个人信息保护合规审计指引二十二条 发布单位

做个人信息保护合规审计时，常有人在内部文档或培训材料里看到「指引第二十二条」的说法，却说不清它出自哪份文件、谁发的、现行不现行。这篇不背条文，只讲怎么定位发布单位、怎么核对版本、怎么把结论写进你自己的合规台账，以及哪种情况下这套方法不适用。

做个人信息保护合规审计时，常有人在内部文档或培训材料里看到「指引第二十二条」的说法，却说不清它出自哪份文件、谁发的、现行不现行。这篇不背条文，只讲怎么定位发布单位、怎么核对版本、怎么把结论写进你自己的合规台账，以及哪种情况下这套方法不适用。

先说一句前提：下面讲的是核对方法，不是条文答案。发布单位、条文原文和现行状态都可能变，具体以官方公开渠道为准；站内对合规工具的整理可以到 /tools/speed-test 一类目录页做交叉参考，但正式引用仍要回到发布主体的原文。

为什么先要搞清「谁发的」

发布单位决定这份指引的效力层级：是部门规章、国家标准还是行业自律参考，对应的约束力和引用方式完全不同。对外报送材料里引用错发布单位，轻则被退回补正，重则让审计结论的可信度打折。发布单位也决定你去哪查更新：不同发布主体的文件修订节奏、公开渠道和征求意见流程都不一样。

三步定位发布单位与条文出处

1. 第一步：拿标题全文去官方渠道检索用文件标题全称在发布主体的官方公开渠道检索，不要用二手转载截图或培训 PPT 当依据。检索结果记下链接和检索时间。
2. 第二步：核对三处是否一致看文件抬头、发文字号和成文日期三处是否互相吻合；三处对不上，多半是拼接、节选或旧版。
3. 第三步：确认文件类型弄清它是「指引」还是「办法」「标准」。名称不同，第二十二条讲的东西常常不是一回事。

这三步做完，把检索路径、页面截图和核对时间一起存档，作为审计工作底稿的证据链。日后有人质疑引用来源，直接把底稿翻出来即可，不用重新查一遍。

第二十二条到底在管什么，怎么核对

逐字比对条文原文，别用摘要代替：摘要会删掉「应当/可以」「定期/必要时」这类关键限定词。同时核对适用范围条款，某些指引只覆盖特定规模或特定类型的主体，你所在企业可能并不在适用范围内。指引常和审计管理办法、审计要求标准配套使用，单独引一条容易断章取义。

• 逐字比对原文，标出所有限定词，摘要不作为依据
• 核对适用范围：主体类型、规模门槛、业务场景
• 核对配套文件：管理办法、审计要求标准是否同时引用
• 把条文与现有制度逐条对照，只标「已覆盖/部分覆盖/未覆盖」三档
• 不要在这一步就写整改方案，先完成差距标记

把结论写进审计底稿的固定格式

如果条文表述存在理解分歧，写清你的解读依据和保留意见，别硬套一个确定结论。涉及具体适用范围判断时，注明「以主管机关最新口径为准」，给自己留出复核空间。具体条文原文与配套材料可以到站内的合规与工具目录页做初步交叉参考，但正式引用仍以官方发布渠道为准。

什么情况下这套核对方法不适用

• 企业内部自制的审计检查表若未引用外部文件，不需要也没法做发布单位溯源
• 所在行业另有专门审计规定且与本指引不一致时，优先适用专门规定，本方法只能用于比对
• 跨境业务涉及多地监管要求时，单一发布单位的指引不足以覆盖，需按业务落地地分别核对
• 条文处于征求意见或修订过渡期时，结论只作为过程稿，不能写进正式对外报送材料

还有一种情况：你只是想给同事做一次普法分享，不涉及对外报送或审计底稿，那就没必要把发布单位、发文字号、版本状态全部核一遍，讲清大意和适用场景即可。方法是为审计结论服务的，不是为分享服务的。