个人信息保护合规审计，不是年底填一张自查表——三个最容易做错的实务判断

　　先说一个这两年被问得越来越多的场景。一家做连锁零售的企业，会员系统里攒了几百万条手机号、消费记录和到店轨迹，前台挂着“会员专享价”，后台跑着一套推荐与优惠券分配模型。集团法务在季度会上提了一句：按规定要做个人信息保护合规审计了。业务部门的反应很典型——让IT拉一份权限清单，让客服写一段“已按要求告知用户”，再让行政把去年的隐私政策打印出来附在后面，凑成一份二十页的报告归档。整个过程两周结束，谁也没觉得有问题。

　　问题恰恰出在这里。合规审计在监管语境里不是“自我检查一下”，而是一项有法定主体、法定周期、法定审查清单、法定输出形式的义务。2021年11月1日起施行的《中华人民共和国个人信息保护法》第五十四条只写了一句话：“个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。”这句话留白太多，很多企业就按最省事的方式去理解。直到2025年5月1日，国家互联网信息办公室第18号令公布的《个人信息保护合规审计管理办法》施行，留白被填上了——谁来审、多久审一次、审哪些项、报告怎么签字怎么报送，全部落到了具体条文上。

　　对一家用算法做推荐、定价、风控或者招聘的企业来说，这件事的难点不在于“要不要做”，而在于三个判断：这项义务到底落在谁头上；“定期”这两个字能不能用一份内部自查表交差；以及审计里最容易被翻出来的那一页——自动化决策——该怎么过。三个判断错一个，报告就算交了，也只是把风险从桌面上挪到了桌子底下。

#一、“定期”是谁的义务：不是只有超大平台才要审

　　第一个判断最基础，也最容易被规模错觉带偏。

　　规则层面有两层。《个人信息保护法》第五十四条把定期合规审计的义务加给了所有“个人信息处理者”，没有设人数门槛；《个人信息保护合规审计管理办法》第三条进一步明确，处理者自行开展审计的，应当由内部机构或者委托专业机构定期对其处理活动是否遵守法律、行政法规进行审计。也就是说，“定期审”是普遍义务。真正带数字的是第四条：处理超过1000万人个人信息的处理者，应当每两年至少开展一次合规审计。这是频率下限，不是义务起点。

　　另外两个数字容易被混进来。第十二条要求处理100万人以上个人信息的处理者指定个人信息保护负责人，负责合规审计工作；提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者，还应当成立主要由外部成员组成的独立机构对审计情况进行监督。第五条则给了监管部门一个“点名”的权力：发现处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险、可能侵害众多个人权益，或者发生导致100万人以上个人信息、10万人以上敏感个人信息泄露篡改丢失毁损的安全事件时，可以要求处理者委托专业机构审计。

　　把这几条摆在一起，实务中的三种误判就很清楚了。

　　第一种是“我们没到1000万，不用审”。这是把频率下限当成了义务门槛。一家只有几十万会员的区域连锁、一家做B端SaaS但后台存着客户员工信息的小公司，同样在第五十四条的射程内，只是没有被钉死“两年一次”这个硬周期。真出了事，监管问的第一句话往往不是“你为什么没达到1000万”，而是“你的定期审计在哪里”。

　　第二种是“等监管要求了再委托”。第五条的委托审计是监管在风险出现后启动的动作，属于被动应对；而第三条的定期审计是企业自己的主动义务。两者的成本结构完全不同：主动做，是可控的预算和排期；被要求做，是限定时间内完成、按监管要求选定机构、报告直接报送、整改完成后十五个工作日内还要再报一次整改情况（第十一条）。同一个动作，前者是体检，后者是应讯。

　　第三种最隐蔽：把“内部自查”当成审计。第三条确实允许由内部机构开展，但允许的是“内部机构开展审计”，不是“内部随便写个说明”。审计的核心是审查与评价——要有范围、有抽样、有测试、有结论、有整改建议，能回答“这一项合规还是不合规、依据是什么、证据在哪”。一份只有权限清单和隐私政策截图的材料，连审计的门都没进。

　　这一层的实务建议很具体：先做一次义务盘点，把“是否属于被监管可要求委托审计的高风险情形”“是否达到1000万/100万这两个数字门槛”算清楚，形成书面结论；再确定审计周期与责任主体，把它写进个人信息保护制度，而不是留在法务的口头提醒里。数字算不清楚的企业，通常连自己存了多少人的信息都说不准——而这本身就是审计要查的第一项。

#二、最容易被翻出来的一页：自动化决策怎么审

　　第二个判断决定审计是“走完流程”还是“真查出东西”。而在一家用了AI的企业里，最可能出问题的从来不是告知文本，是算法那一端。

　　《个人信息保护合规审计管理办法》附件《个人信息保护合规审计指引》第九项，专门针对“利用自动化决策处理个人信息”列了七项审查内容，包括：决策的透明度与结果是否公平公正；是否事前告知个人自动化决策处理个人信息的种类及可能带来的影响；是否事前进行个人信息保护影响评估；是否提供便捷机制，让个人可以拒绝仅通过自动化决策作出的、对权益有重大影响的决定，并可以要求说明；做信息推送与商业营销时，是否同时提供不针对个人特征的选项或者便捷的拒绝方式；是否采取有效措施，防止根据消费者偏好、交易习惯在交易条件上实行不合理差别待遇。

