个人信息保护合规审计是什么
合规审计是对个人信息处理活动是否合法合规开展的检查与评价，覆盖制度、技术措施与合同安排，产出审计报告与问题整改计划。《个人信息保护合规审计管理办法》已明确频次与归档要求，使审计从自愿动作变成有期限约束的常态机制。
基本信息
| 依据 | 个人信息保护合规审计管理办法（2025-05-01 施行） |
|---|---|
| 频次 | 处理超过 1000 万人个人信息的，每两年至少一次；其他处理者合理确定 |
| 审计方式 | 自行开展或委托专业机构开展 |
| 审计范围 | 个人信息处理活动、制度文件、系统配置与委托/共享合同 |
| 产出物 | 审计报告、问题清单与整改计划 |
| 归档期限 | 审计报告与处理情况记录至少保存 3 年 |
典型使用场景
- 用户规模跨过千万级别的平台，按两年周期排定审计计划
- 开展个人信息保护影响评估后，用审计验证整改是否落地
- 接受监管检查前自查，提前发现制度与实际配置的差距
- 并购或上云迁移前，对被收购方或存量系统做合规摸底
- 委托外部机构审计时，用范围清单与抽样要求控制交付质量
审计落地节奏
审计落地节奏
1 范围：个人信息处理活动、制度、技术与合同（含委托与共享）
2 方式：自行开展或委托专业机构
3 频次：1000 万人以上 → 每两年至少一次；其他 → 合理确定
4 产出：审计报告、问题清单与整改计划
5 归档：审计报告与处理情况记录至少保存 3 年审计取证要点
| 审计对象 | 取证方式 | 常见不符合 |
|---|---|---|
| 告知与同意 | 线上勾选记录、协议版本与变更日志 | 同意记录缺失、版本无法追溯 |
| 最小必要 | 字段清单与业务用途对照 | 字段无用途说明、历史字段无人认领 |
| 委托与共享 | 合同、告知文本与授权链 | 缺委托协议或未单独告知 |
| 安全措施 | 配置核查、日志抽样 | 加密密钥与数据同库、权限过大 |
| 事件处置 | 预案、演练与事件记录 | 有立项无记录，机制形同虚设 |
审计发现问题应形成整改闭环，闭环记录本身就是下一次审计的证据。监管部门开展监督检查时，可要求报送审计开展情况。
频次判断以「处理个人信息数量」为口径，不是注册用户数；统计时把各系统合并计算并留出取数依据，避免口径争议。