ServiceNow推出Agentic持续控制监控：让AI智能体以"机器速度"盯住企业每一条合规控制

11月10日，ServiceNow（NYSE：NOW）在Integrated Risk Management（IRM）中推出智能体化的持续控制监控能力：AI智能体自动配置检查、解读结果，并在控制失效时开单、甚至在策略内自动修复，把审计从"季度抽样的快照"变成"全天候在线的实时信号"。

新闻原文

11月10日，ServiceNow宣布在其Integrated Risk Management（IRM）中引入智能体化的持续控制监控（Agentic Continuous Controls Monitoring）能力。与以往依赖定期审计不同，AI智能体会自动配置合规检查、解读结果，并在控制项失效或漂移时发出告警、开单，甚至在组织既定策略内自动修复，让风险与审计负责人获得"全天候、实时"的合规姿态证明。

监控范围不再局限于ServiceNow平台内部。IRM通过Super Intelligence Control Tower已内置100多个开箱即用的集成，把监控延展到企业已连接的第三方云、容器、身份、SaaS与本地系统，覆盖OT、IoT乃至医疗设备。作为Context Engine的一部分，Access Graph把人、机器与AI智能体的访问全生命周期纳入监控，确保员工或智能体离场时权限即刻回收；Compliance Graph则跨系统关联风险信号，显示真正处于风险中的资产。

更关键的是"一次映射、处处适用"的统一控制映射：每个控制项可自动关联到SOX、PCI-DSS、ISO 27001、HIPAA以及欧盟《AI法案》等框架的等效要求。一条为SOX测试过的访问控制，同时计入对应的PCI-DSS与ISO 27001要求，不必重复测。审计要证据时，直接从统一控制库抽取各框架专属结果。

该能力服务风险管理的"三道防线"：业务一线可先自查自控；二线的风险与合规团队在常用协作渠道里看到失效项被分派、处置并留痕；三线的内审则拿到带完整证据的测试结果，而非抽样。官方称GA预计在2027年第一季度。CNA保险作为案例被点名，其技术风险负责人表示，借助AI工作流，团队能更快预判、更准反应。

企服观察

ServiceNow这步棋，踩中的是企业AI落地里最现实也最沉重的一块：合规与风险。绝大多数公司的控制测试仍按季度排期，团队抽样、截屏、凑材料给审计师，最后证明的只是"检查那天控制是好的"。可风险往往就在两次审计之间悄悄长出来——一次云配置错误、一个漂移的模型、一家供应商失控，几分钟内就能撕开新的敞口。ServiceNow想做的，就是把审计从"快照"变成"直播"。

"控制失效即开单、甚至自动修复"是这套能力里最有冲击力的设计。它把GRC（治理、风险与合规）从被动填表，升级成一个持续运转的闭环：智能体发现漂移→解释原因→开修复工单→在策略内自动处置→风险登记自动关闭。 IDC的分析师点得很透：真正的分水岭，是这套闭环能跨云、身份与本地系统连续跑，而不是困在单一平台里的仪表盘。对企业来说，少一次审计手忙脚乱、少一次合规意外，省下的远不止工具钱。

100+集成和Access Graph是它最实在的护城河。合规的痛点从来不是"看不出问题"，而是"看不全"——控制散落在十几个彼此不通的系统里，没有谁拥有全局视图。ServiceNow把监控接到客户已经连上的云、容器、身份和本地资产，意味着不用再为合规单独接一套GRC工具。对本就用ServiceNow跑ITSM和安全运营的客户，这是顺理成章的加购；对用别家GRC的客户，则是一次把合规迁回ServiceNow的理由。

当然，买家最该想清楚两件事。第一，监控只覆盖你真正接入的系统，接得越全越值钱，半吊子接入只会给你一种"安全"的错觉。第二，自动修复能不能被风险负责人和审计师信任，决定这套东西的上限。智能体替你改了配置、关了权限，证据链够不够硬、能不能经得起监管追问，这才是审计师真正会抠的地方——否则再快也是空中楼阁。

放到更大的图景里看，ServiceNow正把"治理"做成AI时代的操作系统级入口。前有AI Control Tower统一发现、观测、治理全企业AI资产，今有持续控制监控把治理落到每一次控制执行，它想让自己成为企业智能体时代的"控制塔"。当智能体被授予越来越多权限，谁能管住它们、谁能在出事时一键关停，谁就握住了企业敢放手用AI的底气。

整体看，这是一条比"再做一个聊天助手"更有壁垒、也更难抄的路线。它吃的是ServiceNow二十年来沉淀的1000亿级工作流与CMDB、Context Engine这类数据地基，后来者短期拼不出同等厚度。对纠结"AI投入了却问责不掉"的企业，这类把问责、证据与修复做成闭环的平台，大概率会成为下一轮企服采购的必选项。