　　这七项不是凭空来的，背后是《个人信息保护法》第二十四条的三款：保证决策透明度和结果公平公正、不得在交易价格等交易条件上实行不合理差别待遇；推送与营销要提供非个性化选项或便捷拒绝方式；对个人权益有重大影响的决定，个人有权要求说明并有权拒绝仅由自动化决策作出。再往上一层，第五十五条把“利用个人信息进行自动化决策”列为必须事前做影响评估的情形，第五十六条要求影响评估报告和处理情况记录至少保存三年。

　　到这里，企业最常踩的三个坑就浮出来了。

　　第一个坑是拿“算法是商业秘密”去挡说明义务。第二十四条第三款给个人的是“要求说明”的权利，不是“要求公开源代码”的权利。说明的对象是决策的逻辑与考量因素、对个人权益的影响，不是模型参数。用商业秘密一口回绝，等于把一次可以用“分层说明+人工复核”化解的询问，升级成一次投诉。反过来，如果企业连一套能对外讲清楚的决策说明都写不出来，那才是真正的麻烦——因为这意味着内部也没人说得清这个模型在拿什么做判断。

　　第二个坑是只审“有没有告知”，不审“结果公不公平”。指引第九项第一目把透明度和结果公平并列，第六目直接指向差别待遇。同一件商品，老用户看到的价格比新用户高；同一类订单，某些地区的用户被系统默认排到人工审核之后；同样的简历，某个年龄段被模型持续降权——这些都不是告知文本能解决的，而是要在审计中做数据层面的比对测试。审计如果只翻文档、不进数据，这一项必然被判为“无法验证”，而“无法验证”在监管眼里约等于“没有做”。

　　第三个坑是影响评估缺失，导致审计无从下手。第五十五条要求事前评估，第五十六条要求记录至少保存三年。很多企业是在模型上线两年后才第一次被问“当时评估过吗”，这时既没有评估报告，也没有处理情况记录，审计人员只能写“未见评估材料”。这一条补不回来——评估是事前动作，事后补做的时间点写在纸上，一眼就能看出来。

　　处理路径上，企业其实有三条路可选，代价差别很大。第一条是“文档补齐”，把隐私政策、告知弹窗、拒绝入口做齐，成本最低，但只能应付形式审查，遇到数据比对就露底。第二条是“模型侧改造”，给推荐与定价加非个性化开关、给重大决定加人工复核通道、给差别待遇设监控指标，成本高、周期长，但这是唯一能让第九项真正过关的路。第三条是“限缩场景”，把自动化决策从高风险场景（比如信贷额度、招聘筛选、差别定价）里撤出来，改回规则引擎加人工判断，牺牲一部分效率换合规确定性。三条路没有绝对优劣：SKU多、价格敏感的零售业务，第二条更划算；涉及就业、信贷这类高敏感场景，第三条往往比改造更稳。

　　律师在这一层的价值，不是替企业写一份“已合规”的结论，而是把“说明义务”翻译成一份可交付的文档：模型用了哪些字段、哪些字段属于敏感个人信息、决策影响哪些权益、人工复核在什么节点介入、拒绝后走什么流程。这份文档既是审计的工作底稿，也是将来面对个人询问和监管问询时的第一道防线。

#三、谁来做、做完怎么交：独立性、三次上限与十五个工作日

　　第三个判断最技术，却最容易被形式问题绊倒。

　　先说谁能做。《个人信息保护合规审计管理办法》第十三条要求专业机构诚信正直、公正客观地作出职业判断，对审计中获得的个人信息、商业秘密、保密商务信息依法保密，不得泄露或者非法向他人提供，并在审计结束后及时删除相关信息；第十四条明确不得转委托其他机构开展审计；第十五条划了一条硬线：同一专业机构及其关联机构、同一合规审计负责人，不得连续三次以上对同一审计对象开展审计。

　　这三条合起来，实际上否定了实务中很常见的两种安排。一种是把审计交给正在给自己做系统集成的供应商，或者交给集团的关联公司——独立性先不论，第十五条对“关联机构”的表述已经把这条路堵了一半；另一种是把审计整体转包给一家没做过数据合规的会计或检测机构，自己只出个名字，这直接撞上第十四条。至于“连续三次”，本意是防止审计关系固化，企业在选机构时如果图省事一直用同一家，第三年之后就要换人，这个排期必须提前放进年度预算。

