个人信息保护合规审计：范围、周期与证据

审查实际运行，而不只是制度文件

办法自2025年5月1日起施行，将合规审计界定为对个人信息处理活动是否遵守法律、行政法规进行审查和评价的监督活动。个人信息保护法第五十四条已经确立定期审计义务；2025年框架为开展工作提供具体安排，并非存在隐私告知和供应商合同就已完成审计。

首先确定主体、活动、系统及审计期间，再确定适用规则并取得实际行为证据。工作应能够发现书面承诺与运行系统之间的差距。本页为原创准备指南，不对任何组织出具审计意见。

本节依据

第四条将至少每两年一次的要求适用于处理超过1000万人个人信息的处理者。它并未规定每家企业都采用这一周期，低于该门槛也不等于不存在定期审计义务。第十二条另以处理100万人以上个人信息规定指定负责人负责审计工作；两个门槛的作用不同。

不能未经说明就用注册账户、员工人数或营业额代替相关处理人数。正好1000万人时，第四条的“超过”措辞具有意义；这不构成其他义务的豁免，也不是不建立合理审计安排的理由。

对于处理不满10万人个人信息、符合条件的境内小型处理者，2026年9月1日起施行的规定允许采用简便自查表，至少每五年开展一次审计并至少保存自查表五年。第十三条保留法律、行政法规对未成年人个人信息审计的特别要求。平台覆盖及认证安排也各有条件，不能把五年描述为普遍适用的安全周期。

本节依据

第三条允许内部机构或受委托专业机构定期开展工作。第五条允许保护部门因规定的风险或事件要求专业机构审计，包括对权益或安全存在较大风险、可能侵害众多个人权益，或发生导致100万人以上个人信息或10万人以上敏感个人信息泄露、篡改、丢失、毁损的事件。前两项事由并不以达到第三项人数为条件。

部门要求开展的路径附有具体报送及整改步骤。把这些步骤自动套用于每次自行开展的内部审计，或用内部审计替代保护部门已经要求的专业机构审计，都会造成误解。

步骤	部门要求开展的路径	准备证据
范围与选任	按保护部门要求选定专业机构。	部门要求、范围、能力及独立性记录。
完成时间	在限定时间内完成，复杂情况延期须经批准。	工作计划、取证要求、期限或获批延期。
审计报告	完成后报送，具备专业机构主要负责人及审计负责人签字、公章。	最终签署报告及报送记录。
整改情况报告	整改完成后15个工作日内报送。	问题、整改动作、复测及完成日期。

本节依据

附件涵盖合法性基础、告知、委托处理、自动化决策等义务。下列原创示例说明“有文件”与“测试控制”的区别；这是选取的测试项目，不是完整官方检查表，也不是普遍适用的抽样标准。

本节依据

办法要求具备相应能力和资源，鼓励认证，禁止转委托其他机构，并规定同一专业机构及其关联机构、同一审计负责人不得连续三次以上对同一对象开展审计。第七条的认证用语是鼓励，并未在该条写成普遍强制资格。应保留委托历史和实际人员信息，而不只看机构宣传。

第十三条还要求专业机构保密，并在工作结束后及时删除取得的相关信息。应控制证据访问并明确副本的返还或删除方式。不能从个人信息保护法第五十六条推导出普遍适用的三年审计档案保存义务，该条针对影响评估报告和处理情况记录；应区分处理者依法保留的记录与审计机构副本。

第十九条将国家机关和法律、法规授权具有管理公共事务职能的组织排除在本办法适用范围之外，但不能据此称其免于所有个人信息保护义务。

本节依据

假设某服务承诺12个月后删除信息，但审计样本发现可识别个人的备份保留36个月，也没有针对这些副本经过测试的权利请求流程。有用的发现应写明受影响系统、抽样局限、应满足的要求及观察到的差异；仅写“更新隐私政策”不能解决运行问题。

明确责任人，选择并落实整改，复测结果并记录剩余局限。如果相关影响评估所依赖的措施或保存期限事实已经不成立，应重新检查评估。属于部门要求的审计时，还应保留整改完成日期，用于计算15个工作日的整改报告期限。审计与评估相互连接，却不是可以互换的同一份“合规文件”。

本节依据

2026-09-11: 扩充原有审计概述，明确人数条件、自行开展与部门要求两类流程、2026年小型处理者边界、证据测试、专业机构约束及假设整改案例。

示例与工作表为本站原创研究辅助材料，并非官方表格或法律意见。