Semantisch web · Compliance · Artikel 3 · Concept

Compliance als graaf, niet als spreadsheet

Vraag een compliance-team hoe aan een vereiste wordt voldaan en u krijgt vaak een rondleiding langs spreadsheets. Eén blad somt de vereisten op. Een ander de beheersmaatregelen. Een derde bevat het bewijs, een vierde de risico's, en de auditbevindingen staan in een rapport. Het antwoord bestaat, maar iemand moet de bladen met de hand samenvoegen, en de volgende persoon doet dat opnieuw.

Het idee achter het semantisch web biedt een andere manier om dezelfde informatie vast te houden.

Het idee in gewone woorden

Het idee van het semantisch web is gegevens te publiceren als gekoppelde, machineleesbare uitspraken: dit ding hangt op deze manier samen met dat ding. Elk ding heeft een eigen identiteit, en de relaties maken deel uit van de gegevens, in plaats van iets wat een lezer moet afleiden. Een verzameling van zulke uitspraken is een kennisgraaf.

Voor governance, risico en compliance betekent dit een kleine verandering van gewoonte. Een vereiste, een beheersmaatregel, een stuk bewijs, een risico en een auditbevinding zijn niet langer rijen in verschillende lijsten. Elk wordt een record met een identiteit, en de verbindingen ertussen worden ook records.

Twee panelen. Links aparte lijsten voor vereisten, beheersmaatregelen en bewijs die mensen telkens opnieuw met de hand samenvoegen. Rechts gekoppelde records waarin elk item een identiteit heeft en de relaties ertussen ook records zijn, zodat de verbindingen bewaard blijven in plaats van opnieuw te worden opgebouwd. Een pijl loopt van links naar rechts. — Figuur 1: van lijsten naar gekoppelde records

Hoe een beheersmaatregel eruitziet in een graaf

Neem een beheersmaatregel. Ze voldoet aan een vereiste. Ze beperkt een risico. Ze wordt ondersteund door bewijs. Ze is getest in een audit, en de test leverde een bevinding op. In een graaf is elk van die uitspraken een verbinding van de beheersmaatregel naar een ander record, en elke verbinding zegt wie haar legde, wanneer en op welke grondslag.

Bovenaan staat een beheersmaatregel. Verbindingen lopen ervandaan naar een vereiste waaraan ze voldoet, een risico dat ze beperkt, bewijs dat haar ondersteunt en een auditbevinding uit een test ervan. Een band eronder zegt dat elke verbinding zelf een record is dat zegt wie haar legde, wanneer en op welke grondslag. — Figuur 2: een beheersmaatregel en waarmee ze verbonden is

Er is niets exotisch nodig om het voordeel te zien. De vraag „hoe wordt aan deze vereiste voldaan, en hoe weten we dat?” wordt een wandeling langs de verbindingen, geen rondleiding langs bladen.

Wat dat mogelijk maakt

Traceerbaarheid. Vanaf een vereiste kunt u de verbindingen volgen naar de beheersmaatregel, het bewijs en de laatste test, en terug van een bevinding naar de beheersmaatregel waarop ze betrekking heeft. Het spoor is de data zelf.

Koppeling over raamwerken heen. Vereisten uit verschillende raamwerken vragen vaak ongeveer hetzelfde. In een graaf schrijft u de beheersmaatregel één keer en koppelt u haar aan elke vereiste waarop ze een antwoord is, zodat één record meerdere bronnen bedient en een leemte zichtbaar wordt als een vereiste zonder beheersmaatregel erachter.

Eén record, meerdere weergaven. Omdat de feiten één keer worden vastgehouden, kan elke persoon het deel zien dat bij zijn rol past: de compliance-verantwoordelijke ziet status en leemten, de auditor ziet tests en bewijs, de risicomanager ziet de risico's die de beheersmaatregel beperkt. Niemand houdt een privékopie bij.

Bovenaan één beheersmaatregelrecord. Drie weergaven lopen ervandaan: de compliance-verantwoordelijke ziet status en leemten, de auditor ziet tests en bewijs, en de risicomanager ziet de risico's die ze beperkt. Het record wordt één keer vastgehouden en iedereen ziet het deel dat bij de eigen rol past. — Figuur 3: één record, meerdere weergaven

„Hoe zag dit er toen uit”. Tijd maakt op twee manieren deel uit van het model. Een record bewaart gedateerde versies, en elke wijziging wordt ook vastgelegd als gebeurtenis: wie wat wijzigde, van welke waarde naar welke. Samen maken ze het mogelijk de vroegere toestand van een record terug te lezen, zodat vragen die auditors over een bepaald tijdstip stellen geen archeologie meer zijn.

