Complians成熟度
1）目的和领域
"Compliance Maturity Model" （Compliance Maturity Model）提供了一种通用语言,用于评估当前状态、选择优先级以及计划过渡到下一层。出口是：- 按职能划分的统一标准和指标；
- 评分和成熟热图；
- 与路线图挂钩（倡议→影响→证据）；
- "审核就绪"确认进度。
2）成熟度模型（M0-M4）
3）评估域和标准
以0-4 （M0-M4）标度评估每个域。
1.政策与治理（政府）
M0： 分散无版本文档
M1： 存储库、RACI、修订日历
M2： 映射到规范/管辖权，changelog，read-＆-attest
M3： 策略即代码（标识符、控制状态）、PR过程
M4： 自动本地化，推荐升级
2.控制和CCM
M0： "纸质"检查
M1： 控制列表、手动测试
M2： 指标/通行失败报告，ToD/ToE
M3： 持续控制监控、CI/CD门、自动人工制品
M4： 谓词检查和自我保健门
3.隐私和数据（DSAR, rention, Legal Hold,跨境）
4.VRM/供应商（尽职调查、审计法、镜像转介、供应商评估）
5.许可证/认证（ISO/SOC/PCI；PBC准备）
6.AML/KYC/付款（规则，监视，chargeback，防冻剂）
7.事件/BCP/DR（花花公子，演习，mortem后→ CAPA，RTO/RPO）
8.学习和伦理（按角色/国家/地区，重新认证，whistleblowing）
9.跟踪法律变化（雷达、警报、执行）
10.报告和行车记录（KPI/KRI, risk heatmap, evidence completeness）
（对于每个域-应用类似的等级M0-M4.）
4）成熟度评分技术
4.1个个人评估
量表：0..4（M0.. M4）。
评估属性：过程，工具，证据（40/30/30权重）。
4.2合并分数
MaturityScore_total = Σ (Weight_domain × Score_domain) / Σ Weight_domain推荐权重（示例）： 政府12%, Controls/CCM 15%, Privacy 10%, VRM 10%, Licenses 8%, AML/KYC 10%, Incidents/BCP 10%,培训/道德8%,法律dates 7%, Reporting 10%
4.3个准备课程
1.5–2.5-黄色：稳定过程和指标。
5）自我评估过程（SOP）
SOP-1： 培训
收集工件（策略、指标、审计报告、证据）→指定域所有者→调整权重。
SOP-2： 评估
采访+采样ToD/ToE →按属性显示0..4分数→固定来源（哈希收据）。
SOP-3： 校准
跨功能会议→消除差异→最终确定。
SOP-4： 出版和计划
成熟热图→ "Top-5插科打"→ 2-3季度的路线图（史诗，KPI，国防部）。
SOP-5： 循环重复
在季度（或重大事件/监管变更之后）→对进度进行核对→更新Roadmap。
6）成熟的达什伯德
Maturity Heatmap：域×层（M0-M4颜色）。
Δ-progress： Q-Q的变化、封闭的插槽、实现的目标。
Controls/Evidence Readiness： pass-rate CCM和数据包完整性。
规则时钟：规范与当前域级别的截止日期。
Vendor Mirror：关键提供商符合目标级别。
审核就绪索引：收集"审核包"的时间（目标是时钟，不是天）。
7）与路线图挂钩
对于每个插槽，用DoD创建史诗： 从M1 → M2（隐私）过渡的DoD示例：- 具有版本和本地化的策略存储库；
- DSAR/retentia-p95度量，Alertes；
- WORM证据档案；
- 以95%的read-&-attest进行角色培训≥。
- Control statements в YAML;
- Rego/SQL CCM规则；
- CI/CD门；
- 通行/失败报告和自动测试。
8）快速获胜（快速获胜）
从M0到M1：策略清单，所有者分配，基本RACI和修订日历。
从M1到M2：关键控制指标和KRI，WORM-evidence，计划修订，VRM问卷。
从M2到M3： policy -/assurance-as-code, CCM到IAM/回顾/营销, CI/CD门版本。
从M3到M4：谓词KRI，情景分析，推荐检查计划，自动重新设计课程。
9）核对清单范例（片段）
Governance (0..4):
- 具有版本和本地化的策略寄存器
- 政策与规范（司法管辖区，标准）的关系)
- 明确的RACI/DoA/SoD
- 委员会和会议日历+议定书
[] Policy-as-code (ID, controls mapping)Controls/CCM (0..4):
- 控制目录+ToD/ToE
- 度量/KRI,目标阈值
- CCM规则和通行证/失败报告
- CI/CD门
- ≤ 4小时"审计包"
（为其余域复制结构。）
10）成熟度量和阈值
MaturityScore_total和跨领域。
Evidence Completeness（高风险域的目标100％）。
控制通行证（目标≥ 95％）。
Regulatory On-time (≥ 95%).
On-time CAPA (≥ 90–95% по Critical/High).
Vendor Certificate Freshness（至关重要的100％）。
培训完成（≥ 98%的覆盖面,≤ 5%的逾期）。
时间到审计就绪（时钟）。
11）角色和责任（高级RACI）
12）反模式
没有evidence和ToD/ToE的"眼评分"。
无控制/指标策略（反之亦然）。
一次性练习，没有季度周期。
忽略VRM和Vendor镜子。
Waivers没有最后期限和补偿措施。
追逐"绿色图片"而不是减少残留风险。
13）与风险和审计的联系
风险热图应参考域的成熟度（低成熟度会增加Likelihood）。
外部/内部审核计划使用成熟度级别来关注样本。
成熟度进度记录在"审核就绪"软件包中：策略诽谤，CCM报告，度量，委员会协议，培训证书，供应商确认。
14）12个月目标模型示例（片段）
15）工件模板
15.1个域名卡（YAML）
yaml domain: "Privacy"
owner: "Head of Privacy"
level_current: 2 level_target: 3 evidence:
- "hash://policy/privacy-v2. 1. pdf"
- "hash://metrics/dsar_sla_q3. csv"
gaps: ["No CCM by retention," "No automatic Legal Hold"]
initiatives:
- id: EP-PRIV-CCM-01 name: "CCM Retention & Deletion"
due: "2025-04-30"
dod: ["Rego rules", "Pass-rate ≥95%", "WORM exports"]
kpi:
- key: "dsar_response_p95_days"
target: 2015.2成熟度报告（单页）
综合分数和趋势
前5名插科打和路线图
对许可证/PII/财务的风险和影响
"管理层需要什么"（解决方桉/资源）
16）成熟度模型vs.投资
M0→M1：低成本，对罚款风险的快速影响。
M1→M2：平均投资、可预测性和"；可见性"；。
M2→M3：自动化资本投资→ TCO减少审计/事件。
M3→M4：分析/ML/KRI →领先风险管理。
17）相关文章wiki
合并路线图
风险热图/风险评估和优先排序
连续合规性监控（CCM）
策略和规范存储库
以风险为导向的审计（RBA）
监管变更/跟踪法律更新
合作伙伴合规指南（VRM）
补救计划（CAPA）和重复审计
底线
Complians的成熟度水平将"以某种方式工作"转变为可管理的改进计划：商定的标准，可测量的步骤和可验证的证据。这加快了解决方案的速度，降低了残余风险，并使公司"随时准备就绪"。