个人信息保护合规审计PIA怎么做，步骤和注意事项

合规岗最常卡住的地方，不是不知道要做 PIA，而是拿到一套模板却不知道从哪一步起手：先盘业务还是先写报告、评估组要不要独立、审完什么时候算收口。这篇按实施顺序把 PIA 拆成可交付的几步，每步说明产出物和常见返工点，并指出哪些场景照这套流程走会失效。

合规岗做 PIA 最常卡住的地方不是不知道要做，而是拿到一套模板却不知道从哪一步起手：先盘业务还是先写报告、评估组要不要独立、审完什么时候算收口。顺序错了，后面全是返工。

这篇按实施顺序把个人信息保护影响评估拆成可交付的几步，每步说明产出物和被退回的常见原因，最后指出哪些场景照这套流程走会失效。你可以把它当成操作大纲，边做边对照。

先判定这件事要不要做 PIA

PIA 不是所有处理活动都要走一遍完整评估。先做初筛：看处理的敏感程度、是否对外提供、有没有自动化决策、是否涉及公共利益属性。处理少量常规信息、没有对外共享、用途单一的场景，通常不需要走完整评估，但判定本身要留痕。

• 判定结论写成一句话加理由，附在项目档案里，不做也要留记录
• 初筛表固定几列：数据项、敏感程度、是否对外提供、是否自动化决策、结论
• 多名合规岗参与时，判定口径先对齐再填表，避免同一类业务两个结论
• 业务尚未定型、数据流还在变的时候先做判定不做结论，方案冻结后再正式评估

圈定评估对象，把人和材料配齐

评估单元建议按单个业务场景或系统划分，不要按部门划，否则跨部门共享的链路会被切碎。每个单元列清数据项、来源、处理目的、存储位置、共享对象和留存安排，合成一张数据流对账表，缺项就标出来而不是跳过。

评估组至少要有业务、技术、法务或合规三方。一个人包办容易漏掉实际链路，业务方不参与还会导致后面措施落地不了。涉及外部供应商时，把对方提供的安全材料一并入档。

识别风险：按数据生命周期逐段过

1. 按生命周期分段从收集、存储、使用、共享、销毁逐段走，每段问三个问题：有没有必要、有没有告知到位、出了事能不能兜住。
2. 写成具体场景风险描述写成场景加可能后果，不要写“存在泄露风险”这种空话，否则整改无从落地。
3. 对照法律依据与告知文本逐条比对授权范围和实际问题，用不上或范围对不上的标出来，这是最常见的扣分项。
4. 登记风险编号每条风险给编号，后面措施和整改台账都用同一编号串联，方便复核。

定措施、写报告、留整改台账

每条风险至少对应一个措施，写清责任人、完成时点、验证方式。无法立即完成的列为遗留风险，并说明补偿性控制是什么。措施不能只写“加强管理”，要能被第三方复核。

报告正文控制在能复核的长度，附证据清单，结论按三档区分，避免一刀切。整改完成后做一次回看，把新发现的处理活动补进清单。同类做法的成熟度可到 /safety 页对照，具体进度和节点以站内页面当时的信息为准。

几个高频翻车点和收口动作

• PIA 写成合规部门独角戏，业务方不认账，措施落不了地
• 评估结论与隐私政策、授权文本不一致，审计一比对就露
• 评估做完不归档、不复评，新业务上线直接沿用旧结论
• 只记结论不记依据，被问到为什么这么判时答不上
• 第三方共享链路漏评，出问题时责任边界说不清

收口动作固定成三件事：归档（报告、证据、判定记录一起进项目档案）、登记（处理活动清单里加上这条记录）、设复评触发条件。触发条件至少包括新增共享方、处理用途变更、发生重大安全故障。

如果你们是几个人的小团队，人少也别省掉判定留痕和整改台账这两样，出事时它们比报告正文更有用。中转站或外部服务商参与处理时，供应商侧的合规材料也要一并纳入，具体怎么筛可参考 /sites 的检测思路。