Valeo · security governance / 2026. január
Hol ér véget a technikai válasz, és hol kezdődik az auditértelmezés?
Több kérdésnél a technikai csapat már bizonyítani tudta a rendszer működését, de az még nem jelentette automatikusan azt, hogy az auditkövetelmény értelmezése is lezárt.
A helyzet
Az egyik visszatérő csapda az volt, hogy egy technikai tényt és egy megfelelőségi következtetést ugyanannak vettünk. Például egy kontroll működhetett és lehetett róla log, de attól még külön kérdés maradt, hogy a konkrét szabályozási elvárást teljesen lefedi-e. Ha ezt a határt nem jelöljük, a mérnök akaratlanul jogi döntést hoz, vagy az auditor technikai részletet kér számon rossz helyen.
A megoldási út
A státuszokban külön oszlopként és külön megfogalmazással kezeltem a technikai tényt, a rendelkezésre álló evidenciát és a megfelelőségi értelmezést. Amikor a határ bizonytalan volt, nem tettem úgy, mintha egy fejlesztői válasz lezárná a kérdést: visszairányítottam a megfelelő jogi vagy audit szerepkörhöz, konkrét technikai háttérrel.
Mi lett belőle
Ez elsőre több egyeztetésnek tűnt, valójában kevesebb újranyitást okozott. A döntések mögött egyértelmű lett, melyik rész tény és melyik szakmai értelmezés. A technikai csapatnak sem kellett olyan felelősséget magára vennie, amely nem hozzá tartozott.