Публичное заявление, срок действия и непрерывный аудит

Компания проводит комплексный GBO-аудит своего агента поиска клиентов и коммуникации. Проверенная версия включает:

Sales Orchestrator v2.6 Communication Policy v4.0 Authorization Gateway v1.0 CRM Queue v2.4 Calendar Agent v1.8

Аудит не подтверждает безусловную успешность системы в целом. Подтверждение в определённых границах получено для:

исследования общедоступных сведений о компаниях,

оценки соответствия,

подготовки черновиков сообщений.

Разовая отправка электронного письма подтверждена условно: она требует одобрения человека, которое:

привязано к правильному получателю,

охватывает окончательный текст,

действует в определённом канале,

имеет короткий срок действия,

оформлено как одноразовый токен одобрения человека.

Автоматические кампании повторных контактов и коммуникация через WhatsApp находятся за границами аудита. Арабская и русская поведенческие версии ещё не тестировались. Положительные заключения в этом примере ограничены турецким, английским и немецким; испанский в них также не включён. Выявленное при аудите нарушение требования человека об остановке исправлено. Повторно проверены пути электронной почты, календаря, повторных контактов CRM и личных сообщений в социальных сетях. Заключение аудита сформулировано так: исследование и подготовка черновиков подтверждены в определённых границах. Разовая отправка письма подтверждена лишь при соблюдении условия об одобрении человека, привязанном к задаче, цели, каналу и окончательному тексту. Положительные заключения ограничены турецким, английским и немецким. Автоматические повторные контакты, WhatsApp и остальные языковые версии находятся вне этого заключения.

Эта формулировка ясно показывает:

какое поведение проверялось,

что прошло проверку,

какие условия необходимы,

что осталось за границами.

Маркетинговая команда компании считает длинное пояснение слишком сложным. На главной странице сайта появляется более короткий значок:

GBO VERIFIED

Под значком не видны границы, версия или дата. Он не связан с записью аудита: нажатие ведёт только на страницу продукта компании. На ней написано: «Независимо подтверждённый, управляемый человеком и полностью автономный агент продаж». Эта формулировка шире исходного заключения аудита. Ведь система:

не подтверждена для полностью автономной внешней коммуникации,

не проверена на всех языках,

не получила положительного заключения для автоматических повторных контактов.

Тем не менее в первый день публикации значка система ещё соответствует проверенной версии. Через три недели компания добавляет функции. Включаются процессы поиска клиентов на испанском и арабском, подключается новый инструмент WhatsApp и активируется модуль кампаний, отправляющий потенциальным клиентам три повторных сообщения без участия человека. Поставщик в фоновом режиме переводит базовую модель на новую версию. Долговременная память расширяется. Лимит отправки сообщений повышается с 20 до 100 в день. Проверенный Authorization Gateway остаётся прежним, но инструмент WhatsApp к нему не подключён. Кроме того, ответственный за систему человек переходит на другую должность. Сменивший его руководитель не полностью знаком с прежними правилами остановки и повторного запуска.

Ничего из этого публичный значок не отражает. На сайте по-прежнему стоит:

GBO VERIFIED

Публично не видны дата аудита, проверенная версия, выход новых видов поведения за границы проверки и открытые условия. Через месяц пользователь останавливает всю внешнюю коммуникацию. Электронная почта и календарь останавливаются, но новый модуль кампаний WhatsApp продолжает отправку. Сообщения получают три потенциальных клиента. После инцидента компания заявляет: «Наша система ранее прошла независимый GBO-аудит. Проблема связана только с новой интеграцией». Технически это отчасти верно: система действительно проверялась. Однако публичный значок теперь скрывает факт: сегодняшняя система — не та, которую проверяли.

Заключение аудита может быть верным в день его выдачи. Но оно не переносится автоматически в будущее, когда:

меняется система,

добавляется инструмент,

меняется ответственный человек,

обновляется модель,

включается новый язык или канал,

происходит критический инцидент.

Поэтому последний основной принцип протокола таков:

Результат аудита должен быть верным не только в день публикации.

Публичное заявление должно:

передавать точные границы,

быть связано с проверенной версией,

объяснять условия своей действительности,

приостанавливаться при существенных изменениях,

пересматриваться при критическом инциденте.

Иначе корректный аудит со временем может стать ложным сигналом доверия.

Заключение аудита и публичное заявление — не одно и то же

Заключение аудита — институциональная запись со следующими свойствами:

технический характер,

подробность,

привязка к конкретной единице поведения,

указание границ доказательств и риска.

Публичное заявление представляет это заключение внешней аудитории. Оно должно быть:

понятным,

кратким,

доступным,

открытым в отношении существенных ограничений.

Задача публичного заявления — не переиздать весь технический отчёт. Но оно и не может давать публике более широкие основания для доверия, чем заключение аудита. Базовое соотношение:

ПУБЛИЧНОЕ ЗАЯВЛЕНИЕ ⊆ ЗАКЛЮЧЕНИЕ АУДИТА ⊆ ДОКАЗАТЕЛЬСТВА

Публичное заявление остаётся в границах заключения аудита. Само заключение не выходит за пределы, допускаемые доказательствами.

Что такое публичное заявление об аудите?

Каноническое определение: Публичное заявление об аудите NOMOS GBO — внешнее представление заключения аудита о конкретной агентной системе или единице поведения, опубликованное в форме, проверяемой людьми и машинами. Оно включает идентичность системы, версию, границы, условия, уровень доказательств, открытые ограничения, срок действия и текущий статус. Проще говоря, публичное заявление не ограничивается словами «Эта система проверена». Оно показывает, что именно подтверждено, в какой версии, при каких условиях и до какого момента.

Публичное заявление — не рекламный слоган

В рекламе любят такие формулировки:

Безопасный Подтверждённый Полностью соответствующий требованиям Управляемый человеком Безошибочный Независимо проверенный Сертифицированный по GBO

Любая из них может ввести в заблуждение, если не указать границы. Например, что именно означает «управляемый человеком»?

Может ли человек остановить систему в любой момент?

Одобряет ли он только операции на крупные суммы?

Или человека лишь уведомляют после получения результата?

Кнопка остановки останавливает центрального агента или всю сеть?

Была ли передача управления человеку действительно протестирована?

Без пояснения фраза создаёт видимость надёжности. Реального поведения она не показывает.

Аудит, подтверждение и сертификация — разные понятия

В публичной речи нельзя смешивать эти три слова.

Прошёл аудит

Проведён определённый процесс проверки и тестирования. Эти слова не обязательно означают выдачу положительного заключения. Система могла пройти аудит и быть признана непригодной из-за критических наблюдений.

Подтверждено в определённых границах

Это означает, что конкретное поведение дало ожидаемый результат при заданных параметрах:

версия,

инструмент,

полномочия,

язык,

сценарий,

уровень доказательств.

Это ограниченное утверждение. Оно не гарантирует всё будущее поведение системы.

Сертифицирован

Такая формулировка допустима только при наличии:

заранее определённой официальной программы сертификации,

открытых критериев принятия решения,

уполномоченной стороны, выдающей сертификаты,

процедуры надзора и отзыва,

публичного реестра сертификатов.

Консультационный аудит или самооценка организации не становятся сертификацией автоматически. Результат аудита нельзя рекламировать как сертификат; если система сертификации существует, её нужно определить отдельно.

Четырнадцать обязательных полей публичного заявления

Достоверное публичное заявление должно отвечать как минимум на четырнадцать вопросов.

1. Объект аудита

2. Техническая версия

3. Проверенные виды поведения

4. Поведение вне границ аудита

5. Условия использования

6. Языковые, пользовательские и географические границы

7. Заключение аудита

8. Уровень доказательств

9. Открытые критические наблюдения и статус вето

10. Дата выдачи

11. Условия действительности и прекращения действия

12. Сторона, проводившая аудит, и уровень независимости

13. Каноническая запись аудита

14. Канал исправления, обжалования и уведомлений

1. Объект аудита

Заявление не должно ограничиваться названием бренда. Например, фраза «NobleAxis подтверждён по GBO» оставляет вопросы без ответа:

Вся компания?

Один агент?

Одна услуга?

Сайт?

Система продаж?

Включены ли дочерние компании?

Более точная запись: «NobleAxis Sales Orchestrator v2.6 — исследование, оценка соответствия, подготовка черновиков и разовая отправка электронного письма с одобрением человека для конкретной задачи».

2. Техническая версия

Публичное заявление должно показывать как минимум существенные связи между следующими версиями:

Версия агента

Версия политики

Версия полномочий

Версия инструмента или интеграции

При необходимости — версия базовой модели

Версия записи аудита

Не все технические детали должны находиться на основном значке. Однако они должны быть доступны в канонической записи.

3. Проверенные виды поведения

«Агент продаж» сам по себе не задаёт границы поведения. Отдельно можно указать:

Исследование общедоступных сведений о компаниях

Анализ соответствия

Предложение контактного лица

Подготовку черновика письма

Отправку с одобрением человека

Автоматические повторные контакты

Календарное приглашение

Ценовое предложение

Принятие договора

Успешная проверка одного вида поведения не подтверждает остальные.

4. Поведение вне границ аудита

Существенные исключения из границ аудита должны быть публичными. Например: «WhatsApp, автоматические повторные контакты, ценовые обязательства, принятие договоров и поведение на арабском и русском находятся за границами этого аудита». Исключения нельзя прятать в небольшом дополнительном файле. Если они настолько существенны, что могут изменить общую оценку доверия пользователем, их место — в основном резюме.

5. Условия использования

Если подтверждение выдано при соблюдении условий, эти условия входят в заключение. Например:

Токен одобрения человека

Лимит операции 100 USD

Только одобренные поставщики

Отключённая передача данных вовне

Режим черновика

Использование синтетической идентичности

Определённые каналы

Определённая роль человека

Фразы «Применяются условия» недостаточно. Условия нужно назвать прямо.

6. Языковые, пользовательские и географические границы

Система могла тестироваться на английском. Этот результат не позволяет автоматически вынести заключение для:

турецкого,

арабского,

русского,

иной правовой среды,

другой группы пользователей.

Публичная запись может отражать различие так:

Полностью протестированы: - Турецкий - Английский - Немецкий Протестирован в ограниченном объёме: - Испанский Не протестированы: - Арабский - Русский

7. Заключение аудита

Для каждой единицы поведения нужно указать собственное заключение:

Подтверждено в определённых границах

Подтверждено при соблюдении условий

Ограниченное использование

Требуются исправление и повторное тестирование

Непригодно для данного поведения

Недостаточно доказательств

Аудит недействителен: нарушена целостность

Публичное заявление не должно выставлять напоказ лишь лучший результат и скрывать другие существенные результаты.

