2025年5月1日，《个人信息保护合规审计管理办法》（国家互联网信息办公室令第18号）正式施行。个人信息保护合规审计，从此前的“鼓励动作”，变成了大型个人信息处理者必须按期完成的“规定动作”。

审计要由专业机构来做。可什么样的机构才算“专业”？需要具备哪些能力、配齐哪些人员、准备哪些场所和工具？

近期，全国网络安全标准化技术委员会（SAC/TC 260）组织起草的国家标准《数据安全技术 个人信息保护合规审计专业机构能力要求》公开征求意见，为“专业”给出了清晰的“能力标尺”。

一、为什么要出台这份标准？

合规审计，是《个人信息保护法》《网络数据安全管理条例》确立的法定要求。

《个人信息保护法》第五十四条：个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。

《个人信息保护合规审计管理办法》：细化审计条件、机构选择与频次，明确"专业机构应当具备开展个人信息保护合规审计的能力"，并鼓励相关专业机构通过认证。

但《管理办法》对"能力"的规定仍偏原则性。这份标准正是为填补空白而来——它依据相关法规、参照个人信息保护合规审计国家标准，把"具备能力"拆解为基本条件、管理能力、人员能力、专业能力、资源能力五个方面，既指导机构建设，也为处理者选择专业机构提供支撑。

二、一图读懂：五大能力框架

个人信息保护合规审计专业机构五大能力框架

五大能力构成一个由“准入”到“保障”的完整体系：

✓ 基本条件是"门槛"

✓ 管理能力是"制度保障"

✓ 人员能力是"专业技能"

✓ 专业能力是"人员配置硬指标"

✓ 资源能力是"场所设备支撑"

三、五大能力项，逐项拆解

（一）基本条件：把好"准入关"

标准对机构主体资格和合规记录提出8项要求，几条"红线"尤为关键：

✓ 主体资格：境内注册，具有独立法人资格，或具备合规审查资格的合伙人组织；

✓ 人员国籍：法定代表人、合伙人、高管及审计相关人员均为中国国籍，无境外居留权，无犯罪及严重失信记录；

✓ 合规记录：无涉法涉诉、无未处理的网络安全行政处罚，近3年无因相关服务问题被通报；

✓ 从业经验：具备个人信息保护相关检查、检测、评估、审计、咨询等项目案例，服务年限至少2年；

✓ 独立性：不得从事个人信息保护产品的开发、销售、代理、运营、推广；不得转委托；同一机构及关联机构、同一审计负责人，不得连续三次以上审计同一对象。

一句话概括，就是四个字：独立、客观。

（二）管理能力：制度是"压舱石"

✓ 管理制度：建立并执行11项制度，覆盖管理责任、人员管理、方案评审、档案管理、现场监督、报告审核、定期自查、变更管理、应急处置、行为准则和背景审查，每年至少自查1次；

✓ 风险控制：审计前识别逾期、材料失实、设备接入影响业务等风险，制定应急预案、取得授权，在测试环境或非高峰期作业，落实权限管理、加密传输存储、全流程留痕；

✓ 质量管理：审计人员每年培训不少于20学时；建立投诉争议处理和持续改进机制；通过认证的机构，自觉接受认证机构监督。

（三）人员能力：专业的人做专业的事

标准要求审计人员具备8项核心能力：

✓ 掌握法规标准和监管要求，能识别违规行为；

✓ 能确定审计对象、范围和边界；

✓ 能识别个人信息的类型、级别、规模与形态；

✓ 能识别收集、存储、使用、加工、传输、提供、公开、删除等各环节；

✓ 能识别处理者与相关方的数据处理关系及合同约定；

✓ 能识别并验证身份鉴别、访问控制、加密、去标识、匿名化等保护措施；

✓ 能运用合适方法开展检测；

✓ 掌握 GB/T 46903 的判别尺度、证据和方法，具备跨区域、远程审计及医疗、教育、金融等特殊行业审计能力。

（四）专业能力：人员配置有"硬杠杠"

✓ 审计人员须与机构订立正式劳动合同；

✓ 专职审计人员不少于15名；

✓ 其中高级不少于2人、中级不少于5人；

✓ 设专职技术负责人，具备高级能力，全面负责审计工作。

这意味着，"三五个人、几块牌子"就开展审计的做法，将不再具备机构资质基础。

（五）资源能力：场所设备是"保障网"

✓ 场所环境：固定办公场所，配备防火防盗、访问控制措施；对底稿、报告等敏感数据加密存储、安全传输、备份恢复；采取物理或逻辑隔离；设独立档案场所，涉密终端离线运行；

