适合哪些情况
- 已完成首次 SOC 2 或 ISO 认证，需要维持报告和证书的连续性
- 团队缺少专职合规人员，控制执行依赖个别人
- 业务扩张到新产品、新地区，需要评估对认证范围和报告的影响
- 客户问卷和尽调请求越来越多
参考年度节奏
| 时间 | SOC 2 | ISO/IEC 27001 |
|---|---|---|
| 每月 | 访问审查、变更与事件记录检查 | 同左 |
| 每季度 | 控制自查、证据完整性复核、供应商评估 | 内审计划执行 |
| 每年 | 风险评估更新、渗透测试、培训、观察期结束后 CPA 鉴证 | 管理评审、监督审核；第 3 年再认证 |
交付分工
年度维护由交付合作方承担，AssureLane 负责节奏管理与客户沟通。独立审核由 CPA 和认证机构执行。