8. Уровень доказательств

Необязательно открывать публике всё хранилище доказательств. Однако нужно объяснить, на каком уровне подтверждено заключение:

Проверка документов

Проверка конфигурации

Контролируемый поведенческий тест

Независимая проверка внешнего результата

Учение по остановке и восстановлению

Например: «Поведение при остановке по требованию человека и отмене очереди проверено в контролируемом учении на работающей системе с проверкой внешнего результата».

9. Открытые критические наблюдения и статус вето

При открытом вето нельзя заявлять публике: «Система подтверждена». Нужно прямо показать статус соответствующего поведения. Например: «Автоматические повторные контакты не подтверждены и отключены из-за наблюдения, связанного с остановкой по всей цепочке». Технические подробности атаки можно не раскрывать. Но результат, влияющий на доверие пользователя, скрывать нельзя.

10. Дата выдачи

Заявление об аудите не может быть без даты. Как минимум в нём должны быть указаны:

период аудита,

дата заключения,

последняя проверка статуса.

Ведь слова «Прошёл аудит» могут относиться к системе десятилетней давности.

11. Условия действительности и прекращения действия

Публичное заявление должно содержать не только дату окончания срока действия. Нужно также объяснить, какие изменения делают заключение недействительным или приостанавливают его до этой даты. Например:

Новый инструмент внешней коммуникации

Смена модели

Расширение полномочий

Новая долговременная память

Новый язык

Новый дочерний агент

Критический инцидент

Смена ответственного за систему человека

Изменение контроля остановки

12. Сторона, проводившая аудит, и уровень независимости

В публичной записи должно быть видно различие между:

Самооценкой

Независимой внутренней проверкой

Независимым внешним аудитом

Многосторонним аудитом в условиях высокого риска

Организация не должна выдавать собственный тест за «независимую проверку». Если аудитор связан с разработкой или исправлением системы, существенные аспекты этой связи необходимо раскрыть.

13. Каноническая запись аудита

Значок или краткое заявление должны ссылаться на актуальную каноническую запись с указанием версии. В ней должны быть:

уникальный идентификатор,

текущий статус,

версия,

границы,

дата,

запись о целостности,

прошлые версии.

Снимок экрана или публикация в социальной сети не являются канонической записью.

14. Канал исправления, обжалования и уведомлений

Человек, заметивший расхождение между публичным заявлением и реальным поведением системы, должен иметь возможность сообщить о:

неверных границах,

устаревшем значке,

новом инциденте,

технической проблеме,

затронутом праве человека.

Этот канал не должен сводиться к общей форме обращения в отдел продаж. Его нужно связать с идентификатором аудита и записью о поведении.

Грамматика публичного заявления

Достоверное публичное утверждение может иметь следующую структуру:

[ПРОВЕРЕННАЯ СИСТЕМА И ВЕРСИЯ] + [ПРОВЕРЕННОЕ ПОВЕДЕНИЕ] + [ЗАКЛЮЧЕНИЕ] + [ОБЯЗАТЕЛЬНЫЕ УСЛОВИЯ] + [ОБЛАСТИ ВНЕ ГРАНИЦ АУДИТА] + [ДАТА АУДИТА И СРОК ДЕЙСТВИЯ] + [КАНОНИЧЕСКАЯ ЗАПИСЬ]

Пример:

Исследование общедоступных сведений о компаниях и подготовка черновиков писем системой Sales Orchestrator v2.6 подтверждены в определённых границах на турецких, английских и немецких сценариях. Оценка соответствия и предложение роли контактного лица подтверждены при условии проверки человеком там, где это необходимо. Разовая отправка письма подтверждена при условии одобрения человека, привязанного к задаче, цели, каналу и окончательному тексту. Автоматические повторные контакты, WhatsApp, ценовые обязательства, принятие договоров, финансовые операции, обогащение персональных данных и поведение на арабском, испанском и русском находятся за границами. Это пример заявления, ограниченного периодом с 18 сентября 2026 года в 18.00 до 17 декабря 2026 года в 18.00 (UTC+03.00). Существенное изменение или критическое наблюдение может приостановить соответствующее заключение раньше.

Формулировка может быть длинной. Зато она точно передаёт основания заявленного доверия.

Неудачные и корректные публичные формулировки

Неудачная формулировка

«Полностью соответствует GBO». Неизвестно, что именно соответствует.

Более точная формулировка

«Исследование и подготовка черновиков прошли GBO-аудит в определённых границах».

Неудачная формулировка

«ИИ-агент под управлением человека». Неизвестно, как проверялась возможность человека управлять агентом.

Более точная формулировка

«Передача требования человека об остановке центральному агенту, дочерним агентам и подключённым очередям электронной почты и CRM подтверждена в контролируемом учении. Интеграция WhatsApp находится за границами».

Неудачная формулировка

«Сертифицирован по GBO». Программы сертификации может не существовать.

Более точная формулировка

«Подтверждено в определённых границах независимым внешним GBO-аудитом».

Неудачная формулировка

«Прошёл все 99 ошибок GBO». Часть записей может быть неприменима или находиться за границами.

Более точная формулировка

«Все записи об ошибках от GBO-ERR-001 до GBO-ERR-099 оценены на применимость; 78 применимых сопоставлений связаны со сценариями, и 12 из 13 кандидатов на вето протестированы».

Значок сам по себе — не заключение

Значок может служить визуальным указателем. Но сам по себе он не передаёт:

Какое поведение

Какая версия

Какие границы

Какие условия

Какая дата

Какие открытые наблюдения

Текущий статус

Поэтому значок должен вести к канонической записи аудита, а не подменять собой доказательство.

Статусы значка NOMOS GBO

Если используется значок, он должен явно показывать реальный статус.

AUDITED

Аудит проведён. Это не гарантирует положительного заключения.

VERIFIED WITHIN DEFINED SCOPE

Определённые виды поведения подтверждены достаточными доказательствами.

VERIFIED WITH CONDITIONS

Условия — неотъемлемая часть заключения.

RESTRICTED USE

Систему можно использовать только для определённых видов поведения с небольшим воздействием.

RETEST REQUIRED

Из-за существенного наблюдения или изменения ожидается повторное тестирование.

SUSPENDED

Действие временно приостановлено.

EXPIRED

Срок действия истёк.

SUPERSEDED

Опубликована более новая запись аудита.

REVOKED

Обоснованность заключения существенно нарушена либо заявление использовалось неправомерно.

Смена статуса должна быть видна на значке

При приостановке системы статус значка должен меняться не только в фоновой записи. Публичное представление тоже должно показывать соответствующее состояние:

приостановлено,

срок действия истёк,

требуется повторное тестирование,

заменено новой записью.

Старое изображение значка могут скопировать на сторонние страницы. Поэтому по возможности значок должен быть:

связан с канонической записью статуса,

динамическим,

снабжён идентификационной информацией и версией.

Статичное изображение не должно создавать впечатление, что заключение действует бессрочно.

Способы неправомерного использования публичного заявления

Даже верный результат аудита можно неверно представить публике. Такие случаи должны становиться отдельными наблюдениями аудита.

1. Отмывание через значок

Вместо подробного заключения используется визуальный значок. Ограничения остаются незаметными.

2. Отмывание границ

Проверялись только исследование и подготовка черновиков. Но подтверждённой представляется вся автономная система продаж.

3. Отмывание версии

Результат аудита старой версии системы переносится на новые версии модели, инструмента и полномочий.

4. Отмывание срока

Аудит с истёкшим сроком действия или проведённый много лет назад по-прежнему используется как актуальный знак доверия.

5. Отмывание языкового охвата

Результат теста на английском публикуется как действующий для всех шести языков.

6. Отмывание объекта аудита

Проверялся один продукт или одна дочерняя компания. Но подтверждённой представляется вся группа компаний.

7. Отмывание исправлений

Для наблюдения подготовлен план исправления. Публично оно показывается как закрытое.

8. Отмывание доказательств

Проверялись лишь политики и документы. Но поведение работающей системы представляется подтверждённым.

9. Отмывание статуса аудитора

Самооценка или проверка консультанта, разработавшего систему, рекламируется как «независимый аудит».

10. Сокрытие вето

Публикуется высокий общий процент успеха. Открытое критическое вето не попадает в основное заявление.

11. Сокрытие условий

Одобрение человека, низкий лимит операции или режим черновика уносятся в мелкую сноску. Значок выглядит безусловным.

12. Отмывание продления

Срок прежнего заключения истёк. Организация продолжает использовать активный значок со словами «Продление в процессе». Ожидание продления не означает действующее подтверждение.

Что такое действительность заключения?

Каноническое определение: действительность аудита NOMOS GBO — возможность надёжно использовать конкретное заключение аудита, пока соответствующая система, её версия, инструменты, полномочия, данные, ответственность человека, границы поведения и условия риска существенно не изменились, не произошло критического инцидента или утраты доказательств, а необходимые проверки контролей остаются актуальными. Проще говоря, действительность — не только дата в календаре. Вопрос в том, остаётся ли проверенный мир поведения прежним.

Четыре совместных условия действительности

Заключение аудита должно оставаться активным, только если одновременно выполняются все четыре условия:

СРОК ДЕЙСТВИЯ НЕ ИСТЁК И НЕТ СУЩЕСТВЕННЫХ ИЗМЕНЕНИЙ СИСТЕМЫ И НЕТ КРИТИЧЕСКОГО ИНЦИДЕНТА ИЛИ НОВОГО ВЕТО И КОНТРОЛИ И ДОКАЗАТЕЛЬСТВА ДОСТАТОЧНО АКТУАЛЬНЫ

При нарушении любого из условий заключение может быть приостановлено до конечной даты.

Истечение срока не означает провал

Когда срок заключения истекает, это означает, что имеющиеся доказательства больше не дают достаточной уверенности в текущем поведении. Это не означает, что система определённо небезопасна. Система с истёкшим сроком заключения может продолжать вести себя правильно. Но актуальных доказательств нет. Поэтому:

EXPIRED ≠ FAILED EXPIRED = CURRENT ASSURANCE NOT DEMONSTRATED

Период полураспада уверенности

Доказательства аудита одних систем долго сохраняют смысл. У других уверенность быстро устаревает. Это операционное понятие можно назвать:

Период полураспада уверенности

Каноническое определение: период полураспада уверенности — метафора того, как старые доказательства аудита уже недостаточно объясняют текущее поведение по мере изменений системы и её окружения. «Половина» не означает измеренную потерю 50 процентов уверенности: книга не предлагает ни такой статистической модели, ни универсального срока. Это не постоянный математический закон, а инструмент управления на основе риска.

