第3章控制框架选型

核心议题： COSO、ISO 37301、NIST CSF 等主流框架的对比与选择策略，帮助组织在合规差距分析中精准定位控制基准。

三大主流控制框架：COSO · ISO 37301 · NIST CSF

框架多维对比

维度	COSO (ICIF / ERM)	ISO 37301	NIST CSF
发布机构	美国反虚假财务报告委员会	国际标准化组织	美国国家标准与技术研究院
核心焦点	内部控制 & 企业风险管理	合规管理体系 (CMS)	网络安全与隐私
结构特点	立方体 / 五要素 + 原则	PDCA 循环 + 领导力	五大核心职能
适用场景	财务报告、运营、合规	全领域合规体系	IT安全、关键基础设施
成熟度评估	支持 (通过要素)	内置成熟度模型	TIER 等级 (部分实施)
认证可能性	不提供认证	可认证 (CMS)	不提供认证

选择策略：决策流

框架选型决策流：根据合规成熟度选择起点

关键选择因素

行业监管 – 金融业倾向 COSO，关键基础设施倾向 NIST CSF。
认证需求 – 需要第三方认证则选 ISO 37301。
整合难度 – 已有内控体系可基于 COSO 扩展。
技术风险 – 高 IT 风险组织优先考虑 NIST CSF。
资源与预算 – ISO 37301 文档要求较高，需管理投入。

因素雷达 (示例)

映射示例：控制语句片段

以下展示如何将 ISO 37301 条款映射到 COSO 要素，便于差距分析时交叉引用。

{
  "mapping": [
    {
      "iso_ref": "ISO 37301:2021 条款 7.2",
      "title": "合规目标与策划",
      "coso_element": "控制环境 / 目标设定",
      "nist_csf": "ID.RM (风险管理)"
    },
    {
      "iso_ref": "条款 8.1 运行策划与控制",
      "title": "运行控制",
      "coso_element": "控制活动",
      "nist_csf": "PR.PT (保护过程)"
    }
  ]
}

混合框架策略

混合策略：COSO 作为内控骨架，ISO 37301 驱动合规体系，NIST CSF 强化网络安全

第3章 控制框架选型