Governance & beleid

Governance & beleid is waar je bepaalt hoe je organisatie AI-werk bestuurt: hoeveel de AI zelfstandig mag doen, wanneer een mens moet goedkeuren, wie geïnformeerd wordt en hoe lang gegevens bewaard blijven.

Deze pagina blijft bewust op het scherm. Ze bepaalt wat elke andere actie mag, inclusief alles wat Command Center kan. Command Center werkt onder deze pagina en kan haar niet wijzigen.

De pagina openen

Open Instellingen → AI & goedkeuring, of Governance in het hoofdmenu. Alleen beheerders kunnen de pagina openen; anderen zien dat de regels door een beheerder worden beheerd. Vraagt de pagina je opnieuw in te loggen of tweefactorauthenticatie in te stellen, volg dan eerst die link.

Elke wijziging werkt live: er is geen aparte publicatiestap. Nieuw werk volgt de nieuwe instelling; bij een paar schakelaars houdt werk dat al wacht de regel waarmee het begon (de bevestiging zegt dat).

De pagina opent met de dagelijkse tabbladen: Overzicht, Goedkeuringen, AI-autonomie, Klantcommunicatie en Veiligheidscontroles. Klik op Geavanceerde instellingen tonen voor Simulator, Meldingen, Risico, Verificatie, Escalaties en Audit & bewaring, plus de niveaukiezer voor afwijkingen per werkruimte, project en omgeving.

Houding en sjablonen

Bovenaan zet Governance-houding met één klik een basis. Een houding toepassen vraagt om bevestiging; het past de organisatiebrede standaarden voor autonomie, goedkeuringen, verificatie, communicatie en bewaring aan, en laat je routerings-, risico- en escalatieregels met rust.

Op Overzicht vind je ook Beleidssjablonen: Startup, Gebalanceerd, Enterprise, SOC 2, ISO 27001, Zorg (HIPAA), Financieel (SOX/PCI) en Hoge beveiliging. Een sjabloon is een preset van instellingen over dezelfde domeinen, die direct wordt toegepast en die je terugdraait door een ander sjabloon toe te passen. Een sjabloon is een startpunt, geen certificering: SOC 2 of ISO 27001 toepassen maakt je organisatie niet compliant.

De rest van Overzicht toont de geldende houding per domein en wat er zou gebeuren als de AI elk soort actie probeert. Klik op een kaart om naar dat tabblad te gaan.

Goedkeuringen

Wie beslist

• Wie mag goedkeuren: de rollen waar goedkeuringsverzoeken standaard naartoe gaan, op volgorde. Zonder eigen keuze worden verzoeken als suggestie naar CTO en daarna Admin gestuurd, en beslist elke actieve beheerder of manager.
• Wie heeft welke rol: wijs mensen toe aan rollen zoals CTO, QA of Release Manager. Alleen beheerders en managers kunnen een rol hebben. Zonder goedkeuring in fasen bepalen rollen alleen waar een verzoek naartoe gaat; één beslissing van een beheerder of manager rondt het af.

Wanneer goedkeuring nodig is

• Plangoedkeuring vóór uitvoering: Altijd plangoedkeuring vereisen, Alleen bij riskant of kritiek werk of Nooit plangoedkeuring vereisen. Heeft een plan goedkeuring nodig, dan pauzeert de AI na de analyse tot iemand het uitvoeringsplan goedkeurt; zie Goedkeuringen.
• Wanneer is menselijke goedkeuring vereist?: de basis van Nooit tot Altijd. Die wordt toegepast op productie-deployments van wijzigingen die FixControl heeft gemaakt; codewijzigingen en pull requests houdt hij niet tegen. Die worden bewaakt door risicovlaggen, het oordeel van de review-agent en de sandboxcontrole.
• Als niemand op tijd reageert: een time-out in minuten (standaard 0, wat onbeperkt wachten betekent) en de actie als die verstrijkt: Missie pauzeren, Escaleren, Automatisch afwijzen of Reserve-goedkeurder informeren.
• Goedkeuringsroutering & fasen: regels die goedkeuringen op risico koppelen aan een keten van rollen (bijvoorbeeld CTO → QA → Release Manager) en de kanalen kiezen. De keten wordt alleen afgedwongen met goedkeuring in fasen aan.

