直接答案：先判断“必须审计”和“必须委托”两种情况。处理超过 1000 万人个人信息的处理者，至少每两年做一次合规审计；其他处理者按自身情况定期自审；只有当监管部门发现较大风险、可能侵害众多个人权益或发生达到阈值的安全事件时，才会要求委托专业机构。多数企业应先做数据地图和自审，不要一上来买一份“审计报告”。
本文面向有企业官网、询盘表单、Cookie/统计、CRM、招聘页面或 AI 客服的企业负责人、法务/隐私、信息化、市场运营和采购，讨论 2026 年怎么做一次个人信息保护合规审计。资料截止 2026-10-30。本文是公开法规、国家标准和项目方法整理，不是法律意见、审计结论或监管口径；具体适用、审计范围、报告报送和整改要求，以法律、主管部门和律师/专业机构意见为准。
合规审计是监督活动，不是等保、ISO 27001 或“隐私认证”；自审可以由内部机构做，也可以自愿委托，只有监管部门要求时才必须委托专业机构；官网表单、Cookie、AI 客服和 CRM 都是审计证据现场，不是只改一份隐私政策。
2026 年，个人信息保护合规审计的依据是什么？
《个人信息保护合规审计管理办法》2025-05-01 施行，细化了审计情形、频次、专业机构义务和审计指引；2026 年企业应按现行规则准备。
个人信息保护合规审计不是新概念。《个人信息保护法》第五十四条要求个人信息处理者定期对其处理个人信息遵守法律、行政法规的情况进行合规审计；第六十四条授权监管部门在发现较大风险或发生安全事件时，可以要求委托专业机构审计。《网络数据安全管理条例》第二十七条再次要求网络数据处理者定期自行或者委托专业机构开展审计。2025 年 2 月 14 日，国家网信办公布《个人信息保护合规审计管理办法》，自 2025 年 5 月 1 日起施行，把“谁来做、多久做、怎么选机构、报告和整改”进一步细化。
| 时间 | 规则/事件 | 对企业的意义 |
|---|---|---|
| 2021-11-01 | 《个人信息保护法》施行，第五十四条要求定期合规审计，第六十四条授权监管要求委托审计。 | 审计义务的上位法依据 |
| 2025-01-01 | 《网络数据安全管理条例》施行，第二十七条要求网络数据处理者定期自行或委托审计。 | 把审计纳入网络数据处理者义务 |
| 2025-02-14 | 国家网信办公布《个人信息保护合规审计管理办法》。 | 明确频次、专业机构、报告和整改 |
| 2025-05-01 | 《个人信息保护合规审计管理办法》施行。 | 2026 年应按现行办法准备 |
| 2026-10-30 | 本文资料截止 | 后续配套规则/地方执法口径需另行核对 |
时间线依据《个人信息保护法》《网络数据安全管理条例》和国家网信办公布文本；具体适用以官方最新文本为准。
谁必须做：1000 万人、定期自审与监管触发怎么分？
超过 1000 万人至少每两年一次；其他处理者合理确定频次；较大风险、侵害众多权益或达到事件阈值时，监管部门可要求委托专业机构。
《办法》把审计分成两种情形：一是个人信息处理者自行开展，内部机构或委托专业机构都可以；二是监管部门要求开展，必须委托专业机构。处理超过 1000 万人个人信息的处理者，应当每两年至少开展一次合规审计；其他处理者根据自身情况合理确定频次。监管部门可以要求委托审计的情形包括：发现个人信息处理活动存在严重影响个人权益或者严重缺乏安全措施等较大风险；处理活动可能侵害众多个人的权益；发生个人信息安全事件，导致 100 万人以上个人信息或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损。不要把“1000 万人”简单等同于网站访问量或粉丝数，具体口径应按处理的个人信息对应的个人数量判断，并与律师/主管部门确认。
| 情形 | 触发 | 谁来做 | 频次/产出 |
