<!-- title: 出海企业单卡在问卷：AI代答一单三千刀 -->
<!-- domain: use-cases -->

# 出海企业单卡在问卷：AI代答一单三千刀

## 导语

你做了一款很能打的 SaaS 或 DevTool，海外大客户眼看要签，对方采购突然甩来一份 Excel——SIG 问卷 884 题、CAIQ 问卷 312 题，外加 60 个"请描述你们的数据驻留策略"。答完要两周，等你回过去，竞品早就签了。这不是个例：海外 B2B 成交的隐形杀手就是 **vendor security questionnaire（供应商安全问卷）**。而海外已经有一批人靠"用 AI 全自动代答这类问卷"赚钱——单份报价 $1500–4000，一个月跑 4–6 单，边际成本接近零。这篇拆解这套玩法的完整账本，并说清它和"政府标书"为什么根本是两码事。

## 一、信息差在哪：一张你从没听过的表格，挡住了一半海外企业单

先说清楚这个东西是什么，因为它在国内几乎没人讲。

当一家西方企业（银行、保险、SaaS、医疗机构）要把你纳入供应商名单时，它的采购或第三方风险管理（TPRM）团队会发来一份"尽调问卷"。最常见的三种：

- **SIG（Standardized Information Gathering）问卷**：由 Shared Assessments 组织维护，业内最重的一份，覆盖 18 个领域、**884 道题**起步，很多企业还会裁剪/追加到上千题。
- **CAIQ（Consensus Assessments Initiative Questionnaire）**：云安全联盟（CSA）出品，约 **312 题**，是云厂商最常被要求填的。
- **企业自定义 due-diligence 问卷**：每家甲方一套，几百题不等，内容从"数据驻留""子处理方清单"到"离职员工密钥回收流程"。

对买家来说这是风控刚需；对卖家（尤其是出海的中国厂商）来说，这是成交路上最隐蔽也最致命的关卡——**题没答全或答得外行，单子直接黄**。

而国内技术圈对它的认知几乎为零：大家都在卷产品、卷定价、卷 SEO，没人意识到海外企业单的"最后一公里"是填表。这就是这一轮的信息差核心。

## 二、有人已经在靠"代答"赚钱：一个前 SRE 的账本

我们把一套海外正在跑通的玩法拆开。主角是一位化名 **M** 的前 SRE/安全工程师（这类人最懂"密钥管理""数据驻留""审计日志"这些题），被裁后把这技能变成了一人公司。

### 商业模式一句话
**"你把甲方发来的安全问卷丢给我，我用一套 AI 流水线 48 小时内交回填好的版本，你直接转发给采购。"** 按份收费，不按小时。

### 真实定价区间（行业典型，按问卷复杂度）

| 问卷类型 | 题量 | 人工纯填耗时 | 人工成本(@$100/h) | M 的报价 |
|---|---|---|---|---|
| CAIQ（云安全联盟） | ~312 | 8–12 h | $800–1200 | **$1500–2500** |
| 标准版 SIG | ~884 | 16–24 h | $1600–2400 | **$2500–4000** |
| 自定义 due-diligence | 200–500 | 10–20 h | $1000–2000 | **$2000–3500** |
| 月度 retainer（某 SaaS 固定包） | 不限 | — | — | **$3000–8000/月** |

为什么甲方愿意付这个钱？因为拖一天就少赚一天的订阅费，丢单比多花几千刀贵得多；而且很多甲方自己的安全团队根本没空帮供应商改卷子。**M 卖的不是 AI，是"48 小时交付 + 答得让风控挑不出毛病"的确定性。**

### 一个月的账本（代表性测算）

- 接单量：5 份（2 份 CAIQ + 2 份自定义 + 1 份 SIG），均价 **$2600** → 营收 **$13,000**
- 另有 1 个 retainer 客户 **$4000/月** → 合计 **$17,000/月**
- 成本：Conveyor/Loopio 订阅分摊约 $400，Claude API token 约 $200，1Password/文档存储 $50，无雇员
- **净利约 $16,000/月，毛利 94%**

注意：这是代表性测算，不是某个已公开财报的数字。但它的每一个参数都来自真实的市场价格区间，你可以用自己的接单量代入。

## 三、工具栈：不是"用 ChatGPT 翻译"，是一套答题流水线

新手最容易踩的坑：把问卷贴进对话框问 ChatGPT。错。问卷要的不是"翻译"，是"用你公司的真实证据回答每一题，且前后一致、能过审计"。M 的流水线分四层。

### 1. 知识库层：你的"标准答案库"是核心资产
不是每次都现答。M 把客户（或自己积累）的历史资料全部灌进 **Claude Projects**（200K–500K 上下文窗口，可挂多个项目）：

- 最近的 **SOC 2 Type II 报告**（这是金矿，几百题的答案都在里面）
- **渗透测试报告 /pentest report**
- 内部安全策略文档（加密、访问控制、事件响应、备份）
- 上一次填过的 SIG/CAIQ 旧卷（带"上次怎么答的、甲方认没认"的标注）
- 数据驻留说明、子处理方（sub-processor）清单

