compliance-os

Tổng quan về skill compliance-os

compliance-os làm gì

compliance-os là một skill điều phối tuân thủ đa khung, giúp xác định khung nào áp dụng, các kiểm soát giao nhau ở đâu, bằng chứng nào có thể tái sử dụng, và một cuộc kiểm toán nội bộ giả lập có thể phát hiện điều gì. Thay vì xem ISO 27001, SOC 2, GDPR, EU AI Act, HIPAA, NIST CSF, NIS2, FDA QSR và các tiêu chuẩn thiết bị y tế như những luồng công việc riêng lẻ, skill compliance-os giúp AI agent lập luận xuyên suốt các khung đó như một chương trình tuân thủ thống nhất.

Phù hợp nhất với đội ngũ tuân thủ đa khung

Skill compliance-os hữu ích nhất khi một công ty đang chuyển từ cách làm “mỗi lần một cuộc kiểm toán” sang mô hình vận hành tuân thủ tích hợp. Các trường hợp phù hợp gồm nhà cung cấp SaaS bổ sung SOC 2 trên nền ISO 27001, công ty AI đánh giá ISO 42001 và mức độ chịu tác động của EU AI Act, đội ngũ y tế hoặc thiết bị y tế so sánh nghĩa vụ theo HIPAA, FDA QSR, ISO 13485, ISO 14971 và EU MDR, cũng như người phụ trách tuân thủ đang chuẩn bị cho certification stage 1.

Skill này kém phù hợp hơn nếu bạn cần tư vấn pháp lý, kết luận pháp quy cuối cùng, hoặc một kế hoạch triển khai chuyên sâu chỉ cho một khung duy nhất. Chính repository cũng định vị compliance-os là công cụ điều phối, không phải phương án thay thế cho các skill chuyên biệt theo từng framework.

Điểm khác biệt của skill

Điểm khác biệt chính là compliance-os có các tài sản có cấu trúc và script hỗ trợ mang tính xác định, không chỉ là hướng dẫn prompt. Các tệp quan trọng gồm:

• assets/company_profile_template.json để sàng lọc tính áp dụng
• assets/control_library_template.json để chọn các framework được bật
• assets/mock_audit_library.json với các phát hiện kiểm toán theo kịch bản
• scripts/framework_selector.py
• scripts/cross_framework_mapper.py
• scripts/audit_simulator.py
• scripts/evidence_pool_generator.py

Nhờ vậy, skill này mạnh hơn cho các workflow Compliance Review có tính lặp lại so với một prompt chung chung kiểu “Những framework nào áp dụng cho chúng tôi?”

Những điểm cần cân nhắc trước khi áp dụng

Trước khi cài đặt, hãy kiểm tra xem các framework mục tiêu của bạn có được hỗ trợ không và tổ chức của bạn có thể cung cấp hồ sơ công ty đủ hữu ích hay không. Chất lượng đầu ra phụ thuộc rất nhiều vào đầu vào như ngành nghề, phạm vi địa lý, việc sử dụng AI, trạng thái thiết bị y tế, xử lý dữ liệu cá nhân, trạng thái liên quan đến chăm sóc sức khỏe, hợp đồng với chính phủ và yêu cầu bán hàng cho doanh nghiệp lớn.

Cách sử dụng skill compliance-os

Cài đặt compliance-os và những tệp đầu tiên nên đọc

Cài đặt skill trong môi trường Claude skills tương thích bằng lệnh:

npx skills add alirezarezvani/claude-skills --skill compliance-os

Sau đó kiểm tra đường dẫn nguồn:

compliance-os/skills/compliance-os

Hãy đọc các tệp này trước:

1. SKILL.md để hiểu luồng điều phối dự kiến
2. assets/company_profile_template.json để biết các dữ kiện công ty cần cung cấp
3. references/compliance_os_pattern.md để biết khi nào nên điều phối chung và khi nào nên tách framework
4. references/cross_framework_overlap.md để hiểu các giả định về phần giao nhau
5. references/evidence_artifact_reuse_index.md để nắm thứ tự ưu tiên tái sử dụng bằng chứng
6. references/audit_simulation_methodology.md trước khi dùng đầu ra kiểm toán giả lập

Đầu vào skill cần có

Để dùng compliance-os hiệu quả, hãy cung cấp hồ sơ có cấu trúc thay vì mô tả công ty mơ hồ. Nên bao gồm:

• ngành và danh mục sản phẩm
• quốc gia hoặc khu vực đang phục vụ
• sản phẩm có bao gồm AI hay không
• AI có thuộc nhóm rủi ro cao theo tiêu chí của EU hay không
• sản phẩm có phải là thiết bị y tế hay không
• công ty có xử lý dữ liệu cá nhân, dữ liệu cá nhân của EU hoặc PHI hay không
• công ty có bán cho khách hàng enterprise B2B, khách hàng Mỹ, khách hàng EU hoặc bên mua thuộc chính phủ hay không
• giai đoạn phát triển của công ty và quy mô nhân sự ước tính
• các framework đã áp dụng hoặc đang bị khách hàng yêu cầu

Một prompt yếu là: “Tell me what compliance frameworks we need.”

Một prompt tốt hơn là: “Use compliance-os to evaluate a Series B B2B SaaS company with 140 employees, EU and US customers, enterprise procurement pressure, AI features used for automated decision support, EU personal data processing, no PHI, no medical-device claims, and current ISO 27001 certification. Identify applicable frameworks, likely overlaps, and first evidence priorities.”

