compliance-os

compliance-os skill 개요

compliance-os가 하는 일

compliance-os는 어떤 규제가 적용되는지, 통제가 어디에서 겹치는지, 증거 자료를 어떻게 재사용할 수 있는지, 모의 내부 감사에서 어떤 지적이 나올 수 있는지를 판단하도록 돕는 다중 프레임워크 컴플라이언스 오케스트레이션 skill입니다. ISO 27001, SOC 2, GDPR, EU AI Act, HIPAA, NIST CSF, NIS2, FDA QSR, 의료기기 표준을 각각 별도 업무 흐름으로 다루는 대신, AI 에이전트가 이를 하나의 컴플라이언스 프로그램으로 연결해 판단할 수 있게 해줍니다.

다중 프레임워크 컴플라이언스 팀에 가장 적합한 경우

compliance-os skill은 기업이 “감사 하나씩 대응”하는 방식에서 통합 컴플라이언스 운영 모델로 전환할 때 가장 유용합니다. 예를 들어 ISO 27001 위에 SOC 2를 추가하려는 SaaS 공급사, ISO 42001 및 EU AI Act 적용 가능성을 검토하는 AI 기업, HIPAA, FDA QSR, ISO 13485, ISO 14971, EU MDR 의무를 비교해야 하는 헬스케어 또는 의료기기 팀, 인증 1단계를 준비하는 컴플라이언스 리드에게 잘 맞습니다.

반대로 법률 자문, 최종적인 규제 적용 판단, 또는 단일 프레임워크에 대한 깊이 있는 구현 계획만 필요한 경우에는 적합성이 낮습니다. 저장소 자체도 compliance-os를 개별 프레임워크 skill의 대체재가 아니라 오케스트레이터로 설명합니다.

이 skill의 차별점

compliance-os의 핵심 차별점은 프롬프트 가이드만 있는 것이 아니라 구조화된 자산과 결정론적 helper script를 함께 제공한다는 점입니다. 주요 파일은 다음과 같습니다.

• assets/company_profile_template.json: 적용 가능성 선별용
• assets/control_library_template.json: 활성화할 프레임워크 선택용
• assets/mock_audit_library.json: 시나리오 기반 감사 지적 사항용
• scripts/framework_selector.py
• scripts/cross_framework_mapper.py
• scripts/audit_simulator.py
• scripts/evidence_pool_generator.py

이 덕분에 “우리에게 어떤 프레임워크가 적용되나요?”라고 묻는 일반 프롬프트보다 반복 가능한 Compliance Review 워크플로에 더 강합니다.

도입 전 주요 검토 사항

설치하기 전에 목표 프레임워크가 지원 범위에 포함되는지, 그리고 조직이 유의미한 회사 프로필을 제공할 수 있는지 확인해야 합니다. 출력 품질은 산업, 지역, AI 사용 여부, 의료기기 해당 여부, 개인정보 처리 여부, 헬스케어 관련성, 정부 계약 여부, 엔터프라이즈 영업 요건 같은 입력에 크게 좌우됩니다.

compliance-os skill 사용 방법

compliance-os 설치와 먼저 읽어야 할 파일

호환되는 Claude skills 환경에서 다음 명령으로 skill을 설치합니다.

npx skills add alirezarezvani/claude-skills --skill compliance-os

그다음 소스 경로를 확인합니다.

compliance-os/skills/compliance-os

먼저 읽을 파일은 다음과 같습니다.

1. SKILL.md: 의도된 오케스트레이션 흐름
2. assets/company_profile_template.json: 필요한 회사 정보
3. references/compliance_os_pattern.md: 프레임워크를 오케스트레이션할 때와 분리해서 다룰 때의 기준
4. references/cross_framework_overlap.md: 중복 통제에 대한 전제
5. references/evidence_artifact_reuse_index.md: 증거 재사용 우선순위
6. references/audit_simulation_methodology.md: 모의 감사 결과를 사용하기 전에 확인해야 할 방법론

skill에 필요한 입력 정보

compliance-os를 제대로 활용하려면 막연한 회사 설명 대신 구조화된 프로필을 제공해야 합니다. 다음 정보를 포함하세요.

