个人信息保护合规审计管理办法

门槛是这套制度唯一的事实入口，必须先把「处理了多少人的个人信息」算清楚并留痕。计量口径要写成制度：以可识别到的自然人去重计数，纳入活跃用户、沉默用户、已注销但仍在留存期内的账号、通过 SDK 或受托处理触达的终端用户、线下采集的人员、以及员工与候选人等非产品侧数据；跨产品线、跨法人主体的重叠用户如何合并，也要有明确规则，否则每次自查都会得出不同数字。达到处理超过 1000 万人个人信息的，应当每两年至少开展一次个人信息保护合规审计（第四条）；未达门槛的并不豁免——第三条要求处理者由内部机构或者委托专业机构「定期」开展合规审计，企业应自行确定并书面固定周期（常见做法是与年度内控或安全评估节奏合并）。每次计量结论、判定依据、判定日期与下一次审计的排期都应入档，这是监管问询时证明「周期没有被拖过」的唯一材料。

触发条件

在中国境内处理个人信息的所有个人信息处理者，尤其是面向消费者、用户规模快速增长的 AI 产品。

时限：处理超过 1000 万人个人信息的，每两年至少开展一次合规审计

做完之后应留存的证据

• · 个人信息处理人数计量口径制度文件（统计范围、去重规则、跨主体合并规则）
• · 各统计期的处理人数计量结果与数据来源说明
• · 门槛判定记录：结论、依据、判定人、判定日期
• · 合规审计周期安排表与上一次/下一次审计日期
• · 未达门槛情形下自行确定审计周期的书面决定

首次达标投入估算：5–15 人日（估算，非承诺）

第六条要求自行开展或按保护部门要求开展的审计都参照附件《个人信息保护合规审计指引》，指引以 27 条列明审查要点，实际上就是一份现成的审计程序表：合法性基础与同意（含变更后重新取得同意、单独同意与书面同意）、处理规则的清单化与最短保存期限、告知义务的显著性与可读性、共同处理与委托处理的约定与监督、因合并重组分立解散转移个人信息的告知、对外提供的单独同意与事前影响评估、自动化决策的透明度与公平性及拒绝机制、基于同意的公开、公共场所图像采集设备的必要性与提示标识、已公开个人信息的处理边界、敏感个人信息与不满十四周岁未成年人、出境三条路径与向外国司法执法机构提供的批准、删除权的六类情形与技术难以实现时的停止处理、个人权利行使的受理与响应、处理规则的解释说明、内部管理制度与操作规程（含分类、应急机制、影响评估与合规审计制度、投诉举报、操作权限、教育培训、履职评价、违法处理责任制度）、安全技术措施的有效性（保密性完整性可用性、加密去标识化、权限控制）、教育培训的覆盖与考核、个人信息保护负责人的资质与权限与报送、影响评估的开展与内容、应急预案的全面性与演练、事件应急响应处置，以及重要互联网平台的平台规则与个人信息保护社会责任报告。落地建议：把 27 条逐条映射到自家的系统、数据流与制度文件，形成「要点—证据—责任人—结论」四列底稿；对 AI 企业，训练语料合法性基础、对话日志保存与删除、模型与日志中个人信息的可删除性、推荐与风控的自动化决策说明这四项通常是失分最集中的地方，应优先补证据。

触发条件

开展自行审计或被要求委托审计的处理者，以及受托的专业机构。

做完之后应留存的证据

• · 审计方案：范围、抽样方法、时间安排、责任分工
• · 按指引 27 条逐条映射的审计底稿（要点—证据—责任人—结论）
• · 个人信息处理活动清单与数据流图（含训练、推理、日志链路）
• · 合法性基础与同意记录样本（含单独同意、书面同意、变更后重新同意）
• · 自动化决策的说明材料、拒绝机制与不针对个人特征选项的实现证据
• · 敏感个人信息与不满十四周岁未成年人处理的事前影响评估
• · 出境路径判定材料（安全评估/标准合同备案/个人信息保护认证）
• · 删除权在应用、日志、备份与模型中的执行记录与技术说明
• · 内部管理制度与操作规程、教育培训与考核记录、应急预案与演练记录
• · 审计发现问题清单与整改计划

首次达标投入估算：20–60 人日（估算，非承诺）

这是自审计之外的强制轨道，节奏由监管定。触发情形有三类（第五条）：处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险；处理活动可能侵害众多个人的权益；发生个人信息安全事件，导致 100 万人以上个人信息或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损。对同一事件或风险，不得重复要求委托专业机构审计——收到重复要求时可以据此沟通。被要求后的动作链条：按保护部门要求选定专业机构（不是自由选型），在限定时间内完成，情况复杂的报保护部门批准后可以适当延长（第九条）；为专业机构正常开展工作提供必要支持并承担审计费用（第八条）；完成后将专业机构出具的审计报告报送保护部门，报告须由专业机构主要负责人、合规审计负责人签字并加盖专业机构公章（第十条）；按保护部门要求对审计中发现的问题进行整改，**在整改完成后 15 个工作日内**向保护部门报送整改情况报告（第十一条）。实务建议：在事件应急预案里预置这条链路——事件定级一旦触及 100 万人／10 万人敏感的量级，就同步启动「可能被要求委托审计」的准备，提前梳理可供选定的专业机构、预算科目与配合口径，避免限期开始后才开始找机构。

