2023 年 8 月 3 日，国家互联网信息办公室就《个人信息保护合规审计管理办法（征求意见稿）》公开征求意见。这份文件把《个人信息保护法》第五十四条确立的“定期合规审计”义务，从原则性要求落成了可执行的频次、主体与流程。
对多数企业而言，真正的难点不是“要不要审计”，而是“谁来做、做什么、做完之后怎么证明”。征求意见稿给出的答案并不复杂，但足以改变内部合规工作的节奏。
谁必须审计，多久一次
征求意见稿按处理规模分层：处理超过一百万人个人信息的处理者，应当每年至少开展一次个人信息保护合规审计；处理不满一百万人的，应当每两年至少开展一次。同一处理者同时处理不同规模信息的，按较高标准执行。
频次之外，还有触发式审计。发生重大个人信息泄露、篡改、丢失事件，或者主管部门在监督检查中发现重大风险时，可能要求处理者开展专项审计。这类审计通常有明确的时间窗口，留给企业准备的空间远小于年度审计。
审计由谁实施
审计可以由处理者内部机构自行开展，也可以委托专业机构实施。内部审计的优势是熟悉业务流程、成本可控；劣势是独立性容易受组织关系影响。委托外部机构的优势是专业能力与独立性，但需要处理数据访问、保密与审计证据留存。
征求意见稿对专业机构的资质、人员与独立性提出了要求，并明确处理者不得委托与自身存在利益冲突的机构。对集团企业，母公司与子公司之间的审计安排、同一机构连续服务的期限，都需要在制度中提前设计。
审计的内容
审计围绕个人信息处理的合法性、正当性与必要性展开，通常覆盖处理规则与告知同意、共同处理与委托处理、个人信息跨境提供、自动化决策、敏感个人信息、未成年人信息、安全事件处置、影响评估以及内部管理制度。
征求意见稿要求形成审计报告，列明审计依据、范围、方法、发现的问题与整改建议。报告不是一次性交付物，而是后续整改与监督的基础。对监管检查而言，能够说明“发现过什么问题、如何整改、整改后如何验证”的记录，比一份没有问题的报告更有说服力。
企业现在可以做的准备
第一，盘点个人信息处理活动，形成处理活动清单与数据映射。第二，确认自身所处的规模层级，确定审计频次与年度计划。第三，明确审计组织方式，是内部机构还是外部专业机构。第四，准备证据材料，包括隐私政策、同意记录、委托处理协议、跨境路径、安全事件记录与培训记录。第五，建立整改闭环，把审计发现转为责任人、时限与验证方式。
审计不应被视为一次性的合规检查。它更像是把日常合规工作按年度做一次系统复盘，找出制度与执行之间的缝隙。
涉及个人信息保护与合规审计，可参见数据合规服务；涉及审计计划与常年法律顾问安排，参见常年法律顾问服务；涉及安全事件处置，另见网络安全合规服务。
本文依据国家网信办 2023 年 8 月 3 日公布的《个人信息保护合规审计管理办法（征求意见稿）》编写，仅供参考，不构成法律意见。