Hoe goedkeuringsregels worden toegepast

Deze kaart heeft vier organisatiebrede schakelaars. Elk staat standaard uit en vraagt om bevestiging:

• Goedkeuringstime-outs en escalaties automatisch toepassen: controleert elke vijf minuten en past je time-outactie en escalatieregels toe. Uit: ze doen alleen iets als iemand de governance-sweep draait, en een te laat verzoek blijft gewoon wachten.
• Goedkeuring in fasen afdwingen: een verzoek waarvan de route fasen heeft wordt fase voor fase beslist, op volgorde, één persoon per fase. Een route met drie fasen heeft dus drie verschillende beheerders of managers nodig. Een nee wijst meteen af.
• Risicoregels mogen een plangoedkeuring vereisen: je risicoregels en veiligheidscontroles kunnen een nieuw plan op goedkeuring laten wachten. Dit kan alleen een goedkeuring toevoegen, nooit weghalen.
• Projecten mogen minder streng zijn dan het bedrijfsbeleid: uit betekent dat een eigen projectregel alleen geldt als die strenger is dan het bedrijfsbeleid.

Waar goedkeuringsverzoeken binnenkomen

• In FixControl: altijd, op het issue en de missie.
• Slack of Teams: via de kanalen van een routeringsregel of de goedkeuringskanalen van het project.
• E-mail: vraagt de uitgaande e-mail van FixControl (ingericht door FixControl) en een ingeschakelde routeringsregel met het kanaal E-mail. Eén zo'n regel zet goedkeurings-e-mail aan voor de hele organisatie, en die gaat naar elke actieve beheerder en manager. De e-mail heeft alleen knoppen om goed te keuren en af te wijzen, elk een eenmalige link die verloopt; voor al het andere open je het verzoek in FixControl. Goedkeurings-e-mails zijn in het Engels.
• Webhook: goedkeuringsverzoeken worden niet via webhooks verstuurd.

Deployment-bevoegdheden

Ook op Goedkeuringen bepaalt Deployment-bevoegdheden wat een goedgekeurde deploymentgate op je systemen mag doen. Alle vier staan standaard uit, elk vraagt om een reden, en elke wijziging wordt in het auditlog vastgelegd:

• Gates openen voor je eigen deployments: open een goedkeuringsgate voor deployments die FixControl niet heeft gemaakt. Legt een besluit vast; schrijft niets.
• Het oordeel terugkoppelen naar de CI/CD-host: laat een goedkeuring of afwijzing de wachtende pipeline in GitHub Actions, GitLab CI of Jenkins bereiken (pilot).
• Een gepauzeerde Argo Rollout promoveren: laat een goedkeuring de volgende stap van een gepauzeerde rollout promoveren.
• Het oordeel overdragen aan een fc-agent in je cluster: je eigen FC Agent haalt een verlopende autorisatie op en mag die lokaal alsnog weigeren.

Een gate kan nooit een deployment starten of terugdraaien.

Projectregels

Op de pagina Goedkeuringen & regels van een project kunnen beheerders regels voor dat project instellen. Een projectregel geldt pas nadat hij is beoordeeld en geactiveerd, en alleen als hij strenger is dan het bedrijfsbeleid (tenzij Projecten mogen minder streng zijn dan het bedrijfsbeleid aan staat). De pagina toont per actie of de regel echt wordt afgedwongen:

AI-autonomie

Kies een modus: Conservatief, Gebalanceerd (standaard), Agressief of Aangepast. Aangepast opent Geavanceerde controles: auto-revisielimiet, herhalingslimiet, werk pauzeren bij een poort, of afwijzen de missie afbreekt, een releasestap, revisie hervatten, en wat het goedkeuren van een gemarkeerde patch doet. Dit zijn organisatiebrede standaarden; de planpoort zelf stel je in onder Goedkeuringen.

Klantcommunicatie

Een organisatiebreed plafond voor wat de AI met klantantwoorden mag: antwoordgedrag, zekerheidsdrempels, toegestane kanalen en beperkte onderwerpen. Het is adviserend tot je Dit communicatiebeleid afdwingen aanzet (standaard uit; Overzicht toont dan Adviserend — niet afgedwongen). Afgedwongen kan het automatisch versturen alleen beperken, nooit versoepelen.

Het dagelijkse verzenden en goedkeuren stel je elders in: per project onder Goedkeuringen & regels → Antwoorden aan klanten, met organisatiestandaarden onder Instellingen → Klantcommunicatie → Verzenden & goedkeuring. Zie Antwoorden aan klanten.

Meldingen

Regels die een melding naar een rol op een kanaal sturen als er iets gebeurt: goedkeuring vereist, patch mislukt, sandbox mislukt, missie voltooid of mislukt, herhalingen uitgeput, riskante patch gedetecteerd, klantantwoord in afwachting. Ze komen bovenop de standaardmeldingen. Voor statusmeldingen van missies leveren op dit moment alleen FixControl en Slack af; een route via e-mail, Teams of webhook wordt bewaard maar als overgeslagen vastgelegd, en het scherm zegt dat.

