合规压力测试器

解决什么问题

多框架合规里最容易被忽略的，不是框架本身，而是计划落地时的连锁反应：不同审计排期撞车、证据重复收集、责任人不清导致证据过期。一旦程序跑偏，往往要到认证就绪或审计现场才暴露。

这个技能把“合规官式压力测试”变成六个必答问题，强迫你在承诺新框架、锁定年度审计日历、签署 Stage 1 就绪之前，先确认范围、重叠、责任、独立性、模拟审计和管理评审是否闭环。

如何工作

核心是六个问题，按顺序拆掉典型风险：

• 框架选择器：运行 framework_selector.py，把所有适用框架写进范围，包括行业叠加项（如金融 NYDFS、FINMA，医疗 HIPAA、ISO 13485，AI ISO 42001 与 EU AI Act）。
• 重叠映射：运行 cross_framework_mapper.py，识别 HIGH/MEDIUM/LOW 证据映射，避免同一访问评审记录重复收集。
• 证据责任：运行 evidence_pool_generator.py，给每项证据指定唯一责任人，优先构建高杠杆证据（≥ 5 映射）。
• 审计日历：使用 aims_audit_scheduler、isms_audit_scheduler、audit_schedule_optimizer 等工具，避免同一周堆叠监督审计，并守住 Clause 9.2 审计员独立性。
• 模拟审计：运行 audit_simulator.py，检查严重度分布。健康区间参考 ≥ 40% observation、≤ 15% critical；全部 critical 或全部 observation 都需要回查审计设计。
• 管理评审：按季度做一次跨框架评审，覆盖 Clause 9.3 输入（风险登记变更、未关闭不符合项、审计发现、事件、漂移、KPI），输出行动项、资源决策与范围调整。

适用边界与注意点

• 它不是认证结论，而是承诺前的检查机制；真正签字仍需管理层与审计方完成。
• 跨框架映射依赖输入质量，如果 company profile、证据池或责任人缺失，结论会失真。
• 模拟审计的健康区间是经验参考，不是绝对阈值；低风险场景和强监管场景需要分别校准。
• 小型团队可采用内部轮换 + 偶尔外部审计，但外部独立性不应被日常便利替代。

如果你已经完成框架选择，但审计日历仍靠表格手工排，或同一批证据被三个项目组分别收集，这个技能适合放进评审前流程。