compliance-os

Descripción general de compliance-os skill

Qué hace compliance-os

compliance-os es una skill de orquestación de cumplimiento multi-marco para decidir qué aplica, dónde se solapan los controles, cómo puede reutilizarse la evidencia y qué podría detectar una auditoría interna simulada. En lugar de tratar ISO 27001, SOC 2, GDPR, EU AI Act, HIPAA, NIST CSF, NIS2, FDA QSR y los estándares para dispositivos médicos como líneas de trabajo separadas, la skill ayuda a un agente de IA a razonar sobre todos ellos como un único programa de cumplimiento.

Mejor ajuste para equipos de cumplimiento multi-marco

La skill compliance-os resulta especialmente útil cuando una empresa está pasando de gestionar “una auditoría a la vez” a un modelo operativo de cumplimiento integrado. Encaja bien con proveedores SaaS que suman SOC 2 sobre ISO 27001, empresas de IA que evalúan su exposición a ISO 42001 y EU AI Act, equipos de salud o dispositivos médicos que comparan obligaciones de HIPAA, FDA QSR, ISO 13485, ISO 14971 y EU MDR, y responsables de cumplimiento que se preparan para la etapa 1 de certificación.

Es menos útil si necesitas asesoramiento legal, una determinación regulatoria definitiva o un plan de implementación profundo para un solo marco. El propio repositorio presenta compliance-os como un orquestador, no como un reemplazo de skills específicas por marco.

Qué diferencia a esta skill

El principal diferenciador es que compliance-os incluye activos estructurados y scripts auxiliares determinísticos, no solo orientación mediante prompts. Entre los archivos clave están:

• assets/company_profile_template.json para el filtrado de aplicabilidad
• assets/control_library_template.json para seleccionar los marcos habilitados
• assets/mock_audit_library.json con hallazgos de auditoría basados en escenarios
• scripts/framework_selector.py
• scripts/cross_framework_mapper.py
• scripts/audit_simulator.py
• scripts/evidence_pool_generator.py

Esto hace que la skill sea más sólida para flujos repetibles de Compliance Review que un prompt genérico del tipo: “¿Qué marcos nos aplican?”

Principales consideraciones antes de adoptarla

Antes de instalarla, verifica si los marcos objetivo están cubiertos y si tu organización puede proporcionar un perfil de empresa útil. La calidad del resultado depende mucho de entradas como sector, geografía, uso de IA, condición de dispositivo médico, tratamiento de datos personales, actividad en salud, contratación con gobierno y requisitos de ventas enterprise.

Cómo usar compliance-os skill

Instalación de compliance-os y primeros archivos que conviene leer

Instala la skill en un entorno compatible con Claude skills usando:

npx skills add alirezarezvani/claude-skills --skill compliance-os

Luego revisa la ruta fuente:

compliance-os/skills/compliance-os

Lee primero estos archivos:

1. SKILL.md para entender el flujo de orquestación previsto
2. assets/company_profile_template.json para los datos de empresa requeridos
3. references/compliance_os_pattern.md para saber cuándo orquestar y cuándo separar marcos
4. references/cross_framework_overlap.md para las suposiciones sobre solapamientos
5. references/evidence_artifact_reuse_index.md para las prioridades de reutilización de evidencia
6. references/audit_simulation_methodology.md antes de usar resultados de auditoría simulada

Entradas que necesita la skill compliance-os

Para usar compliance-os de forma útil, proporciona un perfil estructurado en lugar de una descripción vaga de la empresa. Incluye:

• sector y categoría de producto
• países o regiones atendidos
• si los productos incluyen IA
• si la IA es de alto riesgo según criterios de la UE
• si los productos son dispositivos médicos
• si la empresa trata datos personales, datos personales de la UE o PHI
• si vende a clientes B2B enterprise, clientes de EE. UU., clientes de la UE o compradores gubernamentales
• etapa de la empresa y plantilla aproximada
• marcos conocidos ya adoptados o exigidos por clientes

Un prompt débil sería: “Dime qué marcos de cumplimiento necesitamos.”

Un prompt más sólido sería: “Use compliance-os to evaluate a Series B B2B SaaS company with 140 employees, EU and US customers, enterprise procurement pressure, AI features used for automated decision support, EU personal data processing, no PHI, no medical-device claims, and current ISO 27001 certification. Identify applicable frameworks, likely overlaps, and first evidence priorities.”

