Pull a log. It takes a command. Pull the procedure that was supposed to govern it. It takes a search of a document store. Pull the ticket, the approval, the config version — all cheap, all increasingly automatable, and none of them the hard part.
The hard part starts the moment you have both halves on the table and someone asks the only question that matters: does this record actually prove that this action was — or wasn't — performed?
That single joint, between an artifact and the claim it is supposed to support, is where the hours go, where the margin lives, and where nothing has scaled. If you have ever been paid to establish what happened, you already know this in your hands. This page is about why it's true, and what part of it a tool can honestly take off you.
Two operations that look like one
Collection and adjudication get spoken of together, as "gathering evidence", and they are not the same operation.
Collection is retrieval. It is bounded, mechanical, and it parallelises. More sources, more connectors, more storage — it gets cheaper every year, and a tool is good at it.
Adjudication is judgement. A timestamp on a log line and an obligation in a policy do not connect themselves. Someone has to assert that this entry, at this time, from this source, demonstrates that this requirement was met — and then defend that assertion against a reader who would prefer it weren't true. That does not parallelise, because it is not retrieval. It is the act of standing behind a link.
The volume of records is not the difficulty. The difficulty is that every record has to be tied to a claim, and every tie has to survive someone pulling on it.
Why the joint is so expensive
Three things make it costly, and none of them are fixed by collecting more.
- The mapping is different for every subject. Which obligation applies, which internal policy governs it, which system produces the observation that could demonstrate it — that changes with every organisation. The knowledge doesn't transfer cleanly from the last engagement.
- The record rarely says what you need in the words you need. A policy demands "human review"; the runtime emitted an "approved=true" field. Deciding whether the second is evidence of the first — or just a checkbox someone clicked without reading — is interpretation, and it carries risk.
- Absence has to be adjudicated too. When a record isn't there, you have to decide between three very different things: it didn't happen, it happened and wasn't recorded, or you cannot tell. Getting that wrong in either direction is how a reconstruction fails under scrutiny.
What a tool can honestly take, and what it can't
This is the part worth being precise about, because the honest answer is neither "everything" nor "nothing". The comparison is accounting software, or audit tooling: it never removed the expert. It industrialised the repetitive layer so the expert spent their hours on the part that actually needed judgement.
The joint doesn't disappear. But most of what surrounds it is repetitive, and repetitive is exactly what software is for:
- Normalising heterogeneous artifacts into one comparable shape, so like can be set against like.
- Reconstructing the timeline across sources that each keep time differently.
- Computing provenance — grading each record by how far it can be stood behind, and by whether anything outside the deciding system corroborates it.
- Confronting declared against observed — surfacing where a stated rule and a recorded value disagree, mechanically, so the human isn't hunting for contradictions by eye.
- Marking absence honestly — flagging where the channel that would have shown something wasn't there, so the gap is named rather than quietly stepped over.
What stays with the professional is the irreducible 20%: reading whether an "approved" flag is real oversight or theatre, deciding which of the client's obligations govern, and putting a name behind the conclusion. The tool builds the loom. The consultant still decides what to weave, and answers for it.
Which is exactly why it belongs to whoever holds the mandate
There is a discipline hidden in this split, and it is the reason the tool must not overreach. The software can lay out what each record demonstrates, grade it, and show every contradiction. What it must not do is conclude — declare the obligation met, the control adequate, the party in the clear. The moment an evidence layer issues that verdict, it has taken a judgement it has no standing to make, and a reader who distrusts the subject now has to distrust the tool too.
So the division isn't a limitation to apologise for. It's the correct one. The engine reduces and structures the joint; the person with the mandate — the auditor, the investigator, the counsel, the compliance owner — adjudicates it and signs. That is also why this multiplies a practice rather than replacing it: a professional who could carry a handful of reconstructions by hand can carry many more when the repetitive layer is done and only the judgement remains.
