用途：面向 GDPR、HIPAA、PCI DSS、SOC 2、ISO 27001 等主要框架的系统化合规审计，覆盖证据自动收集、控制映射、差距分析与整改规划。适用场景包括合规评估、外部审计或认证准备、控制框架搭建与验证、证据收集与审计轨迹维护、差距分析、整改计划制定、第三方供应商合规评估。
主要能力：按七阶段流程组织工作——范围界定、现状评估、证据收集、差距分析、整改规划、报告与持续监控。范围阶段确定数据类型（PII、PHI、持卡人数据）、适用司法辖区与已有认证；评估阶段清点技术、管理与物理控制并映射到框架要求，执行数据流分析、合法依据与跨境传输机制审查、策略审查；证据阶段自动导出云与基础设施配置、访问控制清单、日志留存与监控面板、漏洞扫描与补丁状态、培训记录、事件响应测试结果，并按 evidence/{framework}/{control-id}/ 组织产物。差距分析对每项要求标记控制覆盖（完整、部分、无），评估有效性并按风险影响与可能性评分，归类为文档、流程、技术或培训差距。整改计划含差距 ID、框架条款、现状、目标状态、整改动作、责任人、优先级（P0-P4）、时间线和依赖。报告输出执行摘要、技术发现、风险矩阵、整改路线图、证据包与合规声明；监控阶段配置漂移检测扫描、降级告警阈值、周期性重评、进度跟踪与指标仪表盘。
必要用法：项目提供三份参考文件，按需加载——references/frameworks.md（适用法规判断时）、references/evidence-collection.md（搭建或运行证据收集时）、references/gap-analysis.md（分析合规差距时）。核心原则包括以证据而非声明为准、优先自动化、基于风险排序、持续合规态势与纵深防御。
限制：公开资料未提供具体安装命令、运行环境、定价与许可信息；实际落地效果取决于组织自身控制与数据环境。