|---|---|---|---|
| 超过 1000 万人 | 处理超过 1000 万人个人信息 | 自行开展，可内部或委托 | 至少每两年一次；报告/整改记录 |
| 其他处理者 | 未超过 1000 万人 | 自行开展，可内部或委托 | 合理确定频次；报告/整改记录 |
| 监管要求—较大风险 | 严重影响个人权益或严重缺乏安全措施 | 必须委托专业机构 | 按监管部门时限完成并报送 |
| 监管要求—侵害众多权益 | 处理活动可能侵害众多个人权益 | 必须委托专业机构 | 按监管部门时限完成并报送 |
| 监管要求—事件阈值 | 100 万人以上个人信息或 10 万人以上敏感个人信息泄露等 | 必须委托专业机构 | 按监管部门时限完成、整改并报送 |
| 100 万人以上 | 处理 100 万人以上个人信息 | 指定个人信息保护负责人 | 负责审计工作；组织/职责证据 |
| 大型平台 | 重要互联网平台、用户巨大、业务复杂 | 成立外部成员为主的独立监督机构 | 监督审计情况；独立机构记录 |
适用和人数口径是编辑整理，不替代法律判断；“1000 万人”按处理的个人信息对应的个人数量理解，不是网站访问量，具体以主管部门/律师意见为准。
审计到底审什么：官网、表单、CRM、AI 客服怎么覆盖？
按审计指引看合法性基础、告知/规则、委托/共享、自动化决策、敏感信息、跨境、权利响应和事件处置；官网只是证据入口，不是全部。
《办法》附件《个人信息保护合规审计指引》把法律、行政法规的关键要点拆成审计事项，包括合法性基础、处理规则、告知、共同处理、委托处理、转移、向第三方提供、自动化决策、公开个人信息、敏感个人信息、未成年人、跨境、权利响应和安全事件等。企业不需要把每个部门都审一遍，但要把“官网/表单/CRM/AI 客服”这些真实处理场景映射到审计事项，并留下能复算的证据。
| 审计维度 | 要查什么 | 官网/业务落点 | 证据 |
|---|---|---|---|
| 合法性基础/同意 | 同意是否自愿、明确、知情；变更是否重新取得；是否需单独/书面同意 | 询盘表单、Cookie、营销订阅、招聘 | 同意文本、勾选/日志、版本记录 |
| 处理规则/告知 | 主体/联系方式、清单、目的、保存期限、权利途径 | 隐私政策、产品页、表单说明 | 页面版本、截图、发布记录 |
| 委托/共同处理 | 合同目的/期限/方式/种类/措施；是否监督受托人 | CRM、云、AI 客服、建站方 | DPA/合同、检查记录 |
| 提供/公开/转移 | 单独同意、接收方告知、影响评估；转移告知 | 客户案例、渠道共享、并购 | 授权、评估、告知记录 |
| 自动化决策/AI | 透明度/公平、告知、影响评估、拒绝机制 | AI 客服、营销推荐、评分 | 设置、评估、人工接管 |
| 敏感/未成年人 | 单独同意、必要性、影响评估、专门规则 | 招聘健康信息、未成年人产品 | 同意、评估、规则 |
| 跨境 | 安全评估/标准合同/认证等路径；告知/单独同意 | 海外 CRM、邮件、AI 模型 | 数据地图、合同/评估 |
| 权利/事件/安全 | 查阅/复制/删除/撤回；事件报告；安全措施 | 账号、表单、客服工单 | 工单、日志、预案/演练 |
审计维度依据《个人信息保护合规审计指引》整理；具体审计程序、抽样和结论由企业/专业机构按适用规则确定。
自审还是委托专业机构：怎么选？
自审适合范围清晰、证据完整、内部有 owner 的团队；委托适合监管要求、高风险、跨境/敏感场景或内部缺乏独立性；两者都参照同一审计指引。
《办法》没有要求所有企业都必须委托专业机构。自行开展审计时，可以由内部机构做，也可以自愿委托；只有监管部门要求开展时，才必须委托专业机构，并按规定选定机构、在限定时限内完成、报送报告和整改。委托也不等于“包过”：专业机构要独立判断、不得转委托，同一机构/同一负责人不得连续三次以上对同一对象审计。企业仍要对数据、证据和整改负责。
