前 言

2024年7月12日，全国网络安全标准化技术委员会发布国家标准《数据安全技术 个人信息保护合规审计要求（征求意见稿）》（下称“《审计要求（意见稿）》”）。

此前，国家互联网信息办公室（下称“国家网信办”）于2023年8月3日发布《个人信息保护合规审计管理办法（征求意见稿）》（下称“《审计办法（意见稿）》”）及其附件《个人信息保护合规审计参考要点》（下称“《审计要点》”），作为《个人信息保护法》（下称“《个保法》”）第54条和第64条关于个人信息保护合规审计（下称“个保审计”）的细节展开。

《审计要求（意见稿）》的发布，进一步支撑了《个保法》中关于个保审计的条款和《审计办法（意见稿）》的落地实施，从国家标准层面提出开展个保审计的原则和总体要求，有利于解决因缺少规范要求和方式步骤而导致得个保审计不易开展的问题。

图1 个保审计的法律沿革

一、个保审计的类型与法律依据

根据《个保法》第54条和第64条第1款，个保审计可分为个人信息处理者开展的定期个保审计和按监管或主管部门要求开展的强制个保审计。其中，《审计办法（意见稿）》对定期个保审计的频率和强制个保审计的时限等内容进行了细化规定；针对特定个人信息主体（例如未成年人）、特定行业领域（例如征信行业），相关法律法规也对定期个保审计提出了更加具体的要求。

本次发布的《审计要求（意见稿）》，主要适用于个人信息处理者自行或委托专业机构开展的定期审计工作，个人信息处理者按照监管或主管部门要求开展强制审计时可参考该标准。[1]

表1 个保审计的类型和法律来源

二、个保审计流程及其挑战

1. 个保审计的流程和主要工作内容

个保审计的流程主要分为5个阶段，分别为审计准备、审计实施、审计报告、问题整改、归档管理，具体流程和实施要点如下图所示：

图2 《审计要求（意见稿）》审计流程

2. 异议解决

《审计要求（意见稿）》附录A审计流程之A.3.5规定，在审计实施阶段，审计人员应对取得的审计证据进行评价分析，对发现的问题进行定性，并对照审计依据形成审计发现。审计人员应通过会议等机制，将审计发现及审计结论通报给被审计方管理层，并进行沟通和确认。被审计方有异议的，双方应讨论协商，必要时审计人员进一步核实；若双方就审计发现及审计结论仍未能达成一致，审计人员应在审计底稿中予以记录。A.4.1规定，撰写审计报告前，审计人员与被审计方之间应建立异议解决机制，对被审计方提出异议的审计结论应及时进行沟通确认，并将沟通结果和审计结论归档保存。附录E给出的审计报告模板中，如被审计方对审计报告内容有异议的，可在审计报告的附件部分对异议予以说明。

异议解决机制是审计组与被审计方之间进行沟通的重要渠道，促进了个保审计的有效性和准确性。审计人员难以通过一次个保审计掌握审计对象的全部情况，且可能因专业背景、证据收集方式、关注点等因素而与被审计方产生理解偏差，因此异议解决机制的难点在于如何确保双方充分表达观点和立场并达成共识。被审计方对审计发现或审计结论提出异议时，沟通和核实可能会延长审计周期，从而对审计资源和时间管理提出挑战。同时，关于异议的沟通结果和审计结论将体现在审计底稿中，且被审计方可能需要在审计报告中对异议进行说明，或许会引发管理层或外部利益相关者的误解或担忧。如何在报告中清晰、客观地呈现异议，是审计人员需要谨慎处理的问题。

3. 问题整改

根据《审计要求（意见稿）》附录A给出的审计流程，个保审计将采取“先报告后整改”的模式。A.3.5规定，对于审计发现的问题，可根据问题的影响程度、整改代价等因素进行分级排序。审计完成后需要被审计方对审计问题进行正式确认。A.5规定，在问题整改阶段，审计人员应对审计中发现的不合规项进行跟踪，督促被审计方在规定期限内整改。必要时，审计人员可对整改措施的完成情况及有效性进行跟踪审计。

