合规操作系统

它解决什么问题

多框架合规并行时，企业通常会遇到四类结构性难题：

• 框架识别不全：医疗器械、B2B SaaS、客户侧 AI 各对应不同法规组合，漏掉一项就意味着后续重做审计计划。
• 控制要求重复解读：ISO 27001 Annex A 与 SOC 2 TSC 的历史重叠约 75%，但团队仍按两套文档各自准备证据。
• 证据池缺乏索引：证据散落在各团队的 Drive 或 Confluence 里，没有统一映射，跨框架复用无从谈起。
• 管理评审节奏冲突：每个框架都要求自己的管理评审，缺少一体化安排时日历会被填满。

它如何工作

Compliance OS 是一个元编排器，核心是四个决策点，分别由独立脚本实现：

1. 框架选择 framework_selector.py — 输入公司画像（行业、地域、AI 使用、医疗、金融、人数、客户类型、NIS2 实体身份等），按确定性规则输出适用框架列表与依赖图。例如医疗器械 → ISO 13485 + ISO 14971 +（欧盟市场）EU MDR 745。
2. 跨框架映射 cross_framework_mapper.py — 解析所选框架的控制库，逐条计算重叠，输出置信度（HIGH / MEDIUM / LOW）、统一控制矩阵和证据复用机会。
3. 审计模拟 audit_simulator.py — 基于 ISO 19011 与 IIA IPPF，生成 8–15 个发现场景，严重度分布遵循 IIA 对健康项目的预期（≥40% observations/OFI，≤15% critical/major），每个范围化控制附带 3–5 个访谈问题。
4. 证据池生成 evidence_pool_generator.py — 跨已启用框架整合证据需求，输出每项证据对应的 (framework, control) 元组、复用杠杆分与获取成本估计。

它本身不做单框架深挖，而是调用如 iso42001-specialist、gdpr-dsgvo-expert、soc2-compliance 等专项技能承担运营工作。

适用边界

• 不是法律意见：映射基于 ISO 标准、EDPB/欧盟委员会指南、IIA/AICPA 专业标准等公开指引，非典型交叉路径应提交律师复核。
• 假设前置条件已满足：需要可用的公司画像 JSON 与各框架控制库，否则脚本输出退化为空操作。
• 模拟场景有上限：assets/mock_audit_library.json 提供 205 个预置场景，覆盖 12 个框架和 4 个严重度等级，但行业特有场景仍需人工补充。
• 编排而非执行：所有落地工作由被协调的专项技能完成，本技能只负责选择、映射、模拟和索引。