Déléguer les tâches GRC depuis votre agent

Quoi déléguer, quoi garder en local

Un test utile : si la réponse dépend exactement de ce qu'un standard ou une réglementation dit, ou de votre contexte d'espace de travail, déléguez. Si elle dépend de ce que contient votre dépôt, gardez-la en local, puis envoyez à ISMS Copilot un bref résumé des faits pertinents plutôt que les fichiers eux-mêmes. Si votre modèle connaît déjà la réponse, n'a pas besoin de recherche et l'écrit directement dans un fichier, gardez-la également en local : déléguer ajoute des tours et coûte plus d'utilisation de Claude pour des petites tâches comme celle-ci. Voir où la délégation n'aide pas.

Règles de routage, par orchestrateur

Chaque règle ci-dessous a le même contenu ; seul le fichier diffère. Collez-la dans le fichier que lit votre orchestrateur. Les règles supposent que le serveur est enregistré sous le nom ismscopilot, comme dans les guides de configuration.

Claude Code

Ajoutez à CLAUDE.md à la racine du projet, ou à ~/.claude/CLAUDE.md pour chaque projet :

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter ISMS Copilot à Claude Code.

Codex, OpenCode et Grok

Ces orchestrateurs lisent AGENTS.md. Placez la même règle dans AGENTS.md à la racine du projet, ou dans le fichier d'instructions globales de l'orchestrateur (par exemple ~/.codex/AGENTS.md pour Codex). Vérifiez la documentation de la version de votre orchestrateur pour le chemin global exact.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter Cursor et Codex, ou Connecter n'importe quel client MCP pour OpenCode et Grok.

Cursor

Créez une règle de projet dans .cursor/rules/ismscopilot.mdc :

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Configuration : Connecter Cursor et Codex.

claude.ai, Claude Desktop et ChatGPT

Ajoutez ISMS Copilot en tant que connecteur personnalisé (dans ChatGPT, une application MCP personnalisée avec OAuth et les paramètres par défaut) avec l'URL du point de terminaison, puis connectez-vous et cliquez sur Approuver. Ces applications n'ont pas de fichier d'instructions pour la règle de routage ci-dessus ; placez-la dans les instructions du projet ou les instructions personnalisées si l'application en dispose. Configuration : Connecter n'importe quel client MCP.

Modèles qui fonctionnent

Une conversation par livrable

Commencez chaque livrable (une politique de contrôle d'accès, une analyse des écarts, un lot de justifications de SoA) par create_conversation, puis affinez-le avec send_message sur le même conversation_id. Le spécialiste conserve l'historique du fil de son côté, donc votre agent n'a pas besoin de renvoyer les tours précédents. Commencez une nouvelle conversation pour un livrable sans rapport : les fils longs utilisent plus de votre fenêtre d'utilisation par message.

Limiter le travail client et entreprise à un espace de travail

Passez workspace_id (depuis list_workspaces) lorsque le travail appartient à un client ou une entreprise spécifique. Lors d'un tour limité à un espace de travail, ISMS Copilot lit les souvenirs et fichiers de cet espace de travail, donc votre agent n'a pas à les répéter. Sans workspace_id, le tour s'exécute uniquement sur vos souvenirs personnels.

Mémoires pour les faits durables

Les faits qui doivent s'appliquer à chaque tour futur (le périmètre de certification, la méthodologie de risque choisie, la date d'audit) appartiennent à une mémoire : create_memory, avec workspace_id pour une mémoire d'espace de travail ou sans pour une mémoire personnelle. Les mémoires sont limitées à 500 caractères chacune. Utilisez list_memories pour vérifier ce qui s'y trouve déjà avant d'ajouter un doublon.

Contexte de l'entreprise

set_company_context remplace le profil d'entreprise du compte (nom, secteur, taille, pays, rôle en matière de confidentialité, types de données, région d'hébergement, pile technologique, notes), et get_company_context le lit. L'application de chat utilise ce profil comme arrière-plan, et les conversations que votre agent exécute via MCP ou l'API du compte l'obtiennent également, dans les mêmes conditions que le chat web : dans une conversation que votre propre compte a démarrée, le profil est ajouté comme arrière-plan à chaque tour, et les réponses peuvent utiliser des faits qui en proviennent. Seul le profil de votre propre compte est utilisé, et il n'est jamais partagé avec un autre compte. Il n'est pas ajouté dans les espaces de travail partagés en équipe ou les chats temporaires, ni lorsqu'il ne peut pas être lu (le tour s'exécute alors sans lui). Les faits qui ne concernent qu'une seule question peuvent toujours être inclus dans le message lui-même ou dans une mémoire d'espace de travail.

Fast, Think ou Beyond

Une demande beyond qui ne peut pas s'exécuter est traitée via le flux normal, et le résultat indique pourquoi dans beyond_denied_reason : plan, adp, disabled, trivial, cap ou cap_anthropic. Un tour s'exécutant sur le chemin de dépassement de capacité répond également via le flux normal au lieu de Beyond. Voir Utiliser le mode Beyond.

Demander une réponse adaptée à un agent

create_conversation et send_message acceptent un paramètre optionnel answer_format :

Un document complet explicitement demandé n'est jamais tronqué. Les exécutions Beyond ignorent answer_format et l'indiquent avec answer_format_applied: false.

Rythme de polling

Lorsqu'un appel retourne status: "generating", appelez get_reply avec le conversation_id et le message_id jusqu'à ce qu'il retourne complete :

• Tours Fast et Think : toutes les 2 à 5 secondes.
• Exécutions Beyond : toutes les 10 à 20 secondes. Vous pouvez également passer le beyond_run_id que le ticket a retourné.

Attendez une réponse avant d'envoyer le message suivant sur la même conversation : un envoi alors que le tour précédent est encore en cours de génération est rejeté.

Écrire les livrables longs dans des fichiers

Lorsque le spécialiste renvoie une politique ou une déclaration complète de conformité (SoA), faites en sorte que votre agent l'écrive directement dans un fichier et signale le chemin. Répéter un long document dans le chat le place deux fois dans le contexte de votre agent. Voir Ce que la délégation économise.

MCP ou l'API Model ?

ISMS Copilot offre deux moyens d'accès depuis un agent de codage. Ils conviennent à différents types de travaux.

Pour le modèle Model API, voir Utiliser l'API dans les agents de codage.