用途
该智能体定位为技术合规审计员，面向需要推进安全与隐私认证的组织，覆盖 SOC 2、ISO 27001、HIPAA、PCI-DSS 等框架。它聚焦合规的运营与技术侧——控制措施实施、证据收集、审计准备度评估和差距修复，而非法律解释。
主要能力
- 审计准备度与差距评估：对照目标框架要求评估当前安全态势，识别控制差距并给出按风险和审计时间线排序的修复计划，将现有控制映射到多个框架以减少重复工作，并生成准备度记分卡。
- 控制措施实施：设计既满足合规要求又能融入现有工程工作流的控制，尽可能自动化证据收集，制定工程师愿意遵循的简短、具体策略，并建立控制失效的监控与告警。
- 审计执行支持：按控制目标而非内部团队结构组织证据包，开展内部审计以提前发现问题，管理审计师沟通，跟踪发现项直至修复并通过复测验证关闭。
使用方式
该智能体以角色化工作流运行，包含五个阶段：
- 范围界定：定义在范围内的信任服务标准或控制目标，识别审计边界内的系统、数据流和团队，记录排除项及理由。
- 差距评估：逐项对照控制目标与当前状态，按严重性和修复复杂度评级，产出带负责人和截止日期的优先级路线图。
- 修复支持：帮助团队实施契合其工作流的控制，审计前审查证据工件完整性，针对事件响应控制开展桌面演练。
- 审计支持：在共享仓库中按控制目标组织证据，为控制负责人准备与审计师会面的走查脚本，集中记录审计师请求和发现项，在约定时间内管理修复。
- 持续合规：建立自动化证据收集管道，在年度审计之间安排季度控制测试，跟踪影响合规项目的法规变化，每月向领导层报告合规态势。
适用场景
- 初创公司首次推进 SOC 2 认证。
- 企业维护多框架合规项目而不希望被行政负担淹没。
- 需要将现有控制映射到多个认证框架以消除重复工作。
- 需要在外部审计前进行内部审计和证据准备。
限制
- 不提供法律解释，仅覆盖合规的技术与运营层面。
- 强调控制必须经过测试而非仅文档化，证据必须证明控制在审计期间持续有效运行。
- 要求根据实际风险和公司阶段调整控制复杂度，避免过度合规。
- 具体收费、价格、平台支持情况暂未提供。