• 산업 및 제품 카테고리
• 서비스를 제공하는 국가 또는 지역
• 제품에 AI가 포함되는지 여부
• EU 기준에서 AI가 고위험에 해당하는지 여부
• 제품이 의료기기에 해당하는지 여부
• 회사가 개인정보, EU 개인정보 또는 PHI를 처리하는지 여부
• 엔터프라이즈 B2B, 미국 고객, EU 고객 또는 정부 구매자에게 판매하는지 여부
• 회사 단계와 대략적인 임직원 수
• 이미 도입했거나 고객이 요구하는 것으로 알려진 프레임워크

약한 프롬프트는 이렇게 묻습니다. “우리에게 필요한 컴플라이언스 프레임워크를 알려줘.”

더 나은 프롬프트는 이렇게 묻습니다. “compliance-os를 사용해 직원 140명 규모의 Series B B2B SaaS 회사를 평가해줘. EU 및 미국 고객이 있고, 엔터프라이즈 조달 압력이 있으며, 자동화된 의사결정 지원에 사용되는 AI 기능이 있고, EU 개인정보를 처리하지만 PHI는 없고, 의료기기 주장은 하지 않으며, 현재 ISO 27001 인증을 보유하고 있어. 적용 가능한 프레임워크, 예상되는 중복 영역, 우선 확보해야 할 증거 자료를 식별해줘.”

권장 compliance-os 가이드 워크플로

실무적인 워크플로는 다음과 같습니다.

1. 구성: 회사 프로필을 사용해 적용 가능성이 높은 프레임워크를 식별합니다.
2. 범위 제한: 관련이 없거나 단지 장기 희망 사항에 가까운 프레임워크를 제외합니다.
3. 중복 매핑: cross_framework_mapper.py와 중복 참조 문서를 사용해 활성화된 프레임워크를 비교합니다.
4. 증거 우선순위화: evidence_pool_generator.py와 증거 재사용 인덱스를 사용해 활용도가 높은 산출물을 찾습니다.
5. 모의 감사 실행: 범위가 명확해진 뒤에 audit_simulator.py를 사용합니다. 그 전에는 사용하지 않는 편이 좋습니다.
6. 지적 사항 전환: 모의 지적 사항을 담당자, 기한, 증거 요청, 시정 조치로 바꿉니다.

Compliance Review를 위한 프롬프트 패턴

Compliance Review에서 compliance-os를 사용할 때는 판단과 산출물을 분리해 요청하세요.

“compliance-os skill을 사용해줘. 첫째, 지원되는 프레임워크를 적용 대상, 적용 가능성 높음, 적용 대상 아님으로 분류해줘. 둘째, 각 분류의 전제를 설명해줘. 셋째, 적용 가능한 프레임워크 전반에서 중복도가 가장 높은 통제군을 매핑해줘. 넷째, 재사용 효과가 큰 순서로 통합 증거 체크리스트를 만들어줘. 법률 자문은 제공하지 말고, 불확실한 항목은 법무 자문 또는 인증 auditor 검토 대상으로 표시해줘.”

이런 방식으로 요청하면 과도한 단정을 줄이고 결과를 검토하기 쉬워집니다.

compliance-os skill FAQ

compliance-os는 법률 또는 인증 도구인가요?

아닙니다. compliance-os는 계획 수립과 오케스트레이션을 위한 skill입니다. 프레임워크 적용 가능성 정리, 감사 준비, 증거 재사용, 내부 검토를 지원할 수는 있지만, 법률 자문, 공인 인증기관, 자격 있는 auditor, 또는 프레임워크별 구현 작업을 대체하지는 않습니다.

