合并路线图
1）任命和原则
Compliance Roadmap（Compliance Roadmap）路线图是12至24个月的地平线上的单一工作计划，与风险，许可证，产品战略和辖区要求相关。
原则：- 风险第一：对许可证、PII/财务、制裁和监管者时机的影响优先。
- 通过设计实现：工件和度量标准最初写入计划。
- Policy-/Assurance-as-code：控制要求和测试-作为代码。
- 一个主人：每个倡议都有所有者、SLA、预算和成功标准。
- 透明度：一般的后门、行车记录仪、常务委员会、升级。
2）地平线和计划结构
战略（12-24个月）：目标，许可证/认证（ISO/SOC/PCI等），监管截止日期，目标成熟度模型。
战术（季度，3-6个月）：史诗和发行：政治，控制，VRM，隐私，培训，审计准备。
运营（月/周）：ITSM/Jira、CCM规则、集成、数据迁移、培训中的任务。
工件："主题→ Epiki → Fichi →任务"地图，并参考风险，控制和指标。
3）计划组合（参考骨架）
1.Governance&Policy：存储库、分类、生命周期、本地化。
2.控制和CCM：控制声明目录,测试作为代码,与逻辑/度量标准集成。
3.隐私（DSAR/Retention/Legal Hold）：流程、工具、报告。
4.VRM/合作伙伴：尽职调查，镜像撤回，审计权，确认。
5.许可证/认证：审核计划，PBC清单，"审核包"。
6.AML/KYC/付款：规则，监视，充电包操作，报告。
7.培训和认证（LMS）：按角色/国家/地区分列的课程表，重新认证。
8.事件/BCP/DR：花花公子，RTO/RPO测试，验尸后→ CAPA。
9.跟踪法律变化和差异：雷达，优先级，执行。
10.分析和行车记录：KPI/KRI，风险热图，准备就绪。
4）优先排序和评估
方法：RICE+Risk，WSJF c risk adjustment，"影响×紧迫性×监管截止日期×依赖性"矩阵。
标准：- 许可证威胁/罚款/制裁（批评/高度/中等/低）。
- 受影响的辖区和客户群的规模。
- 有快速补偿措施。
- 成本/资源和关键路径。
退出：排名靠前，标有监管机构的截止日期和强制性审计。
5） RACI和管理
(R — Responsible;A — Accountable;C — Consulted;I — Informed)
6）依赖性和关键路径
监管截止日期和审计/认证窗口。
集成（SSO/逻辑/数据）和迁移。
合同升级（DPA/SLA/addendums）。
产品发行版和tehdolg（CI/CD锁定门）。
工具：甘特/PERT图表，"如果"情景，高风险缓冲区。
7）预算和资源
FTE/供应商时钟/许可证计划；Build/Buy/Partner拆分。
审计/pentest/法律服务准备金。
ROI/TCV：减少罚款/充电,加快审核,节省手动操作。
8) Policy-/Assurance-as-code
控制陈述和阈值在YAML/JSON（id，度量，threshold，来源）中。
具有版本和公关流程的存储库中的CCM（Rego/SQL）规则。
CI/CD门和自动反驳时间表；用于evidence的WORM存储。
9）米尔斯通和验收标准（DoD）
对于每个倡议：- 更新了带有版本和changelog 的策略/标准/SOP。
- 已实施的CCM控制/规则，pass-rate ≥目标。
- 带有哈希收据的证据（记录/卸载/截图）。
- 关于受影响角色的培训（LMS）和read-&-attest。
- 已确认的温多尔镜子（如果存在第三方）。
- 重新审核计划和观察30-90天（漂移检查）。
10）路线图的度量和KPI/KRI
时间里程碑（按街区），目标≥ 90-95％。
风险减少指数（累积风险∆）。
Controls Pass Rate和Evidence Completeness（强制性的100％目标）。
时间到审计就绪（收集"审计包"的时钟）。
Vendor Certificate Freshness（关键合作伙伴-100％）。
Training Completion и Refresher Lag.