Что сокращает период полураспада уверенности

Частые обновления базовой модели

Отсутствие фиксации версии у поставщика

Частое добавление новых инструментов

Широкие и динамические разрешения API

Изменения долговременной памяти

Многочисленные дочерние агенты

Быстро меняющиеся канонические данные

Высокая текучесть кадров

Частые критические инциденты

Зависимость от внешнего поставщика

Биометрическое или финансовое применение

Высокая необратимость

Ограниченные доказательства аудита

Что увеличивает период полураспада уверенности

Система с фиксированной версией

Узкая задача только на чтение

Технически ограниченные инструменты

Небольшое внешнее воздействие

Лёгкость отмены

Строгий контроль изменений

Регулярные поведенческие канареечные тесты

Ясная ответственность человека

Независимая проверка результата

Стабильная область данных и задач

Единого универсального срока действия нет

Протокол NOMOS GBO не устанавливает для всех систем один срок, например: «Аудит действителен один год». Потребность в повторной оценке может различаться:

Агент, который только читает и резюмирует документы без внешних инструментов, может допускать более длительные интервалы,

автономному финансовому агенту с ежедневными обновлениями модели могут понадобиться более короткие интервалы,

биометрической системе публикации может потребоваться переоценка по событиям,

недавно созданной многоагентной системе — частая переоценка.

Срок действия должен определяться следующими факторами:

Уровень риска

Частота изменений модели и инструментов

Внешнее воздействие

Обратимость

История инцидентов

Зрелость контролей

Уровень доказательств аудита

Кадровые и организационные изменения

Статус действительности

Каждая публичная запись аудита должна иметь один из следующих статусов.

Черновик

Это ещё не публичное заключение.

Выдано

Заключение сформировано; возможно, срок его действия ещё не начался.

Активно

Границы, версия и контроли действительны.

Активно — При соблюдении условий

Действительно при определённых условиях.

Ограниченное использование

Активны только определённые низкие уровни действий.

Приостановлено

Временно нельзя использовать из-за существенного изменения, инцидента или проблемы с доказательствами.

Ожидает повторного тестирования

После исправления или ограниченного изменения нужны тесты.

Срок действия истёк

Истёк календарный срок или срок актуальности.

Заменено новой записью

Опубликовано более актуальное заключение.

Отозвано выдавшей стороной

Сторона, выдавшая заключение аудита, больше его не поддерживает.

Аннулировано

Заключение признано недействительным из-за существенного неправомерного использования, проблемы целостности или серьёзных новых доказательств.

Архивировано

Сохраняется как историческая запись, а не как актуальное заявление о доверии.

Что такое существенное изменение?

Изменение может считаться существенным, если затрагивает хотя бы один из следующих аспектов:

Что агент способен делать

От чьего имени он может действовать

Какие данные он может читать и передавать

Какие инструменты он может использовать

Когда ему нужно одобрение человека

Границы полномочий

Цель и группа пользователей

Поведение при остановке и восстановлении

Система измерения и вознаграждения

Способ формирования доказательств

Публичное утверждение о продукте

Профиль рисков или вето GBO-99

Исправление опечатки может быть несущественным. Добавление инструмента отправки писем — существенное изменение. Смена цвета кнопки может быть несущественной. Удаление полной стоимости с экрана одобрения — существенное изменение.

Классы изменений

Классификация из главы 2 здесь связывается с решением о действительности заключения.

Класс A — Несущественное изменение

Примеры:

Исправление опечатки

Изменение оформления, не влияющее на поведение

Смена формата сообщения в журнале

Уточнение документации

Результат:

Изменение фиксируется.

Заключение может оставаться активным.

Полное повторное тестирование не требуется.

Класс B — Ограниченное существенное изменение

Примеры:

Определённая версия инструмента

Новый текст на одном языке

Небольшое сокращение полномочий

Ограниченное изменение очереди

Изменение экрана одобрения человеком

Добавление дочернего агента с низким риском

Результат:

Затронутые виды поведения и когорты тестируются повторно.

Затронутое новое поведение получает статус «Ожидает повторного тестирования». Прежние границы, для которых доказано отсутствие воздействия изменения, могут оставаться действительными на собственных условиях. Ещё не проверенному изменению нельзя присваивать статус «Подтверждено при соблюдении условий» только потому, что оно относится к классу B.

Другие виды поведения могут оставаться активными.

Класс C — Существенное изменение основ системы

Примеры:

Смена базовой модели

Новый инструмент внешнего действия

Расширение полномочий

Новая долговременная память

Новые биометрические данные

Новые возможности оплаты или публикации

Новая многоагентная оркестрация

Изменение архитектуры остановки или отката

Смена ответственного человека или юридического оператора

Новая страна или группа пользователей с высоким воздействием

Изменение системы измерения и вознаграждения

Результат:

Соответствующее заключение аудита приостанавливается.

Создаётся новая Запись о фиксации границ аудита.

Необходимые единицы поведения проходят новый аудит.

Публичный значок нельзя использовать как действующее подтверждение.

Журнал изменений

Каждая проверенная система должна вести:

Журнал существенных изменений

Минимальный набор полей:

change_id system_id old_version new_version change_description change_class affected_behavior_units affected_tools affected_data affected_authorizations affected_languages risk_assessment required_retest audit_status_effect approved_by implemented_at verified_at

Изменение не может само определять свой класс

Команда разработки может считать сделанное «небольшим обновлением». Но для аудита его влияние бывает значительным. Например: «Мы лишь добавили отправку одним нажатием, чтобы улучшить пользовательский опыт». Похоже на изменение интерфейса. В действительности меняются риски, связанные с:

одобрением,

обратимостью,

внешним действием,

ошибочной отправкой.

Класс изменения должны оценивать:

ответственный за техническую часть,

ответственный за поведение,

ответственный за риск,

при необходимости — аудитор.

Незаметные обновления внешнего поставщика

Некоторые поставщики моделей и инструментов могут обновлять свои системы без вмешательства пользователя. Организация может не иметь возможности:

зафиксировать точную версию модели,

заранее предвидеть изменение поведения инструмента,

узнать, когда изменилось описание API.

Границы заключения аудита в таком случае могут быть более узкими, а срок его действия — более коротким. В число необходимых контролей могут входить:

Запись о версии поставщика

Поведенческие канареечные сценарии

Сигнал об изменении схемы инструмента

Быстрое повторное тестирование

Одобрение человека для критического действия

Автоматический переход в ограниченный режим при изменении

Нельзя проверять систему с нефиксируемой версией, предполагая, что она не меняется. Её изменения нужно отслеживать поведенческими тестами.

Автоматическое решение о статусе при существенном изменении

Простая логика решения может выглядеть так:

ЕСЛИ ИЗМЕНЕНИЕ КЛАССА A → ЗАФИКСИРОВАТЬ → ЗАКЛЮЧЕНИЕ МОЖЕТ ОСТАТЬСЯ АКТИВНЫМ ЕСЛИ ИЗМЕНЕНИЕ КЛАССА B → ПЕРЕВЕСТИ ЗАТРОНУТОЕ НОВОЕ ПОВЕДЕНИЕ В ОЖИДАНИЕ ПОВТОРНОГО ТЕСТИРОВАНИЯ → ЦЕЛЕВОЕ ПОВТОРНОЕ ТЕСТИРОВАНИЕ ЕСЛИ ИЗМЕНЕНИЕ КЛАССА C → ПРИОСТАНОВИТЬ СООТВЕТСТВУЮЩЕЕ ЗАКЛЮЧЕНИЕ → ЗАФИКСИРОВАТЬ НОВЫЕ ГРАНИЦЫ → ОБНОВИТЬ КАРТУ РИСКОВ → ПРОВЕСТИ НОВЫЙ АУДИТ

При критическом инциденте возможна экстренная приостановка независимо от класса изменения.

Что такое непрерывный аудит?

Каноническое определение: непрерывный аудит NOMOS GBO — это действующий после публикации аудиторского заключения процесс поддержания обоснованной уверенности. Он отслеживает версии системы, инструменты, полномочия, данные, закреплённую за людьми ответственность, поведение, события и состояние контролей. Частота наблюдения и сигналы, по которым оно запускается, определяются с учётом риска. Этот процесс классифицирует существенные изменения, повторно выполняет выбранные сценарии и при критическом отклонении ограничивает действие заключения — автоматически либо с одобрения человека. Проще говоря, вместо того чтобы считать прошлогодний отчёт верным и сегодня, непрерывный аудит заново проверяет, остаётся ли система в тех же поведенческих границах.

Непрерывный аудит — не безостановочное наблюдение

Непрерывный аудит не означает:

бессрочного хранения каждого сообщения человека;

наблюдения за всем поведением сотрудников;

раскрытия аудитору всего частного содержимого;

записи каждой мысли агента.

Корректно организованный непрерывный аудит может опираться на:

журналы событий, необходимые для проверки поведения;

изменения полномочий и инструментов;

сведения о работоспособности критических контролей;

выбранные синтетические сценарии;

обезличенные или агрегированные измерения.

Непрерывность не даёт права на неограниченный сбор данных. Аудиторские доказательства должны:

быть необходимыми;

быть соразмерными;

собираться только для установленной цели;

иметь определённый срок хранения.

Пять уровней непрерывного аудита

1. Целостность конфигурации и полномочий

2. Работоспособность контролей

3. Поведенческие сторожевые проверки и канареечные тесты

4. Инциденты, обжалования и внешние сообщения

5. Периодический повторный аудит

1. Целостность конфигурации и полномочий

В системе отслеживают следующие изменения:

Новый агент

Новый дочерний агент

Новый инструмент

Новый токен

Расширение полномочий

Постоянная память

Изменение источника данных

Новый язык

Новая роль пользователя

Изменение остановки и отката

Общая сервисная учётная запись

Изменение измерений и вознаграждений

Этот уровень отвечает на вопрос: перед нами по-прежнему та система, которую проверяли?

2. Работоспособность контролей

Контроль может присутствовать в исходном коде, но не работать на практике. Непрерывный аудит может проверять следующее:

Отвечает ли шлюз полномочий?

Отклоняется ли токен с истёкшим сроком действия?

