用途：评估 SOC 2 Type II 审计就绪度，适用于首次 SOC 2 准备、审计前 4-8 周检查、范围变更后的差距分析、整改规划，以及与 ISO 27001 的双框架映射。不适用于 ISO 27001 内部审计、证据收集机制或合同审查。
主要能力：围绕 5 类 Trust Services Criteria（Security CC 必选，Availability、Processing Integrity、Confidentiality、Privacy 按服务可选）逐条评估控制是否已设计、已实施、有效；将 CC 1-9 映射到 NIST SP 800-53 控制并交叉引用 ISO 27001 Annex A；生成差距分析与按 Critical/High/Medium/Low 排序的整改计划；输出含执行摘要、范围、控制矩阵、差距、时间线的就绪度报告。
使用方式：先定义被审计服务、信任类别、系统边界、子服务组织及审计类型（Type I 或 Type II）；再评估现状、映射控制、编写差距文档、制定整改计划、生成报告。若 Internal ISO Audit MCP 服务器可用，可调用 list_controls、get_control_guidance、get_nist_mapping、search_guidance 等命令辅助查询；否则使用 rules/ 目录下的参考清单。
限制：仅提供 Markdown 流程指引，不执行脚本、不需密钥；证据保存在本地文件系统；AICPA 标准为公开引用，描述为原创。具体收费、价格、平台支持与效果资料暂未提供。