个人信息保护合规审计管理办法

公司刚做完一次数据盘点，法务突然问：我们这种规模要不要做个人信息保护合规审计？多久做一次？报告交给谁？很多人卡在这一步——知道有这么个办法，但说不清它管到谁、什么时候触发、要留下什么材料。这篇按适用范围、触发条件、执行清单和留证四条线拆开讲，只给判断标准和可执行动作，具体条款编号和时效数字到站内安全与合规分区核对。

公司刚做完一轮数据盘点，法务突然问：我们这种规模到底要不要做个人信息保护合规审计，多久做一次，报告交给谁？很多人卡在这一步——知道有这么个办法存在，但说不清它管到谁、什么时候触发、要留下什么材料。这篇按适用范围、触发条件、执行清单和留证四条线拆开讲，只给判断标准和可执行动作，具体条款编号和时效数字请到站内安全与合规分区核对。

先说清一个前提：这篇不替你下结论说「你必须做」或「你不用做」，而是给你一套自查顺序，让你在半小时内能判断出自己大概率落在哪一档，以及下一步该找谁确认。判断类内容都有不适用的情况，边界拿不准时以主管部门口径和站内术语页为准。

先弄清：这个办法管到谁、管什么

主体上，处理个人信息的企业、事业单位、社会组织都在范围内，重点看你是不是以营利或公共服务为目的、持续性地处理个人信息。偶尔一次、零散不成体系的处理，和把个人信息当生产资料天天跑的业务，判断结论通常不一样。规模不是唯一门槛，持续性往往更关键。

什么情况会被要求做，多久做一次

触发条件可以分三类：达到规定处理规模的定期审计、发生安全事件后的专项审计、以及被投诉举报或抽查时的应要求审计。前两类是你可以提前准备的，第三类往往没有缓冲期，所以证据平时就得攒着。上市、融资、重大合作前的尽调，实质上也是同一套材料被翻一遍。

• 信号一：处理个人信息达到规定规模，属于定期审计的常规要求，先确认自己是否踩线
• 信号二：发生泄露、篡改、丢失等安全事件，主管部门可能要求做专项审计并提交报告
• 信号三：被投诉举报、被抽查，或准备上市、融资、重大合作，对方尽调会要审计材料
• 频率和期限不要凭记忆，办法修订后这个数字最容易变，到 /safety 核对当时的申报口径和时限

这里有个常见误区：以为「没出事就不用做」。定期审计的触发看的是规模和持续处理状态，不是有没有事故。反过来说，如果你的处理量很小且已停止新增，也可能压根不触发定期要求，具体门槛以站内页面当时公布的为准。

执行清单：从立项到出报告按这个顺序走

1. 定范围列清楚哪些业务线、哪些系统、哪些第三方在碰个人信息，画出一张处理活动清单，别一上来就写报告。
2. 找依据对照个保法、数据安全法以及内部制度逐条比对现状，缺什么记什么，先记录不下结论。
3. 查证据制度文件、授权记录、日志留存、第三方协议、员工培训记录必须有原件，口头说明不算。
4. 出报告并整改报告写清问题、风险等级、整改责任人和完成时间，模板思路可参考 /tools/quality-check。

顺序不要颠倒。先写报告再补范围，是审计里最常见的返工原因。定范围这一步多花两小时，后面查证据能少跑好几趟。第三方这块尤其容易漏，凡是有数据往来的合作方都要进清单。

报告和证据怎么留，出事才拿得出来

留证的目标不是应付检查，而是当有人问「你当时怎么判断的」，你能拿出一整套过程材料。结论只是一页纸，过程才是护身符。归档要按审计批次来，不要散在各人电脑和聊天记录里。

留存清单

审计方案、工作底稿、访谈记录、系统截图、第三方协议、整改回执，按批次归档

留存方式

原始电子件加哈希或时间戳，纸质件扫描后双备份，离职时列为交接项

责任落点

报告要有负责人签字和日期，整改闭环要有复核记录，不能只有结论没有过程

三类坑要专门躲开：事后补材料、只留结论不留底稿、审计范围写得比实际宽或窄。前两类在核查时会被直接质疑真实性，第三类会让整份报告的可信度打折。范围写不准，不如先写清楚不确定的部分并说明依据。

最后提醒一句：办法的条款细节和时效要求会调整，任何写死的数字都不要从这篇里记，到站内页面核对当时的版本。你要做的不是背条款，而是建立一套每次都能跑起来的自查和归档流程。