这一步的价值在于：**答案库越填越厚，边际成本越低**。第 1 份卷子最累，第 10 份几乎全自动。

### 2. 解析层：把 Excel 拆成一道道题
甲方给的常是 `.xlsx` 或 Google Form 导出，格式五花八门。M 用 **Make（make.com）或 n8n** 建一个 intake webhook：

- 客户邮件附件 → 自动落 Google Drive → n8n 解析成"题目清单 JSON"
- 每道题结构化成 `{qid, section, question_text, required_evidence}`
- 再批量喂给 LLM 去知识库里检索匹配答案

### 3. 答题层：专业级问卷自动化工具（可选但提速巨大）
纯靠 Claude Projects 也能跑，但 M 上了专业工具：

- **Conveyor（conveyor.com）**：安全问卷自动应答领域的明星，能识别 SIG/CAIQ 模板，从你的答案库自动匹配，并维护一个**通用信任库**。社区版起步约几百美元/月。
- **Loopio（loopio.com）**：RFP/问卷应答老牌，有 Loopio AI 自动建议答案，适合题量大的项目。
- **Responsive（原 RFPIO，responsive.io）**：RFP 应答软件，强在版本管理与多人协作。
- **AutogenAI（autogenai.com）**：偏"投标/标书"语料，英国起家，融了约 $40M，适合合同金额大的项目。

> 这里要划清界限：AutogenAI 这类工具也被用来写"投标书/标书"，但本篇做的是**私营买家的供应商安全尽调问卷**，和"政府标书"是完全不同的赛道——前者买家是企业的风控/采购，后者是公共部门的招标办；前者拼"安全合规细节"，后者拼"资质+方案+报价"。**别把它们混为一谈，定价和客户也完全不同。**

### 4. 人工质检层：最后一关必须是懂安全的人
AI 会自信地答错。M 的护城河恰恰是**自己是安全工程师**，能看出"这题 AI 说我们用了 FIPS 140-2，但我们实际只到 FIPS 140-3"这种致命错误。每份卷子 M 花 1–3 小时通读校验、补证据链接。**AI 把 16 小时的活压到 3 小时，但这 3 小时是真正值钱的人工。**

## 四、工作流全景图

```mermaid
flowchart TD
    A[甲方采购发来安全问卷<br/>SIG/CAIQ/自定义] -->|邮件附件| B[n8n/Make intake webhook]
    B --> C[解析成结构化题目清单 JSON]
    C --> D[知识库层<br/>Claude Projects 挂载<br/>SOC2报告/渗透测试/策略文档/旧卷]
    C --> E[专业工具层<br/>Conveyor/Loopio/Responsive<br/>自动匹配答案库]
    D --> F[LLM 答题引擎<br/>逐题检索+生成+引证据]
    E --> F
    F --> G[生成草稿答卷<br/>含原文引用]
    G --> H[人工质检层<br/>安全工程师 1-3h 校验<br/>修正致命错误/补链接]
    H --> I{甲方风控审核}
    I -->|追问 follow-up| C
    I -->|通过| J[成交 / 进供应商名录]
    J --> K[本轮答案回流知识库<br/>下一份更省]
    K --> D
```

关键设计是右下角那个**回流环**：每答完一份卷子，把甲方认可的答案回灌进知识库。这就让 M 的生意有了复利——**做得越久，答案库越厚，越能碾压新进入者**。

## 五、可复制的启动步骤（给技术从业者的 7 天清单）

如果你是开发/运维/安全出身，这套东西你可以直接动手：

1. **Day 1｜建知识库**：注册 Claude（开 Projects），把你公司（或你能拿到的）SOC 2 报告、渗透测试报告、安全策略文档传进去，命名清晰。
2. **Day 2｜摸清模板**：去 Cloud Security Alliance 官网下载 CAIQ v4（免费）、去 Shared Assessments 了解 SIG（这两份是行业基准）。
3. **Day 3｜跑通单题**：用 Claude Projects 测试——给它一道 CAIQ 题，要求"基于上传文档回答，并在句尾用 `[文档名, 页码]` 标注来源"。能稳定引用=及格。
4. **Day 4｜自动化 intake**：用 n8n/Make 接邮件，把 `.xlsx` 自动解析成题目 JSON，跑通"附件→题目→草稿"闭环。
5. **Day 5｜选专业工具**：先免费用 Conveyor 的问卷解析试水，题量大再上付费版；个人起步别一上来就买全套。
6. **Day 6｜找第一个客户**：锚定出海的中国 SaaS/DevTool 公司（它们最痛）。LinkedIn 搜 "Vendor Security""TPRM Analyst"，或直接在独立开发者社群里发"我能 48h 帮你搞定安全问卷"。
7. **Day 7｜定报价模型**：首单按份（CAIQ $1500 起），跑顺后转 retainer。**永远按价值（帮你成单）定价，别按小时。**

