# 持续合规与年度维护

> 第一份报告或证书只是开始。客户每年都会要最新的报告，认证机构每年都会来监督审核。我们帮你把合规变成日常节奏，而不是每年一次的突击。

来源页面: https://assurelane.ai/services/continuous-compliance/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 交付物

- 年度合规日历：控制执行、证据收集、审核节点
- 季度控制检查与证据完整性复核
- SOC 2 下一期观察期支持与 CPA 协调
- ISO 监督审核与再认证准备
- 变更影响评估：新产品、新供应商、新地区
- 新框架扩展规划（如 27701、42001、CSA STAR）
- 客户问卷答复与信任中心更新

典型周期: 按年度服务

## 需要你提供

- 合规负责人与各控制责任人
- 重大变更的及时通知

## 不包含

- CPA 与认证机构的审核费用（单列）

## 适合哪些情况

- 已完成首次 SOC 2 或 ISO 认证，需要维持报告和证书的连续性
- 团队缺少专职合规人员，控制执行依赖个别人
- 业务扩张到新产品、新地区，需要评估对认证范围和报告的影响
- 客户问卷和尽调请求越来越多

## 参考年度节奏

| 时间 | SOC 2 | ISO/IEC 27001 |
| --- | --- | --- |
| 每月 | 访问审查、变更与事件记录检查 | 同左 |
| 每季度 | 控制自查、证据完整性复核、供应商评估 | 内审计划执行 |
| 每年 | 风险评估更新、渗透测试、培训、观察期结束后 CPA 鉴证 | 管理评审、监督审核；第 3 年再认证 |

## 交付分工

年度维护由交付合作方承担，AssureLane 负责节奏管理与客户沟通。独立审核由 CPA 和认证机构执行。

## 常见问题

### 为什么第二年还需要外部支持？

第二年的难点是“持续运行”：人员流动、系统变化和业务扩张都会让控制失效。很多企业在第一次审核后松懈，导致第二份 SOC 2 报告出现例外事项或 ISO 监督审核开出不符合项。

## 参考来源

- [AICPA & CIMA — SOC 2](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2)
- [ISO — Certification](https://www.iso.org/certification.html)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。