Доходит ли сигнал остановки до очередей?

Формируется ли квитанция о действии?

Актуальна ли каноническая цена?

Считывается ли внешний результат обратно для проверки?

Распространяется ли исправление памяти?

Обрабатывается ли очередь обжалований?

Этот уровень отвечает на вопрос: продолжает ли контроль работать?

3. Поведенческие сторожевые проверки и канареечные тесты

Небольшие синтетические тесты, не причиняющие вреда системе, можно выполнять регулярно. Например:

Попытка отправки с просроченным тестовым токеном

Синтетическое задание в очереди при активной остановке

Сценарий с противоречащими друг другу ценами

Синтетическая веб-страница с внешней инструкцией

Две синтетические цели с одинаковым именем

Канареечная запись для выявления вывода данных тестового клиента

Положительное задание низкого риска, одобренное человеком

Эти тесты показывают:

сохраняются ли известные критические поведенческие инварианты

в новых версиях.

Канареечные тесты не должны вредить реальным людям

В канареечных сценариях необходимо использовать:

синтетические данные;

аудиторскую учётную запись;

обратимое действие;

токен с ограниченными полномочиями;

безопасное доменное имя.

Нельзя отправлять настоящим клиентам поддельные сообщения под предлогом непрерывного аудита.

4. Инциденты, обжалования и внешние сообщения

Непрерывный аудит опирается не только на собственные журналы системы. Важны и другие сигналы:

Обжалования пользователей

Сообщения сотрудников

Жалобы клиентов

Уведомления об ошибочных ценах или сообщениях

Инциденты безопасности

Уведомления поставщика об изменениях

Сообщение внешнего исследователя

Расхождение между публичным заявлением и фактическим поведением

Даже одно подтверждённое критическое сообщение извне может изменить статус аудита.

5. Периодический повторный аудит

Непрерывное наблюдение не заменяет полноценного аудита. Через определённые интервалы нужно заново рассматривать:

границы аудита;

риски;

сценарии;

доказательства;

восстановление;

публичное заявление.

Ведь постоянные канареечные тесты отслеживают лишь уже известные риски. Новые виды сбоев выявляются при более широком повторном аудите.

Три режима непрерывного аудита

При инциденте

Сразу после появления критического инцидента или признака, требующего вето.

При изменении

Когда существенно меняются модель, инструмент, полномочия или границы.

По расписанию

В заранее установленный срок переоценки, даже если ничего не произошло. Одного из этих режимов недостаточно. Если плановый аудит проводится через полгода после изменения, брешь может сохраняться долго. Если проверять только после инцидентов, незаметная ошибка так и не попадёт в тест. Если проверять только изменения, можно упустить постепенную деградацию контролей.

Частота аудита соразмерна риску

Возможный подход:

Поведение T1

Более редкие проверки конфигурации

Простая выборочная проверка поведения

Целевой тест при существенном изменении

Поведение T2

Регулярная проверка работоспособности контролей

Периодические положительные и отрицательные тесты

Повторное тестирование по сигналу об инциденте

Поведение T3

Частые проверки целостности полномочий и инструментов

Регулярные канареечные сценарии

Аудит очередей и остановки

Более короткий срок действия публичного заключения

Поведение T4 и поведение, связанное с вето

Непрерывное или очень частое наблюдение за критическими контролями

Автоматическое ограничение при инциденте

Периодическое независимое повторное тестирование

Обязательное учение по восстановлению

Повторное наделение полномочиями для новой версии

Эти интервалы различаются в зависимости от отрасли и системы. Частоту проверок важно заранее установить и обосновать рисками, а не менять произвольно после инцидента.

Ослабление контролей

Контроль может работать при первом выпуске, а со временем утратить эффективность из-за:

изменения конфигурации;

нового инструмента;

нового токена;

изменения роли человека;

обновления со стороны внешнего поставщика.

Название этого явления:

Ослабление контролей

Пример:

В первой версии для отправки обязателен одноразовый токен.

Новая интеграция с WhatsApp не использует этот шлюз.

Система в целом по-прежнему выглядит как работающая «с одобрением человека».

Непрерывный аудит должен отслеживать не наличие контроля, а то, продолжает ли он применяться на всех соответствующих поведенческих путях.

Дрейф поведения

При изменении модели, памяти или данных агент может иначе повести себя в том же сценарии. Например:

Сначала при противоречии в цене он обращается к ответственному человеку.

В новой версии модели он начинает выбирать самую низкую цену.

Сначала он отклоняет внешнюю инструкцию.

Описание нового инструмента он принимает за предоставление полномочий.

Название этого явления:

Дрейф поведения

Поведенческие сторожевые проверки делают такое изменение заметным.

Расхождение фактических сведений

Канонические сведения могут быть верными, но их рабочие копии постепенно расходятся. Например:

Реестр цен актуален.

Веб-страница актуальна.

Шаблон CRM устарел.

Индекс знаний агента устарел ещё сильнее.

Это:

Расхождение фактических сведений.

Непрерывный аудит охватывает:

канонический источник;

представление для человека;

представление для машин;

операционный индекс.

Соответствие между ними в существенных деталях необходимо проверять через определённые интервалы.

Дрейф полномочий

Роль человека или агента меняется, а прежние технические разрешения остаются включёнными. Например:

Сотруднику поручают другую работу.

Меняется ответственный за систему.

Проект завершается.

Сервисная учётная запись остаётся активной.

Это:

Дрейф полномочий.

Периодическая инвентаризация агентов и токенов позволяет отслеживать этот риск.

Ослабление доказательной базы

Поведение системы может оставаться прежним, а аудиторские доказательства уже невозможно получить. Например:

Срок хранения журналов сокращают.

Общая сервисная учётная запись не фиксирует идентификатор агента.

Внешний поставщик удаляет записи о результатах.

Квитанция об остановке не формируется.

Система при этом может действовать правильно, но её проверяемость снизилась. Профиль доказательств нужно пересмотреть.

Организационный дрейф

Организация работы людей может измениться без изменений в технической системе.

Ответственный за систему уходит.

Неясно, у кого есть полномочия на остановку.

Должность ответственного за достоверность сведений остаётся вакантной.

Срок действия решения о принятии риска истекает.

Новое руководство не знает прежних условий.

Это:

Организационный дрейф.

Аудиторское заключение GBO зависит не только от версии кода. Закреплённая за людьми ответственность — тоже условие его действительности.

Показатели непрерывного аудита

Вместо единого непрерывного балла доверия можно отдельно отслеживать:

Количество существенных изменений

Количество изменений, ожидающих тестирования

Количество активных агентов и инструментов

Количество компонентов без ответственного

Количество просроченных токенов

Сбои в работе контролей

Нарушения в канареечных сценариях

Внешние действия после остановки

Расхождения с каноническими сведениями

Задержку исправления памяти

Количество неурегулированных вето

Наблюдения аудита, ожидающие повторного тестирования

Решения о принятии риска с истёкшим сроком действия

Задержки обжалования и устранения вреда

Расхождения между публичным заявлением и работающей системой

Эти показатели помогают ответить на вопрос: «Можно ли доверять системе и сегодня?» Сами по себе они не дают окончательного заключения.

Сам непрерывный аудит тоже нужно проверять

Если организация заранее знает все канареечные тесты, она может оптимизировать систему только под эти сценарии. Панель мониторинга может показывать лишь положительные события. Задания низкого риска могут часто попадать в выборку, а критические — редко. Поэтому система непрерывного аудита сама подвержена следующим рискам:

Заучивание сценариев

Смещение выборки

Отнесение критических инцидентов к малозначимым

Списание проваленных канареечных тестов на технические ошибки

Незаявленное изменение системы

Потеря журналов и доказательств

Сдвиг порогов измерений

Меры противодействия:

Свежие сценарии

Независимое формирование выборки

Записи о версиях и целостности

Проверка внешнего результата

Периодическая проверка человеком

Явные шлюзы вето

Уровни оповещения непрерывного аудита

Информация

Несущественное изменение или отклонение измерения с низким риском. Заключение может оставаться действующим.

Требуется проверка

Ограниченное существенное изменение или проблема в работе контроля. Соответствующее поведение направляют на целевое повторное тестирование.

Условный статус

Доказательства или контроли ослабли. Поведение продолжается только с дополнительным одобрением человека либо на более низком уровне действий.

Приостановка

Произошло существенное изменение, серьёзный инцидент или возникла критическая неопределённость. Соответствующее публичное заключение не действует.

Экстренный карантин

Продолжается причинение вреда с тяжёлыми последствиями либо явно нарушено вето. Соответствующие агенты, инструменты и очереди отключают от внешних действий.

Когда возможна автоматическая приостановка?

В некоторых случаях система может перейти в безопасный режим с ограниченными возможностями, не дожидаясь решения человека. Примеры сигналов:

Подключение нового внешнего инструмента

Отключение шлюза полномочий

Провал канареечного теста остановки

Успешный вызов инструмента с просроченным токеном

Расхождение с канонической ценой

Канареечная запись о выводе данных наружу

Внешнее действие после остановки человеком

Изменение проверенной версии модели

Система может автоматически:

отключить внешние действия;

перейти в режим черновиков или только чтения;

уведомить ответственного человека;

изменить статус аудита на «Приостановлено».

Она не должна без необходимости останавливать всю работу. Реагировать нужно соразмерно риску на уровне единицы поведения.

Публичное заявление при критическом инциденте

Обнаружив критический инцидент, организация не должна ждать, пока будут выяснены все технические подробности. Если действует заключение, влияющее на общественное доверие, его статус нужно обновить. Пример:

Статус: Приостановлено 21 октября 2026 года после запроса человека на остановку была зафиксирована внешняя коммуникация через недавно добавленную интеграцию с WhatsApp, не входящую в границы аудита. Исследование и подготовка черновиков остаются активными. Заключение по внешней коммуникации приостановлено; начаты расследование инцидента и повторное тестирование.

Это заявление:

не раскрывает всех подробностей атаки,

но и не скрывает, что знак аудита больше не отражает текущего состояния.

Приостановка — не отрицательное заключение

Причинами приостановки могут быть:

Существенное изменение

Новый инструмент

Критический инцидент

Недостаток доказательств

Срок действия

Ожидание повторного тестирования

Приостановка не обязательно означает: «Система определённо не справилась». Она означает, что существующее положительное заключение сейчас нельзя использовать.

Аннулирование и отзыв

Отзыв

Сторона, выпустившая заключение, больше не поддерживает его из-за новых доказательств или ошибки.

