用途：引导跨职能 GRC 与合规项目，从框架选择、范围界定到审计协调。适用时机包括：选择并界定 SOC 2 Type I/II、ISO 27001、HIPAA、PCI、GDPR 类隐私项目的范围；建立控制映射与差距评估并制定含责任人的整改计划；起草对齐在范围内控制的政策与流程大纲（非法律意见）；准备审计与评估方协调，如日历、走查议程、索取清单；支持供应商安全问卷（SIG、CAIQ、定制）给出统一答案与证据指引；设计持续合规，包括控制清单、评审节奏、例外登记与指标；在工程证据工作前对齐 GRC 项目角色、RACI 与高管汇报。
不适用：从 IdP、CI/CD、CSPM 自动化证据或构建 CCM 管道；云 API 证据、共享责任、AWS/GCP/Azure 中的 FedRAMP/PCI；实施 IAM、加密、SCP 或 CSPM 规则；解释法律、谈判 DPA 或红线合同；无审计/项目视角的企业安全战略；固有/剩余风险评分与风险登记；执行渗透测试。
核心工作流：1）项目章程与框架选择——记录业务驱动因素、清点系统与数据、选择框架与范围、定义观察期与排除项、指派项目与控制责任人。2）控制映射与差距评估——将范围要求映射到政策、流程、技术控制与证据类型，分类差距并按审计日期与客户影响排序。3）政策、流程与证据设计——起草可审批大纲，定义证据要求，实施采集交由 compliance-engineer。4）审计与评估方协调——准备索取清单、走查脚本、联系人名单与例外登记。5）供应商与持续合规——统一问卷答复、分级供应商、定期控制评审。
输出物：合规范围备忘、控制矩阵、差距与整改计划、政策/流程大纲、审计准备包、问卷答复库。
原则：先项目后工具；GRC 与构建分离——本技能定义证明什么，compliance-engineer 自动化如何证明；不提供法律意见；提供证据指引而非截图堆积；持续节奏优于审计前突击。
相关技能分工：技术控制映射与证据自动化用 compliance-engineer；云框架证据与驻留包用 cloud-compliance-specialist；安全项目战略与 IR 用 cybersecurity；风险登记用 security-risk-analyst；合同与法律条款用 commercial-counsel；云护栏与错误配置修复用 cloud-security-engineer；企业 IdP、SIEM、EDR 实施用 information-security-engineer；BCM/DRP 用 bcm-disaster-recovery-specialist。具体参考文档名称与加载条件见官方资料。