《个人信息保护法》实施这几年，监管抽查的频次明显上来了。最近不少企业都收到了个人信息保护合规审计的相关要求，但拿到审计指引之后，很多人的第一反应是：从哪儿下手?实际操作中，资料准备不全、审计范围漏项、整改不达标，几乎是最常踩的几个坑。下面按实操顺序，把步骤捋一遍，供企业参考。
第一步，先搞清楚审计什么时候触发、范围划到哪儿。按审计指引的规定，企业不是只有被监管点名了才需要做审计。处理个人信息达到一定规模、发生重大个人信息安全事件、开展跨境个人信息传输、业务模式发生重大变更，这几种情况下企业都应当主动组织合规审计。所以第一步是把业务链路梳理一遍，划定审计范围，把普通个人信息和敏感个人信息区分开，明确哪些系统、哪些部门、哪些流程要纳入。这里特别提醒一句：别只盯着线上业务，线下收集、外包合作方、供应商这些环节的数据处理，同样在审计范围内，漏掉哪一块都可能导致范围不全，后面补审反而更费时间。
第二步，对照指引条款，把核查重点列出来。审计的核心是围绕个人信息处理的全生命周期展开的。收集环节，重点看告知同意是否合规，有没有强制授权、捆绑同意的情况;存储使用环节，检查最小必要原则落实得怎么样，是否存在超范围采集、超期限留存;共享、委托、跨境传输环节，核查合作协议、安全评估、备案材料是否齐全;主体权利响应方面，查阅查询、更正、删除、注销申请的处理记录和时限。除此之外，内部制度、台账、培训记录、安全防护措施这些也要一并核验，不能只看业务层面。把核查重点列成清单，逐项对照，比临场翻材料靠谱得多。
第三步，正式审计前进场自查，把风险降下来。在审计机构正式进场之前，企业完全可以先做一轮自查，对照指引里的问题清单把短板排查一遍。从实际情况看，企业容易踩坑的地方比较集中：隐私政策写得冗长晦涩、没有单独的敏感信息同意条款、第三方服务商协议里缺少数据安全约束条款、个人信息保护负责人的履职记录缺失。自查发现问题别拖，优先把高风险项整改掉，后续审计出具问题报告的概率会小很多。这一步做扎实，正式审计时压力会小不少。
第四步，审计资料全套留存，形成闭环。审计不是做完就完了。审计方案、现场记录、问题清单、整改报告、复查材料，这些都要归档留存，以备监管调取。后续业务迭代、新增系统的时候，个人信息保护相关的管控措施也要跟着持续更新，做到常态化合规，而不是一次性应付审计。把资料留存和日常管理结合起来，下一次审计或抽查时才不会手忙脚乱。
数达是一站式服务提供商，与紧密合作的权威机构一起，提供评估、整改一站式服务，减少沟通环节，降低成本，缩短项目周期。
联系我们
联系地址
北京市海淀区互联网文化创意产业园22号楼
服务热线：
热线：400-113-3015
售前热线
售前：15510626229
电子邮箱
邮箱：shuda@datatosec.com