compliance-readiness

compliance-readiness skill 概覽

compliance-readiness 的作用

compliance-readiness skill 是一套合規審查提示工作流程，用來在你承諾導入新框架、敲定稽核時程，或宣告已具備認證準備度之前，先對整個計畫進行壓力測試。它以六個關鍵追問為核心，促使 AI agent 挑戰範圍界定、框架涵蓋度、證據重用、稽核時機、責任歸屬與準備度缺口，而不是只產出一份通用檢查清單。

最適合的合規審查情境

如果你管理或支援的是多框架合規計畫，尤其是 ISO、SOC、HIPAA、金融服務、AI governance，或區域法規義務彼此重疊的情境，這個 skill 會特別有用。它最適合合規負責人、GRC 操作者、安全計畫經理、內部稽核，以及準備接受外部稽核的創辦人；這些使用者需要的是結構化的事前審查，而不是一次性的政策摘要。

它和一般 prompt 有什麼不同

一般 prompt 可能會問：「我們準備好做 ISO 27001 了嗎？」compliance-readiness skill 會進一步追問：選的框架是否正確、哪些控制可以重用、證據收集是否正在變得低效率，以及稽核發現是否反映更深層的計畫弱點。這讓它更適合早期風險發現與規劃決策，而不只是整理文件。

導入前的關鍵考量

上游 skill 資料夾看起來只包含一個 SKILL.md 檔案，沒有隨附 scripts、rules 或 reference assets。skill 文字中提到 framework_selector.py 和 cross_framework_mapper.py 等工具；在依賴它們之前，請先確認這些工具是否存在於你的環境其他位置，或改用你自己的框架清冊與控制對應流程。

如何使用 compliance-readiness skill

compliance-readiness 安裝情境

請將此 skill 安裝在你執行 Claude skills 的同一個環境中。典型安裝指令如下：

npx skills add alirezarezvani/claude-skills --skill compliance-readiness

接著檢查來源檔案 compliance-os/skills/compliance-readiness/SKILL.md。由於這個 skill 以 prompt 驅動，且自己的資料夾中沒有 helper files，最重要的安裝檢查是：你的 agent 是否能呼叫 /cs:compliance-readiness <program>，以及你的合規資料是否已在對話中提供，或可由連接的 workspace 存取。

skill 需要哪些輸入

若要有效使用 compliance-readiness，不要只提供框架名稱。請包含你的組織類型、營運地點、受監管活動、目前框架、計畫中的認證、稽核日期、證據儲存庫、控制負責人、近期發現，以及像是重複證據請求、逐年證據量增加等痛點。

較弱的輸入：

/cs:compliance-readiness ISO 27001 readiness

較強的輸入：

/cs:compliance-readiness Review our B2B SaaS compliance program. We operate in the US and EU, process customer PII, currently maintain SOC 2 Type II and ISO 27001, are considering ISO 42001 for AI features, and have an external audit in Q3. Evidence is stored in Jira, Google Drive, and Vanta. Last audit had 18% high/critical findings, mostly access review and vendor risk issues. Identify missing frameworks, evidence reuse opportunities, readiness blockers, and management review topics.

建議工作流程

從計畫清冊開始，而不是從想取得的證書開始。請 skill 執行六個問題的審查，然後要求它用可供決策的區塊輸出：框架範圍、重疊與重用、稽核時程風險、控制負責人缺口、證據品質問題，以及「在解決前不要推進」的阻礙。第一次輸出後，再提供你的控制矩陣、稽核發現與證據索引，把廣泛的疑慮轉成具體補救工作。

優先閱讀的 repository 檔案

先閱讀 SKILL.md，因為它包含 command、觸發時機與六個問題的結構。此 skill 資料夾中沒有可見的本機 README.md、metadata.json、rules/、resources/、references/ 或 scripts/ 檔案，因此不要假設有隱藏的實作邏輯。請把它視為一套聚焦的合規追問模式，而其效果高度取決於你提供的脈絡品質。

compliance-readiness skill 常見問題

compliance-readiness 是用於 Compliance Review，還是認證執行？

它最適合用於執行決策前的 Compliance Review：例如採用新框架、規劃稽核、管理階層審查，或認證 stage 1 準備度檢查。它可以揭露缺口與優先事項，但不能取代稽核員判斷、法律意見、正式控制測試或證據驗證。

什麼時候不該使用這個 skill？

不要把它當成判斷法律適用性、法規解讀或最終稽核準備度的唯一來源。如果你沒有系統、資料類型、框架、負責人或證據位置的清冊，它也不太適合直接使用。在這種情況下，請先建立基本的合規計畫輪廓，再執行 compliance-readiness guide。

它和一般合規 prompt 相比如何？

一般 prompt 常會產出控制清單。當真正困難的問題是你的計畫範圍是否正確、營運上是否有效率時，這個 skill 更有價值。它強調多框架重疊、證據重用、稽核週期安排，以及合規計畫是否正在變得過於昂貴或破碎的跡象。

適合初學者嗎？

適合，前提是使用者能蒐集基本的合規事實。它的語言直接，六個問題的結構也容易跟上。不過，初學者需要特別小心框架適用性；如果你不確定 HIPAA、NYDFS、FINMA、ISO 13485、ISO 42001 或 EU AI Act 是否適用，請要求 skill 列出假設與待驗證問題，而不是把它的答案視為最終結論。

如何改善 compliance-readiness skill

用更好的範圍定義改善 compliance-readiness 結果

最常見的失敗模式，是答案聽起來合理，卻漏掉某個框架、事業單位、資料流或司法管轄區。改善 prompt 的方式，是明確列出產品、客戶類型、地區、受監管資料、第三方依賴，以及計畫中的市場變化。好的範圍定義，能把這個 skill 從檢查清單產生器，變成真正有用的準備度挑戰工具。

加入證據與控制細節

當你提供 artifacts 時，這個 skill 會更可執行：控制矩陣、政策清單、證據索引、稽核時程、過往發現、風險登錄表、供應商清單與責任歸屬模型。請要求它區分「可跨控制重用的相同證據」、「相似但需要修改的證據」與「必須提供的獨特證據」。這會直接支援 compliance-readiness skill 背後的重用邏輯。

第一次審查後持續迭代

取得第一次輸出後，不要停在缺口清單。請進一步要求 30/60/90 天補救計畫、稽核準備度阻礙、管理階層審查議程項目，以及要寄給控制負責人的問題。如果輸出太廣，請加上限制條件：「Focus only on SOC 2, ISO 27001, and ISO 42001 overlap」，或「Rank gaps by audit failure risk and evidence collection effort」。

留意薄弱或缺乏依據的建議

由於這個 skill 的資料夾中沒有隨附本機 reference files 或可執行的 mapping scripts，在實務使用任何框架對應、法律主張或工具指示之前，請先加以驗證。最佳改善方式，是把 compliance-readiness 的使用搭配你的權威框架來源、內部 GRC 系統與稽核員回饋，讓 agent 根據真實證據挑戰你的計畫，而不是依賴假設。