3. 合规差距分析的核心要素
范围 · 基准 · 现状 · 差距 · 行动计划 —— 五大支柱构建完整分析闭环
合规差距分析并非漫无目的的检查，而是围绕五个紧密关联的核心要素展开：范围、基准、现状、差距、行动计划。理解这五个要素及其相互关系，是掌握差距分析实战技能的第一步。
3.1 范围 (Scope)
范围定义了分析的边界：哪些业务领域、流程、实体或法规纳入本次差距分析。清晰的范围能避免分析漫无边际，确保资源聚焦于高风险区域。
💡 关键问题： 我们分析的是整个组织，还是某个子公司、产品线或特定合规领域（如数据隐私、反贿赂）？
3.2 基准 (Baseline / Criteria)
基准是衡量合规的“标尺”，包括法律法规、行业标准、内部政策、最佳实践等。没有明确的基准，就无法判断是否存在差距。
| 基准类型 | 示例 |
|---|---|
| 法律法规 | 《个人信息保护法》、GDPR、反洗钱法 |
| 行业标准 | ISO 37301、PCI DSS、SOC 2 |
| 内部政策 | 员工行为准则、合规手册 |
| 合同承诺 | 客户协议中的安全条款 |
3.3 现状 (Current State)
现状是组织当前实际的合规表现。通过访谈、文件审阅、流程观察、技术测试等方式收集证据，客观描述“现在是什么情况”。
- 证据来源： 制度文件、操作记录、系统日志、人员访谈
- 常见陷阱： 过度依赖自我声明，缺少独立验证
3.4 差距 (Gap)
差距是基准与现状之间的差异。差距分析不仅要识别“有/无”，还要评估差距的严重程度、根本原因及潜在影响。
| 差距类型 | 描述 | 示例 |
|---|---|---|
| 完全缺失 | 基准要求存在，但组织未实施任何控制 | 未任命数据保护官（DPO） |
| 部分满足 | 控制存在但覆盖不全或设计不足 | 仅对部分员工进行合规培训 |
| 执行失效 | 控制设计合理但未有效运行 | 审批流程存在但经常被跳过 |
3.5 行动计划 (Action Plan)
差距分析的最终产出是一份可执行的行动计划，明确整改措施、责任人、资源、里程碑和验收标准。没有行动计划的差距分析只是纸上谈兵。
✅ 行动计划必备要素： 具体行动 · 负责人 · 截止日期 · 所需资源 · 成功指标
五个要素环环相扣：范围划定分析边界，基准提供衡量标准，现状反映真实情况，差距揭示改进机会，行动计划驱动落地。掌握这五个核心要素，你就掌握了合规差距分析的骨架。