Risico

Per categorie (authenticatie, facturatie, databaseschema, beveiligingsgevoelige bestanden, externe API's, deployment, infrastructuur, Terraform, Kubernetes, secret-rotatie, DNS, feature flags) stel je een risiconiveau in en of goedkeuring, verificatie of escalatie nodig is. Risicoregels zie je terug in Overzicht en de Simulator; ze laten een nieuw plan alleen op goedkeuring wachten als Risicoregels mogen een plangoedkeuring vereisen aan staat.

Verificatie

• Verificatiestrengheid: Soepel, Standaard of Streng.
• Vereis een geslaagde sandbox vóór goedkeuring. Los van deze schakelaar levert FixControl een patch alleen na een groene sandboxrun.
• Vereis dat de testsuite voltooit, Vereis QA-goedkeuring en Blokkeer productie-impact zonder QA worden bij het beleid vastgelegd; het scherm zegt waar nog geen poort ze afdwingt.

Voor applicaties met ondersteunende services kan FixControl ook volledig omgevingsbewijs eisen (welke services en image-versies de geslaagde run gebruikte). Dat staat standaard uit, hoort bij de pilot met meerdere containers, en wordt door FixControl aangezet, niet op dit tabblad. Zie Projecten.

Escalaties

Per trigger (goedkeuring verlopen, vastgelopen missie, inactiviteit, SLA-overschrijding, herhalingen uitgeput) stel je een vertraging in, een actie (Melden in FixControl, Issue opnieuw toewijzen en melden, Automatisch afwijzen, Melden in FixControl en per e-mail) en een doelrol. Ze doen alleen iets als Goedkeuringstime-outs en escalaties automatisch toepassen aan staat, of als de governance-sweep draait.

Audit & bewaring

Hoe lang gegevens bewaard blijven, in dagen. Elk veld staat standaard op 0, wat onbeperkt bewaren betekent. Elke categorie heeft een minimum; een waarde tussen 1 en dat minimum wordt geweigerd.

• De termijn voor goedkeuringen loopt vanaf het besluit, niet vanaf het moment dat het verzoek opende. Een verzoek dat nog wacht wordt nooit aangeraakt.
• Patch-inhoud volgt de goedkeuringstermijn. De code, prompt en context van een patch worden samen met de bijbehorende goedkeuring geredigeerd; de bestandslijst, het aantal regels per bestand en de patch-fingerprint blijven, zodat je nog steeds kunt aantonen welke patch precies is geverifieerd en goedgekeurd.
• Auditgebeurtenissen staan op Platformbeheerd. Op de gehoste dienst bewaart FixControl auditgebeurtenissen 365 dagen, nooit korter dan 90; je kunt deze termijn hier niet wijzigen.

Onder de instellingen toont Auditspoor de auditgebeurtenissen met filters en zoeken. Het statuslabel toont wanneer FixControl het hash-geketende, append-only auditlog voor het laatst heeft gecontroleerd. Exporteren downloadt de gebeurtenissen op de huidige pagina als JSON-bestand.

Veiligheidscontroles

Noodknoppen voor de hele organisatie: Alle agents stoppen, Alleen-lezen modus, Deployments uitschakelen, Klantcommunicatie uitschakelen, Externe integraties uitschakelen en Onderhoudsmodus. Elk vraagt om een reden en kan zichzelf automatisch opheffen.

Lees het scherm goed: op dit moment werken deze knoppen in de previews op Overzicht, de Simulator en de beleidsevaluatie. Deployments, klantberichten, integraties en lopende agents controleren ze nog niet. Alleen met Risicoregels mogen een plangoedkeuring vereisen aan houden Alle agents stoppen en Alleen-lezen modus een nieuw plan vast of blokkeren het.

Als er iets misgaat

• Goedkeuringen verlopen nooit. De time-out staat op 0, of Goedkeuringstime-outs en escalaties automatisch toepassen staat uit.
• Goedkeuring in fasen loopt vast. Elke fase vraagt een andere persoon dan de vorige fasen. Controleer Wie heeft welke rol en of je genoeg beheerders en managers hebt.
• Er komen geen goedkeurings-e-mails. Controleer of een ingeschakelde routeringsregel het kanaal E-mail heeft. Lukt het dan nog niet, neem contact op met FixControl-support over uitgaande e-mail.
• Een projectregel geldt niet. Hij wacht mogelijk nog op beoordeling, of hij is niet strenger dan het bedrijfsbeleid.

Zie ook: Goedkeuringen, Verificatie, Levering, Antwoorden aan klanten.