七个阶段，每一步都知道谁负责、交付什么。

1. 01

   需求沟通

   AssureLane30–60 分钟

   • 阅读客户条款、问卷或目标市场要求原文
   • 判断需要的是报告、证书、法律义务还是问卷答复
   • 初步确认实体、产品、系统和截止时间

   产出需求判断纪要：适用框架、优先级与建议路径

2. 02

   范围与方案

   AssureLane + 交付合作方视范围而定

   • 确定审核范围、报告类型或认证范围
   • 评估现有制度、工具与团队基础
   • 分列咨询、审计/认证、工具与差旅费用

   产出交付合作方出具的工作说明书与分项报价

3. 03

   差距评估

   交付合作方2–4 周

   • 逐项对照控制要求盘点现状
   • 识别制度、技术控制和证据的差距
   • 按风险和截止时间排定整改优先级

   产出差距评估报告与整改路线图

4. 04

   体系与控制建设

   交付合作方 + 你的团队1–4 个月

   • 制定和修订安全制度与流程
   • 协助落地访问管理、变更、日志、备份、供应商管理等控制
   • 建立证据目录与责任人

   产出制度文件、控制矩阵、证据清单

5. 05

   准备度评估

   交付合作方1–2 周

   • 按审计视角抽查控制与证据
   • 模拟审计问询，修正遗留问题
   • 与独立 CPA 或认证机构确认审核计划

   产出准备度评估结论与审核启动安排

6. 06

   独立审核

   独立 CPA / 认证机构按审核计划

   • SOC 2：CPA 执行鉴证并出具报告
   • ISO：认证机构执行第一、二阶段审核并作出认证决定
   • 审核期间由交付团队协助响应材料请求

   产出SOC 2 报告或 ISO 认证证书（由独立机构出具）

7. 07

   持续合规

   AssureLane + 交付合作方每年

   • SOC 2 Type 2 下一期间的控制运行与证据
   • ISO 年度监督审核与第三年再认证
   • 新客户问卷、信任中心与变更评估

   产出年度维护计划与审核延续

各阶段时长为常见区间，实际取决于范围、团队投入和现有基础；Type 2 报告还需要覆盖一段观察期。