第三方审计是什么
第三方审计评估供应商与外包方的安全与服务能力：合同中约定数据保护、审计权、事件通知与退出条款；准入阶段做资质与能力评估；合作期间持续监控（服务报告、事件通报）；并按分级定期复审，重点看数据与关键依赖。
怎么分级与复审
按接触的数据敏感度与业务关键性分级：处理核心数据或支撑关键系统的供应商采用更严格的评估方式（现场或等效评估），一般供应商用问卷加报告审查即可。索取独立审计报告时要确认覆盖范围与报告期是否包含你实际使用的服务，否则结论不适用。
基本信息
| 准入评估 | 资质审查、安全评估问卷、样例条款确认 |
|---|---|
| 合同条款 | 数据保护、审计权、事件通知时限、退出安排 |
| 持续监控 | 服务报告、事件通报、问题整改跟踪 |
| 复审分级 | 按数据敏感度与业务关键性决定频率与方式 |
典型使用场景
- 新供应商引入：完成问卷与资质审查后再签约
- 年度复审：按分级评估存量供应商
- 云服务使用：索取独立审计报告并确认覆盖范围
- 外包开发：核查代码安全与人员管理措施
- 事件通报：确认供应商通知时限与响应义务
- 退出交接：核实数据返还与销毁的执行情况
分级管理示例
分级管理示例
一级（核心数据或关键系统）：年度现场或等效评估
二级（接触一般业务数据）：年度问卷 + 报告审查
三级（无数据处理，仅服务支持）：两年一次更新评估
# 索取审计报告时确认覆盖范围与报告期是否匹配所购服务
# 事件通知时限写进合同，例如 24 小时内书面通知分级与评估
| 级别 | 典型对象 | 评估方式 |
|---|---|---|
| 一级 | 核心数据、关键系统托管 | 年度现场或等效评估 |
| 二级 | 一般业务数据处理 | 年度问卷与报告审查 |
| 三级 | 无数据处理的服务支持 | 两年一次更新评估 |
| 例外 | 紧急引入，待补齐资料 | 限期补评估并记录理由 |
合同里的审计权要具体：写明可审计的范围、提前通知期限与保密要求，否则实际需要核查时供应商常以合规或安全为由拒绝配合。