\"All customer data is encrypted at rest with customer-managed keys.\"",
      "source": "Questionnaire item 4.2. The report tests encryption at rest but says nothing about customer-managed keys.",
      "status": "asserted-but-untested"
    },
    {
      "claim": "\"We do not use subprocessors outside the EU.\"",
      "source": "Their published subprocessor list names two US-based providers.",
      "status": "contradicted"
    }
  ],
  "canAddSubprocessorsWithoutNotice": true
}

Requisiti

Integrazioni

Non serve alcuna integrazione.

Prima di iniziare

Il questionario compilato del fornitore
Il loro report di assurance o certificazione, in una knowledge base
Quali dati e accessi avrà il fornitore
Richiede il piano Accesso completo o superiore

Casi d'uso

Onboarding di un fornitore

Prima che i dati arrivino a loro, quando avete ancora potere negoziale.

Rivalutazione annuale

Se l'assurance dell'anno scorso descrive ancora il fornitore di quest'anno.

Prima di un rinnovo

Cosa è cambiato nella loro postura e nella loro catena di fornitura.

Rispondere alla due diligence del vostro stesso cliente

Sapere a cosa i vostri fornitori sopravviverebbero.

Prezzo

Accesso completo

Fatturato mensilmente tramite il tuo abbonamento PROMIVO. Puoi disdire in qualsiasi momento.

Le esecuzioni consumano la disponibilità del tuo piano per esecuzioni di agenti e token. Vedi limiti del piano

Domande frequenti

Approva o respinge i fornitori?

No. Riporta cosa i documenti supportano e cosa no. Accettare un rischio è una decisione che spetta a chi ne è responsabile, con un contesto aziendale che questo strumento non può vedere.

Testa i sistemi del fornitore?

Mai. Non esegue alcun tipo di scansione, sondaggio o test. Legge i documenti che vi sono stati forniti.

E se il fornitore non ha fornito nulla di utile?

Allora questo è il risultato, dichiarato chiaramente. "Nessuna prova di assurance è stata fornita" è più prezioso di una revisione che tratta il materiale di marketing come prova.

Recensioni

Le recensioni si aprono quando i clienti avranno eseguito questo agente.

Ti serve che questo agente funzioni diversamente?

Dicci che cosa cambiare e il nostro team definirà una versione personalizzata per la tua azienda.

Personalizza questo agente