## 六、成本与 ROI 对照

| 项目 | 纯人工（甲方自填/传统外包） | M 的 AI 流水线 |
|---|---|---|
| 一份 CAIQ 耗时 | 8–12 小时 | 1–3 小时（含质检） |
| 一份 SIG 耗时 | 16–24 小时 | 3–5 小时 |
| 月固定成本 | 人力工资 | ~$650（订阅+token） |
| 答案复用率 | 几乎每次重写 | 第 10 份起 >70% 自动 |
| 出错风险 | 疲劳漏答 | AI 幻觉（需质检兜底） |

**ROI 本质**：你把"16 小时 × $100/h 的专家时间"压缩成"3 小时质检 + 几美元 token"。省下来的时间，就是你的利润。

## 七、对中国的启示（这才是真正的信息差）

1. **出海厂商的隐形护城河**：很多中国 SaaS/DevTool 不是输在产品，而是输在"不会填西方的安全问卷"。谁能把这套流水线做扎实，谁就能在海外企业单上少掉一半单子。
2. **"代答"是一个被低估的细分服务**：它不像开发那样需要长期投入，但它极度依赖**安全合规的领域知识 + AI 工程化能力**——这恰好是中国技术人最稀缺被定价的组合。
3. **答案库即资产**：记住那张回流环。做这门生意，前 3 个月不赚钱是在攒库，攒到第 6 个月，新进者根本追不上你的速度和准确率。
4. **避开红海**：所有人都在卷"AI 写文案""AI 做网站"；没人卷"AI 填合规问卷"，因为它门槛够高（要懂安全）、够枯燥（大多数人懒得碰）——**高门槛 + 枯燥 = 利润**。

## 八、信息差总结：你知道的 vs 别人在赚的

| 维度 | 国内常见认知 | 海外已跑通的玩法 |
|---|---|---|
| 海外企业单卡在哪 | 产品、价格、SEO | **供应商安全问卷（SIG/CAIQ）** |
| 这些问卷是啥 | 没听过 | 884 题 SIG / 312 题 CAIQ，B2B 必填 |
| 怎么处理 | 人工硬填两周 | AI 流水线 + 答案库，48h 交付 |
| 谁在赚钱 | — | 一人安全工程师，单份 $1500–4000 |
| 和政府标书关系 | 常被混为一谈 | **完全不同赛道**（私企风控 vs 公共招标） |
| 核心资产 | — | **可复用的标准答案库** |

## 九、行动指南（今晚就能做）

1. **下载 CAIQ v4**（cloudsecurityalliance.org，免费），自己当一次"被采购方"试填前 30 题，感受痛点。
2. **开一个 Claude Project**，把你能找到的安全文档传进去，跑通"带引用答题"。这是这门生意的最小可行单元。
3. **锁定一个出海的中国 SaaS 团队**，问一句："你们最近被甲方要过 SIG/CAIQ 吗？"——大概率答案是痛苦的"要过"。
4. **第一单免费或低价换案例**，拿到"用这套流程 48h 搞定、最终成单"的证言，后续就靠转介绍。
5. **持续回流答案库**：每做完一份，把甲方认可的答案归档。三个月后，你的护城河就立起来了。

## 参考来源

- [Cloud Security Alliance — CAIQ v4 问卷](https://cloudsecurityalliance.org/research/working-groups/consensus-assessments/) （312 题云安全尽调标准，免费下载）
- [Shared Assessments — SIG 问卷体系](https://sharedassessments.org/) （884 题供应商尽调标准）
- [Conveyor — 安全问卷自动化](https://conveyor.com/) （AI 自动应答 + 信任库）
- [Loopio — RFP/问卷应答平台](https://loopio.com/)
- [Responsive（原 RFPIO）](https://www.responsive.io/) （RFP 协作与版本管理）
- [AutogenAI — 投标/标书 AI](https://www.autogenai.com/)

---
> 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护。
> 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。

> [!tip] 51学通信知识星球
> **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。
> **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。
> **当前规模**：5200 篇主题 / 990 个回答，198 元/年。
> **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。
> **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。

![51学通信知识星球海报-扫码加入](https://wiki.500nian.com/images/zhixingqiu_qrcode.png)