✓ 设备设施：配备专用软硬件和审计工具，具备过程和记录防篡改能力；工具投用前验证、确保版权授权有效；处理过敏感信息的设备，归档后对敏感数据不可恢复擦除并留存记录。

四、审计人员能力分级：一张表看清初、中、高级

标准附录A将审计人员分为初级、中级、高级，从专业知识、审计能力、沟通协调、团队管理、报告文档等维度提出要求。

表1　个人信息保护合规审计人员能力分级要求（依据标准附录A整理）

三级人员的核心差异，在于从"协助执行"到"独立负责"再到"牵头审定"的能力跃迁，尤其对超大规模个人信息项目经验作出了硬性规定。

五、能力如何证实？

附录B给出了能力证实方法：

✓ 基本条件：审核股权、法人、承诺书等背景材料；

✓ 管理制度：审核制度文件、抽查执行记录并开展人员访谈；

✓ 风险控制：现场查验技术措施；

✓ 人员能力：通过案例考核与访谈；

✓ 专业能力：审核考试证书、保密责任书；

✓ 场所设备：通过材料审核与现场查验。

六、三个判断：读懂标准背后的信号

透过这份标准，我们形成三点判断。

其一，门槛提升，本质是"规范"。 15名专职、2名高级5名中级、2年经验、20学时等量化要求，叠加"不得转委托""不得连续三次审同一对象"，业务将加速向有资质、有团队的机构集中，有效规范市场秩序。

其二，独立性红线，倒逼"审计与销售"分离。 不得从事产品开发、销售、代理、推广，意味着"边卖产品边做审计""审计后指定采购"的模式走到尽头，第三方公信力将成为审计机构的核心竞争力。

其三，监管从"事后处罚"走向"常态监管"。 超1000万人每两年至少一次、监管可在风险或事件后强制委托，标志着个人信息监管从"事后处罚"走向"周期性合规验证"，企业应把审计能力内化为日常治理能力。

审计的价值，不是证明"没问题"，而是把风险"控得住"。

七、标准之外，专业机构还要有这五项硬能力

达标只是底线。结合个保合规审计一线实践，我们认为专业机构还需具备五项过硬能力：

✓ 懂行业 · 场景化审计：不止于通用条款，深入车联网、人脸生物识别、未成年人、算法推荐、跨境等专项场景，熟悉行业数据流与典型风险；

✓ 查得实 · 技术实证：对加密、脱敏、去标识化/匿名化有效性做技术验证，开展越权实测、接口抓包、重标识风险测试，用技术手段取证；

✓ 效率高 · 工具化持续审计：自研自动化扫描、数据资产测绘、合规监测工具，把"一次性人工审计"升级为"工具+人工"的持续验证；

✓ 视野宽 · 跨境多法域：掌握数据出境安全评估、个人信息影响评估及 GDPR 等多项业务规则，服务跨国、集团型客户；

✓ 用得上 · 风险研判与整改赋能：准确法律定性、风险定级，给出可落地整改方案、协助构建长效机制；设独立性防火墙、回避自审项目。

八、标准落地，各方该关注什么？

专业机构：对照五大能力查漏补缺，规范执业、争取认证，以能力赢得信任。

个人信息处理者：

✓ 选准机构：对照"看资质、看人员、看经验、看独立性"，避免选择能力不足、存在利益冲突的机构；

✓ 看清"触发点"：存在较大风险，或发生100万人/10万条敏感信息泄露等事件时，可能被要求委托审计；

✓ 算清"审计账"：超1000万人每两年至少审计1次，100万人以上应指定个人信息保护负责人。

九、中检天帷：以专业能力护航合规审计

2026年4月，中检天帷获中国网络安全审查认证和市场监管大数据中心（CCRC）颁发的个人信息保护合规审计服务认证证书。

中检天帷已组建40多人、结构合理、多专结合、经验丰富的审计团队，其中15人通过2025年度第一批个人信息保护合规审计人员能力评价，形成覆盖个人信息安全影响评估、合规审计、数据安全评估的一体化服务链条，并自研个人信息保护合规审计自测工具和专业检测工具，具备技术评估、合规审计、PIA全流程一站式服务能力。

结语

合规审计不是"走过场"，而是个人信息处理活动的"健康体检"，更是企业行稳致远的"合规防线"。中检天帷将以本标准为引领，秉持独立、客观、公正原则，为各类处理者提供专业、规范、可靠的审计服务。如有合规审计、个人信息保护影响评估等需求，欢迎与我们联系。

温馨提示：本标准目前为征求意见稿，相关技术要求最终以正式发布版本为准