coso-mcp

coso-mcp

一个用于内部控制审查的开放 Model Context Protocol 服务，遵循 COSO Internal Control—Integrated Framework (ICIF-2013)。它覆盖完整的 审查生命周期——范围界定 → 风险评估 → 控制登记册 → 总体 → 抽样 → 测试 → 工作底稿 → 审查签字 → 缺陷评估 → 报告——以该框架的 5 个组成部分、17 项原则和关注重点为依据。

• **本地：**通过 stdio 运行（npx @simonmak-ascent/coso-mcp）。
• **托管：**公共端点为 https://internal-control.ascent-partners.com/mcp （参考与读取工具，另有按会话临时创建的沙盒，可支持完整写入生命周期——不会持久保存任何内容）。

**不构成审计或法律建议。**此服务为内部控制审查方法提供辅助。所有工作底稿和评估在用于审计文档前，均须由合格的专业人员审核。

此项目的用途（竞争优势）

现有 MCP 服务要么公开供应商的 GRC 记录（以读取为主、专有且受产品形态限制），要么覆盖 ISO 27001 / 安全控制。没有任何服务能够执行可追溯的 COSO 审查。coso-mcp 是首个面向整个生命周期、原生支持 COSO/ICFR、支持写入且开源的 MCP。

维度	coso-mcp	供应商 GRC MCP（Workiva、Vanta、Drata、Optro、OpenPages、LogicGate…）	社区 MCP（iso27001-mcp、unidoc/isms、mcp-server-scf…）	AI 技能（sox-testing / audit-support）
原生支持 COSO ICIF-2013（5 个组成部分 / 17 项原则 / 关注重点）	✅ 核心引擎	❌ 产品对象	❌ 以 ISO/SCF 为核心	⚠️ 仅文本
完整生命周期直至签署工作底稿	✅	❌ 仅检索；Workiva GRC 工具为只读	❌ 最多支持规划/发现	⚠️ 模板，不可执行
支持写入/有状态的工作底稿 + 编制人/复核人签字 + 审计追踪	✅	❌ 以读取为主	❌	❌
框架有效性（原则/组成部分 已建立且有效运行）	✅	❌	❌	❌
确定性、可复现的计算（样本量表、带种子的抽选）	✅	部分支持	❌	❌（自由形式）
开源 + 开放访问（MIT、公共端点、无需账户）	✅	❌ 付费平台	⚠️ 部分开源	⚠️ 不是服务

**护城河：**它是生命周期层，而非数据层——可以构建于 Workiva/Vanta/Drata 之上，而非争夺其数据；其抽样和缺陷计算由程序完成，而非临时编造；开放性则带来零门槛分发，这是任何设有访问限制的供应商都无法比拟的。

工具

工具	类型	用途
get_server_info	read	服务身份、框架覆盖情况、免责声明。
list_components	read	五个 COSO 组件。
list_principles	read	17 项原则（可按组件筛选）。
get_principle	read	按编号或 slug 获取原则及其要点的释义。
get_component	read	按 ID 获取组件及其原则。
list_objective_categories	read	运营 / 报告 / 合规。
list_assertions	read	用于界定控制目标的 CEAVOP 认定。
create_engagement	write	创建审查项目。
get_engagement	read	按 ID 获取审查项目。
list_engagements	read	列出审查项目。
add_scope_item	write	将重要科目 / 流程纳入范围。
list_scope_items	read	列出范围项目。
register_risk	write	登记与目标相关的风险（可能性、认定、原则、舞弊）。
list_risks	read	列出已登记的风险。
register_control	write	登记控制（类型、频率、关联风险、认定）。
list_controls	read	列出已登记的控制。
get_audit_log	read	审查项目的仅追加审计事件。
compute_sample_size	read	根据频率 × 风险推荐样本量，并说明理由。
create_population	write	登记总体（项目列表或声明的规模，且有边界限制）。
list_populations	read	列出总体。
select_sample	write	使用带种子的方式，可复现地选择样本（随机 / 系统 / 定向 / 随意）。
record_test_result	write	记录属性级结果（通过 / 失败 / 不适用）及结论。
list_test_results	read	列出测试结果。
note_exception	write	记录异常及其根本原因和影响。
list_exceptions	read	列出异常。
assemble_workpaper	write	汇编 Markdown 控制测试工作底稿。
list_workpapers	read	列出工作底稿。
get_workpaper	read	获取工作底稿及其 Markdown 内容。
add_review_note	write	添加审阅者备注。
resolve_review_note	write	解决审阅者备注。
sign_off	write	编制人 / 审阅者签署（同一人签署时会提示独立性问题）。
get_activity_log	read	审查项目的仅追加活动日志。
classify_deficiency	write	对缺陷进行分类（缺陷 / 重大缺陷 / 重大弱点）。
list_deficiencies	read	列出缺陷。
aggregate_deficiencies	read	对可能汇总的缺陷进行分组和标记。
assess_principle	read	评估某一 COSO 原则的覆盖指标。
assess_component	read	评估某一 COSO 组件的覆盖指标。
framework_integration_check	read	检查五个组件是否均有覆盖。
generate_report	read	生成 Markdown 审查报告。

资源：coso://framework/icif-2013（框架参考）， coso://engagement/{id}（审查项目资料包：范围、风险、控制）。 提示词：scope-review、assess-risk、build-control-matrix、 draft-test-workpaper、evaluate-deficiencies。

使用方法

本地（stdio）

npx -y @simonmak-ascent/coso-mcp

Claude Desktop / 通用 MCP 客户端配置：

{
  "mcpServers": {
    "coso": {
      "command": "npx",
      "args": ["-y", "@simonmak-ascent/coso-mcp"]
    }
  }
}

托管（可流式传输的 HTTP）

https://internal-control.ascent-partners.com/mcp

托管端点开放。写入操作在临时、隔离、按会话限流的沙箱中运行，且不会持久化。

开发

计算在服务器上运行，绝不在本地运行：cs run "<cmd>"。

pnpm install
pnpm typecheck
pnpm test
pnpm test:coverage
pnpm build        # tsc

安全

请参阅 SECURITY.md。请私下报告漏洞——不要公开提交问题。

贡献

请参阅 CONTRIBUTING.md 和 行为准则。

许可证

MIT © Simon Mak / Ascent Partners Group Limited。