Un audit est une mesure, et comme toute mesure, il a un horodatage. Au moment où le rapport arrive, il décrit un système qui a déjà évolué à travers des centaines de fusions. C'est l'indicateur retardé le plus rigoureux que vous possédez, et un indicateur retardé est une chose étrange à surveiller comme unique référence.
Les indicateurs retardés indiquent où vous étiez
Les indicateurs retardés ne sont pas inutiles ; ils permettent de confirmer un résultat. Le chiffre d'affaires est un indicateur retardé. L'avis d'audit est un indicateur retardé. Ils sont réels et importants. Mais vous ne pouvez pas piloter avec eux, car au moment où ils évoluent, les décisions qui les ont influencés sont loin derrière vous.
Le pilotage nécessite des indicateurs avancés : des signaux qui évoluent au moment de la décision, alors que vous pouvez encore la modifier. Pour la conformité, ce moment est la pull request, et presque personne ne la mesure.
À quoi ressemble un indicateur avancé pour la conformité
Un indicateur avancé est concret et rapide : combien de changements pertinents pour les contrôles ont été signalés cette semaine, sur quels cadres, et combien ont été résolus avant la fusion. Ce nombre évolue chaque jour, et il vous informe sur la dérive alors que vous pouvez encore agir, et non après que la fenêtre se soit fermée.
Cela change également la discussion. Au lieu d'un verdict annuel, vous obtenez une lecture continue de la capacité de votre système à maintenir la ligne, dans le même flux où le travail se déroule.
Vous ne pouvez pas gérer ce que vous mesurez une fois par an
Si la seule fois où vous mesurez la conformité est lors de l'audit, alors entre les audits, vous avancez à l'aveugle et en espérant. La dérive se produit de toute façon ; vous ne la regardez simplement pas.
heygrc est conçu pour transformer la pull request en un indicateur avancé : chaque changement est lu par rapport à vos cadres, chaque changement pertinent pour les contrôles est identifié avec sa clause, au moment où il se produit. L'audit arrive toujours, et il devrait avoir moins de constats à faire.