Quy trình gợi ý khi dùng compliance-os

Một quy trình thực tế gồm:

1. Configure: dùng hồ sơ công ty để xác định các framework có khả năng áp dụng.
2. Constrain: loại bỏ những framework không liên quan hoặc mới chỉ mang tính định hướng.
3. Map overlap: so sánh các framework đã bật bằng cross_framework_mapper.py và tài liệu tham chiếu về phần giao nhau.
4. Prioritize evidence: dùng evidence_pool_generator.py và chỉ mục tái sử dụng bằng chứng để tìm các artifact có đòn bẩy cao.
5. Simulate audit: dùng audit_simulator.py sau khi phạm vi đã rõ, không nên dùng trước đó.
6. Translate findings: chuyển các phát hiện giả lập thành người phụ trách, hạn hoàn thành, yêu cầu bằng chứng và hành động khắc phục.

Mẫu prompt cho Compliance Review

Khi dùng compliance-os cho Compliance Review, hãy yêu cầu phần quyết định và phần đầu ra tách riêng:

“Use the compliance-os skill. First, classify which supported frameworks are applicable, likely applicable, or not applicable. Second, explain the assumptions behind each classification. Third, map the highest-overlap control families across the applicable frameworks. Fourth, produce a unified evidence checklist ranked by reuse leverage. Do not provide legal advice; flag uncertain items for counsel or a certified auditor.”

Cách đặt khung này giúp giảm nguy cơ đi quá phạm vi và làm cho đầu ra dễ rà soát hơn.

FAQ về skill compliance-os

compliance-os có phải là công cụ pháp lý hoặc chứng nhận không?

Không. compliance-os là một skill phục vụ lập kế hoạch và điều phối. Nó có thể giúp tổ chức tính áp dụng của framework, chuẩn bị kiểm toán, tái sử dụng bằng chứng và rà soát nội bộ, nhưng không thay thế tư vấn pháp lý, tổ chức chứng nhận được công nhận, kiểm toán viên đủ năng lực hoặc công việc triển khai chuyên sâu theo từng framework.

Skill này tốt hơn prompt thông thường ở điểm nào?

Một prompt thông thường có thể tạo ra một checklist rộng. Skill compliance-os có mẫu meta-framework rõ ràng, các template JSON có thể tái sử dụng, tài liệu tham chiếu và script cho việc chọn framework, lập bản đồ phần giao nhau, mô phỏng kiểm toán và gom nhóm bằng chứng. Cấu trúc đó giúp agent duy trì sự nhất quán qua nhiều lần rà soát tuân thủ.

Người mới có dùng được skill compliance-os không?

Có, nhưng người mới nên bắt đầu với template hồ sơ công ty và tránh yêu cầu xây dựng toàn bộ chương trình tuân thủ trong một lần. Nhiệm vụ đầu tiên phù hợp nhất là xác định framework nào có thể áp dụng: “Given this profile, which supported frameworks should we consider and why?” Sau đó mới chuyển sang tái sử dụng bằng chứng và lập kế hoạch kiểm toán giả lập.

Khi nào không nên dùng compliance-os?

Không nên dùng skill này khi bạn chỉ cần một câu trả lời hẹp về một quy định duy nhất, khi chưa biết hồ sơ công ty, khi cần diễn giải pháp lý theo từng thẩm quyền tài phán, hoặc khi muốn có đảm bảo kiểm toán cuối cùng. Cũng không nên dùng các kịch bản kiểm toán giả lập như bằng chứng về tuân thủ; chúng là công cụ chuẩn bị, không phải bằng chứng.

Cách cải thiện skill compliance-os

Cải thiện đầu vào của compliance-os trước khi yêu cầu đầu ra

Cách nhanh nhất để cải thiện kết quả từ compliance-os là thay giả định bằng dữ kiện. Hãy bổ sung cam kết với khách hàng, yêu cầu bảo mật theo hợp đồng, dữ liệu bán hàng theo khu vực địa lý, tuyên bố về sản phẩm, nhóm dữ liệu xử lý, mức độ phụ thuộc vào subprocessor và các chứng nhận hiện có. Nếu chưa biết một chi tiết, hãy đánh dấu là chưa biết thay vì để model tự suy luận.

Theo dõi các lỗi thường gặp

Các vấn đề thường gặp gồm chọn quá nhiều framework, xem quy định bắt buộc và tiêu chuẩn tự nguyện như tương đương nhau, giả định rằng tái sử dụng bằng chứng đồng nghĩa với tương đương hoàn toàn về control, và tạo phát hiện kiểm toán khi chưa xác định phạm vi. Hãy yêu cầu agent tách riêng các framework “required,” “customer-driven,” “strategic,” và “not currently applicable.”

Lặp lại sau đầu ra đầu tiên

Sau lần chạy đầu tiên, hãy chất vấn kết quả:

• “Which framework recommendations are most assumption-sensitive?”
• “Which evidence items satisfy the most frameworks?”
• “Which controls do not reuse well?”
• “What should be reviewed by counsel?”
• “What would change if we launch in the EU?”

Cách này biến compliance-os từ một công cụ tạo checklist tĩnh thành một workflow hỗ trợ ra quyết định.

Bổ sung tiêu chí rà soát riêng của tổ chức

Để có đầu ra tốt hơn, hãy cung cấp tiêu chí chấm điểm của riêng bạn: hạn kiểm toán, ngân sách, mức độ trưởng thành của bằng chứng, chủ sở hữu công cụ, mức chấp nhận rủi ro của lãnh đạo, và mục tiêu là chứng nhận, hỗ trợ bán hàng cho khách hàng, sẵn sàng đáp ứng quy định hay quản trị nội bộ. Skill compliance-os hoạt động tốt nhất khi có thể tối ưu cho một quyết định tuân thủ thực tế, không phải một danh sách trừu tượng.