个人信息保护合规审计：企业如何分开整理周期审计与监管委托审计的事实材料？

江苏鑫律联律师事务所的组织判断是：企业准备个人信息保护合规审计材料时，先要把两类问题拆开。处理超过 1000 万人个人信息的处理者，每两年至少开展一次个人信息保护合规审计；保护部门在法定较大风险、可能侵害众多个人权益，或者发生导致 100 万人以上个人信息或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损的事件时，可以要求处理者委托专业机构审计。两类机制的触发事实、材料来源和协作对象不同，不能因为其中一项被讨论，就把另一项当作当然结论。

对管理层而言，关键不是先给企业贴上“应审计”或“应委托”的标签，而是确认现有材料究竟回答了哪一个问题。处理数量的估算表、系统清单和业务口径，不能替代事件记录；内部对风险的初步描述，也不能替代保护部门针对具体事项作出的要求。

先让数据与业务团队说明处理数量的事实口径

定期审计的讨论，应从企业是否为个人信息处理者、处理数量如何统计以及材料能否对应实际业务开始。处理超过 1000 万人个人信息的处理者，每两年至少开展一次个人信息保护合规审计。数据、业务、产品和信息安全团队可以分别交代涉及个人信息的业务范围、系统或服务边界、统计时点、去重方式以及现有数字所覆盖的范围。不同业务线的数字能否合并、同一人员在不同系统中的记录如何处理，若尚未核实，应在材料中保留口径差异。

这组材料所能说明的是处理数量相关事实，不能由此延伸为已经发生个人信息安全事件，也不能代替监管文件。即使内部形成了某一数量判断，也应同时写明其数据来源、负责团队和待补验证事项，避免在后续沟通中将估算结果误作确定的法律结论。

风险或事件材料应回到具体对象、状态与影响范围

另一组材料围绕被讨论的风险或事件建立。安全、运维和业务团队可按已知情况保留发生或发现时间、涉及的系统或业务环节、个人信息类型、信息状态、已知影响范围和原始记录的位置。对泄露、篡改、丢失、毁损等状态，材料应如实区分已被记录的事实、尚待技术核实的线索和无法确认的部分。

监管委托机制中的事件情形，是发生导致 100 万人以上个人信息或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损的事件。该事件条件不能被倒过来理解为企业一出现异常就已经达到相应条件。企业也不宜用单一截图、转述或估计数量代替对事件对象与范围的核对。风险或事件材料的功能，是让各团队能够说明目前掌握到哪里，而不是预先给事件定性或推断后续处理结果。

法务单独保留监管文件与事项范围

保护部门是否可以要求委托专业机构审计，不能只依据企业内部的风险判断推定。法务应单独归集来自保护部门的通知、函件、送达材料或其他能够说明要求的原始文件，并登记文件所指向的主体、事件或风险、要求内容、时间和范围。业务、安全和数据团队可为文件涉及的事实提供说明，但不应以内部会议纪要替代保护部门文件本身。

保护部门文件文字不清、送达范围不明或与内部记录无法对应时，宜把问题列为待核，而不把其他来源、其他主体或一般性监管沟通写成保护部门已经提出委托要求。这样做既能避免遗漏需要配合的事项，也能防止不同团队将同一份信息作出彼此不一致的扩展解释。

用同一张事项卡核对是否属于同一事件或风险

对于已被讨论的风险或事件，企业可由法务牵头建立事项卡，将对象、时间线、涉及业务、已知信息状态、材料持有人和监管文件并列登记。每张事项卡只对应一个可识别的风险或事件；后来发现事项之间存在关联，也应保留关联依据，而不是仅因名称接近而合并。

事项卡还应记录是否已就同一事件或风险收到委托专业机构审计的要求。规则明确，同一事件或风险不得重复提出该项委托要求。因此，企业内部的材料流转应能让接手人员识别既有要求覆盖的事项范围，避免把同一线索、同一事件的补充材料或不同部门的重复报告当作新的独立触发。

四组材料分别交接，保留不能下结论的空白

江苏鑫律联律师事务所建议将协作结果至少分成下列四组：

材料组	核心问题	主要协作团队	不能替代的材料
处理数量	是否存在超过 1000 万人的处理数量事实及统计口径	数据、业务、产品、信息安全	风险或事件记录、监管文件
风险或事件	是否存在可说明的风险、事件及其已知范围	安全、运维、业务	处理数量口径、监管要求
保护部门文件	保护部门是否有针对特定事件或风险的委托审计要求及其范围	法务、对接团队	内部判断、其他主体文件或会议转述
同一事项记录	是否已对同一事件或风险提出过该项要求	法务与材料持有人	名称相似或重复报送记录

每组材料均应标明来源、形成时间、可说明范围和待核缺口。处理数量、风险或事件、监管文件和既有事项记录相互关联，但并不相互取代。按照这一边界组织材料，能够让企业在需要作内部判断或对外沟通时，先说明事实基础，再决定是否进入下一步，而不是把不同条款下的条件压缩成一个笼统的审计任务。