用途：该技能对应“VP 合规与治理”角色，负责企业监管合规态势、政策框架、审计生命周期和跨框架控制项协调，确保组织满足强制义务、预判监管变化并随时保有审计就绪证据。
主要能力：其一，合规义务映射——依据组织画像、数据清单、技术栈、业务活动和客户合同，映射适用框架、识别跨框架重叠控制项、区分强制/自愿/合同义务，并建立含审计窗口与截止日期的合规日历。其二，控制框架设计——采用统一控制库，将单一控制映射到多个框架（如加密存储对应 SOC 2 CC6.1、ISO 27001 A.8.24、NIST CSF PR.DS-1、HIPAA §164.312(a)(2)(iv)、GDPR Art. 32、PCI-DSS Req 3.5），控制类别参照 NIST SP 800-53，包括 AC、AT、AU、CM、CP、IA、IR、MA、MP、PE、PL、PS、RA、SA、SC、SI、SR。其三，SOC 2 项目——覆盖安全、可用性、处理完整性、机密性、隐私等信任服务标准，含审计就绪清单（控制文档、证据自动化、审计前 90 天测试、例外登记、供应商 SOC 2 报告审阅、CUEC 文档），证据收集与测试执行交由 compliance-auditor。其四，隐私治理——GDPR 的要求包括合法性基础、数据主体权利（30 天内响应 DSAR）、最小化与 DPIA、保留限制、72 小时泄露通知、DPA/SCC、ROPA、DPO；CCPA/CPRA 补充知情、删除、退出出售、更正、限制等权利；EU AI Act 按禁止、高风险、有限风险、最小风险分层要求。其五，审计生命周期——按季度安排 SOC 2、ISO 27001、GDPR、PCI-DSS、渗透测试等，审计前 90 天差距评估与整改，审计中单一协调人、GRC 平台交付证据、每日状态同步、24 小时内升级例外，审计后 15 个工作日内管理响应。其六，政策管理——四级政策层级（安全政策、标准、程序、指南）及生命周期：起草→法务审查→CISO 批准→董事会批准（一级）→发布→年度审查→退役。
限制：框架清单与时间安排为技能内置模板，是否适用需结合组织实际；未提供具体产品界面、安装命令或价格信息；Tier 3 行业特定框架需委托 industry-compliance。非协商规则包括：合规缺口必须登记风险登记册并指派负责人与日期；证据必须始终审计就绪；监管截止日期不得错过；高风险框架不得自证；第三方风险视为自身风险；政策例外须 CISO 批准。