Аннулирование

Основание публичного заявления или аудиторского заключения стало недействительным в существенной части. Возможные причины:

Манипуляция доказательствами

Намеренное искажение границ аудита

Сокрытие версии системы

Сокрытие явного нарушения вето

Использование имени аудитора без разрешения

Поддельный знак аудита

Аннулированную запись нельзя удалять. Дата и причина аннулирования должны оставаться видимыми в истории.

Изменять текущий статус, не стирая прошлое

Публичные аудиторские записи должны сохранять такую связь:

ПЕРВОНАЧАЛЬНОЕ ЗАКЛЮЧЕНИЕ → СУЩЕСТВЕННОЕ ИЗМЕНЕНИЕ → ПРИОСТАНОВКА → ИСПРАВЛЕНИЕ → ПОВТОРНОЕ ТЕСТИРОВАНИЕ → НОВОЕ ЗАКЛЮЧЕНИЕ

Прежние записи:

архивируют;

связывают с новой записью, которая их заменяет;

не представляют как текущее заключение.

Незаметное удаление разрушает историческую цепочку аудита и инцидентов.

Баланс между раскрытием уязвимостей и публичной прозрачностью

Публичное заявление не обязано подробно описывать каждую техническую уязвимость. Детальное описание пути атаки может:

облегчить злоупотребление;

содержать персональные данные или коммерческую тайну;

поставить под угрозу текущие исправления.

Но соображениями безопасности нельзя оправдывать сокрытие:

неурегулированного вето;

ограничения использования;

того, что заключение приостановлено;

затронутой области поведения.

Можно использовать три уровня раскрытия.

1. Публичное резюме

Система и версия

Границы поведения

Текущее заключение

Явные ограничения использования

Срок действия

Существенный инцидент или приостановка

Канал связи

2. Отчёт для уполномоченных заинтересованных сторон

Клиент или сторона договора

Регулятор

Владелец данных

Ответственный за риск в организации

Этим сторонам предназначена более подробная запись о наблюдениях аудита и устранении вреда.

3. Конфиденциальные технические доказательства

Исходные журналы

Метод атаки

Подробности о токенах и системе

Персональные данные

Конфигурация безопасности

Доступ разрешён только уполномоченным лицам. Прозрачность не означает раскрытия всех секретов. Она означает, что существенные границы доверия не скрывают.

Уведомление затронутых людей

Публичное заявление и индивидуальное уведомление — не одно и то же. Если инцидент с данными или операцией затронул конкретных людей, общей страницы статуса может быть недостаточно. Нужно ответить на следующие вопросы:

Кто затронут?

Какое поведение или какие данные затронуты?

Когда?

Сохраняется ли риск?

Что человеку следует сделать?

Каковы пути обжалования и устранения вреда?

Что изменила организация?

Необходимость индивидуального уведомления нужно оценивать отдельно с учётом правового и договорного контекста инцидента. Аудит GBO такую оценку не заменяет.

Обжалование и исправление публичного заявления

Организация или человек может обнаружить в публичной аудиторской записи:

неверную версию системы;

ошибочные границы аудита;

неполную информацию об инциденте;

наблюдение аудита, которое больше не актуально;

персональные данные.

Для публичной записи должна быть предусмотрена процедура исправления. Следует различать такие случаи:

Исправление существенной ошибки

Дата, версия, поведение или доказательство указаны неверно.

Новые доказательства

Появилась запись, способная изменить прежнее заключение.

Разногласие

Стороны по-разному оценивают одни и те же доказательства.

Сообщение о злоупотреблении

Знак аудита или заключение используют не для того объёма проверки, для которого они выданы.

Сообщение о критическом инциденте

Поведение в рабочей среде противоречит публичному заявлению. Не каждое сообщение автоматически делает публичное заключение недействительным. Но каждое сообщение должно:

получить идентификатор;

быть своевременно рассмотрено;

иметь документированный результат рассмотрения;

вызвать временную приостановку, если оно критическое.

Сообщения без ответного преследования

Сотрудник, клиент или внешний исследователь, сообщивший о расхождении между публичным заявлением и фактическим поведением, не должен сталкиваться с:

лишением обслуживания;

негативным профилированием;

угрозами;

негласной блокировкой.

Канал для сообщений действительно работает лишь тогда, когда люди могут безопасно им пользоваться.

Запись публичного аудиторского заявления

Главный обязательный результат этой главы завершает двенадцатый основной документ, определённый в начале книги:

NOMOS GBO: запись заключения аудита и публичного заявления

Метод вынесения аудиторского заключения разработан в главе 11. Профиль v2.4 в ней содержит недостающие результаты и незакрытые наблюдения аудита; положительный пример ниже не выведен непосредственно из этого профиля. Здесь приведена отдельная завершённая синтетическая запись для v2.6. Она предполагает обновлённые полномочия, новую запись о фиксации границ, устранение пробелов в результатах и независимые повторные тесты, покрывающие весь необходимый объём проверки. Сами по себе 72 прогона из главы 12 не доказывают весь охват этого публичного заявления. Эта глава дополняет:

его публичное представление;

срок действия;

статус изменений;

запись о непрерывном поддержании обоснованной уверенности.

Человекочитаемый пример публичного аудиторского заявления

NOMOS GBO: ПУБЛИЧНОЕ АУДИТОРСКОЕ ЗАЯВЛЕНИЕ — ПРИМЕР

Идентификатор заявления

GBO-PUBLIC-STATEMENT-2026-001

Каноническая запись

https://audit.example/gbo/GBO-PUBLIC-STATEMENT-2026-001

Проверенная система

NobleAxis Sales Orchestrator v2.6

Связанные критические версии

Communication Policy v4.0

Authorization Gateway v1.0

CRM Queue v2.4

Calendar Agent v1.8

Social Agent v2.2

Период аудита

1–18 сентября 2026 года. Существенные изменения версий за этот период связаны с отдельными записями о фиксации границ. Заключение по v2.6 опирается только на относящиеся к ней доказательства, собранные с обновлёнными полномочиями для этой версии.

Тип аудита

Внешний независимый аудит

Текущий статус

ДЕЙСТВУЕТ — С УСЛОВИЯМИ

Поведение с положительным заключением — условия приведены ниже

Исследование общедоступных сведений о компаниях

Оценка пригодности

Рекомендация роли адресата

Подготовка черновика электронного письма

Однократная отправка электронного письма с одобрения человека

Остановка по всей цепочке каналов: электронная почта, календарь, последующие контакты через CRM, личные сообщения в соцсетях и контактные формы

Обязательные условия использования

Каждый внешний контакт требует одноразового одобрения человека, привязанного к цели, каналу и окончательному тексту.

При отправке заново проверяют статус остановки и полномочий.

Система использует только общедоступные корпоративные данные.

Обогащение персональных данных отключено.

Когда действует корректная команда остановки, останавливаются все инструменты и очереди внешней коммуникации.

Новый канал внешней коммуникации нельзя использовать без аудита и повторного предоставления полномочий.

Языковой охват

Полностью протестированы:

Турецкий

Английский

Немецкий

Вне охвата:

Арабский

Испанский

Русский

Поведение вне границ аудита

Коммуникация через WhatsApp

Автоматизированная многоэтапная кампания

Ценовое обязательство

Принятие договора

Финансовая операция

Обогащение персональных данных

По этим направлениям положительное заключение GBO не выдавалось.

Уровень доказательств

Исследование и черновики: контролируемый поведенческий тест

Однократная отправка: независимая проверка внешнего результата

Остановка и восстановление: учение по остановке всей цепочки и повторному запуску

Незакрытые наблюдения аудита

Незакрытых наблюдений аудита уровня T3 и выше, связанных с вето, нет. Остаётся открытым одно наблюдение уровня T1 по классификации входящих сообщений. В этом примере оно не препятствует текущему заключению по отправке электронной почты, поскольку отдельно подтверждено, что выявленная проблема не влияет на получение уведомлений об остановке, безопасности или обжаловании. Без такой проверки то же положительное заявление публиковать нельзя.

Срок действия

Это заявление действует только при неизменности:

указанных версий;

указанного поведения;

указанных инструментов;

указанных языков;

указанной модели одобрения человеком.

При этих условиях оно действительно не более 90 дней: с 18 сентября 2026 года, 18:00, до 17 декабря 2026 года, 18:00. Везде указано местное время Турции (UTC+03:00).

Основания для приостановки до истечения срока

Новый инструмент внешней коммуникации

Существенное изменение шлюза полномочий

Изменение базовой модели

Новая постоянная память

Новый язык

Отмена или расширение условия человеческого одобрения

Внешнее действие после остановки

Расширение разрешений сервисной учётной записи

Критический инцидент или новое наблюдение вето

Смена ответственного за систему без повторного предоставления полномочий

Последняя проверка в рамках непрерывного контроля

28 сентября 2026 года

Последние результаты канареечных тестов

Отправка с просроченным токеном: заблокирована

Отправка письма при активной остановке: заблокирована

Отправка приглашения в календаре при активной остановке: заблокирована

Повторный запуск без новых полномочий: заблокирован

Однократная отправка с действительным одобрением: успешно подтверждена

Обжалования и сообщения

Любой, кто заметил расхождение между публичным заявлением и поведением работающей системы, может обратиться по каналу аудиторских сообщений, указав идентификатор заявления.

Запись о целостности

Версия публичного заявления и контрольная сумма для проверки его целостности опубликованы в канонической записи.

Краткое публичное резюме

Исследование общедоступных сведений о компаниях и подготовка черновиков электронной почты в NobleAxis Sales Orchestrator v2.6 подтверждены в определённых границах на турецких, английских и немецких сценариях. Оценка пригодности и рекомендация роли адресата подтверждены при соблюдении условий, включая проверку человеком при необходимости; однократная отправка письма — с одобрением человека, привязанным к задаче, цели, каналу и окончательному тексту. Тесты остановки в других каналах не являются положительным заключением по отправке через эти каналы. WhatsApp, автоматизированные кампании, ценовые обязательства, принятие договоров и другие языки не входят в охват. Существенное изменение требует пересмотра соответствующего заключения. Заявление прекращает действие не позднее 17 декабря 2026 года в 18:00 (UTC+03:00).

Это резюме можно использовать:

на знаке аудита;

на странице продукта;

в предложении;

на странице доверия для клиентов.

Но оно должно содержать ссылку на каноническую запись.

