Complians成熟度
1）目的和領域
「Compliance Maturity Model」 （Compliance Maturity Model）提供了一種通用語言,用於評估當前狀態、選擇優先級以及計劃過渡到下一層。出口是：- 按職能劃分的統一標準和指標；
- 評分和成熟熱圖；
- 與路線圖掛鉤（倡議→影響→證據）；
- 「審核就緒」確認進度。
2）成熟度模型（M0-M4）
3）評估域和標準
以0-4 （M0-M4）標度評估每個域。
1.政策與治理（政府）
M0： 分散無版本文檔
M1： 存儲庫、RACI、修訂日歷
M2： 映射到規範/管轄權，changelog，read-＆-attest
M3： 策略即代碼（標識符、控制狀態）、PR過程
M4： 自動本地化，推薦升級
2.控制和CCM
M0： 「紙質」檢查
M1： 控制列表、手動測試
M2： 指標/通行失敗報告，ToD/ToE
M3： 持續控制監控、CI/CD門、自動人工制品
M4： 謂詞檢查和自我保健門
3.隱私和數據（DSAR, rention, Legal Hold,跨境）
4.VRM/供應商（盡職調查、審計法、鏡像轉介、供應商評估）
5.許可證/認證（ISO/SOC/PCI；PBC準備）
6.AML/KYC/付款（規則，監視，chargeback，防凍劑）
7.事件/BCP/DR（花花公子，演習，mortem後→ CAPA，RTO/RPO）
8.學習和倫理（按角色/國家/地區，重新認證，whistleblowing）
9.跟蹤法律變化（雷達、警報、執行）
10.報告和行車記錄（KPI/KRI, risk heatmap, evidence completeness）
（對於每個域-應用類似的等級M0-M4.）
4）成熟度評分技術
4.1個個人評估
量表：0..4（M0.. M4）。
評估屬性：過程，工具，證據（40/30/30權重）。
4.2合並分數
MaturityScore_total = Σ (Weight_domain × Score_domain) / Σ Weight_domain推薦權重（示例）： 政府12%, Controls/CCM 15%, Privacy 10%, VRM 10%, Licenses 8%, AML/KYC 10%, Incidents/BCP 10%,培訓/道德8%,法律dates 7%, Reporting 10%
4.3個準備課程
1.5–2.5-黃色：穩定過程和指標。
5）自我評估過程（SOP）
SOP-1： 培訓
收集工件（策略、指標、審計報告、證據）→指定域所有者→調整權重。
SOP-2： 評估
采訪+采樣ToD/ToE →按屬性顯示0..4分數→固定來源（哈希收據）。
SOP-3： 校準
跨功能會議→消除差異→最終確定。
SOP-4： 出版和計劃
成熟熱圖→ 「Top-5插科打」→ 2-3季度的路線圖（史詩，KPI，國防部）。
SOP-5： 循環重復
在季度（或重大事件/監管變更之後）→對進度進行核對→更新Roadmap。
6）成熟的達什伯德
Maturity Heatmap：域×層（M0-M4顏色）。
Δ-progress： Q-Q的變化、封閉的插槽、實現的目標。
Controls/Evidence Readiness： pass-rate CCM和數據包完整性。
規則時鐘：規範與當前域級別的截止日期。
Vendor Mirror：關鍵提供商符合目標級別。
審核就緒索引：收集「審核包」的時間（目標是時鐘，不是天）。
7）與路線圖掛鉤
對於每個插槽，用DoD創建史詩： 從M1 → M2（隱私）過渡的DoD示例：- 具有版本和本地化的策略存儲庫；
- DSAR/retentia-p95度量，Alertes；
- WORM證據檔案；
- 以95%的read-&-attest進行角色培訓≥。
- Control statements в YAML;
- Rego/SQL CCM規則；
- CI/CD門；
- 通行/失敗報告和自動測試。
8）快速獲勝（快速獲勝）
從M0到M1：策略清單，所有者分配，基本RACI和修訂日歷。
從M1到M2：關鍵控制指標和KRI，WORM-evidence，計劃修訂，VRM問卷。
從M2到M3： policy -/assurance-as-code, CCM到IAM/回顧/營銷, CI/CD門版本。
從M3到M4：謂詞KRI，情景分析，推薦檢查計劃，自動重新設計課程。
9）核對清單範例（片段）
Governance (0..4):
- 具有版本和本地化的策略寄存器
- 政策與規範（司法管轄區，標準）的關系)
- 明確的RACI/DoA/SoD
- 委員會和會議日歷+議定書
[] Policy-as-code (ID, controls mapping)Controls/CCM (0..4):
- 控制目錄+ToD/ToE
- 度量/KRI,目標閾值
- CCM規則和通行證/失敗報告
- CI/CD門
- ≤ 4小時「審計包」
（為其余域復制結構。）
10）成熟度量和閾值
MaturityScore_total和跨領域。
Evidence Completeness（高風險域的目標100％）。
控制通行證（目標≥ 95％）。
Regulatory On-time (≥ 95%).
On-time CAPA (≥ 90–95% по Critical/High).
Vendor Certificate Freshness（至關重要的100％）。
培訓完成（≥ 98%的覆蓋面,≤ 5%的逾期）。
時間到審計就緒（時鐘）。
11）角色和責任（高級RACI）
12）反模式
沒有evidence和ToD/ToE的「眼評分」。
無控制/指標策略（反之亦然）。
一次性練習，沒有季度周期。
忽略VRM和Vendor鏡子。
Waivers沒有最後期限和補償措施。
追逐「綠色圖片」而不是減少殘留風險。
13）與風險和審計的聯系
風險熱圖應參考域的成熟度（低成熟度會增加Likelihood）。
外部/內部審核計劃使用成熟度級別來關註樣本。
成熟度進度記錄在「審核就緒」軟件包中：策略誹謗，CCM報告，度量，委員會協議，培訓證書，供應商確認。
14）12個月目標模型示例（片段）
15）工件模板
15.1個域名卡（YAML）
yaml domain: "Privacy"
owner: "Head of Privacy"
level_current: 2 level_target: 3 evidence:
- "hash://policy/privacy-v2. 1. pdf"
- "hash://metrics/dsar_sla_q3. csv"
gaps: ["No CCM by retention," "No automatic Legal Hold"]
initiatives:
- id: EP-PRIV-CCM-01 name: "CCM Retention & Deletion"
due: "2025-04-30"
dod: ["Rego rules", "Pass-rate ≥95%", "WORM exports"]
kpi:
- key: "dsar_response_p95_days"
target: 2015.2成熟度報告（單頁）
綜合分數和趨勢
前5名插科打和路線圖
對許可證/PII/財務的風險和影響
「管理層需要什麼」（解決方案/資源）
16）成熟度模型vs.投資
M0→M1：低成本，對罰款風險的快速影響。
M1→M2：平均投資、可預測性和"；可見性"；。
M2→M3：自動化資本投資→ TCO減少審計/事件。
M3→M4：分析/ML/KRI →領先風險管理。
17）相關文章wiki
合並路線圖
風險熱圖/風險評估和優先排序
連續合規性監控（CCM）
策略和規範存儲庫
以風險為導向的審計（RBA）
監管變更/跟蹤法律更新
合作夥伴合規指南（VRM）
補救計劃（CAPA）和重復審計
底線
Complians的成熟度水平將「以某種方式工作」轉變為可管理的改進計劃：商定的標準，可測量的步驟和可驗證的證據。這加快了解決方案的速度，降低了殘余風險，並使公司「隨時準備就緒」。