触发条件

被国家网信部门或其他履行个人信息保护职责的部门要求开展合规审计的处理者；发生大规模个人信息安全事件的企业应视为高概率触发。

时限：按保护部门限定的时间完成审计（情况复杂经批准可适当延长）；整改完成后 15 个工作日内报送整改情况报告

做完之后应留存的证据

• · 保护部门的审计要求文件与内部启动记录
• · 专业机构选定过程与委托合同（含保密与工作结束后删除条款）
• · 审计费用列支记录与对专业机构的支持配合记录
• · 专业机构出具的合规审计报告（主要负责人与合规审计负责人签字、加盖公章）
• · 向保护部门报送审计报告的记录与回执
• · 问题整改台账：问题、整改措施、责任人、完成时间、验证结果
• · 整改情况报告及其报送记录（证明在整改完成后 15 个工作日内送达）
• · 延期申请与保护部门批准文件（如适用）

首次达标投入估算：20–60 人日（估算，非承诺）

第十二条把审计工作挂到具体的人与机构上。其一：处理 100 万人以上个人信息的个人信息处理者，应当指定个人信息保护负责人，由其负责本单位的个人信息保护合规审计工作——注意门槛是 100 万人（低于强制两年审计的 1000 万人门槛），也就是说很多企业先触发「要有负责人」，再触发「要按周期审计」。指引第二十二项进一步给出对该负责人的审查口径：应具有相关工作经历和专业知识、熟悉相关法律行政法规；职责清晰并被赋予充分权限协调内部部门；在个人信息处理重大事项决策前有权提出意见建议；有权对不合规操作予以制止并采取必要纠正措施；处理者应公开其联系方式，并将姓名、联系方式等报送保护部门。其二：提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者，应当成立主要由外部成员组成的独立机构，对个人信息保护合规审计情况进行监督——「主要由外部成员组成」意味着内部高管占多数的委员会不满足要求，成员构成、议事规则与监督结论都应留痕。

触发条件

处理 100 万人以上个人信息的处理者（指定负责人）；提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者（独立监督机构）。

做完之后应留存的证据

• · 个人信息保护负责人的任命文件与职责授权书
• · 负责人资质材料：相关工作经历、专业知识与培训记录
• · 负责人在重大事项决策前提出意见的记录
• · 负责人制止不合规操作、采取纠正措施的记录
• · 负责人联系方式的对外公开页面截图与向保护部门报送的记录
• · 独立监督机构的设立文件、成员名单与外部成员占比说明
• · 独立监督机构的议事规则、会议纪要与对合规审计情况的监督结论

首次达标投入估算：5–20 人日（估算，非承诺）

委托方必须自己管住四件事，否则问题会在委托当下才暴露。（1）能力（第七条）：专业机构应当具备开展合规审计的能力，有与服务相适应的审计人员、场所、设施和资金；鼓励相关专业机构通过认证，认证按《认证认可条例》执行——选型时应留存对机构人员、场所、设施与既往项目的核验材料。（2）保密与删除（第十三条）：专业机构对履职中获得的个人信息、商业秘密、保密商务信息负保密义务，不得泄露或非法向他人提供，并应在合规审计工作结束后及时删除相关信息——这两项要写进委托合同，并在结项时取得删除确认。（3）不得转委托（第十四条）：机构不得把审计转委托给其他机构，合同里应有明确禁止条款与违约责任。（4）轮换（第十五条）：同一专业机构及其关联机构、同一合规审计负责人不得连续三次以上对同一审计对象开展合规审计。这条最容易在第四次委托时才被发现违规，因为「关联机构」和「同一合规审计负责人」两个维度不在常规供应商管理台账里；委托方应自建一份审计服务连任台账，按机构、关联关系与合规审计负责人三个字段记录历次委托，选型阶段先查台账再询价。

触发条件

委托专业机构开展合规审计的处理者（无论自行委托还是按保护部门要求委托）。

做完之后应留存的证据

• · 专业机构能力核验材料：审计人员资历、场所与设施、资金情况、认证证书（如有）
• · 委托合同中的保密条款、工作结束后删除条款与不得转委托条款
• · 结项时的信息删除确认函
• · 审计服务连任台账：机构、关联机构关系、合规审计负责人、历次委托年度
• · 本次选型前的连任次数核查记录

首次达标投入估算：3–10 人日（估算，非承诺）