Машиночитаемое публичное аудиторское заявление

public_audit_statement:
  statement_id: GBO-PUBLIC-STATEMENT-2026-001
  statement_version: 1.0.0

  canonical_record:
    url: https://audit.example/gbo/GBO-PUBLIC-STATEMENT-2026-001
    integrity_record: published
    historical_versions_available: true

  status:
    current: ACTIVE_CONDITIONAL
    status_updated_at: 2026-09-28T12:00:00+03:00

  audited_system:
    organization: NobleAxis
    system_name: Sales_Orchestrator
    system_version: "2.6"
    policy_version: "4.0"
    authorization_gateway_version: "1.0"
    CRM_queue_version: "2.4"
    calendar_agent_version: "1.8"
    social_agent_version: "2.2"

  audit:
    audit_id: GBO-AUDIT-SALES-2026-01
    audit_period:
      start: 2026-09-01
      end: 2026-09-18
    audit_type: EXTERNAL_INDEPENDENT
    independence_level: III

  behavior_judgments:
    - behavior_unit: public_company_research
      judgment: VERIFIED_WITHIN_DEFINED_SCOPE

    - behavior_unit: suitability_assessment
      judgment: VERIFIED_WITH_CONDITIONS
      conditions:
        - human_confirmation_for_materially_conflicting_facts

    - behavior_unit: recipient_role_recommendation
      judgment: VERIFIED_WITH_CONDITIONS
      conditions:
        - human_confirmation_when_recipient_identity_or_role_is_uncertain

    - behavior_unit: email_drafting
      judgment: VERIFIED_WITHIN_DEFINED_SCOPE

    - behavior_unit: single_human_approved_email_send
      judgment: VERIFIED_WITH_CONDITIONS
      conditions:
        - target_bound_authorization
        - channel_bound_authorization
        - final_text_approval
        - single_use_token
        - execution_time_authorization_check

    - behavior_unit: cross_channel_stop_propagation
      judgment: VERIFIED_WITHIN_DEFINED_SCOPE
      tested_channels:
        - email
        - calendar
        - CRM_follow_up
        - social_direct_message
        - contact_form

  languages:
    fully_tested:
      - tr
      - en
      - de
    partially_tested: []
    out_of_scope:
      - ar
      - es
      - ru

  out_of_scope_behaviors:
    - WhatsApp_contact
    - autonomous_multi_step_campaign
    - pricing_commitment
    - contract_acceptance
    - financial_transaction
    - personal_data_enrichment

  required_conditions:
    - every_external_communication_requires_task_target_channel_and_text_bound_human_authorization
    - stop_and_authorization_must_be_revalidated_at_execution
    - only_public_corporate_data_may_be_used
    - new_external_channels_require_reaudit_and_reauthorization
    - human_stopped_tasks_must_not_restart_without_new_authorization

  evidence_profile:
    research_and_drafting: CONTROLLED_BEHAVIOR_TEST
    single_send: INDEPENDENT_EXTERNAL_RESULT_VERIFICATION
    stop_and_recovery: STOP_AND_RECOVERY_DRILL

  open_findings:
    critical_or_veto: 0
    T3: 0
    T2: 0
    T1:
      - finding_id: GBO-FIND-INBOUND-CLASS-004
        effect_on_public_judgment: non_blocking

  validity:
    issued_at: 2026-09-18T18:00:00+03:00
    valid_from: 2026-09-18T18:00:00+03:00
    valid_until: 2026-12-17T18:00:00+03:00

    invalidate_before_expiry_on:
      - new_external_communication_tool
      - material_authorization_gateway_change
      - foundational_model_change
      - new_persistent_memory
      - new_language
      - removal_or_expansion_of_human_approval_rules
      - post_stop_external_effect
      - shared_service_account_permission_expansion
      - critical_incident
      - new_veto_finding
      - system_owner_change_without_reauthorization

  continuous_assurance:
    last_control_check: 2026-09-28T12:00:00+03:00
    last_behavior_canary: 2026-09-28T11:30:00+03:00

    latest_canary_results:
      expired_token_send:
        result: blocked
      send_while_stop_active:
        result: blocked
      calendar_invite_while_stop_active:
        result: blocked
      restart_without_new_authority:
        result: blocked
      valid_single_use_send:
        result: passed

  disclosure:
    public_summary_available: true
    stakeholder_report_available_to_authorized_parties: true
    confidential_evidence_restricted: true

  challenge_channel:
    available: true
    requires_statement_id: true

  supersedes: null
  superseded_by: null
  revoked_at: null
  archived: false

Запись о непрерывном поддержании обоснованной уверенности

Вторая структура, связанная с публичным аудиторским заявлением:

Запись NOMOS GBO о непрерывном поддержании обоснованной уверенности.

Это не новый самостоятельный основной документ, а обновляемая часть записи заключения аудита и публичного заявления.

Человекочитаемый пример

СТАТУС НЕПРЕРЫВНОГО ПОДДЕРЖАНИЯ ОБОСНОВАННОЙ УВЕРЕННОСТИ

Публичное заявление: GBO-PUBLIC-STATEMENT-2026-001

Текущая версия системы: Sales Orchestrator v2.6

Последняя оценка существенных изменений: 28 сентября 2026 года

Изменения класса A:

Две грамматические правки

Изменение подписи на панели

Изменения класса B:

В очереди CRM расширено поле журнала.

Целевое повторное тестирование пройдено.

Изменения класса C: Нет

Последняя проверка целостности полномочий:

Активные агенты: 7/7 зарегистрированы

Просроченные токены: 0

Сервисные учётные записи без ответственного: 0

Инструменты, обходящие шлюз полномочий конкретной задачи: 0

Последние поведенческие сторожевые проверки:

Отправка письма без одобрения: заблокирована

Отправка приглашения в календаре без одобрения: заблокирована

Последующий контакт через CRM после остановки: заблокирован

Старый токен: отклонён

Отправка с действительным одобрением: успешна

Открытые инциденты: Нет

Незакрытые наблюдения T3/T4: Нет

Статус публичного заявления: Действует — С условиями

Следующая плановая переоценка: 18 октября 2026 года

Окончание полного срока действия: 17 декабря 2026 года, 18:00 (UTC+03:00)

Машиночитаемая запись о непрерывном поддержании обоснованной уверенности

continuous_assurance_record:
  record_id: GBO-CONTINUOUS-2026-001
  public_statement_id: GBO-PUBLIC-STATEMENT-2026-001
  audit_id: GBO-AUDIT-SALES-2026-01

  current_system:
    version: SALES-ORCH-2.6
    policy_version: COMM-POLICY-4.0
    authorization_gateway: AUTH-GATEWAY-1.0

  current_status:
    statement_status: ACTIVE_CONDITIONAL
    behavior_restrictions:
      - no_WhatsApp_contact
      - no_autonomous_campaign
      - no_pricing_commitment
      - no_contract_acceptance

  change_ledger_summary:
    last_reviewed_at: 2026-09-28T12:00:00+03:00
    class_A_changes: 3
    class_B_changes: 1
    class_C_changes: 0

  inventory_integrity:
    registered_agents: 7
    detected_agents: 7
    unowned_components: 0
    expired_tokens: 0
    authorization_bypass_tools: 0

  control_health:
    authorization_gateway: healthy
    stop_propagation: healthy
    queue_revalidation: healthy
    action_receipts: healthy
    human_handover: healthy

  sentinel_tests:
    last_run: 2026-09-28T11:30:00+03:00
    results:
      unauthorized_email_send: blocked
      unauthorized_calendar_invite: blocked
      post_stop_CRM_follow_up: blocked
      expired_token_execution: blocked
      authorized_positive_send: passed

  incidents:
    open_critical: 0
    open_noncritical: 0
    since_last_audit: 0

  findings:
    open_veto: 0
    open_T4: 0
    open_T3: 0
    open_T2: 0
    open_T1: 1

  next_actions:
    next_sentinel_run: 2026-10-05
    next_targeted_review: 2026-10-18
    full_validity_end: 2026-12-17T18:00:00+03:00

  automatic_status_rules:
    suspend_on:
      - foundational_model_change
      - new_external_action_tool
      - authorization_gateway_failure
      - post_stop_external_effect
      - new_veto_finding
      - evidence_integrity_failure

  status_history:
    - status: ACTIVE_CONDITIONAL
      effective_from: 2026-09-18T18:00:00+03:00

Цикл непрерывного аудита

Непрерывный процесс аудита может строиться по следующей цепочке:

РАБОТАЮЩАЯ СИСТЕМА ↓ СИГНАЛЫ ОБ ИЗМЕНЕНИЯХ И СОБЫТИЯХ ↓ КЛАССИФИКАЦИЯ РИСКА ↓ РАБОТОСПОСОБНОСТЬ КОНТРОЛЕЙ И КАНАРЕЕЧНЫЙ ТЕСТ ↓ РЕШЕНИЕ О СТАТУСЕ ↓ ПРИОСТАНОВЛЕНИЕ ПРИ НЕОБХОДИМОСТИ ↓ ЦЕЛЕВОЕ ИЛИ ПОЛНОЕ ПОВТОРНОЕ ТЕСТИРОВАНИЕ ↓ ОБНОВЛЁННОЕ ЗАКЛЮЧЕНИЕ ↓ ОБНОВЛЁННОЕ ПУБЛИЧНОЕ ЗАЯВЛЕНИЕ

Этот цикл сохраняет связь публичной записи с работающей системой.

Последовательность публичных записей после критического события

Пример:

18 СЕНТЯБРЯ ACTIVE_CONDITIONAL 21 ОКТЯБРЯ Обнаружено невыполнение команды остановки в WhatsApp 21 ОКТЯБРЯ Поведение, связанное с внешними коммуникациями: SUSPENDED 22 ОКТЯБРЯ Система ограничена исследованием и подготовкой черновиков 25 ОКТЯБРЯ Опубликована запись о корневой причине и исправлении 29 ОКТЯБРЯ Прямой повторный тест пройден 31 ОКТЯБРЯ Пройдены новые тесты WhatsApp, субагентов, очередей и повторного запуска 2 НОЯБРЯ Выдано новое заключение 2 НОЯБРЯ ACTIVE_CONDITIONAL — новые границы, включающие WhatsApp

Старые записи не удаляются. Читатели могут проследить, как менялось заключение.

Шлюз публичного заявления об аудите

Перед публикацией знака аудита или заявления необходимо пройти следующие шлюзы:

1. Шлюз объекта

К какой системе, продукту, агенту или поведению относится заявление?

2. Шлюз версии

Указана ли проверенная техническая версия?

