Comp AI 募資 3,400 萬美元，以低價搶攻合規軟體市場

把軟體送出去，本身就是商業模式。Comp AI 是一家將旗下合規自動化平台的原始碼公開、並允許客戶自行部署（self-host）的新創公司，如今完成 3,400 萬美元 A 輪募資，用以擴張其上的付費層：為爭取 SOC 2、ISO 27001、GDPR 與 HIPAA 認證的企業，提供持續監控、漂移偵測（drift detection）以及可供審計使用的報告。

「合規是客戶仍得付費取得核對清單的最後幾個大型軟體類別之一，」該公司執行長表示。「我們把核對清單送出去，然後就維持清單與時俱進的自動化收費。」

該公司未揭露參與本輪的投資人、本輪完成時的估值，或迄今的總募資額。它確實揭露的是商業邏輯：該平台將控制項對應至把關多數企業採購的四大框架，以開源授權散布底層程式碼，並就讓證據在兩次審計之間維持最新狀態的託管自動化服務收費。

這套模式的經濟結構，正是本輪募資的意義超出單一新創公司的原因。十年來，合規軟體一直是企業級 SaaS 中定價最穩固的類別之一，因為買方不是在挑選產品——買方是在排除障礙。對多數《財星》1000 大企業客戶銷售時，SOC 2 Type II 報告是必要前提，而取得該報告的成本歷來約在 2 萬至 6 萬美元的審計費用，外加每年 1.5 萬至 5 萬美元的工具支出，這還不計內部工程師花在截圖設定畫面的人力時數。Vanta 與 Drata 正是靠這套動態建立起價值數十億美元的業務，而 OneTrust 以及 ServiceNow 的治理、風險與合規（GRC）模組，則把這套模式延伸至隱私與企業風險領域。

開源散布直接衝擊工具支出這一項。若控制項資料庫與證據蒐集邏輯可免費執行，付費層就必須靠持續監控、漂移偵測與審計關係來證明自身價值——這比整套平台訂閱的立足點更窄，也是定價能力更弱之處。這與 OpenTelemetry 標準化電傳資料蒐集後可觀測性（observability）領域所遭受的壓縮如出一轍，也與 PostgreSQL 在生產環境工作負載上變得夠好用之後重塑資料庫市場的模式相同。

需求端不成問題。企業在治理、風險與合規軟體上的支出，已連續數年成長快於整體軟體預算，動能來自不斷新增項目的監管時程：歐盟的《網路韌性法》（Cyber Resilience Act）、美國證交會（SEC）的網路安全揭露規則，以及各州層級日益擴大的隱私法規。每一個新框架都新增控制項，而每一個新增的控制項都新增了必須有人蒐集與儲存的證據。Comp AI 的押注在於：蒐集工作正走向商品化，而判斷工作則否。

競爭對手的反應是值得觀察的變數。Vanta 與 Drata 都以審計師網絡與整合廣度作為賣點——數百個預先建置、串接 AWS、Google Cloud、Azure、Okta 與 GitHub 的連接器——而這套連接器資料庫要複製確實所費不貲。開源專案可以很快趕上框架對應，但整合則會慢得多。至於 ServiceNow，則把 GRC 包裹在平台合約中，其合規模組鮮少單獨定價，這使得以單一項目為基礎削價更為困難，但也意味著客戶往往不清楚自己為此付了多少錢。

對投資人而言，其延伸意涵與其說在於 Comp AI 本身（該公司仍未上市且處於早期階段），不如說在於合規相關軟體所被賦予的本益比。治理與風險領域的公開市場可比公司，隨著成長回歸常態，估值早已自高峰水準下修；而該類別一旦出現可信的免費方案，將先行壓抑現有業者的淨收入留存率（NRR），之後才會衝擊其整體成長數字。近期的考驗在於，Comp AI 能否以足以支撐 3,400 萬美元募資的速度，把開源安裝數轉化為付費席次——這項指標該公司尚未公布，而它將決定這是一場定價事件，還是又一個拿到資金的新挑戰者。

本文僅供參考，不構成投資建議。