用途：本技能用于搭建内部风险管理（IRM）基线，即通过 Microsoft 365 与已连接源的信号检测、调查并处置内部高风险活动，包括离职人员数据窃取、敏感数据泄露与安全策略违规。适用于在法务、HR、隐私及（如适用）职工委员会参与并获得授权的前提下启动内部风险项目。不适用于 IRM 已运行后的风险自适应 DLP 设计（应使用 purview-advanced-dlp），也不同于一般通信合规。
主要能力：按关注点选择策略模板，如“离职用户数据窃取”（需 HR 连接器获取辞职/解雇事件）、“数据泄露”（通用/优先用户/不满用户）、“安全策略违规”、“风险 AI 使用”、“患者数据泄露”等。建议每季度选一个模板，调至可接受的信号噪声比后再加下一个；同时启用多个未调优模板会压垮审查者。
使用方式：先与法务、HR、隐私等利益相关方设计并记录合法监控依据，产出签署的范围文档（数据源、保留期、审查者角色）。配置 IRM 设置、启用所需指标（Office、设备、物理门禁连接器等），并通过 Microsoft 365 HR 连接器接入 HR 数据。选择并配置策略模板，先试点范围。启用用户名假名化，严格限制分析员/审查者角色（RBAC、职责分离），按需配置匿名化。之后进行告警分诊、建立案件、查看用户活动时间线，并按流程升级（如至 eDiscovery/HR）。调整指标阈值并记录调优决策，将 IRM 风险级别接入 Adaptive Protection。
限制与护栏：部署前需取得法务/HR/隐私批准；默认使用假名化与最小权限审查者，并分离分析员与调查员角色；避免告警过载，先聚焦单一业务单元或优先用户组；离职用户检测必须使用 HR 连接器；按法律要求记录 IRM 信号与案件保留期。常见反模式包括首日租户级全开模板、未接 HR 连接器、关闭假名化、单一角色组拥有全部权限、缺少向 HR/法务升级的路径。