整改阶段在实操中可能会面临以下问题：①问题分级排序：如何准确评估审计发现问题的严重性和紧迫性，以及如何合理分配整改资源，确保关键问题和即时威胁优先解决；②整改期限：如何根据问题的复杂程度、被审计方的整改能力、资源投入情况等因素设定合理的整改期限，以及如何与审计期限和项目进度相协调；③问题暴露：由于采取“先报告后整改”的模式，审计报告中呈现的问题可能涉及相关合规风险和法律责任，从而为审计和整改工作带来较大压力；④整改主体：按照《审计要求（意见稿）》，整改主要由被审计方自行开展，审计组的工作是发现问题、督促并协助整改、必要时开展跟踪审计，但实际项目开展过程中审计组可能需要更直接地参与整改工作以确保整改效果。

三、个保审计工作的重点和难点

1. 个保审计的证据

审计证据是指审计人员获取的能够为个保审计结论提供合理基础的全部事实，包括个保审计过程中收集、使用或发现的记录、事实陈述或其他信息。[2]被审计方应对审计证据的真实性、完整性和有效性负责。[3]

（1）审计证据的涵盖范围

审计证据需体现被审计方的个人信息保护情况，在范围上建议涵盖如下图所示的内容：

图3 审计证据的涵盖范围

（2）审计证据的不同类型及其有效性

个保审计收集的审计证据应对个人信息合规判断具有相关性，其取得方式应具有合法性，其记录内容应具有真实性。[4]结合《审计要求（意见稿）》5.1.3、附录B之表B.1和附录C，各类审计证据有效性要求如下表所示：

表2 审计证据的有效性要求

《审计要求（意见稿）》在审计原则和审计人员要求两部分均提出独立性要求，即审计人员在实施个保审计时应当保持审计工作的独立性，独立于审计活动。鉴于定期审计可以由组织自行开展，也可以委托外部专业机构进行，《审计要求（意见稿）》提出了以下增强审计独立性的措施：

表3 个保审计的独立性

尽管有前述要求，《审计要求（意见稿）》附录A审计流程之A.2.1规定，在“必要时”和“保持独立原则”的前提下，可从组织内部的内审团队、安全团队、法务团队等具有审计或个人信息保护相关专业能力的团队中选派人员参与审计（详见下文第四点）。

从一般的商业流程而言，组织内部的业务、信息技术和法务等人员均有可能参与日常业务运营和个人信息安全保护工作，且其作为组织员工难以避免会受到相关约束，如何保持内部人员参与和审计独立性的平衡，可能成为实务中的难点。目前看来，委托外部第三方专业机构开展审计、组织内部相关人员予以配合和支持的模式可能是现有机制下保持审计独立性的最佳方案。

关于外部第三方专业机构的选择，此前《审计办法（意见稿）》第13条规定，网信和公安等部门将建立个保审计专业机构推荐目录，每年组织开展个保审计专业机构评估评价，并根据评估评价情况动态调整个保审计专业机构推荐目录，同时鼓励个人信息处理者优先选择推荐目录中的专业机构开展个保审计活动。但在《审计要求（意见稿）》中，并未提及个保审计专业机构推荐目录相关事宜。

3. 如何理解个保审计的全面性

全面性原则要求审计人员针对审计对象，应进行全面、系统的审计，进行综合、全面、系统的审查，确保证据充分。[6]我们理解，该原则并非要求单次个保审计活动必须对被审计方的全部个人信息处理活动、信息系统、应用程序以及相关部门、人员和制度等进行全面审计，而是需要在确定审计对象后通过多种渠道和方式充分收集相关审计证据，以保证审计结论的可信度和有效性。组织可以根据自身的个人信息保护能力建设情况和审计目的决定，是对整个组织的全部业务条线、所有个人信息处理活动和每一产品/服务进行完整个保审计，或是对部分业务条线、处理活动和相关产品/服务进行专项个保审计。

四、个保审计的内容变化的对比解读

附录C是《审计要求（意见稿）》中篇幅占比最大的内容，给出了个保审计的审计内容以及对应的审计证据和审计方法，对实务中开展个保审计具有较强指导意义。

1. 新增关于必要性的审计内容

最小必要是《民法典》[7]及《个人信息保护法》[8]确立的关于个人信息处理最重要的基本原则之一，但由于其仅作为原则性规定，监管或主管部门以及不同的个人信息处理者可能对其存在不同的理解，因此个人信息处理必要性原则的判断和把握长期以来是实务操作中的模糊地带和难点，也是企业的关注重点。本次《审计要求（意见稿）》附录C之C.2较《审计办法（意见稿）》之附件《审计要点》相比，新增了6条个人信息处理必要性的审计要求，有助于为实务工作进一步提供参考，厘清个人信息处理的合规边界。

