QA & 信任
质量保证计划：ROC 随机抽样、同行评审、制裁直至撤销认可。 CCSA 标记必定意味着真正的安全。
为什么硬 QA 很重要
如果CCSA证书并不意味着真正的安全，那么该标准就毫无价值。因此，理事会从第一天起就建立了严格的质量机制，而不是在发生重大事件之后。
目标，2013 — PCI DSS 合规，但已被破坏。
FTX、2022 — 储备证明已得到证实，但已崩溃。
DAO、2016——“成功”的 Solidity 审计，但已被利用。
一个教训：没有质量控制的证书是一个空分数。 CCSA 验证审计质量，而不仅仅是其存在。
六种QA机制
随机 ROC 采样
理事会每年审查每个 CCSAC 的 ROC 的 10%（抽签选择）。理事会领导 QA 团队与其他 CCSAC 的首席审计员一起在 30- 工作日窗口内进行审核。结果：通过、通过观察、有条件（90-day 补救）、失败（重新审核，费用由 CCSAC 承担）、严重失败（暂停和调查）。
交叉 CCSAC 同行评审
匿名 ROC 由另一个 CCSAC 的首席审核员审核。是自愿的，获得QA信用；目的是一致地应用该标准并在公司之间共享最佳实践。
年度 CCSAC 过程审核
理事会每年对公司的整个 QMS 进行审计：独立性、文件保留、内部 QA、培训、CoI 披露、保险、财务健康。案头审查加采访，大约3天。
客户反馈循环
匿名投诉表、公开票证跟踪和 30-day 调查。典型的投诉：橡皮图章审计、利益冲突、过度审计、迟到。
基于事件的调查
触发因素：导致客户损失的违规行为、TVL > 100 万美元的智能合约漏洞、制裁执行、监管行动。 24 小时 — 通知和标志； 7天——CCSAC的工作底稿； 30 天 — 判决（审计充分且事件超出范围：标记被删除；不充分：制裁和产品暂停；篡改证据：CCSAC 终止和民事/刑事移交）。
反欺诈检测
ML 对 ROC 进行异常和抄袭分析、与公共来源（链上数据、GitHub、监管文件）进行交叉检查、定期诱捕行动和举报人保护计划。
随机抽样取决于级别：级别 2 — 每年 10% 样本，级别 3 — 100%。
制裁阶梯
制裁从观察升级到全面撤销。暂停和撤销是公开的——这是对市场信任的信号。
CCSAC（审计事务所）
关键个人审核员
关键认证产品
关键制裁从观察升级到全面撤销。暂停和撤销是公开的——这是对市场信任的信号。
理事会 QA 团队
QA 首席官员； 3–5 2027 的高级 QA 审核员（前首席审核员）； 5–10 QA 分析师； 1 法医调查员； NDA 下的外部同行评审员池（每 ROC 支付 10–30 千 RUB）。员工人数是目标。
CCSA 年度合规状况报告
理事会每年发布一次全行业报告（无客户标识）：5 最薄弱的领域、从调查中吸取的经验教训、最佳实践以及反馈驱动的标准变更。
CCSA 年度合规状况报告
一个教训：没有质量控制的证书是一个空分数。 CCSA 验证审计质量，而不仅仅是其存在。