← 返回概念解读

Concept Fable精修版

合规映射

Compliance Mapping · Compliance

先读故事。这里不急着给定义,先让问题自己长出来。

寓言故事

三本律书压在桌上,真正有用的是那张对应图

三河镇的商队要同时经过盐关、木桥和边城。每处都有章程:盐关问袋数,木桥问车重,边城问货主姓名。商队过去靠老师傅记忆应付,换个领队就乱。

新领队第一次出发,把所有章程照抄成一大本。队员以为带着厚本就安心,结果到了盐关才发现,盐关要看的“袋数”其实对应仓库里的“封包编号”,两边叫法不同。

他赶紧在章程旁写注脚。可下一站又出问题:木桥说的“重车”按车轴算,商队账册按货箱算。注脚越写越多,仍然没人知道每条外部要求到底落在自家哪项记录、哪道动作、哪个负责人身上。

第二次修补是让每个关口各自准备材料。盐关一袋,木桥一袋,边城一袋。短期看方便,时间一长,同一批货在三套袋子里出现三种说法,查起来更危险。

老账房把章程摊在长桌上,一条条连线:盐关的袋数连到封包编号,木桥的车重连到装车单,边城的货主连到契约簿。每条线后面还写谁维护、何时更新、缺证怎么办。

商队这才发现,过关不是背章程,而是把外面的问法接到内部真实动作上。章程变了,只需检查受影响的线;内部流程改了,也能知道会碰到哪道关。

后来盐关改了章程,要求补看封口蜡印。若按旧办法,整队又要重学;有了连线册,账房很快知道它对应仓库出门前的封签动作,只需补齐那一处记录。老账房还要求每条线能被抽查。若盐关问到袋数,商队必须拿出对应封包、装车单和签收人;若木桥质疑车重,也能追到称重秤和当天记录。连线不能只画在纸上,还要能在现场被证明。新领队后来也能培训新人:先看外部要求,再找内部动作,最后找证据。顺序一对,厚章程就不再吓人。

后来新领队接手,只看连线册就能准备材料。它没有减少要求,却让每个要求有了落点。三河镇的人说,合规真正麻烦的地方,不在知道别人要什么,而在证明自己哪一步已经回应了它。

揭示

这个故事讲的是:合规映射

Compliance Mapping 是把法规、标准、客户要求或审计准则映射到企业内部控制、流程、证据和责任人的过程。它能避免重复建设,也能发现控制缺口。Agent 产品进入企业时,常要同时面对 SOC 2、ISO 27001、客户安全问卷、隐私要求和内部政策。合规映射把这些要求连接到具体的访问控制、日志、事件响应、数据处理、变更管理和文档证据上,使团队知道每项控制服务于哪些合规目标。

它重要的地方在于:它不只是一个术语,而是在真实 AI / Agent 系统里会反复出现的结构性问题。理解它,才能判断什么时候该加模型,什么时候该改流程,什么时候该补治理。

隐喻映射

  • 王宫、军营和商会规矩:不同标准、法规和客户要求
  • 各背一本:孤立处理合规要求
  • 更厚的一本:只合并文本但没有建立关系
  • 对应图:Compliance Mapping
  • 外部要求、内部控制、证据、责任人:映射的基本结构
  • 相同控制覆盖多条要求:减少重复建设
  • 缺口被圈出来:识别需要补建的控制

Soloharness 判断

这个概念的实战价值,是帮你把“看起来聪明的 AI 功能”拆成可交付、可验收、可治理的工作单元。

control frameworkevidenceSOC 2ISO 27001EU AI Act