compliance-os

Visão geral do skill compliance-os

O que o compliance-os faz

compliance-os é um skill de orquestração de compliance multi-framework para decidir o que se aplica, onde os controles se sobrepõem, como evidências podem ser reutilizadas e o que uma simulação de auditoria interna poderia encontrar. Em vez de tratar ISO 27001, SOC 2, GDPR, EU AI Act, HIPAA, NIST CSF, NIS2, FDA QSR e normas de dispositivos médicos como frentes separadas, o skill ajuda um agente de IA a raciocinar sobre tudo isso como um único programa de compliance.

Melhor uso para equipes de compliance multi-framework

O skill compliance-os é mais útil quando uma empresa está saindo do modelo de “uma auditoria por vez” para um modelo operacional integrado de compliance. Bons casos de uso incluem fornecedores SaaS adicionando SOC 2 sobre uma base de ISO 27001, empresas de IA avaliando exposição a ISO 42001 e EU AI Act, equipes de saúde ou dispositivos médicos comparando obrigações de HIPAA, FDA QSR, ISO 13485, ISO 14971 e EU MDR, e líderes de compliance se preparando para a etapa 1 de certificação.

Ele é menos útil se você precisa de aconselhamento jurídico, uma determinação regulatória final ou um plano de implementação profundo para apenas um framework. O próprio repositório posiciona compliance-os como um orquestrador, não como substituto de skills específicos por framework.

O que diferencia o skill

O principal diferencial é que compliance-os inclui ativos estruturados e scripts auxiliares determinísticos, não apenas orientação por prompt. Os arquivos principais incluem:

• assets/company_profile_template.json para triagem de aplicabilidade
• assets/control_library_template.json para seleção de frameworks habilitados
• assets/mock_audit_library.json com achados de auditoria baseados em cenários
• scripts/framework_selector.py
• scripts/cross_framework_mapper.py
• scripts/audit_simulator.py
• scripts/evidence_pool_generator.py

Isso torna o skill mais forte para fluxos repetíveis de Compliance Review do que um prompt genérico perguntando: “Quais frameworks se aplicam a nós?”

Principais pontos antes de adotar

Antes de instalar, verifique se os frameworks-alvo estão cobertos e se sua organização consegue fornecer um perfil de empresa útil. A qualidade da saída depende muito de entradas como setor, geografia, uso de IA, status de dispositivo médico, tratamento de dados pessoais, atuação em saúde, contratação com governo e exigências de vendas enterprise.

Como usar o skill compliance-os

Instalação do compliance-os e primeiros arquivos para ler

Instale o skill em um ambiente compatível com Claude skills usando:

npx skills add alirezarezvani/claude-skills --skill compliance-os

Depois inspecione o caminho de origem:

compliance-os/skills/compliance-os

Leia primeiro:

1. SKILL.md para entender o fluxo de orquestração pretendido
2. assets/company_profile_template.json para os fatos obrigatórios sobre a empresa
3. references/compliance_os_pattern.md para saber quando orquestrar versus separar frameworks
4. references/cross_framework_overlap.md para entender as premissas de sobreposição
5. references/evidence_artifact_reuse_index.md para prioridades de reutilização de evidências
6. references/audit_simulation_methodology.md antes de usar saídas de auditoria simulada

Entradas de que o skill precisa

Para usar o compliance-os de forma útil, forneça um perfil estruturado em vez de uma descrição vaga da empresa. Inclua:

• setor e categoria do produto
• países ou regiões atendidos
• se os produtos incluem IA
• se a IA é de alto risco segundo critérios da UE
• se os produtos são dispositivos médicos
• se a empresa trata dados pessoais, dados pessoais da UE ou PHI
• se vende para enterprise B2B, clientes dos EUA, clientes da UE ou compradores governamentais
• estágio da empresa e headcount aproximado
• frameworks conhecidos já adotados ou exigidos por clientes

Um prompt fraco seria: “Diga quais frameworks de compliance precisamos.”

Um prompt mais forte seria: “Use compliance-os to evaluate a Series B B2B SaaS company with 140 employees, EU and US customers, enterprise procurement pressure, AI features used for automated decision support, EU personal data processing, no PHI, no medical-device claims, and current ISO 27001 certification. Identify applicable frameworks, likely overlaps, and first evidence priorities.”