If you do this for a living
Then you already sell the scarce thing — the judgement at the joint — and you are probably doing the surrounding 80% by hand because that is how the work has always come. The question worth asking is not whether a tool can replace you. It can't, and one that claims to is selling the part it can do and staying quiet about the rest. The question is how many more files you could stand behind in a year if normalisation, timeline, provenance and contradiction arrived already done, and your hours went only where your name is actually at risk.
See the loom, not just the description
A complete evidence package — normalised, timeline reconstructed, every fact graded by provenance, declared confronted with observed, gaps marked NOT ASSESSABLE — is published in full, with a SHA-256 manifest and an external RFC 3161 timestamp you can verify yourself. It's the repetitive layer, done, with the joint left where it belongs: with you.
See the evidence package →
How a run works →
Also read: What is AI evidence reconstruction? · How do you prove a control actually ran? · Reconstructing what an agent did when nothing was instrumented.
Récupérer un log. Une commande suffit. Récupérer la procédure censée l'encadrer. Une recherche dans une base documentaire suffit. Récupérer le ticket, l'approbation, la version de configuration — tout est bon marché, tout devient de plus en plus automatisable, et rien de tout cela n'est le point dur.
Le point dur commence à l'instant où vous avez les deux moitiés sur la table et que quelqu'un pose la seule question qui compte : cet enregistrement prouve-t-il réellement que cette action a été — ou n'a pas été — accomplie ?
Ce seul joint, entre un artefact et l'affirmation qu'il est censé soutenir, c'est là que passent les heures, là qu'est la marge, et là que rien n'a jamais changé d'échelle. Si vous avez déjà été payé pour établir ce qui s'est passé, vous le savez dans les mains. Cette page explique pourquoi c'est vrai, et quelle part de ce travail un outil peut honnêtement vous retirer.
Deux opérations qui ressemblent à une seule
On parle de la collecte et de l'adjudication ensemble, sous le mot « collecter la preuve », et ce ne sont pas la même opération.
La collecte est une récupération. Elle est bornée, mécanique, et elle se parallélise. Plus de sources, plus de connecteurs, plus de stockage — elle devient moins chère chaque année, et un outil y excelle.
L'adjudication est un jugement. Un horodatage sur une ligne de log et une obligation dans une politique ne se relient pas tout seuls. Quelqu'un doit affirmer que cette entrée, à ce moment, depuis cette source, démontre que cette exigence a été satisfaite — puis défendre cette affirmation face à un lecteur qui préférerait qu'elle soit fausse. Cela ne se parallélise pas, parce que ce n'est pas une récupération. C'est l'acte de se tenir derrière un lien.
Le volume d'enregistrements n'est pas la difficulté. La difficulté est que chaque enregistrement doit être relié à une affirmation, et que chaque lien doit survivre à quelqu'un qui tire dessus.
Pourquoi ce joint coûte si cher
Trois choses le rendent coûteux, et aucune ne se règle en collectant davantage.
- La cartographie change pour chaque sujet. Quelle obligation s'applique, quelle politique interne l'encadre, quel système produit l'observation qui pourrait la démontrer — cela change avec chaque organisation. Le savoir ne se transfère pas proprement d'une mission à l'autre.
- L'enregistrement dit rarement ce dont vous avez besoin, avec les mots dont vous avez besoin. Une politique exige une « revue humaine » ; le runtime a émis un champ « approved=true ». Décider si le second est la preuve du premier — ou juste une case cochée sans lecture — est une interprétation, et elle porte un risque.
- L'absence aussi doit être adjugée. Quand un enregistrement n'est pas là, il faut trancher entre trois choses très différentes : ça n'a pas eu lieu, ça a eu lieu sans être enregistré, ou on ne peut pas savoir. Se tromper dans un sens ou dans l'autre, c'est ainsi qu'une reconstitution s'effondre sous l'examen.