Een tijdlijn van links naar rechts met een eerdere versie, een wijziging en de huidige versie van hetzelfde record. Een band eronder zegt dat elke wijziging een gebeurtenis is die vastlegt wie wat wijzigde, van welke waarde naar welke, zodat de vroegere toestand kan worden teruggelezen. — Figuur 4: hoe zag het er toen uit

Een plek waar agents kunnen lezen en schrijven, met poorten. Een graaf is iets wat softwareagents rechtstreeks kunnen lezen, omdat de structuur expliciet is. Schrijven is een andere zaak. In dezelfde geest als de beheersmaatregelen uit het eerste artikel van deze reeks leest een agent vrij, maar stelt ze wijzigingen voor via een poort: review, goedkeuring door de eigenaar en een registratie van het besluit. De graaf blijft betrouwbaar omdat wat erin komt is goedgekeurd en traceerbaar is.

Links een agent met beperkte toegangsgegevens die vrij leest uit de graaf in het midden. Wil ze iets wijzigen, dan stelt ze de wijziging voor aan een poort rechts, waar ze wacht op review en goedkeuring; alleen de goedgekeurde wijziging bereikt de graaf. Een band eronder zegt dat elk voorstel, besluit en elke wijziging wordt vastgelegd. — Figuur 5: agents lezen en schrijven met poorten

Waar een graaf het van een spreadsheet verliest

Een graaf is niet gratis en niet altijd het betere hulpmiddel. Vier eerlijke kosten:

Onderhoud. Verbindingen moeten worden gelegd en actueel gehouden. Een spreadsheetrij is in een minuut verbeterd; een relatie moet overal worden verbeterd waar ze wordt gebruikt.
Een verouderde verbinding is erger dan een verouderde rij. Een verouderde rij ziet er verouderd uit. Een verouderde verbinding ziet eruit als een feit, en elke vraag die er langs loopt, erft de fout met zelfvertrouwen. Verbindingen hebben een bron, een datum en een manier nodig om als vervangen te worden gemarkeerd.
Onderhoud van het model. Een gedeeld vocabulaire van recordsoorten en verbindingstypen helpt alleen zolang iemand het beheert. Zonder eigenaar drijft het af, of het groeit totdat niemand het nog bijhoudt.
Datakwaliteit. Een graaf maakt slechte data zichtbaarder, niet beter. Dubbele records, vrijetekstnamen en ontbrekende identificatoren worden kapotte of verdubbelde verbindingen.

Voor een kleine, stabiele vraag die één team beantwoordt, is een spreadsheet sneller en goedkoper. Een graaf verdient zijn kosten terug wanneer dezelfde feiten door veel mensen en veel hulpmiddelen worden gelezen, wanneer relaties zwaarder wegen dan rijen, en wanneer de geschiedenis beantwoordbaar moet zijn.

Waarom het juist bij dit vakgebied past

Governance, risico en compliance is een vakgebied over relaties: wat vereist is, wat eraan wordt gedaan, wat aantoont dat het is gedaan, wat er nog mis kan gaan en wat een onafhankelijke beoordelaar heeft gevonden. Spreadsheets bewaren de zaken en laten de relaties aan mensen over. Een graaf bewaart beide, en zo verschuift het werk van afstemmen naar lezen.

Het past ook bij het betoog van deze reeks. Harde beheersmaatregelen voor agents en compliance die kan worden geautomatiseerd, hangen allebei af van hetzelfde: expliciete, gekoppelde, vastgelegde feiten die een persoon of een agent kan volgen en controleren.

Wat u meeneemt

Bewaar de vereiste, de beheersmaatregel, het bewijs, het risico en de bevinding als gekoppelde records, leg elke wijziging vast als gebeurtenis, en laat agents vrij lezen en alleen schrijven via een poort. Traceerbaarheid, geschiedenis en koppeling komen dan voort uit de structuur, niet uit inspanning.