compliance-readiness

compliance-readiness skill 概览

compliance-readiness 能做什么

compliance-readiness skill 是一套用于合规评审的提示词工作流，适合在你决定采用新框架、敲定审计日历，或宣布已具备认证准备度之前，对合规项目进行压力测试。它围绕六个强制性问题展开，促使 AI agent 主动挑战范围界定、框架覆盖、证据复用、审计时机、责任归属和准备度缺口，而不是只生成一份泛泛的检查清单。

最适合的合规评审场景

如果你负责或支持多框架合规项目，尤其是 ISO、SOC、HIPAA、金融服务、AI governance 或地区性监管要求存在重叠时，这个 skill 会很有用。它尤其适合 compliance leads、GRC operators、安全项目经理、内部审计人员，以及正在准备外部审计的创始人使用——这些角色通常需要的是结构化的预评审，而不是一次性的政策摘要。

它和普通提示词有什么不同

普通提示词可能会问：“我们准备好做 ISO 27001 了吗？”而 compliance-readiness skill 会进一步追问：选用的框架是否正确、哪些控制可以复用、证据收集是否正在变得低效，以及审计发现是否暴露出更深层的项目弱点。因此，它更适合用于早期风险识别和规划决策，而不仅仅是做文档整理。

采用前的关键注意事项

上游 skill 文件夹看起来只包含一个 SKILL.md 文件，没有捆绑脚本、规则或参考资料。skill 文本中提到了 framework_selector.py 和 cross_framework_mapper.py 等工具；在依赖这些工具之前，请先确认它们是否存在于你的环境中的其他位置，或者用你自己的框架清单和控制映射流程替代。

如何使用 compliance-readiness skill

compliance-readiness 安装上下文

请把这个 skill 安装到你运行 Claude skills 的同一环境中。典型安装命令如下：

npx skills add alirezarezvani/claude-skills --skill compliance-readiness

然后查看源码文件 compliance-os/skills/compliance-readiness/SKILL.md。由于这个 skill 主要由提示词驱动，并且自身文件夹内不包含辅助文件，最重要的安装检查点是：你的 agent 是否能够调用 /cs:compliance-readiness <program>，以及你的合规数据是否已经出现在对话中，或已连接到工作区。

这个 skill 需要哪些输入

要让 compliance-readiness 发挥更好的效果，不要只提供一个框架名称。建议同时提供组织类型、运营地点、受监管活动、当前框架、计划认证、审计日期、证据库、控制负责人、近期审计发现，以及痛点，例如重复的证据请求或证据量逐年增长。

较弱的输入：

/cs:compliance-readiness ISO 27001 readiness

更强的输入：

/cs:compliance-readiness Review our B2B SaaS compliance program. We operate in the US and EU, process customer PII, currently maintain SOC 2 Type II and ISO 27001, are considering ISO 42001 for AI features, and have an external audit in Q3. Evidence is stored in Jira, Google Drive, and Vanta. Last audit had 18% high/critical findings, mostly access review and vendor risk issues. Identify missing frameworks, evidence reuse opportunities, readiness blockers, and management review topics.

推荐工作流

先从项目清单开始，而不是从想拿哪张证书开始。让这个 skill 运行六问题评审，然后要求它按可用于决策的结构输出：框架范围、重叠与复用、审计日历风险、控制负责人缺口、证据质量问题，以及“在解决前不要推进”的阻断项。第一轮输出之后，再补充你的控制矩阵、审计发现和证据索引，把宏观问题转化为具体整改工作。

优先阅读的仓库文件

先阅读 SKILL.md，因为它包含命令、触发场景和六问题结构。这个 skill 文件夹中没有可见的本地 README.md、metadata.json、rules/、resources/、references/ 或 scripts/ 文件，因此不要假设存在隐藏的实现逻辑。应把它视为一种聚焦的合规盘问模式，它的效果高度依赖你提供的上下文质量。

compliance-readiness skill 常见问题

compliance-readiness 适合做 Compliance Review，还是执行认证？

它最适合用于执行决策之前的 Compliance Review：例如采用新框架、审计规划、管理评审，或认证第一阶段准备度判断。它可以帮助暴露缺口和优先级，但不能替代审计师判断、法律意见、正式控制测试或证据验证。

什么时候不应该使用这个 skill？

不要把它作为判断法律适用性、监管解释或最终审计准备度的唯一依据。如果你完全没有系统、数据类型、框架、负责人或证据位置的清单，它也不太适合直接使用。在这种情况下，应先建立一个基础的合规项目画像，再运行 compliance-readiness guide。

它和普通合规提示词相比如何？

普通提示词通常会产出控制项列表。这个 skill 更适合回答更难的问题：你的项目范围是否正确，运营上是否高效。它强调多框架重叠、证据复用、审计周期时机，以及合规项目正在变得过于昂贵或碎片化的信号。

它适合新手吗？

适合，前提是用户能够收集基本的合规事实。它的语言直接，六问题结构也容易跟随。不过，新手在判断框架适用性时要谨慎；如果你不确定 HIPAA、NYDFS、FINMA、ISO 13485、ISO 42001 或 EU AI Act 是否适用，应要求这个 skill 列出假设和需要验证的问题，而不是把它的回答当作最终结论。

如何改进 compliance-readiness skill

通过更清晰的范围提升 compliance-readiness 结果

最常见的失败模式是：输出听起来合理，但遗漏了某个框架、业务单元、数据流或司法辖区。可以通过在提示词中明确产品、客户类型、地区、受监管数据、第三方依赖和计划中的市场变化来改进。清晰的范围会让这个 skill 从检查清单生成器，变成真正有用的准备度挑战工具。

补充证据和控制细节

当你提供具体材料时，这个 skill 会更具可执行性：控制矩阵、政策清单、证据索引、审计日历、过往发现、风险登记册、供应商清单和责任模型。可以要求它区分“可跨控制复用的相同证据”、“需要调整后复用的类似证据”和“必须单独提供的唯一证据”。这会直接支持 compliance-readiness skill 背后的复用逻辑。

第一轮评审后继续迭代

拿到第一轮输出后，不要停留在缺口列表。继续要求它生成 30/60/90 天整改计划、审计准备度阻断项、管理评审议程，以及要发送给控制负责人的问题。如果输出过于宽泛，可以加限制条件，例如：“Focus only on SOC 2, ISO 27001, and ISO 42001 overlap,” 或 “Rank gaps by audit failure risk and evidence collection effort.”

留意薄弱或缺乏依据的建议

由于这个 skill 的文件夹内没有随附本地参考文件或可执行的映射脚本，在实际运营中使用任何框架映射、法律主张或工具指令之前，都应先进行验证。最佳改进方式是将 compliance-readiness 的使用与权威框架来源、内部 GRC 系统和审计师反馈结合起来，让 agent 基于真实证据挑战你的项目，而不是基于假设给出判断。