De meeste teams ervaren compliance als een seizoen. Het komt, iedereen laat de roadmap vallen, een spreadsheet circuleert, schermafbeeldingen worden verzameld, en een paar weken later verdwijnt het tot de volgende keer. Het werk is echt, maar de vorm is verkeerd.
Gebeurtenissen veroorzaken paniek; checks creëren gewoontes
Alles wat twee keer per jaar gebeurt, is een gebeurtenis, en gebeurtenissen veroorzaken paniek, omdat de tijd ertussen precies lang genoeg is om alles te vergeten wat je de vorige keer hebt geleerd. De audit wordt een spoedcursus tegen maanden van opgestapelde afwijkingen die niemand in de gaten hield.
Alles wat bij elke pull request gebeurt, is een check. Checks veroorzaken geen paniek. Ze leiden tot kleine, constante correcties, net zoals een mislukkende test dat doet. Je houdt geen kwartaalbrandweeroefening voor testen; tests worden bij elke wijziging uitgevoerd, zodat de codebase altijd dicht bij correct blijft. Compliance kan op dezelfde manier werken.
De brandweeroefening-belasting wordt betaald in de slechtste valuta: focus
De echte kosten van het auditseizoen zijn niet de uren. Het is de contextwisseling. Een team dat midden in een moeilijk probleem zit, wordt meegesleept in het verzamelen van bewijs voor wijzigingen die maanden geleden zijn doorgevoerd, en moet daarna weer terug in het probleem. Die belasting is onzichtbaar in elke begroting, maar enorm in de praktijk.
Een check die continu draait, verspreidt die kosten in zo kleine stappen dat ze verdwijnen. Een bevinding in een PR wordt gelezen in dezelfde denkwijze als de code review waarin deze staat. Geen seizoen, geen spoedcursus, geen contextwisseling.
Maak het saai
De ambitie is niet om compliance spannend te maken. Het is om het saai te maken: een statuscheck die meestal groen is, af en toe iets specifieks markeert, en veel minder achterlaat om te ontdekken tijdens het auditseizoen, omdat het meeste al bij de diff is afgevinkt.
heygrc plaatst een GitHub-checkstatus op elke pull request, gebaseerd op de frameworks die je hebt geselecteerd, die je optioneel kunt verplichten in branch protection. Het doel van een check is om opvallend te zijn. Die saai, stabiele staat is waar heygrc voor is gebouwd.