个人信息保护合规审计指引

公司要做个人信息保护合规审计时，最常见的卡点不是不知道法规，而是不知道从哪下手：范围怎么划、谁配合、查什么、查到问题怎么留证据、复核怎么算过关。这篇按审计推进的时间顺序给一套流程和清单，帮你把审计拆成能分工、能交付的活；具体阈值和条款口径请到站内安全与合规章节对照当时版本。

公司决定做个人信息保护合规审计，真正动手时最常卡住的往往不是不知道怎么读法规，而是不知道从哪下手：范围划到哪、谁来配合、查的时候看什么、查出问题怎么留证据、复核怎么算过关。这篇按审计推进的时间顺序给一套能分工、能交付的流程，配合清单和排查顺序，拿去就能排期。

需要说清楚的是，具体阈值、条款口径、适用版本这些会变的数字，文中不写死，一律到站内安全与合规相关页面按当时版本核对。审计做的是「按当天口径把证据固定下来」这件事，口径本身要以官方文本和站内资料库为准。

第一步：定范围、定人、定口径

范围没定清楚，后面几乎必然返工。开审前先回答三个问题：审哪些业务线、覆盖哪些系统、涉及哪些数据主体。用户的个人信息在两三个业务线之间被复用是常态，只审一条线容易得出过于乐观的结论。

• 先划边界：哪些业务线、哪些系统、哪些数据主体进本次审计，境外业务和数据出境要不要一并纳入，边界写下来后让各业务方签字确认
• 定三个角色：审计牵头人负责节奏和口径，业务对接人负责解释实际流程，技术取证支持负责取日志和权限记录；缺技术角色时日志与权限部分基本查不动
• 开审前把口径写成一页纸：本次适用的法规版本、判定标准、什么算高风险、什么算登记观察，避免中途各人标准不一致
• 不适用情形：如果业务刚上线、数据量极小、也无对外共享，硬套完整审计框架成本过高，可以先做简化版自查，再决定是否扩审

角色分工对照

第二步：盘数据链路，把「数据在哪」画出来

范围定了，接下来要把个人信息实际流过哪些系统画出来。只看隐私政策文本会漏掉大量实际落库的字段，因为政策描述的是「应该怎样」，系统里跑的是「实际怎样」。审计要固定的是后者。

1. 按五段列清单收集、存储、使用、共享、删除五段，逐段列出每类个人信息的字段、所在系统、责任人，形成一张链路清单。
2. 重点查外部流向第三方 SDK、云服务、AI 接口、外包运维是最容易出事又最容易漏的环节，逐个确认传了哪些字段、传给了谁、有没有单独同意记录。
3. 用日志抽样对一遍拿链路图和实际日志抽样比对，确认图上写的就是系统真在传的；提示词与日志链路的核查思路可以参考站内数据边界审计相关文章。
4. 登记缺口对不上的地方先登记，不要当场下结论，等取证环节拿到日志片段再定级。

不适用情形：链路图只是手段。如果公司已经在维护数据资产台账，直接拿现有台账核对即可，不必为了审计重新画一遍，那是重复劳动。

第三步：取证、定级、写发现项

审计结论能不能站得住，全看这一步。只有结论没有证据的发现项，在复核阶段很容易被业务方推翻，最后变成扯皮而不是整改。

• 每条问题带证据三件套：截图或日志片段、发现时间、操作路径，缺一件就算证据不完整
• 分级只分三档：必须整改、限期整改、登记观察；所有问题都写成最高级，整改排期会直接瘫痪
• 发现项按「现状—依据—风险—建议动作」四段写，让业务方看完知道改什么，不要只写「不符合要求」
• 报告本身也是泄露面，别把敏感原文整段贴进去，脱敏和留存口径参考站内日志脱敏相关页面
• 定级前和业务方过一次，确认没有误判，避免整改清单里混进假问题

第四步：整改、复核与留档

到这一步，审计已经从「查」转到「改」。整改最容易走形的地方，是业务方补一份材料就当成改完了，流程本身没变，下一次审计同样的发现项会再出现一遍。

• 整改落到人和日期：每项指定负责人和验证方式，验证方式要是能复现的动作，比如「重新抽取最近一批日志确认字段已脱敏」，而不是「已确认」四个字
• 复核用抽样：抽最近产生的新数据和新日志，验证改的是流程，不是补了一份过期材料
• 留档按次归档：范围说明、链路图、发现项清单、整改记录、复核结论放在一起，下次审计在这份底稿上迭代，不用从零开始
• 不适用情形：监管专项检查通常有固定模板和时限，以监管口径为准，本文流程只能当内部准备底稿，不能替代对方要求

复核抽样建议

整套流程走完，通常需要跨部门配合一到两轮。判断审计是否真的有效，不看报告写了多少页，而看下次审计时同样的发现项还出现不出现。具体阈值和条款口径会随版本变化，动手前到站内安全与合规章节核对当时的数字，再开始排期。