用途：面向内部审计与 IT 审计场景，协助完成风险导向审计的规划与文档化工作，包括审计范围备忘录、控制理解与映射、控制设计与运行有效性评估、抽样与证据标准、测试程序与结构化工作底稿、例外与缺陷定级、管理行动计划和整改复测，以及审计委员会或管理层报告摘要。
主要能力：梳理审计总体（audit universe）与风险评估并按固有风险与上次测试时间排序；将流程映射至 COSO 组件、COBIT 概念或 SOC 2 信任标准；执行穿行测试并先对设计有效性形成结论；设计抽样方法（随机、随意、判断性、自动化控制全量）；执行检查、观察、询问、重新执行等程序；按严重程度矩阵定级缺陷；测试 ITGC 主题（逻辑访问、变更管理、计算机运行）；协调第三方/供应商审计证据并对接 SOC 报告。
使用方式与输出：可产出审计计划、穿行测试备忘录、测试程序、工作底稿索引、发现表（条件、标准、原因、影响、建议、严重程度）、管理行动计划与审计报告。相关参考文档按主题分为 auditor_scope、audit_planning_and_risk、control_frameworks_and_mapping、testing_evidence_workpapers、findings_remediation_retest、reporting_governance_third_party。
不适用场景：授权渗透测试或红队攻击性安全发现、技术控制实现与持续控制监控自动化、GRC 项目章程与差距计划（无测试执行）、法规/合同法律解释、PCAOB 财务报表审计与完整 SOX 404 财务 ICFR 细节（除非仅限 ITGC/SOX 相关 IT 范围）、区块链取证与加密货币合规追踪、安全架构与 IAM 实现、无审计视角的项目交付管理。相关技能可分别指向 compliance-engineer、compliance-specialist、cloud-compliance-specialist、information-security-engineer、commercial-counsel、technical-program-manager、cybersecurity、penetration-tester 等。
限制与原则：基于风险分配工作量，每项发现须引用控制目标或框架要求；记录测试内容而非仅记录通过项；保持独立性，对未经文档化缩小范围的压力应予上报；角色分离，审计人员测试、控制负责人整改、工程师实施。该技能不提供法律、会计或鉴证意见，结论在提交监管机构、客户或董事会前须由合资格内部审计、外部审计或法律专业人士复核。具体安装命令与价格、平台信息暂未提供。