Repeat Findings и CAPA On-time.
法规遵从性（在监管机构截止日期之前）。
11） Dashbords（最低设置）
路线图视图：史诗/街区，状态（计划→ Progress → Verify → Done）。
Risk Heatmap：倡议前/之后,剩余风险。
Controls＆Evidence：通行率，"红色"规则，完整性。
规则时钟：规范的截止日期，延迟的可能性。
VRM Mirror：确认提供商和子处理器。
培训和联系：按角色/国家/地区划分的覆盖范围和延迟。
12）通信和购买
史诗上的单一标题："什么/为什么/何时/成功标准"。
每周战斗节奏：状态/风险/阻滞剂的更新。
团队和地区的Q＆A频道和办公室时钟。
公共审计/截止日期日历。
13）路线图风险管理
计划风险登记册：概率/影响/触发/所有者。
补偿措施和到期日的Waivers。
在许可证/罚款威胁下的"停止"规则：委员会的快速决定。
定期进行re-baseline，并进行重大法律更改。
14） SOP（标准程序）
SOP-1： 制定路线图
要求收集（风险/监管/后验证/审计）→评分→ RICE/WSJF →委员会批准→发布路标。
SOP-2： 季度规划（PI规划）
史诗的解构→季度目标→依赖性/关键途径→发布和培训时段→预算协调。
SOP-3： Roadmap变更管理
变更请求（reason/impact） 风险/资源分析 委员会决定更新计划/dashbords。
SOP-4： 关闭倡议
国防部检查→收集事件包→记录课程→更新策略/控制库→重新审核计划。
15）工件模板
15.1史诗卡（示例）
ID/名称/司法管辖区/截止日期
业务目标和风险合理性
策略/控制/更改的SOP
成功指标和目标阈值
依赖性/关键路径
预算/资源/供应商
学习和沟通计划
国防部和事件清单
15.2季度Roadmap（网格）
15.3 Evidence Pack（目录）
1.Diff政治/控制→ 2） CCM报告→ 3） Logi/Screencasts → 4） LMS/attestations → 5）温多尔确认→ 6）委员会记录。
16）季度计划示例（片段）
Q1：策略存储库（M2），IAM/Retention的CCM启动，DSAR-SLA dashbord，boarding VRM，基本道德课程。
Q2： EEA/UK、Legal Hold和WORM归档的本地化、审计干运行、付费充电包流程。
Q3：ISO/SOC现场工作阶段认证，DR演习，反亲属规则和监控，合作伙伴离岸。
Q4：外部验证/复制,CAPA关闭,重新审核,refresh kurrikulum, 2026计划。
17）反模式
"Hotelock List"不带风险和截止日期。
没有可测量的控制和指标的策略。
没有事件和WORM的手动检查。
缺乏购买业务和地区。
没有培训/沟通→接受率低。
永恒的等待者，在没有风险分析的情况下携带。
没有re-audit →重复违规。
18）成熟度模型（M0-M4）
M0地狱临时：喷气式飞机,没有一般计划,"火灾"。
M1目录：计划列表，基本截止日期和所有者。
M2可管理：风险评分，季度计划，行车记录和事件。
M3集成：policy -/assurance-as-code, CI/CD门,"audit pack"按键,vendor镜子。
M4持续保证：预测KRI,自动规划,推荐优先级,持续验证。
19）相关文章wiki
策略和规范存储库
连续合规性监控（CCM）
跟踪法律更新/Alerta监管变更
KPI和合规度量
补救计划（CAPA）和重复审计
第三方审计员的外部审计
合作伙伴合规指南
保管证据和文件
底线
合并路线图是一个可管理的变更程序，其中风险和监管截止日期被转换为特定的史诗，控制和证据。通过这种方法，合规性变得可预测，可测量和可扩展-并且公司随时都会"试用"。