Flujo de trabajo recomendado con compliance-os

Un flujo práctico sería:

1. Configurar: usa el perfil de empresa para identificar los marcos que probablemente aplican.
2. Acotar: elimina los marcos irrelevantes o meramente aspiracionales.
3. Mapear solapamientos: compara los marcos habilitados con cross_framework_mapper.py y la referencia de solapamientos.
4. Priorizar evidencia: usa evidence_pool_generator.py y el índice de reutilización de evidencia para encontrar artefactos de alto impacto.
5. Simular auditoría: usa audit_simulator.py después de tener claro el alcance, no antes.
6. Traducir hallazgos a acciones: convierte los hallazgos simulados en responsables, fechas límite, solicitudes de evidencia y acciones correctivas.

Patrón de prompt para Compliance Review

Para usar compliance-os en una Compliance Review, pide decisiones y entregables por separado:

“Use the compliance-os skill. First, classify which supported frameworks are applicable, likely applicable, or not applicable. Second, explain the assumptions behind each classification. Third, map the highest-overlap control families across the applicable frameworks. Fourth, produce a unified evidence checklist ranked by reuse leverage. Do not provide legal advice; flag uncertain items for counsel or a certified auditor.”

Este encuadre reduce el riesgo de extralimitación y hace que el resultado sea más fácil de revisar.

Preguntas frecuentes sobre compliance-os skill

¿compliance-os es una herramienta legal o de certificación?

No. compliance-os es una skill de planificación y orquestación. Puede ayudar a organizar la aplicabilidad de marcos, la preparación de auditorías, la reutilización de evidencia y la revisión interna, pero no reemplaza a la asesoría legal, a un organismo de certificación acreditado, a un auditor cualificado ni al trabajo de implementación específico de cada marco.

¿En qué mejora a un prompt común?

Un prompt común puede generar una lista de verificación amplia. La skill compliance-os cuenta con un patrón explícito de meta-marco, plantillas JSON reutilizables, documentos de referencia y scripts para selección de marcos, mapeo de solapamientos, simulación de auditoría y agrupación de evidencia. Esa estructura ayuda a que un agente mantenga consistencia en revisiones de cumplimiento repetidas.

¿Pueden usar compliance-os las personas principiantes?

Sí, pero quienes empiezan deberían comenzar con la plantilla de perfil de empresa y evitar pedir un programa de cumplimiento completo en una sola solicitud. La mejor primera tarea es determinar aplicabilidad de marcos: “Given this profile, which supported frameworks should we consider and why?” Después, se puede avanzar hacia reutilización de evidencia y planificación de auditoría simulada.

¿Cuándo no debería usar compliance-os?

No la uses cuando solo necesites una respuesta acotada sobre una regulación, cuando el perfil de la empresa sea desconocido, cuando necesites interpretación legal específica por jurisdicción o cuando busques una garantía final de auditoría. Evita también usar los escenarios de auditoría simulada como prueba de cumplimiento; son apoyos de preparación, no evidencia.

Cómo mejorar compliance-os skill

Mejora las entradas de compliance-os antes de pedir resultados

La forma más rápida de mejorar los resultados de compliance-os es sustituir suposiciones por hechos. Añade compromisos con clientes, requisitos contractuales de seguridad, datos geográficos de ventas, declaraciones del producto, categorías de datos, exposición a subprocesadores y certificaciones existentes. Si un dato se desconoce, márcalo como desconocido en lugar de dejar que el modelo lo infiera.

Vigila los modos de fallo comunes

Entre los problemas habituales están seleccionar demasiados marcos, tratar regulaciones y estándares voluntarios como si fueran equivalentes, asumir que la reutilización de evidencia implica equivalencia total de controles y generar hallazgos de auditoría sin un alcance definido. Pide al agente que separe los marcos “required,” “customer-driven,” “strategic,” y “not currently applicable.”

Itera después del primer resultado

Después de la primera ejecución, cuestiona el resultado:

• “Which framework recommendations are most assumption-sensitive?”
• “Which evidence items satisfy the most frameworks?”
• “Which controls do not reuse well?”
• “What should be reviewed by counsel?”
• “What would change if we launch in the EU?”

Esto convierte compliance-os de un generador estático de listas de verificación en un flujo de apoyo a la toma de decisiones.

Añade criterios de revisión específicos de la organización

Para obtener resultados más sólidos, proporciona tus propios criterios de puntuación: fecha límite de auditoría, presupuesto, madurez de la evidencia, responsables de herramientas, tolerancia ejecutiva al riesgo y si el objetivo es certificación, habilitación de ventas a clientes, preparación regulatoria o gobernanza interna. La skill compliance-os funciona mejor cuando puede optimizar para una decisión real de cumplimiento, no para una lista abstracta.