个人信息保护合规审计这件事，很多企业的第一反应是「我们是小公司，不涉及」。但法律写的是「个人信息处理者应当定期……进行合规审计」，只要你处理个人信息，就在义务范围内，规模只影响审计的深度和频次，不影响有没有义务。另一头的风险更直接：一旦被监管部门发现较大风险或者发生安全事件，可能被要求委托专业机构审计，那时的成本和曝光度完全是另一个量级。
- 定期审计是法定义务：个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
- 监管可要求专项审计：发现较大风险或者发生个人信息安全事件，监管部门可以约谈法定代表人或者主要负责人，或者要求委托专业机构审计。
- 审计和影响评估不是一回事：影响评估是事前做、针对特定高风险处理活动；合规审计是定期做、针对整体合规状况。
- 影响评估五类触发情形：处理敏感个人信息、自动化决策、委托处理或对外提供公开、向境外提供、其他有重大影响的处理活动。
- 审计不是走过场：要留记录、要有整改闭环，被检查时拿不出记录等于没做。
一、两条法律依据，一条常规一条应急
结论：常规审计靠自己安排，专项审计由监管触发。
- 《中华人民共和国个人信息保护法》第五十四条个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。
- 《中华人民共和国个人信息保护法》第六十四条履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。
- 履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。
第五十四条是常规义务。关键词是「定期」——法律没有规定统一频次，由企业根据处理规模、敏感程度、风险状况自行确定，写进内部制度并实际执行。这也是为什么「我们有制度但没做过」在检查时很难说得过去。
第六十四条是应急机制，配套三件事：约谈法定代表人或者主要负责人、要求委托专业机构审计、按要求整改。注意最后一句「应当按照要求采取措施，进行整改，消除隐患」——整改是强制性的，不是建议。
实践中有个容易被忽略的后果：被要求审计这件事本身会留下记录，后续在融资、上市、招投标的合规尽调中，往往会被问到。
二、审计和影响评估：别混为一谈
结论：一个看整体合规，一个看单项风险，时间和产出都不同。
- 《中华人民共和国个人信息保护法》第五十五条有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：
- （一）处理敏感个人信息；
- （二）利用个人信息进行自动化决策；
- （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；
- （四）向境外提供个人信息；
- （五）其他对个人权益有重大影响的个人信息处理活动。
区别可以列成一张表来记：
| 比较项 | 影响评估 | 合规审计 |
|---|---|---|
| 触发方式 | 特定处理活动发生时 | 定期，按制度安排 |
| 时间点 | 事前 | 事后或周期性 |
| 对象 | 单项处理活动 | 整体合规状况 |
| 产出 | 评估报告与处理记录 | 审计报告与整改台账 |
| 法律条文 | 第五十五条 | 第五十四条、第六十四条 |
实务中常见的问题是把两者混着做：做了一份「影响评估报告」，就当完成了审计义务；或者做了一次审计，却没有对跨境提供、自动化决策这些高风险环节单独做评估。两块都要有，缺一块就是缺口。
三、审计到底审什么
结论：按个人信息保护法的义务清单逐项过，核心是六块。
第一块，处理规则是否合法。 有没有法律依据（同意、合同必需、法定义务等），告知是否充分（处理者身份、目的方式、种类期限、行使权利的方式），同意是否真实自愿、能否便捷撤回。
第二块，处理规则是否落地。 隐私政策写的和系统里做的是否一致。这是审计中最常见的落差：政策写了「保存期限一年」，实际数据库里存了五年。
第三块，个人权利是否可行使。 查阅、复制、更正、补充、删除、转移、解释说明的渠道是否真实可用，有没有响应时限和记录。审计时最好实际走一遍流程，而不是看制度文本。