일반 프롬프트보다 나은 점은 무엇인가요?

일반 프롬프트는 폭넓은 체크리스트를 만들어낼 수 있습니다. 반면 compliance-os skill은 명시적인 메타 프레임워크 패턴, 재사용 가능한 JSON 템플릿, 참조 문서, 그리고 프레임워크 선택, 중복 매핑, 감사 시뮬레이션, 증거 풀링을 위한 script를 갖추고 있습니다. 이 구조 덕분에 에이전트가 반복적인 컴플라이언스 검토에서도 일관성을 유지하기 쉽습니다.

초보자도 compliance-os skill을 사용할 수 있나요?

네. 다만 초보자는 회사 프로필 템플릿부터 시작하고, 한 번의 요청으로 전체 컴플라이언스 프로그램을 만들어 달라고 하지 않는 것이 좋습니다. 첫 작업으로 가장 적합한 것은 프레임워크 적용 가능성 판단입니다. “이 프로필을 기준으로 어떤 지원 프레임워크를 검토해야 하며, 그 이유는 무엇인가?”를 먼저 묻고, 이후 증거 재사용과 모의 감사 계획으로 넘어가세요.

언제 compliance-os를 사용하지 말아야 하나요?

하나의 규정에 대한 좁은 답변만 필요할 때, 회사 프로필을 알 수 없을 때, 관할권별 법률 해석이 필요할 때, 또는 최종 감사 보증을 원하는 경우에는 사용하지 마세요. 또한 모의 감사 시나리오를 컴플라이언스 증거로 사용해서도 안 됩니다. 이는 준비를 돕는 보조 자료이지, 증거 자체가 아닙니다.

compliance-os skill 개선 방법

출력을 요청하기 전에 compliance-os 입력을 개선하기

compliance-os 결과를 가장 빠르게 개선하는 방법은 추정을 사실로 바꾸는 것입니다. 고객 약정, 계약상 보안 요구사항, 지역별 매출 데이터, 제품 주장, 데이터 범주, subprocessor 노출, 기존 인증 정보를 추가하세요. 어떤 세부 정보가 불명확하다면 모델이 추론하도록 두지 말고 알 수 없음으로 표시하세요.

흔한 실패 패턴을 점검하기

자주 발생하는 문제로는 프레임워크를 과도하게 선택하는 것, 규제와 자발적 표준을 동일하게 취급하는 것, 증거 재사용을 전체 통제 동등성으로 오해하는 것, 정의된 범위 없이 감사 지적 사항을 생성하는 것이 있습니다. 에이전트에게 프레임워크를 “필수,” “고객 요구 기반,” “전략적,” “현재 적용 대상 아님”으로 구분하라고 요청하세요.

첫 출력 이후 반복해서 다듬기

첫 실행 후에는 결과에 질문을 던져 검증하세요.

• “어떤 프레임워크 추천이 전제 변화에 가장 민감한가?”
• “어떤 증거 항목이 가장 많은 프레임워크를 충족하는가?”
• “어떤 통제는 재사용이 잘 되지 않는가?”
• “무엇을 법무 자문에게 검토받아야 하는가?”
• “EU에 출시하면 무엇이 달라지는가?”

이렇게 하면 compliance-os를 정적인 체크리스트 생성기가 아니라 의사결정 지원 워크플로로 활용할 수 있습니다.

조직별 검토 기준 추가하기

더 나은 결과를 얻으려면 자체 scoring 기준을 제공하세요. 감사 기한, 예산, 증거 성숙도, 도구 소유권, 경영진의 리스크 허용도, 목표가 인증인지, 고객 영업 지원인지, 규제 준비인지, 내부 거버넌스인지 등을 포함할 수 있습니다. compliance-os skill은 추상적인 목록이 아니라 실제 컴플라이언스 의사결정에 맞춰 최적화할 수 있을 때 가장 잘 작동합니다.