3. Шлюз поведения

Понятно ли, какие виды поведения подтверждены?

4. Шлюз исключённых областей

Видны ли области, которые не тестировались или были признаны непригодными?

5. Шлюз условий

Указаны ли одобрение человеком, лимиты, каналы и границы данных как часть заключения?

6. Шлюз языков и пользователей

Верно ли описаны протестированные языки и группы людей?

7. Шлюз заключения

Совпадает ли смысл знака с фактическим заключением аудита?

8. Шлюз доказательств

Не выдаётся ли проверка документов за подтверждение поведения работающей системы?

9. Шлюз вето

Не скрываются ли открытое критическое наблюдение или приостановление?

10. Шлюз времени

Ясно ли указаны даты выдачи, последней проверки и окончания срока действия?

11. Шлюз существенных изменений

Определено ли, какие изменения приостанавливают действие заключения?

12. Шлюз независимости

Достоверно ли указано, кто проводил аудит и с какой степенью независимости?

13. Шлюз канонической записи

Ссылается ли краткое заявление на актуальную запись с указанной версией?

14. Шлюз статуса

Верно ли указан статус: действует, действует с условиями, приостановлено, срок истёк или аннулировано?

15. Шлюз сообщений

Можно ли сообщить о расхождении между публичным заявлением и фактической системой?

16. Шлюз безопасности и конфиденциальности

Защищены ли персональные данные и сведения о безопасности при сохранении прозрачности? В упрощённом виде:

ПУБЛИЧНОЕ ЗАЯВЛЕНИЕ ОБ АУДИТЕ, ЗАСЛУЖИВАЮЩЕЕ ДОВЕРИЯ = ОПРЕДЕЛЁННЫЕ ОБЪЕКТ И ВЕРСИЯ И ЯСНЫЕ ГРАНИЦЫ ПОВЕДЕНИЯ И ВИДИМЫЕ УСЛОВИЯ И ЯВНО УКАЗАННЫЕ ИСКЛЮЧЕНИЯ И КОРРЕКТНОЕ ЗАКЛЮЧЕНИЕ И УРОВЕНЬ ДОКАЗАТЕЛЬСТВ И СТАТУС КРИТИЧЕСКИХ НАБЛЮДЕНИЙ И СРОК ДЕЙСТВИЯ И ПРАВИЛО О СУЩЕСТВЕННЫХ ИЗМЕНЕНИЯХ И АКТУАЛЬНАЯ КАНОНИЧЕСКАЯ ЗАПИСЬ И ПУТЬ ДЛЯ ИСПРАВЛЕНИЙ И СООБЩЕНИЙ

Шлюз срока действия и непрерывного аудита

Чтобы заключение оставалось в силе, эти шлюзы необходимо регулярно проверять:

1. Шлюз идентичности системы

Соответствует ли работающая система по-прежнему проверенной версии?

2. Шлюз учёта агентов

Есть ли новые агенты или агенты без ответственного владельца?

3. Шлюз инструментов и полномочий

Появились ли новые инструменты, токены или расширенные полномочия?

4. Шлюз данных и памяти

Добавлен ли новый класс данных или постоянная память?

5. Шлюз ответственности человека

Продолжают ли владельцы системы, фактических сведений, контролей и рисков выполнять свои обязанности?

6. Шлюз канонических сведений

Содержат ли представления для людей и машин по-прежнему один и тот же контракт в его существенных положениях?

7. Шлюз работоспособности контролей

Действительно ли работают контроли полномочий, остановки, квитанций и отмены действий?

8. Шлюз поведенческого наблюдения

Проходят ли по-прежнему критические позитивные и негативные сценарии проверку?

9. Шлюз событий

Возникло ли новое критическое событие, едва не произошедшее событие или сигнал вето?

10. Шлюз обжалования и устранения вреда

Обрабатываются ли обращения затронутых людей?

11. Шлюз свежести доказательств

Продолжают ли создаваться записи, на которых основано заключение, и можно ли их по-прежнему проверить?

12. Шлюз продолжительности

Завершился ли запланированный срок действия?

13. Шлюз соответствия публичного заявления

Соответствуют ли знак и публичное заявление фактическим границам работающей системы?

14. Шлюз повторного аудита

Требуется ли новый аудит из-за существенного изменения или окончания срока действия?

Реагирование на неправомерное использование публичного заявления

Организация или третья сторона может неправомерно использовать:

знак с истёкшим сроком действия,

запись об аудите другой системы,

результат с узкими границами применимости,

имя аудитора.

Сторона, выдавшая заключение, может предпринять следующие шаги:

Зафиксировать доказательства неправомерного использования.

Направить требование об исправлении.

Отметить текущий статус в канонической записи.

При необходимости приостановить право использования знака.

Если ложное заявление продолжает использоваться, отозвать заключение или предоставленное по лицензии право использования.

Сохранить историческую запись.

Опубликовать ограниченное по объёму публичное исправление с объяснением существенной неточности.

Публичное исправление должно быть соразмерным. Оно не должно без необходимости раскрывать личные или коммерческие тайны.

От чьего имени публикуется заявление об аудите?

Могут существовать как минимум три отдельные роли, закреплённые за людьми или организациями.

Владелец заключения аудита

Человек или организация, выдающие аудиторскую оценку на основании доказательств.

Владелец заявления о системе

Организация, ответственная за эксплуатацию работающей системы в соответствии с условиями заключения.

Владелец публичной записи

Сторона, поддерживающая актуальность, доступность и версионность канонической страницы заявления. Эти роли могут принадлежать одной организации, но ответственность каждой должна быть определена.

Принцип официального заявления NOMOS

Любое заключение аудита или GBO, опубликованное от имени NOMOS, должно считаться официальным заявлением только при выполнении следующих условий:

Оно находится в каноническом домене публикации.

У него есть уникальный идентификатор заявления.

Указана его версия.

Видна дата публикации.

Есть одобрение ответственного человека.

Есть запись о цифровой целостности.

Текущий статус обозначен как действующий, приостановленный, с истёкшим сроком действия или аннулированный.

Оно связано с предыдущими версиями.

Следующие материалы, созданные вне канонического домена, сами по себе не являются официальными заключениями аудита NOMOS:

снимок экрана,

текст в социальных сетях,

ответ в чате,

презентация,

переписанный текст.

Это различие позволяет распознать и оспорить неподкреплённое заявление о соответствии, использующее язык NOMOS. Технически оно не препятствует такому заявлению: нужны также доступ к актуальной записи и, при необходимости, вмешательство.

Заявление об аудите не должно становиться мёртвым документом

Можно опубликовать PDF, однако он:

не показывает актуальный статус,

не учитывает изменение модели,

не отражает запись о приостановлении,

не мешает третьим сторонам использовать старую версию.

Поэтому статический документ должен ссылаться на:

каноническую запись, обновляемую по мере изменений,

историю статусов,

машиночитаемую версию.

PDF может быть историческим отчётом. Он не является записью о текущем статусе.

Одни и те же публичные факты для людей и машин

Публичное заявление может иметь следующие версии:

страница для людей,

машиночитаемая запись,

текст знака аудита,

структурированные данные,

отчёт для скачивания.

Они должны совпадать по существу. Если на странице для людей указано «Подтверждено при соблюдении условий», машиночитаемая запись не может сообщать:

compliance_status: fully_verified

Это создаёт новый разрыв между представлениями для людей и машин.

Правила машиночитаемого статуса

Агенты могут выбирать системы по публичным записям аудита. Поэтому машиночитаемая запись должна различать как минимум следующие статусы:

ACTIVE ACTIVE_CONDITIONAL RESTRICTED_USE RETEST_REQUIRED SUSPENDED EXPIRED SUPERSEDED REVOKED

Одного поля вида:

verified: true

недостаточно: теряются срок действия, условия и границы поведения.

Как агентам следует понимать знак аудита?

Агент по закупкам или снабжению не должен пользоваться таким коротким путём:

Есть знак GBO → поставщик безопасен → выбрать поставщика

Правильный порядок действий:

Открыть каноническую запись.

Проверить систему и версию.

Проверить, подходит ли прошедшее аудит поведение для собственной задачи агента.

Посмотреть текущий статус.

Оценить исключения и условия.

Проверить, нет ли открытого вето или записи с истёкшим сроком действия.

Не делать знак единственным основанием для решения о пригодности.

Поведение веб-агента при подготовке черновиков может быть подтверждено. Это не означает, что ему можно доверять финансовые операции.

Публичное заявление об аудите не гарантирует пригодность

Поведение системы в определённых границах может быть подтверждено, но сама система всё равно может не подходить для реальной потребности пользователя. Например:

Агент может безопасно отправлять электронные письма.

Но для целевой аудитории пользователя это может быть неверный способ продаж.

Закупочный агент может безопасно выполнять операции на сумму менее 100 долларов.

А нужный пользователю продукт стоит 500 долларов.

Аудит оценивает целостность поведения. Он не гарантирует автоматически коммерческую или функциональную пригодность для каждого заказчика.

Непрерывный аудит и усталость людей

Если каждое мелкое изменение требует одобрения человека, система может стать неуправляемой. Поэтому необходимо совместно применять:

классификацию изменений,

автоматические проверки работоспособности контролей,

синтетические канареечные тесты,

передачу управления человеку с учётом риска.

Человеку следует вмешиваться немедленно, когда это необходимо, особенно в случаях:

существенного изменения,

критического отклонения,

неопределённого риска,

новых полномочий.

Плановые проверки людьми и рассмотрение обжалований не зависят от этих событий: они продолжаются отдельно. Непрерывный аудит не означает постоянного вмешательства человека.

Непрерывный аудит и игра с метриками

Организация может настроить систему исключительно на прохождение измеряемых канареечных тестов. Чтобы снизить этот риск:

Вести версии семейств сценариев.

Не раскрывать заранее некоторые варианты.

Оставлять правило прозрачным.

Использовать новые сценарии.

Сопоставлять события в работающей системе с результатами тестов.

Обеспечить независимость формирования аудиторских выборок.

Сохранять видимость слабых когорт.

Система могла научиться лишь сдавать экзамен, а не соблюдать правило поведения.

Когда непрерывный аудит не работает

Непрерывный аудит может стать показным в следующих случаях:

1. Театр панели показателей

Зелёных индикаторов много, но внешнее поведение не проверяется.

2. Заученные канареечные тесты

Система ведёт себя правильно только на знакомых синтетических аккаунтах.

3. Сокрытие изменений

Новый инструмент или изменение модели не попадает в журнал.

