A maioria das equipas de conformidade já dispõe da informação de que necessita. O registo, o registo de riscos, as evidências, os contratos com fornecedores… está tudo guardado algures. O que a maioria dos sistemas não consegue fazer é responder a uma pergunta direta sobre essa informação. Ainda é preciso que alguém vá procurar a resposta manualmente e que a verifique em mais três locais para ter a certeza. Isso leva tempo, mesmo quando não há, de facto, nada de errado, e demora consideravelmente mais quando há. É dessa lacuna que trata o resto deste artigo, e ela está mais perto de ser colmatada do que a maioria das equipas de conformidade imagina.

Por que é que as equipas de conformidade exportam dados para o Excel só para fazer uma pergunta?

É um padrão familiar e está mais documentado do que a maioria das equipas imagina. Alguém exporta um registo para o Excel. Copiam-no para o Copilot. Depois, fazem a pergunta que o seu próprio sistema não conseguiu responder diretamente. Um responsável pela conformidade colocou a questão de forma clara: "Exporto para o Excel e passo-o pelo Copilot porque a minha ferramenta de GRC não tem a capacidade para responder às perguntas." Outras equipas automatizam manualmente partes do seu trabalho com o registo DORA, fora do seu processo existente, pela mesma razão subjacente. Outras, em vez disso, exportam diretamente para um agente de IA externo, porque isso é mais rápido do que a alternativa de que já dispõem.

As ferramentas diferem. A solução alternativa é a mesma. Quer o ponto de partida seja uma plataforma subutilizada ou a ausência total de uma plataforma, o problema fundamental é idêntico. A informação existe. Não é possível perguntar diretamente nada sobre ela no sistema. Assim, o trabalho é transferido para outro local, e a pista de auditoria fica um pouco mais longa e um pouco mais difícil de seguir cada vez que isso acontece.

O que significa, na verdade, perguntar ao seu programa de conformidade?

Significa uma interface de chat, e não vale a pena fingir o contrário. O que importa é onde essa interface de chat se encontra. Está integrada no mesmo sistema em que se realiza o seu trabalho de conformidade. Não é uma ferramenta separada, acrescentada ao sistema. Cada resposta baseia-se na sua própria conta: os frameworks que definiu, as evidências que atribuiu, os registos de que é efetivamente titular.

That's a meaningfully different starting point than a general AI tool guessing at context from whatever gets pasted in. Significa também outra coisa. A resposta só pode ser tão boa e tão atualizada quanto o trabalho de conformidade já existente na conta. Isso é uma vantagem, não uma limitação. É a razão pela qual a resposta se mantém válida mais tarde, perante um auditor, e não apenas no momento, numa janela de chat.

A concrete example makes this easier to picture. Ask a general AI tool "which of our suppliers touch customer data," and it can only answer from whatever you happen to paste in at that moment, if it answers at all. Ask Formalize IQ the same question, and it looks at the suppliers you've actually assessed, the risk records already attached to them, and the evidence already on file, then answers from that. Nothing needs pasting in, because the account already holds it.

O que acontece se duas pessoas com funções ou direitos de acesso diferentes fizerem a mesma pergunta?

Vale a pena deixar isto bem claro, porque é a parte sobre a qual a maioria das pessoas nem sequer pensa em perguntar. Sem a delimitação de permissões, uma interface de chat sobreposta aos registos de conformidade transforma-se em algo completamente diferente: uma forma de contornar os controlos de acesso. Basta fazer a pergunta certa para que a informação que nunca teve autorização para ver lhe seja apresentada na mesma, independentemente de quem realmente é no sistema.

O Formalize IQ não funciona assim. Se fizer a mesma pergunta como dois utilizadores diferentes, as respostas serão diferentes. Cada uma delas está limitada ao que essa pessoa específica está efetivamente autorizada a ver. Isto é mais importante na área de GRC do que na maioria das categorias de software. Os registos em questão incluem incidentes, investigações internas, contratos com fornecedores e conclusões de auditorias. Não se trata de dados empresariais genéricos. Uma pergunta sobre uma investigação em curso não deve apresentar a mesma resposta a alguém que não faça parte da mesma, independentemente da forma como a pergunta for formulada.

Como é que o Formalize IQ consegue fazer isso, na prática?

Há duas coisas que tornam a resposta fiável, e não apenas conveniente.

Em primeiro lugar, tudo se baseia nos próprios dados e autorizações do cliente. Isso aplica-se sempre que é feita uma pergunta, e não apenas uma vez durante a configuração, quando tudo ainda parece estar em ordem. Em segundo lugar, o Formalize IQ só contabiliza uma resolução depois de esta estar concluída e aprovada. A exploração e o chat não têm qualquer custo. Isso reforça algo que vale a pena dizer de forma direta, sem deixar nada implícito: isto foi concebido para fazer propostas, não para agir por conta própria. Nada é guardado num registo sem que uma pessoa decida que deve ser, em absolutamente qualquer ocasião.

Não vamos quantificar o tempo que isto poupa. Cada cliente com quem falámos descreveu a mudança de forma diferente. Nenhum deles nos deu um valor suficientemente específico para o repetirmos com confiança, e um número inventado prejudicaria o resto deste artigo mais do que ajudaria. O que podemos dizer, em vez disso, é o que realmente acontece, sem qualquer estimativa associada. É feita uma pergunta. É respondida, diretamente a partir dos próprios registos do cliente. Sem etapas de exportação intermédias. Sem necessidade de utilizar uma ferramenta separada para colar algo nela É uma pequena mudança no papel, mas uma forma genuinamente diferente de trabalhar no dia a dia.

Se o seu trabalho se baseia especificamente na norma ISO 27001, há um segundo aspeto sobre o qual vale a pena ler separadamente: a forma como o Formalize IQ analisa a própria norma oficial, e não apenas a sua conta.