A maioria das equipas de conformidade já dispõe da informação de que necessita. O registo, o registo de riscos, as evidências, os contratos com fornecedores… está tudo guardado algures. O que a maioria dos sistemas não consegue fazer é responder a uma pergunta direta sobre essa informação. Ainda é preciso que alguém vá procurar a resposta manualmente e que a verifique em mais três locais para ter a certeza. Isso leva tempo, mesmo quando não há, de facto, nada de errado, e demora consideravelmente mais quando há. É dessa lacuna que trata o resto deste artigo, e ela está mais perto de ser colmatada do que a maioria das equipas de conformidade imagina.

Por que é que as equipas de conformidade exportam dados para o Excel só para fazer uma pergunta?

É um padrão familiar e está mais documentado do que a maioria das equipas imagina. Alguém exporta um registo para o Excel. Copiam-no para o Copilot. Depois, fazem a pergunta que o seu próprio sistema não conseguiu responder diretamente. Um responsável pela conformidade colocou a questão de forma clara: "Exporto para o Excel e passo-o pelo Copilot porque a minha ferramenta de GRC não tem a capacidade para responder às perguntas." Outras equipas automatizam manualmente partes do seu trabalho com o registo DORA, fora do seu processo existente, pela mesma razão subjacente. Outras, em vez disso, exportam diretamente para um agente de IA externo, porque isso é mais rápido do que a alternativa de que já dispõem.

As ferramentas diferem. A solução alternativa é a mesma. Quer o ponto de partida seja uma plataforma subutilizada ou a ausência total de uma plataforma, o problema fundamental é idêntico. A informação existe. Não é possível perguntar diretamente nada sobre ela no sistema. Assim, o trabalho é transferido para outro local, e a pista de auditoria fica um pouco mais longa e um pouco mais difícil de seguir cada vez que isso acontece.

O que significa, na verdade, perguntar ao seu programa de conformidade?

Significa uma interface de chat, e não vale a pena fingir o contrário. O que importa é onde essa interface de chat se encontra. Está integrada no mesmo sistema em que se realiza o seu trabalho de conformidade. Não é uma ferramenta separada, acrescentada ao sistema. Cada resposta baseia-se na sua própria conta: os frameworks que definiu, as evidências que atribuiu, os registos de que é efetivamente titular.

Esse é um ponto de partida significativamente diferente do de uma ferramenta de IA geral que tenta adivinhar o contexto a partir do que quer que seja copiado e colado. Significa também outra coisa. A resposta só pode ser tão boa e tão atualizada quanto o trabalho de conformidade já existente na conta. Isso é uma vantagem, não uma limitação. É a razão pela qual a resposta se mantém válida mais tarde, perante um auditor, e não apenas no momento, numa janela de chat.

O que acontece se duas pessoas com funções ou direitos de acesso diferentes fizerem a mesma pergunta?

Vale a pena deixar isto bem claro, porque é a parte sobre a qual a maioria das pessoas nem sequer pensa em perguntar. Sem a delimitação de permissões, uma interface de chat sobreposta aos registos de conformidade transforma-se em algo completamente diferente: uma forma de contornar os controlos de acesso. Basta fazer a pergunta certa para que a informação que nunca teve autorização para ver lhe seja apresentada na mesma, independentemente de quem realmente é no sistema.

O Formalize IQ não funciona assim. Se fizer a mesma pergunta como dois utilizadores diferentes, as respostas serão diferentes. Cada uma delas está limitada ao que essa pessoa específica está efetivamente autorizada a ver. Isto é mais importante na área de GRC do que na maioria das categorias de software. Os registos em questão incluem incidentes, investigações internas, contratos com fornecedores e conclusões de auditorias. Não se trata de dados empresariais genéricos. Uma pergunta sobre uma investigação em curso não deve apresentar a mesma resposta a alguém que não faça parte da mesma, independentemente da forma como a pergunta for formulada.

Como é que o Formalize IQ consegue fazer isso, na prática?

Há duas coisas que tornam a resposta fiável, e não apenas conveniente.

Em primeiro lugar, tudo se baseia nos próprios dados e autorizações do cliente. Isso aplica-se sempre que é feita uma pergunta, e não apenas uma vez durante a configuração, quando tudo ainda parece estar em ordem. Em segundo lugar, o Formalize IQ só contabiliza uma resolução depois de esta estar concluída e aprovada. A exploração e o chat não têm qualquer custo. Isso reforça algo que vale a pena dizer de forma direta, sem deixar nada implícito: isto foi concebido para fazer propostas, não para agir por conta própria. Nada é guardado num registo sem que uma pessoa decida que deve ser, em absolutamente qualquer ocasião.

Não vamos quantificar o tempo que isto poupa. Cada cliente com quem falámos descreveu a mudança de forma diferente. Nenhum deles nos deu um valor suficientemente específico para o repetirmos com confiança, e um número inventado prejudicaria o resto deste artigo mais do que ajudaria. O que podemos dizer, em vez disso, é o que realmente acontece, sem qualquer estimativa associada. É feita uma pergunta. É respondida, diretamente a partir dos próprios registos do cliente. Sem etapas de exportação intermédias. Sem necessidade de utilizar uma ferramenta separada para colar algo nela. É uma pequena mudança no papel, mas uma forma genuinamente diferente de trabalhar no dia a dia.

Se o seu trabalho se baseia especificamente na norma ISO 27001, há um segundo aspeto sobre o qual vale a pena ler separadamente: a forma como o Formalize IQ analisa a própria norma oficial, e não apenas a sua conta.