Audit log

Ogni azione, ogni approvazione, ogni versione — registrate per l’audit, accessibili su richiesta.

Quando un regolatore, un auditor o un ispettore interno chiede “chi ha approvato questo documento, in quale ruolo, rispetto a quale versione, in quale data?” — la risposta è immediatamente disponibile dall’audit log oppure il prodotto sta fallendo nel suo compito. docs365.ai adotta la prima posizione. Ogni documento ha un audit log allegato, accessibile direttamente dal menu contestuale del documento.

Cosa viene registrato

Per ogni documento, l’audit log registra ogni evento significativo:

• Creazione — quando il documento è stato istanziato per la prima volta, da chi, da quale template.
• Eventi di modifica — chi ha apportato modifiche, quando, su cosa. Attività di co-authoring, @menzioni, thread di commenti risolti.
• Eventi di approvazione — chi ha approvato o rifiutato, in quale ruolo, rispetto a quale versione, con quali commenti. Ogni passo di un flusso di approvazione sequenziale è un evento separato.
• Eventi di pubblicazione — quando il documento si è spostato dall’area di editing all’area pubblica, e il numero di versione approvata in quel momento.
• Eventi di archivio — quando un documento è stato ritirato, da chi, sostituito da quale nuova versione.
• Eventi di promemoria — quando sono state inviate email di scadenza, a chi, e lo stato del documento in quel momento.
• Eventi di firma (quando viene usato DocuSign) — chi ha firmato, con quale autenticazione, con quale binding crittografico.

Ogni evento è collegato a un’identità Microsoft Entra (Azure AD) nominata — nessun attore “sistema” o “automatizzato” che sostituisce una persona reale.

Accessibile direttamente dal documento

Non c’è una console di amministrazione separata, nessun report da eseguire, nessuna query da scrivere. Un utente con permesso apre il documento nella libreria, clicca sul menu a tre punti e seleziona Audit. Il log viene visualizzato. Filtra per tipo di evento, per utente, per intervallo di date. Esporta se necessario.

Questa accessibilità conta nella pratica. Durante un audit di sorveglianza, l’auditor chiede di un documento specifico e il Quality Manager produce il log in trenta secondi — non dopo una settimana di archeologia.

Per cosa viene usato il log

Sorveglianza ISO 9001. La clausola 8.5 (Controllo delle informazioni documentate) richiede prove che il processo di controllo documentale sia stato seguito. L’audit log è quella prova.

21 CFR Part 11 (per clienti pharma). Part 11 richiede un “audit trail sicuro, generato dal computer, con timestamp” che registri le azioni degli operatori che creano, modificano o eliminano record elettronici. Il nostro audit log fornisce la capacità che i clienti usano nel loro programma di conformità Part 11 — con la posizione di validazione che rimane al team QA del cliente.

Controlli di audit HIPAA (per il settore sanitario). §164.312(b) richiede meccanismi che registrino e esaminino l’attività nei sistemi che contengono PHI. Per la parte di gestione documentale di quel requisito, l’audit log produce le prove.

Responsabilità GDPR Articolo 5(2). I titolari devono essere in grado di dimostrare la conformità. L’audit log produce la dimostrazione, per la parte delle informazioni documentate.

Test SOX Sezione 404. Gli auditor esterni che revisionano la documentazione dei controlli interni usano l’audit log come prova che i controlli documentati hanno operato come progettato.

Audit interno e revisione del management. Oltre ai contesti normativi, il log è il dataset per qualsiasi domanda del management sulla disciplina documentale — “quanto stanno richiedendo le nostre approvazioni?”, “quali documenti vengono modificati più spesso?”, “stiamo ottenendo le prove di approvazione di cui abbiamo bisogno?”

Immutabile per design

Il log è append-only. Gli eventi non possono essere modificati o eliminati dagli utenti, indipendentemente dal loro livello di autorizzazione. L’integrità del log è l’integrità delle prove di audit.

Collegato a utenti nominati, non account generici

Ogni evento nomina una specifica identità Entra (Azure AD) — non “admin”, non “sistema”, non un account condiviso. Per i contesti normativi che richiedono l’attribuzione a individui (21 CFR Part 11, HIPAA, molti framework di audit), questo è un prerequisito. I clienti che operano con account condivisi per alcuni flussi di lavoro dovrebbero essere consapevoli: l’attività su account condivisi indebolisce il valore di attribuzione dell’audit log.

Reporting Power BI sul log

Nei piani Enterprise e superiori, un dashboard Power BI visualizza l’audit log su scala aggregata — approvazioni per settimana, tempo medio di approvazione per tipo di documento, rifiuti come quota delle approvazioni, tendenze di attività. Utile per il reporting del management e per individuare derive prima che diventino un rilievo.

Funzionalità correlate

• Approvazione sequenziale — ogni evento di approvazione viene scritto nell’audit log.
• Versioning — la versione a cui ogni evento si riferisce viene catturata.
• Reporting Power BI — la vista aggregata dei dati dell’audit log.
• Pagina di conformità ISO 9001 — come l’audit log supporta la clausola 8.5.

Fase del ciclo di vita: Governare →