Fluxo de trabalho sugerido para o guia compliance-os

Um fluxo prático é:

1. Configurar: use o perfil da empresa para identificar frameworks provavelmente aplicáveis.
2. Delimitar: remova frameworks irrelevantes ou apenas aspiracionais.
3. Mapear sobreposições: compare os frameworks habilitados com cross_framework_mapper.py e a referência de sobreposição.
4. Priorizar evidências: use evidence_pool_generator.py e o índice de reutilização de evidências para encontrar artefatos de maior alavancagem.
5. Simular auditoria: use audit_simulator.py depois que o escopo estiver claro, não antes.
6. Traduzir achados em ação: converta achados simulados em responsáveis, prazos, solicitações de evidência e ações corretivas.

Padrão de prompt para Compliance Review

Para usar compliance-os em Compliance Review, peça decisões e entregáveis separadamente:

“Use the compliance-os skill. First, classify which supported frameworks are applicable, likely applicable, or not applicable. Second, explain the assumptions behind each classification. Third, map the highest-overlap control families across the applicable frameworks. Fourth, produce a unified evidence checklist ranked by reuse leverage. Do not provide legal advice; flag uncertain items for counsel or a certified auditor.”

Esse enquadramento reduz extrapolações e torna a saída mais fácil de revisar.

FAQ do skill compliance-os

O compliance-os é uma ferramenta jurídica ou de certificação?

Não. compliance-os é um skill de planejamento e orquestração. Ele pode ajudar a organizar aplicabilidade de frameworks, preparação para auditoria, reutilização de evidências e revisão interna, mas não substitui assessoria jurídica, um organismo de certificação acreditado, um auditor qualificado nem o trabalho de implementação específico de cada framework.

Em que ele é melhor do que um prompt comum?

Um prompt comum pode gerar uma checklist ampla. O skill compliance-os tem um padrão explícito de meta-framework, templates JSON reutilizáveis, documentos de referência e scripts para seleção de frameworks, mapeamento de sobreposições, simulação de auditoria e agrupamento de evidências. Essa estrutura ajuda um agente a manter consistência em revisões de compliance repetidas.

Iniciantes podem usar o skill compliance-os?

Sim, mas iniciantes devem começar pelo template de perfil da empresa e evitar pedir um programa completo de compliance em uma única solicitação. A melhor primeira tarefa é avaliar aplicabilidade de frameworks: “Given this profile, which supported frameworks should we consider and why?” Depois disso, avance para reutilização de evidências e planejamento de auditoria simulada.

Quando eu não devo usar o compliance-os?

Não use quando você precisa apenas de uma resposta restrita sobre uma única regulação, quando o perfil da empresa é desconhecido, quando precisa de interpretação jurídica específica por jurisdição ou quando quer uma garantia final de auditoria. Também evite usar os cenários de auditoria simulada como prova de compliance; eles são recursos de preparação, não evidência.

Como melhorar o skill compliance-os

Melhore as entradas do compliance-os antes de pedir saídas

A forma mais rápida de melhorar os resultados do compliance-os é substituir suposições por fatos. Adicione compromissos com clientes, requisitos contratuais de segurança, dados geográficos de vendas, alegações sobre o produto, categorias de dados, exposição a subprocessadores e certificações existentes. Se um detalhe for desconhecido, marque como desconhecido em vez de deixar o modelo inferir.

Fique atento a modos comuns de falha

Problemas comuns incluem selecionar frameworks em excesso, tratar regulações e padrões voluntários como equivalentes, presumir que reutilização de evidência significa equivalência total de controles e produzir achados de auditoria sem um escopo definido. Peça ao agente para separar frameworks “obrigatórios”, “orientados por clientes”, “estratégicos” e “não aplicáveis no momento”.

Itere depois da primeira saída

Depois da primeira execução, questione o resultado:

• “Which framework recommendations are most assumption-sensitive?”
• “Which evidence items satisfy the most frameworks?”
• “Which controls do not reuse well?”
• “What should be reviewed by counsel?”
• “What would change if we launch in the EU?”

Isso transforma o compliance-os de um gerador estático de checklist em um fluxo de apoio à decisão.

Adicione critérios de revisão específicos da organização

Para obter saídas mais fortes, forneça seus próprios critérios de pontuação: prazo de auditoria, orçamento, maturidade das evidências, responsáveis por ferramentas, tolerância executiva a risco e se o objetivo é certificação, habilitação de vendas para clientes, prontidão regulatória ou governança interna. O skill compliance-os funciona melhor quando consegue otimizar para uma decisão real de compliance, não para uma lista abstrata.