# 客户化决策清单（阶段 B）

> 基于阶段 A 诊断结果做"必改 / 可保留 / 可选"三档分流
> 我方负责人 + 对方 CTO + 对方合规负责人 + 对方主理人 **四签** 生效
> 不签字 → 不进阶段 C

---

## 决策矩阵

### L6 · 治理层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 技术委员会 | 4 人，双周例会 | **必有**（人数按团队规模） | 你方 ___ 人 / ___ 周频次 |
| 合规委员会 | 5 人，月度例会 | **必有**（涉合规行业） | 你方 ___ 人 / ___ 月频次 |
| Skill Owner 制度 | 每 Skill 一 Owner | **必有** | 谁是 Skill Owner 招募负责人：___ |
| 章程 | 我方 2 份 | **可定制**（按你方治理习惯） | 直接 fork / 重写 / 引用 |
| 双重否决权 | 技委 ↔ 合规委 | **必有** | 你方表述：___ |

### L5 · 合规层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 数据分级 L1-L4 | HIPAA + PIPL 框架 | **看你的监管约束**：若仅 PIPL → 保留 L1-L4；若纯院内 → 简化为 L1-L3 | 你方决定：___ |
| PHI 字段词典（fields.yml） | 31 字段 | **必改**（按你业务字段） | 你方 ___ 字段，由 Data Steward 维护 |
| 模型 allowlist | 5 task_type | **必改**（按你模型选型） | 你方厂商：___ |
| 审计保留期 | 6 年（HIPAA） | **按你监管约束** | PIPL 至少 ___ 年 |
| 异构性强制（Reviewer/Compliance ≠ Coder） | 必备 | **必有** | 你方异构源：___ |
| KMS / WORM | 必备 | **必有**（M3 上线前必备） | 你方厂商：___ |
| 红队样本集 | 12 类向量 + 20 样本 | **必改**（按你业务字段） | 由你方 Data Steward + Compliance Officer 起草 |

### L4 · SOP 层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 12 步主 SOP | 完整 | **保留主结构**；步骤数可微调 | 你方步骤数：___ |
| 5 步 micro 通道 | sop_router 自动判定 | **强烈建议保留**（避免 NPS 18） | 是否启用：___ |
| Step 0 合规预检 | 必备 | **必有** | — |
| Step 10 合规审查 Gate | 必备 | **必有** | — |
| Step 12 审计冻结 | AUDIT_BUNDLE | **必有** | — |
| 任务文档中文命名 | 是 | **可选**（按你方语言习惯） | 你方约定：___ |
| 单任务 ≤ 2 文件 | 是 | **强烈建议保留** | 是否调整：___ |

### L3 · Skill 层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 合规 5 Skill | compliance-precheck / phi-desensitize / compliance-review / audit-snapshot / memory-curate | **必有**（直接 fork） | — |
| 通用 16 Skill | PRD / TDD / OpenSpec / debug 等 | **可保留**（按你方流程裁剪） | 删减清单：___ |
| quick-fix micro Skill | 是 | **强烈建议保留** | 是否启用：___ |
| routing-evals.json | 5 个高混淆 Skill 有 | **必改**（按你方实际触发样本） | 由 Skill Owner 在第 30 天后开始累积 |

### L2 · Harness 层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 8 个 MCP server | 全套 | **看你方阶段**：M1 只需 3 个（phi-detector/desensitize/model-router） | 你方阶段 M1-M3 上线哪几个：___ |
| Hook 6 个 | UserPromptSubmit×2 / PreToolUse / PostToolUse / SessionStart / Stop | **必有** | 是否直接 fork：___ |
| Hook 模式 warn → block 切换时机 | M3 起 block | **按你方风险偏好**（建议 M2 末切） | 你方切换日期：___ |
| 6 Sub-agent 配置 | 全套 | **保留**（占位足够，按需启用） | M1 阶段启用 ___ 个 |

### L1 · 模型层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 编码主力模型 | DeepSeek V4-Pro 火山版 | **按你方采购** | 你方模型：___ |
| Review 模型 | Qwen 32B 阿里百炼 | **按你方采购**（异构原则） | 你方模型：___ |
| 私有部署时机 | M6 评估 | **按你方预算** | 你方预算：___ |
| 公共 API 数据驻留合同 | 必签 | **必有** | 已签：___ |

### 培训 / 运营层

| 项 | 我方 v2.2 | 必改 / 可保留 / 可选 | 客户化决策 |
|---|---|---|---|
| 培训课时（全员） | 6 小时 | **按你方规模**：30 人以下 6 小时；30+ 拆班 | 你方课时：___ |
| 培训形式 | 讲解 + 实操 | **必要含实操** | 实操机时长：___ |
| 90 天督导 | 双周 1h | **必有** | 是否接受：___ |
| 主理人指定 | 阶段 B 时 | **必有**（必须姓名） | 主理人：___ |

---

## 三档决策汇总（自动统计）

### 必改（拒绝时培训暂停）
- fields.yml 业务字段词典
- 模型 allowlist 按你方厂商
- 红队样本集按你方业务
- KMS / WORM 上线
- 90 天督导接受
- 主理人指定

### 强烈建议保留（拒绝时记录"风险接受"）
- 12 步 + 5 步双通道
- 单任务 ≤ 2 文件
- 异构性强制
- Verify Gate + 合规 Gate + 审计冻结

### 可定制（按你方裁剪）
- 章程文字
- 中文命名约定
- Skill 数量（删减不必要的）
- 培训课时与形式

---

## 客户化决策签字

| 角色 | 姓名 | 决策日期 | 签字 |
|---|---|---|---|
| 我方负责人 | | | |
| 你方 CTO | | | |
| 你方合规负责人 | | | |
| 你方主理人 | | | |

签字后 → 进阶段 C 培训。

---

## 客户化产出文件

阶段 B 末，我方培训师团队为你交付：

1. `<你方仓库>/CLAUDE.md` — 已替换为你方红线
2. `<你方仓库>/governance/fields.yml` — 已含你方业务字段
3. `<你方仓库>/openspec/templates/COMPLIANCE_TAG.md` — 已含你方合规等级体系
4. `<你方仓库>/governance/技术委员会章程.md` + `合规委员会章程.md` — 已含你方人员
5. `<你方仓库>/.claude/sub_agents/*.md` — 6 个配置
6. `<你方仓库>/scripts/` + `<你方仓库>/mcp/` — 默认占位实现
7. `<你方仓库>/governance/customization_decision_log.md` — 本清单的最终版

---

## 不接受的客户化

- "我们只要 Hook，其他不要" → **拒绝**（合规闸门不能孤立）
- "我们 90 天后能自治" → **质疑**（要求第 60 天评估，否则督导延长到 180 天）
- "我们想给 Compliance Officer 兼职 5 个其他岗位" → **拒绝**（合规裁决需要专注）
- "我们直接用公共 API + 不签数据驻留" → **拒绝**（直接合规风险）