　　再说怎么交。第十条要求，按监管部门要求开展审计的，完成审计后应当将专业机构出具的审计报告报送保护部门，报告应当由专业机构主要负责人、合规审计负责人签字并加盖专业机构公章；第十一条要求按监管要求对发现的问题整改，整改完成后十五个工作日内报送整改情况报告。注意这两个动作是分开的：报告报送在前，整改报送在后，中间隔着一段真实的整改期。企业如果想着“等整改完再一起交”，程序上就已经晚了。

　　这里有一个必须说清的边界：办法本身没有另设罚则。第十八条规定，处理者、专业机构违反本办法规定的，依照《个人信息保护法》《网络数据安全管理条例》等法律法规处理。落到《个人信息保护法》第六十六条，违法处理个人信息或者未履行法定义务的，责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿。也就是说，“没做审计”本身不会直接产生一个独立罚单，但它会成为认定“未履行法定义务”的事实之一，也会让企业在发生泄露事件时失去那个最重要的抗辩支点。

　　与罚则相邻的是一个常被忽略的利好。《中华人民共和国行政处罚法》第三十二条规定，主动消除或者减轻违法行为危害后果的，应当从轻或者减轻行政处罚；第三十三条规定，违法行为轻微并及时改正、没有造成危害后果的，不予行政处罚，初次违法且危害后果轻微并及时改正的，可以不予行政处罚，当事人有证据足以证明没有主观过错的，不予行政处罚。审计查出问题后主动整改、主动报告，恰恰是这两条最容易识别的证据形态。反过来，查出问题先内部消化、把报告压着不交，等到事件爆发，前面所有的自查都会变成“明知而不改”的材料。

　　所以这一层的路径选择，本质上是三种姿态的比较。自审为主、外部机构做复核，成本适中，适合数据量不大、场景单一的企业，但内部机构与被审对象同属一个组织，独立性天然偏弱，报告在监管眼里分量有限。全程委托专业机构，独立性最好，报告可以直接对外用，但要接受第十五条的轮换约束，也要承担相应费用。混合模式——内部做范围梳理与证据准备，外部做测试与结论——是多数中型企业的现实解，前提是把两者的分工写在委托合同里，别让“协助”变成“代做”。

#四、律师落地：把审计做成一条能反复用的证据链

　　把上面三层合起来看，合规审计真正的产出不是一份报告，而是一条能反复使用的证据链。这条链子上有四段，缺一段就会在关键时刻断掉。

　　第一段是义务盘点。算清三类数字：处理的个人信息涉及多少人、其中敏感个人信息多少、是否触及第五条那三种可被要求委托审计的情形。这份盘点要落成书面文件，注明统计口径与截止日期，因为人数是会变的，而监管问的是“当时”。

　　第二段是制度与授权。把审计周期、责任部门、内部机构与外部机构的分工、报告审批路径写进个人信息保护制度；处理100万人以上的，把个人信息保护负责人的指定文件补齐。很多企业的审计做不下去，不是不愿意做，是没人有权签字调取数据。

　　第三段是审查清单本地化。把《个人信息保护合规审计指引》的十九项拆成企业自己的检查表，每一项对应到具体的系统、具体的字段、具体的经手人。特别是第六项委托处理、第九项自动化决策、第十五项跨境提供、第十六项删除权这四项，要把“有没有制度”升级成“能不能拿出记录”。委托处理要看合同条款与定期检查记录；自动化决策要看影响评估与拒绝机制的实际可用性；跨境要看当年累计人数与对应路径；删除要看申请受理与执行的时间戳。

　　第四段是整改与留痕。查出问题不可怕，可怕的是查出来没有下文。整改要写成任务单：问题描述、依据条款、责任部门、完成时限、验证方式。整改完成后把验证材料一并归档，因为下一次审计的第一件事，就是看上一轮的问题有没有真的改掉。

　　还有两个操作细节值得提前安排。一个是机构选择的时间成本，第十五条的“连续三次”意味着审计机构是需要轮换的资源，别等到报告要交的前一个月才去找。另一个是保密与删除，第十三条要求专业机构在审计结束后及时删除获取的信息，这条要在委托合同里写成可验证的义务——删除确认函、删除时间、删除范围，都要有。

　　最后回到那个零售企业的场景。它真正的风险不在那份二十页的报告写得够不够厚，而在于三件事没有答案：几百万会员的信息处理，谁来负责、多久审一次；推荐与差异化定价的模型，能不能对用户讲清楚、能不能被拒绝；下一轮审计换谁做、上一轮的问题改没改。这三件事有答案，报告才有意义；没有答案，报告只是一张纸。

　　个人信息保护合规审计这件事，本质上是把“我们一直很重视数据合规”这句自我评价，换成一套可以被第三方检验的记录。它不便宜，也不轻松，但它是目前唯一能把合规从口头承诺变成可举证事实的路径。如果正在为审计范围、自动化决策的说明义务，或者审计机构的选择与轮换拿不准，建议在启动之前先把义务盘点和审查清单过一遍——顺序对了，后面的工作会省很多。

---

正在准备个人信息保护合规审计，或者不确定自家算法场景该怎么过审？预约测绘，帮你把义务盘点、审查清单与整改留痕一次理清。