第四块，高风险环节是否单独处理。 敏感个人信息有没有单独同意、有没有告知必要性和影响；自动化决策有没有提供不针对个人特征的选项或者便捷拒绝方式；委托处理有没有签订协议并监督；对外提供有没有单独同意并告知接收方信息。
第五块，跨境提供是否合规。 有没有走安全评估、标准合同、认证三条路径之一，有没有做影响评估，出境后的存储和再提供是否可控。
第六块，安全措施和事件应对。 加密脱敏、权限管理、访问日志、员工培训、应急预案、泄露通知机制。发生过事件的，要看处置记录和整改闭环。
四、谁来做、怎么做
自己做还是请外部机构？ 第五十四条的「定期审计」没有强制要求外部机构，企业内部人员或者聘请律师、专业机构都可以；第六十四条的「要求委托专业机构」，则必须由外部专业机构完成。
频次怎么定？ 没有统一标准，通常按规模与风险分档：日处理量小、不涉及敏感信息的，企业可以定两年一次；处理敏感个人信息或者百万级用户量、涉及跨境提供的，一般每年一次更稳妥。定下来就要写进制度并且执行，最怕「制度里写了每年一次，实际上从来没做过」。
审计报告要写什么？ 基本情况（处理活动清单、数据流向）、发现的问题（分级）、整改建议与责任部门、完成时限。报告不需要漂亮，需要可追溯：每个结论后面挂着证据，比如隐私政策版本号、告知同意的截图、日志导出件。
整改闭环怎么留痕？ 问题清单、整改方案、完成证明（系统改版记录、政策更新版本、培训签到）。被检查时，整改记录比审计报告更能说明态度。
五、中小企业的现实做法
规模小的企业不用一开始就搞全套体系，抓住五件事就能覆盖大部分风险：
- 列一张处理活动清单：收集哪些信息、从哪来、干什么用、给谁看、存多久。
- 把告知同意做实：隐私政策与实际一致，敏感信息单独同意，提供撤回渠道。
- 把权利渠道做成可用的入口：一个邮箱、一个表单、一个响应时限。
- 把第三方管住：与外包客服、数据分析、云服务商签数据处理协议，明确用途与安全义务。
- 每年自查一次并留记录：按上面六块过一遍，形成一页纸的问题清单和整改记录。
这五件事做完，即便没有一份厚厚的「审计报告」，面对检查也能说明「我们做过、有记录、问题已改」。反过来，制度写了二十页、一条没执行，是更糟的状态。
六、被要求审计了怎么办
第一步，确认要求的范围和期限。 监管部门的要求通常写明审计对象、期间、提交时间，按书面要求执行，不猜测、不扩大。
第二步，选机构并签保密协议。 审计会接触大量数据，保密条款、数据脱敏、现场访问控制都要提前约定。
第三步，如实提供，不隐瞒。 审计的价值在于发现问题。隐瞒的问题一旦在后续检查中暴露，性质从「合规瑕疵」变成「拒不整改」。
第四步，按期提交并落实整改。 提交审计报告只是第一步，整改方案和完成情况往往要一并报送。
第五步，评估是否涉及通报、处罚、民事赔偿。 如果审计发现泄露事件，可能同时触发向个人告知、向主管部门报告的义务，以及潜在的民事索赔。
公司只有几百个客户信息，也要做审计吗？
法律义务没有规模门槛，只要处理个人信息就适用。规模小可以简化频次和形式，比如每年一次内部自查并留记录，但不能完全没有。
做了影响评估，还要单独做审计吗？
要。影响评估针对的是特定高风险处理活动，审计针对整体合规状况，两者不能相互替代。跨境提供、敏感信息、自动化决策这几项，通常两块文件都要有。
审计报告必须交给监管部门吗？
常规审计的报告由企业自行保存，被检查时提供；监管部门要求委托审计的，按书面要求提交。两种情形下都要留档，不能做完就丢。
合规审计最容易被做成「一次性应付」。真正被检查时，监管看的是三样东西：处理活动清单在不在、同意和告知的实际版本对不对得上、上一次发现的问题改没改。这三样能拿出来，比一份漂亮的审计报告管用。
延伸阅读：
数据出境的合规路径见数据出境：个人信息和重要数据各走哪条路、哪些情形可以豁免，哪些收集行为算违规看违规收集个人信息；规范原文是《中华人民共和国个人信息保护法》；同类文章都在网络与数据栏目。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。