2. 修改关于个人信息出境的审计内容

针对个人信息出境的内容，《审计要求（意见稿）》附录C之C.14较《审计办法（意见稿）》之附件《审计要点》第15条相比，根据《促进和规范数据跨境流动规定》（下称“出境新规”）进行了更新：①删除“处理100万人以上个人信息的个人信息处理者向境外提供个人信息需安全评估”；②将增量出境个人信息的统计起始时间从“上年1月1日”修改为“当年1月1日”；③将非CIIO个人信息处理者出境增量个人信息适用安全评估的起算门槛从“10万人个人信息”修改为“100万人以上个人信息”。

或许是沿用《审计要点》体例的缘故，《审计要求（意见稿）》附录C关于个人信息出境的审计内容并未完全纳入出境新规的内容，从而导致审计内容存在不全面的问题，例如缺乏免予申报安全评估、订立标准合同、通过个人信息保护认证的出境豁免情形，缺乏标准合同或保护认证的适用门槛，缺乏关于告知、单独同意、个人信息保护影响评估等义务的审计内容，有可能将会在最终发布的版本中进行补正。

3. 新增并修改关于未成年人保护的审计内容

《审计要求（意见稿）》附录C依据《未成年人网络保护条例》等法律法规，设置了C.16至C.22关于未成年人个人信息处理的专门性审查内容，包含告知、真实身份审核、收集的最小必要、个人信息主体权利、个人信息安全事件应急响应处置、访问的最小必要、私密信息保护7个模块。同时，《审计办法（意见稿）》之附件《审计要点》第14条将未成年人限定在“不满十四周岁”，即儿童[9]；《审计要求（意见稿）》附录C仅在C.13.2关于取得未成年人父母或其他监护人同意的审查内容中将未成年人年龄限制在十四周岁以下，C.16至C.22均未作此限定，而是将审计对象的范围扩展至所有年龄段的未成年人。

4. 修改外部独立监督机构和社会责任报告的审计内容

《审计要求（意见稿）》附录C之C.34规定了关于外部独立监督机构的审计内容，C.37规定了关于个人信息保护社会责任报告的审计内容，相较于《审计办法（意见稿）》之附件《审计要点》第28条和第31条，《审计要求（意见稿）》未限定为“大型互联网平台运营者”的合规义务。但根据《个人信息保护法》第58条第1款第1项和第4项，我们理解“成立外部独立机构对个人信息保护情况进行监督”和“定期发布个人信息保护社会责任报告”属于“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”的义务。

结 语

个保审计是《个人信息保护法》及相关法律中对于个人信息处理者的法定义务要求，同时也是监管部门落实“指导、监督个人信息处理者开展个人信息保护工作”[10]的工作职责，以及建立和完善“强化事前事中事后全链条全领域监管[11]”的职能机制的有效途径和重要保障。但是，由于缺乏实施细则和监管规范，实践中真正开展、落实个保审计的企业极少。随着《审计办法（意见稿）》《审计要求（意见稿）》等配套文件的陆续推出，个保审计的强制性义务的规范和导入已经蓄势待发，建议企业予以持续关注和适当的准备。

注释

[1] 《〈数据安全技术 个人信息保护合规审计要求（征求意见稿）〉编制说明》第2.2条

[2] 《数据安全技术 个人信息保护合规审计要求（征求意见稿）》3.2

[3] 《数据安全技术 个人信息保护合规审计要求（征求意见稿）》附录B之B.1

[4] 《数据安全技术 个人信息保护合规审计要求（征求意见稿）》附录B之B.2

[5] 《数据安全技术 个人信息保护合规审计要求（征求意见稿）》3.3：审计对象是指被审计方的个人信息处理活动、信息系统、应用程序以及相关部门、人员和制度等。

[6] 《数据安全技术 个人信息保护合规审计要求（征求意见稿）》4 d)

[7] 《中华人民共和国民法典》第1035条

[8] 《个人信息保护法》第5条

[9] 《儿童个人信息网络保护规定》第2条：本规定所称儿童，是指不满十四周岁的未成年人。

[10] 《个人信息保护法》第61条

[11] 《促进和规范数据跨境流动规定》第12条