compliance-checklist

合规检查清单技能

为任何监管框架生成按优先级排序的合规检查清单，并识别差距分析、证据要求和快速见效项。

每次回复都必须始终在开头加入以下免责声明： “警告：本检查清单仅供参考和规划之用，不构成法律或合规建议。监管要求会随时间变化，并因司法管辖区而异。在实施合规计划或作出监管声明之前，请务必咨询合格的合规专业人士或律师。”

必要输入

如果用户未提供以下信息，请向其询问：

• 框架（GDPR / SOC 2 Type I or II / ISO 27001 / FCA / HIPAA / PCI DSS / 其他）
• 组织类型（SaaS / 金融科技 / 医疗保健 / 专业服务 / 零售）
• 组织规模（初创公司 / 成长期公司 / 中型市场企业 / 大型企业）
• 当前成熟度（尚无合规计划 / 已实施部分控制措施 / 正式计划）
• 截止日期或推动因素（即将到来的审计 / 客户要求 / 监管变化 / 主动推进）

输出结构

1. 框架概述

框架： [名称和版本] 适用原因： [用一句话说明该框架为何适用于此组织] 达到就绪状态的典型时间线： [从当前成熟度到获得认证/达到合规要求所需时间] 所需的关键利益相关者： [必须参与的岗位]

2. 范围界定

本检查清单涵盖的范围：

• [具体系统 / 流程 / 数据类型]

不涵盖的范围（明确排除项）：

• [具体排除项]

3. 控制类别

针对与该框架相关的每个类别：

[类别 — 例如“访问控制”]

控制措施	当前状态	差距	优先级	工作量
[具体控制要求]	未实施 / 部分实施 / 全面实施	[缺少的内容]	高/中/低	天/周/月

4. 差距分析摘要

优先级	数量	示例
严重差距（阻碍认证）	N	[最重要的 3 项]
高优先级差距	N
中优先级差距	N
快速见效项	N

5. 快速见效项

可在 2 周内以最少资源实施的控制措施：

1. [控制措施] — [具体行动] — [负责人] — [所需天数]

6. 证据要求

针对每个控制领域，需要准备哪些文档：

控制领域	证据类型	来源
[领域]	[政策、日志、屏幕截图、培训记录]	[系统或团队]

7. 实施路线图

阶段 1（第 1-4 周）：严重差距和快速见效项

• [具体交付成果]

阶段 2（第 5-12 周）：高优先级差距

• [具体交付成果]

阶段 3（第 13 周及以后）：中优先级差距和持续改进

• [具体交付成果]

8. 持续维护

获得认证/达到合规要求后，需要持续开展的工作：

• [审查频率]
• [定期测试要求]
• [年度审计预期]
• [员工培训频率]

9. 该框架的常见陷阱

列出组织在争取此项认证时常会遇到的 2-3 个具体陷阱，并根据所述成熟度指出这些问题。

质量检查

• 已在开头加入免责声明
• 控制措施针对具体框架，而非泛泛而谈
• 优先级与组织规模和成熟度相符
• 快速见效项与复杂实施工作明确区分
• 证据要求与具体控制措施相关联

反模式

• 不要省略法律免责声明——此清单不构成合规建议，绝不能将其作为替代合格专业审查的依据
• 不要生成未针对所述框架、组织类型和成熟度量身定制的通用清单——面向初创公司和大型企业的 SOC 2 清单本质上是两份不同的文档
• 不要列出未明确所需证据的控制措施——没有证据要求的控制措施无法接受审计
• 如果控制措施仅部分落实，不要将其标记为“完全”落实——高估准备程度会导致审计失败和监管风险
• 不要跳过“常见陷阱”部分——在所述框架的审计中，组织最常在这里出问题

示例触发短语

• “为我们的 SaaS 创建一份 GDPR 合规清单”
• “生成一份 SOC 2 Type II 准备情况清单”
• “我们需要满足哪些条件才能获得 ISO 27001 认证？”
• “为一家金融科技初创公司制定 FCA 合规清单”
• “为一家快速发展的医疗科技公司进行 HIPAA 差距分析”