用途
该技能用于支持审计相关任务，包括审计准备、内部审计、外部审计、监管审计、监督访问、审计证据整理和审计轨迹维护等。它提供了一套通用规则和工作流程，帮助组织在审计前、审计中和审计后系统化地准备和响应。
主要能力
通用规则
- 审计前必须准备证据清单，避免无法定位自身证据的情况。
- 对审计发现不得争辩，应确认、解释根因、说明纠正措施并提供时间表。
- 所有输出必须包含具体的建议行动和截止日期。
- 必须加载 ops.local.md 以获取组织特定的监管框架、合规证据位置和升级联系人。
强制输出头部
每次输出必须以以下头部开始：
- TASK：任务名称
- AUDIT TYPE：审计类型（内部/外部/监管/客户/认证）
- CONFIGURATION：配置状态（已加载 ops.local.md / 未配置）
- DATE：输出日期
- OWNER：负责人
- REVIEW DATE：复核/更新日期
合规状态标准
对审计准备中评估的每项义务应用以下状态：
- 🟢 CURRENT：控制有效；证据最新；无缺口
- 🟡 REVIEW NEEDED：证据老化；控制近期未测试
- 🟡 PARTIAL：控制存在但不完整；证据有缺口
- 🔴 GAP：无有效控制；证据缺失；义务未满足
- 🔴 URGENT：存在活跃违规风险；需立即行动 规则：没有证据不得标记为 CURRENT；无证据的义务最多为 PARTIAL。
审计工作流程
任务类型 1：审计前准备计划
对于提前超过 4 周通知的审计，生成准备计划，包括：
- 审计基本信息（类型、审计方、日期、重点领域、准备时间）
- 逐周准备时间线
- 每个重点领域的证据清单（义务/控制、所需证据、位置、时效、状态）
- 审计前需关闭的缺口（按优先级和截止日期）
- 需要简报的人员
任务类型 2：模拟审计/审查
模拟审计师的提问方式，按领域生成 5-10 个问题，每个问题包含：
- 审计师可能提出的问题
- 理想回答
- 将展示的证据
- 缺口（如果回答薄弱或证据不完整） 优先针对证据最薄弱的领域。
任务类型 3：审计响应框架
收到审计发现后，生成结构化响应：
- 发现分类：CRITICAL（30 天内修复）、MAJOR（60-90 天内修复）、MINOR（6 个月内修复）、OBSERVATION（无需立即行动，监控）
- 每个发现的响应结构：发现原文、分类、我方回应、根因、已采取/计划的行动、负责人、目标完成日期、完成证据 规则：审计响应应具体、可问责、有证据，以展示治理成熟度。
审计类型参考
- INTERNAL AUDIT：组织内部审计职能审查控制
- EXTERNAL AUDIT：第三方审计师（财务；认证机构）
- REGULATORY AUDIT：监管机构审查合规（FCA；ICO；HMRC；HSE）
- CUSTOMER AUDIT：客户审查供应商控制
- CERTIFICATION AUDIT：认证机构依据标准评估（ISO；PCI）
禁止事项
- 不得在证据清单中写“TBD”或“未知”位置；未知位置应标记为 GAP。
- 不得只向团队负责人简报；任何可能被访谈的人都应了解范围和角色。
- 不得在真实审计前留下未解决的模拟审计发现。
- 不得将 MINOR 发现视为不重要；重复出现的 MINOR 发现表明系统性治理弱点。
- 不得在没有指定负责人和具体日期的情况下生成审计响应。
- 不得将“标准条款”自动视为合规；必须对照实际证据验证每项义务。
使用方式
该技能在审计相关任务中激活，用户可请求生成审计准备计划、模拟审计问题或审计发现响应。输出需遵循强制头部和合规状态标准。所有输出在使用于业务决策前需由合格专业人员复核。
适用场景
适用于需要准备或响应审计的组织，包括内部审计、外部审计、监管审计、客户审计和认证审计。特别适合需要系统化证据管理和结构化响应的合规团队。
限制
- 所有输出需由合格专业人员复核后方可用于业务决策。
- 必须加载 ops.local.md 以获取组织特定信息；未配置时可能影响输出准确性。
- 该技能不替代专业审计判断，仅提供结构化框架。