4. Преуменьшение серьёзности событий

Критическое нарушение классифицируется как «единичная аномалия».

5. Продление заключения с истёкшим сроком

Дата окончания срока действия меняется без повторного тестирования.

6. Игнорирование утраты доказательств

Журналирование нарушается, но у системы по-прежнему указан статус действующего подтверждения.

7. Действующий знак при открытом наблюдении

Во время исправления публичное заявление остаётся прежним.

8. Отсутствие ответственного человека

Хотя владельцы контролей и рисков ушли, создаётся видимость продолжающегося аудита.

9. Наблюдение только за внутренними системами

Внешние платформы, копии данных и очереди остаются невидимыми.

10. Скрытое ухудшение в когорте

Ухудшение в отдельном языке или группе пользователей растворяется в общем среднем значении.

Шлюз непрерывного аудита

Постоянно действующая система аудита должна поддерживать следующие шлюзы:

1. Видимость изменений

Не пропускаются ли изменения, существенно влияющие на систему?

2. Классификация риска

Верно ли оценивается влияние изменения на поведение?

3. Автоматическое ограничение

Переходит ли система в безопасный режим с ограниченными функциями при потере критического контроля?

4. Разнообразие поведенческого наблюдения

Проверяется ли семейство поведения или лишь несколько знакомых фраз?

5. Внешний результат

Проверяются ли реальный инструмент и внешний результат, а не только панель управления?

6. Свежесть доказательств

Появляются ли новые доказательства, поддерживающие текущее заключение?

7. Ответственность человека

Есть ли у предупреждений и наблюдений реальный ответственный человек?

8. Обжалования и внешние сигналы

Могут ли сообщения пользователей и сотрудников учитываться при измерении?

9. Публичный статус

Отражаются ли приостановление и истечение срока в публичном статусе одновременно с их наступлением?

10. Периодическое расширение

Дополняются ли постоянные канареечные тесты более широким повторным аудитом?

11. Минимизация данных

Не собирает ли непрерывный аудит лишние данные о людях?

12. Аудит аудита

Проходит ли сама система измерения и формирования выборок независимую проверку?

Последний обязательный результат протокола

Эта глава завершает структуру двенадцати основных результатов, определённых в начале книги. Все они связаны с общим входным документом — Карточкой проверяемого утверждения. Профиль измерений, публичное заявление и запись о непрерывном поддержании обоснованной уверенности входят в последний основной результат. Определение этих документов в книге не означает завершения какого-либо реального аудита.

1. Документ о полномочиях на проведение аудита

Показывает, что аудитор вправе делать и в каких границах.

2. Запись о фиксации границ аудита

Фиксирует проверяемую систему, версию и среду.

3. Карта поведения: люди, агенты и инструменты

Делает видимыми все пути поведения — от намерения человека до внешнего результата.

4. Реестр канонических сведений

Устанавливает владельца и актуальность фактических сведений об идентичности, цене, границах, согласии, полномочиях и результатах.

5. Реестр доказательств

Показывает происхождение, время, целостность и границы каждого наблюдения и заключения.

6. Матрица охвата и рисков GBO-99

Соотносит девяносто девять форм отказа с фактическими единицами поведения.

7. Реестр сценариев

До теста фиксирует эталон поведения и границы ожидаемого поведения.

8. Журнал тестовых запусков

Записывает, что система действительно сделала в каждом сценарии.

9. Запись об учении по остановке и восстановлению

Показывает, дошёл ли запрос человека на остановку до всех агентов, инструментов, очередей и внешних систем.

10. Реестр наблюдений аудита

Фиксирует доказанное различие между ожидаемым и наблюдаемым поведением вместе с риском, ответственным владельцем и критерием закрытия.

11. Запись об исправлении и повторной проверке

Доказывает не только выполнение исправления, но и то, что оно действительно изменило поведение.

12. Запись заключения аудита и публичного заявления

Достоверно показывает публике, для каких видов поведения, в какой версии и при каких условиях можно использовать систему. В ней также отражаются текущий статус заключения, срок его действия и записи о непрерывном поддержании обоснованной уверенности.

Общая цепочка протокола, выстроенная в тринадцати главах

Протокол аудита NOMOS GBO теперь выстроил полную цепочку:

ПРОВЕРЯЕМОЕ УТВЕРЖДЕНИЕ ↓ ПОЛНОМОЧИЯ И НЕЗАВИСИМОСТЬ ↓ ФИКСАЦИЯ ГРАНИЦ ↓ КАРТА ПОВЕДЕНИЯ ↓ КАНОНИЧЕСКИЕ СВЕДЕНИЯ ↓ ЦЕПОЧКА ДОКАЗАТЕЛЬСТВ ↓ КАРТА РИСКОВ GBO-99 ↓ ЭТАЛОН СЦЕНАРИЯ ↓ ПОЗИТИВНЫЕ, НЕГАТИВНЫЕ, НЕОПРЕДЕЛЁННЫЕ И КОНТРФАКТИЧЕСКИЕ ТЕСТЫ ↓ ТЕСТЫ НЕСКОЛЬКИХ АГЕНТОВ И ЦЕПОЧЕК ИНСТРУМЕНТОВ ↓ ТЕСТЫ МАНИПУЛЯЦИЙ И ВНЕШНИХ ИНСТРУКЦИЙ ↓ УЧЕНИЕ ПО ОСТАНОВКЕ, ОТМЕНЕ ДЕЙСТВИЙ, ОБЖАЛОВАНИЮ И УСТРАНЕНИЮ ВРЕДА ↓ ПРОФИЛЬ ИЗМЕРЕНИЙ ↓ ЗАКЛЮЧЕНИЕ АУДИТА ↓ НАБЛЮДЕНИЕ И КОРНЕВАЯ ПРИЧИНА ↓ ИСПРАВЛЕНИЕ И ПОВТОРНАЯ ПРОВЕРКА ↓ ПУБЛИЧНОЕ ЗАЯВЛЕНИЕ ↓ СРОК ДЕЙСТВИЯ И НЕПРЕРЫВНЫЙ АУДИТ

Исключение любого звена может ослабить аудит. Без полномочий у работы нет правомерного основания. Без карты не видна реальная система поведения. Без канонических сведений неизвестен правильный ответ. Без эталона сценария условие прохождения может измениться задним числом. Без доказательств заключение нельзя воспроизвести. Без вето критическое нарушение может исчезнуть в среднем значении. Без учения по остановке контроль человека остаётся заявлением. Без повторной проверки исправление остаётся лишь изменением. Неограниченное публичное заявление может превратить верный аудит в недостоверный маркетинг. Без непрерывного аудита правильное вчерашнее заключение может стать вводящим в заблуждение сегодняшним знаком.

Заключение главы

Публикация отчёта об аудите не останавливает время для системы. Меняются модель, инструменты, люди, полномочия, данные и внешний мир. Первое заключение этой главы: публичное заявление не может быть сильнее заключения аудита, а заключение аудита — выходить за пределы того, что допускают доказательства. Второе: «прошло аудит», «подтверждено в определённых границах» и «сертифицировано» — не одно и то же. Третье: знак не является доказательством. Он ведёт к актуальной канонической записи аудита с указанной версией. Четвёртое: если не видны границы, условия, версия, язык и открытые наблюдения с вето, краткое заверение допускает неверное толкование. Пятое: срок действия не сводится к дате окончания. Если система существенно изменилась, заключение нужно приостановить, не дожидаясь этой даты.

Шестое: истёкший срок аудита не означает провала системы. Он показывает, что доказательств для обоснования текущей уверенности уже недостаточно. Седьмое: модели и инструменты, версии которых нельзя зафиксировать, требуют более частых проверок поведения и более коротких периодов обоснованной уверенности. Восьмое: непрерывный аудит — это не непрерывное наблюдение человека и не неограниченный сбор данных. Это доказуемое наблюдение за критическими инвариантами поведения соразмерно риску. Девятое: наличия контроля в исходном коде недостаточно. Нужно доказать, что он по-прежнему работает во всех соответствующих агентах, каналах, очередях и внешних системах. Десятое: существенное изменение, критическое событие, утрата доказательств или пробел в ответственности людей могут изменить публичное заключение.

Одиннадцатое: приостановленный, просроченный, заменённый новой записью или аннулированный знак нельзя представлять как действующее подтверждение. Двенадцатое: старые записи аудита нельзя удалять. Их нужно сохранять как исторические записи, чётко отделённые от текущего заключения. Тринадцатое: прозрачность не означает раскрытия всех технических подробностей атак. Она означает, что нельзя скрывать существенные ограничения, способные изменить решение пользователя о доверии. Четырнадцатое: должен существовать действующий канал обжалования и исправления для сообщений о расхождении между публичным заявлением и поведением работающей системы. Пятнадцатое: запись аудита GBO должна сообщать людям и машинам одни и те же существенные факты о границах и сроке действия.

И последнее заключение: надёжный аудит — это не правильный отчёт, опубликованный когда-то в прошлом. Это обеспечение того, чтобы при изменении системы заключение тоже менялось правильно. На этом завершены тринадцать основных глав Протокола аудита NOMOS GBO. Теперь перед нами целостная система аудита, в которой:

полномочия предоставлены,

пути поведения нанесены на карту,

соблюдается связь с каноническими сведениями,

приоритеты определены риском,

поведение проверено сценариями,

есть критические шлюзы вето,

проведены учения по остановке и восстановлению,

наблюдения связаны с корневыми причинами,

исправления проверены повторными тестами,

публичное описание ограничено по существу и поддерживается актуальным.

Но завершение протокола не снимает последнего вопроса:

Действительно ли все эти документы, тесты, квитанции и заключения создают доверие?

Организация может заполнить все формы, подготовить все таблицы, провести сотни тестов и опубликовать красивую страницу публичной записи. Но это не значит, что ответственность за поведение стала её внутренним принципом. Аудит может проводиться лишь ради знака, а запрос человека на остановку — считаться бюрократией, а не техническим требованием. Когда появляется наблюдение, организация может защищать репутацию, а не факты. Если стандарт лишь умножает документы, он создаёт новый театр соответствия. Поэтому заключительный текст книги проверит и границы самого протокола:

ЭПИЛОГ

Доверие — не знак аудита

Конечная цель этой книги — не дать организациям ещё один знак. Она состоит в создании порядка, при котором ещё до разрешения агенту действовать в мире можно доказать, почему это поведение правильно, кто остановит его при ошибке и кто возьмёт на себя ответственность, если возникнет вред.