Ce qu'un outil peut honnêtement retirer, et ce qu'il ne peut pas
C'est la partie qu'il faut dire précisément, car la réponse honnête n'est ni « tout » ni « rien ». La comparaison, c'est le logiciel de comptabilité, ou l'outillage d'audit : il n'a jamais supprimé l'expert. Il a industrialisé la couche répétitive pour que l'expert passe ses heures là où il faut vraiment du jugement.
Le joint ne disparaît pas. Mais l'essentiel de ce qui l'entoure est répétitif, et le répétitif est précisément ce à quoi sert un logiciel :
- Normaliser des artefacts hétérogènes dans une forme comparable, pour qu'on puisse mettre le semblable face au semblable.
- Reconstruire la chronologie à travers des sources qui datent chacune à leur façon.
- Calculer la provenance — graduer chaque enregistrement selon jusqu'où il peut être tenu, et selon si quelque chose d'extérieur au système décideur le corrobore.
- Confronter le déclaré à l'observé — faire ressortir mécaniquement là où une règle annoncée et une valeur enregistrée divergent, pour que l'humain ne cherche pas les contradictions à l'œil.
- Marquer l'absence honnêtement — signaler là où le canal qui aurait montré quelque chose n'existait pas, pour que la lacune soit nommée plutôt que contournée.
Ce qui reste au professionnel, c'est les 20 % irréductibles : lire si un champ « approved » est une vraie supervision ou du théâtre, décider laquelle des obligations du client s'applique, et mettre un nom derrière la conclusion. L'outil construit le métier à tisser. Le consultant décide encore quoi tisser, et en répond.
C'est justement pourquoi cela appartient à qui détient le mandat
Il y a une discipline cachée dans ce partage, et c'est la raison pour laquelle l'outil ne doit pas déborder. Le logiciel peut exposer ce que chaque enregistrement démontre, le graduer, et montrer chaque contradiction. Ce qu'il ne doit pas faire, c'est conclure — déclarer l'obligation satisfaite, le contrôle adéquat, la partie en règle. À l'instant où une couche de preuve rend ce verdict, elle prend un jugement qu'elle n'a pas qualité pour rendre, et un lecteur qui se méfie du sujet doit désormais se méfier de l'outil aussi.
Le partage n'est donc pas une limite dont il faut s'excuser. C'est le bon. Le moteur réduit et structure le joint ; la personne au mandat — l'auditeur, l'enquêteur, l'avocat, le responsable conformité — l'adjuge et signe. C'est aussi pourquoi cela multiplie un métier plutôt que de le remplacer : un professionnel qui pouvait porter quelques reconstitutions à la main peut en porter bien plus quand la couche répétitive est faite et qu'il ne reste que le jugement.
Si c'est votre métier
Alors vous vendez déjà la chose rare — le jugement au joint — et vous faites probablement les 80 % qui l'entourent à la main, parce que c'est ainsi que le travail est toujours arrivé. La question à se poser n'est pas de savoir si un outil peut vous remplacer. Il ne le peut pas, et celui qui le prétend vend la part qu'il sait faire en se taisant sur le reste. La question est : combien de dossiers de plus pourriez-vous soutenir dans l'année si la normalisation, la chronologie, la provenance et les contradictions arrivaient déjà faites, et que vos heures n'allaient qu'où votre nom est réellement engagé ?
Voyez le métier à tisser, pas seulement la description
Un paquet de preuve complet — normalisé, chronologie reconstruite, chaque fait gradué par provenance, déclaré confronté à observé, lacunes marquées NON ÉVALUABLE — est publié en entier, avec un manifeste SHA-256 et un horodatage RFC 3161 externe que vous pouvez vérifier vous-même. C'est la couche répétitive, faite, avec le joint laissé où il doit être : chez vous.
Voir le paquet de preuve →
Comment se passe un passage →
À lire aussi : Qu'est-ce que la reconstitution de preuve IA ? · Comment prouver qu'un contrôle a réellement tourné ? · Reconstituer ce qu'un agent a fait quand rien n'était instrumenté.