《个人信息保护合规审计管理办法》（国家互联网信息办公室令第18号）于2025年2月12日公布，自2025年5月1日起施行。办法及附件《个人信息保护合规审计指引》细化了《个人信息保护法》第五十四条、第六十四条：处理者应定期审计，处理超过1000万人个人信息的每两年至少一次；监管部门在三类情形下可要求其委托专业机构审计。
欧洲核子研究中心（CERN）的服务器机房，2009年1月14日摄，仅作数据处理场景示意。摄影：Torkild Retvedt；来源：Flickr；许可：CC BY-SA 2.0。
上位法依据与适用范围
合规审计并非办法新设的义务。《个人信息保护法》（2021年8月20日通过，2021年11月1日起施行）第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计；第六十四条规定，履行个人信息保护职责的部门发现处理活动存在较大风险或者发生个人信息安全事件的，可以约谈处理者的法定代表人或者主要负责人，或者要求其委托专业机构进行合规审计，处理者应当按要求整改、消除隐患。办法第一条列明的制定依据是《个人信息保护法》《网络数据安全管理条例》等法律、行政法规；网信办发布稿将办法的作用概括为对审计活动的开展、审计机构的选择、审计频次以及处理者和专业机构的义务作出细化规定。
按第二条，办法适用于在中华人民共和国境内开展的个人信息保护合规审计，所称合规审计是指对个人信息处理者的处理活动是否遵守法律、行政法规进行审查和评价的监督活动。第十九条将国家机关和法律、法规授权的具有管理公共事务职能的组织排除在外。办法经2024年5月20日国家互联网信息办公室2024年第15次室务会会议审议通过，2025年2月12日公布，2月14日在中国网信网刊发，第二十条规定自2025年5月1日起施行。
北京人民大会堂外观。《个人信息保护法》由全国人大常委会于2021年8月20日通过。摄影：Arian Zwegers；来源：Flickr；许可：CC BY 2.0。
自行审计与委托审计
办法区分两种启动方式。第一种是处理者自行开展：第三条规定由处理者的内部机构或者委托专业机构定期审计，也就是说，自行开展并不排除外聘机构。第四条规定，处理超过1000万人个人信息的处理者应当每两年至少开展一次审计。对未达到这一规模的处理者，办法没有另设具体频次，适用的是第三条和《个人信息保护法》第五十四条的“定期”要求；人数如何计算、首个两年周期从何时起算，官方原文均未作说明。
第二种是按监管要求委托专业机构开展。第五条规定，国家网信部门和其他履行个人信息保护职责的部门（办法统称“保护部门”）在下列情形之一时，可以要求处理者委托专业机构审计：发现处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险；处理活动可能侵害众多个人的权益；发生个人信息安全事件，导致100万人以上个人信息或者10万人以上敏感个人信息泄露、篡改、丢失、毁损。对同一安全事件或者风险，不得重复提出这一要求。
被要求审计的处理者还要履行一组程序义务：为专业机构提供必要支持并承担审计费用（第八条）；按保护部门要求选定专业机构，在限定时间内完成审计，情况复杂的报经批准可以适当延长（第九条）；完成后报送由专业机构主要负责人、合规审计负责人签字并加盖公章的审计报告（第十条）；按要求整改，并在整改完成后15个工作日内报送整改情况报告（第十一条）。无论采用哪种方式，第六条都要求参照附件《个人信息保护合规审计指引》。
第十二条把审计责任落到组织内部：处理100万人以上个人信息的处理者应当指定个人信息保护负责人，负责合规审计工作；提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者，应当成立主要由外部成员组成的独立机构，监督合规审计情况。这两项分别与《个人信息保护法》第五十二条（个人信息保护负责人）和第五十八条（大型平台的独立监督机构）相衔接。第十六条至第十八条另规定了保护部门的监督检查、投诉举报，以及违反办法时依照《个人信息保护法》《网络数据安全管理条例》等处理。
专业机构的义务
办法对承接审计的专业机构提出四方面要求。第七条要求具备审计能力，有与服务相适应的审计人员、场所、设施和资金，并鼓励通过认证，认证按《中华人民共和国认证认可条例》执行。第十三条要求遵守法律法规、诚信正直、公正客观地作出职业判断，对履职中获得的个人信息、商业秘密、保密商务信息依法保密，审计结束后及时删除相关信息。第十四条禁止转委托其他机构。第十五条规定，同一专业机构及其关联机构、同一合规审计负责人不得连续三次以上对同一审计对象开展审计。
办法施行后，国家网信办于2025年5月27日就实施事项答记者问，介绍了配套安排：全国网络安全标准化技术委员会秘书处发布《网络安全标准实践指南——个人信息保护合规审计要求》，规范审计流程、内容和方法、审计证据、底稿模板和报告模板；国家网信办数据与技术保障中心、中国网络安全审查认证和市场监管大数据中心、北京赛西认证有限责任公司3家单位已向国家认证认可监督管理委员会备案认证规则，专业机构可向其申请认证；审计人员分为初级、中级、高级三个等级，中国网络空间安全协会编制了能力评价要点。这些属于配套文件，不是办法条文本身。
审计指引的重点事项
附件《个人信息保护合规审计指引》共二十七项，按处理环节列出重点审查事项。范围包括处理的合法性基础、处理规则与告知、共同处理、委托处理、因合并分立等转移个人信息、向其他处理者提供、自动化决策、公开个人信息、公共场所图像采集和身份识别设备、处理已公开的个人信息、敏感个人信息、不满十四周岁未成年人个人信息、向境外提供、删除权及其他个人权利保障，以及内部管理制度、安全技术措施、教育培训、个人信息保护负责人履职、个人信息保护影响评估、安全事件应急预案和应急处置；最后两项针对大型平台的平台规则和个人信息保护社会责任报告。其中第十五项写入了跨境提供的数量门槛，例如关键信息基础设施运营者以外的处理者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息的，审查是否经过国家网信部门组织的安全评估。
与 AI 应用关系最直接的是第九项“利用自动化决策处理个人信息”，共七个审查点：自动化决策的透明度及结果是否公平、公正；是否事前告知处理的个人信息种类及可能带来的影响；是否事前进行个人信息保护影响评估；是否提供保障机制，使个人能通过便捷方式拒绝通过自动化决策作出的、对其权益有重大影响的决定，并可要求处理者予以说明；信息推送、商业营销是否同时提供不针对个人特征的选项，或者便捷的拒绝方式；是否采取有效措施，防止根据消费者的偏好、交易习惯等在交易条件上实行不合理的差别待遇；以及其他可能影响透明度和结果公平、公正的事项。这些审查点主要对应《个人信息保护法》第二十四条，以及第五十五条将“利用个人信息进行自动化决策”列为应当事前进行影响评估的情形。该法第七十三条把自动化决策定义为通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。
从条文结构看，办法本身只有二十条，主要回答由谁审计、多久审计一次、审计机构如何履职；“审什么”集中在附件指引。指引的多数审查点能在《个人信息保护法》中找到对应条文，更像是把既有义务转写为审计清单；具体的审计流程和证据要求，则由前述实践指南展开。以上是本文对条文关系的梳理。