| 维度 | 自审 | 委托专业机构 | 怎么选 |
|---|---|---|---|
| 触发 | 定期审计；未超过 1000 万人也可自定频次 | 监管要求时必须；也可自愿委托 | 先看是否被要求 |
| 成本结构 | 内部人力、工具、抽样时间 | 外部服务费 + 内部配合 | 不只看报价，看范围/样本 |
| 独立性 | 内部机构可能受业务影响 | 外部机构相对独立 | 高风险/跨部门选外部 |
| 证据深度 | 熟悉系统，但可能缺审计方法 | 有审计方法和抽样经验 | 看是否按指引覆盖 |
| 报告用途 | 内部整改/董事会/客户审核 | 监管报送/整改 | 按用途定 |
| 限制 | 需要 owner 和独立性保障 | 不得转委托；连续三次限制 | 合同写清 |
| 适合 | 范围清晰、数据地图完整 | 监管要求、跨境/敏感/AI 复杂场景 | 混合：自审+专项外部 |
对比是编辑建议，不构成对任何机构的推荐；是否必须委托、如何选机构和报告报送，按《办法》和监管部门要求确认。
官网/表单/AI 客服的数据地图怎么做？
先列“收集什么、为什么、存哪、给谁、存多久、怎么删”六列；询盘、Cookie、AI 对话、简历、下载和客户门户分别列表，不要只画一张总图。
数据地图是审计的起点，也是最容易“写得很漂亮、现场对不上”的部分。建议按场景拆表：每个场景写清个人信息字段、处理目的、系统/供应商、是否跨境、保存期限、删除/撤回方式和证据位置。官网运营、市场、销售、HR、IT 和法务各负责自己那一行，最后由隐私/法务汇总。
| 场景 | 个人信息 | 目的 | 第三方/跨境 | 保存/删除 | 证据 |
|---|---|---|---|---|---|
| 询盘表单 | 姓名、电话、邮箱、公司、需求 | 回复询盘/报价 | CRM、邮件服务 | 保存期限、删除工单 | 表单配置、隐私告知 |
| Cookie/统计 | IP/设备标识、浏览行为 | 统计/营销 | GA4、百度统计 | 同意有效期、撤回 | 同意配置、脚本清单 |
| AI 客服 | 对话、联系方式、附件 | 客服/售前 | 模型/客服供应商 | 训练开关、删除 | DPA、数据流图 |
| 招聘 | 简历、电话、教育/工作经历 | 招聘 | ATS/招聘平台 | 保存期限、删除 | 告知、权限、删除记录 |
| 下载中心 | 姓名、电话、邮箱、公司 | 资料获取/线索 | CRM/营销自动化 | 保存期限、退订 | 表单门槛、告知 |
| 客户门户/经销商 | 账号、订单、联系人 | 交付/售后 | 云、ERP/CRM | 账号注销、删除 | 权限、日志、合同 |
数据地图是编辑模板；字段、系统、跨境和保存期限按企业实际处理活动填写，不能照抄。
审计证据清单：哪些材料最容易被漏？
最容易被漏的不是隐私政策，而是同意记录、供应商合同、跨境路径、AI 训练开关、权利请求工单和事件演练；每项要能对应到具体系统和日期。
审计不是“交一份制度汇编”。证据要能回答：这条规则在哪个系统生效、谁负责、什么时候验证过、抽样能不能复现。下面这份清单可以按审计维度拆给法务、IT、市场、销售、HR 和采购，最后统一编号归档。
| 证据 | 覆盖问题 | 最低要求 | 常见缺口 |
|---|---|---|---|
| 数据地图/系统清单 | 收集什么、存哪、给谁 | 场景、字段、系统、供应商、跨境、期限 | 只写部门不写系统 |
| 隐私政策/告知版本 | 告知是否真实、准确、完整 | 版本、发布日期、页面截图、变更记录 | 页面改了没留档 |
| 同意/撤回记录 | 同意是否自愿、明确、可撤回 | 勾选日志、时间、文本版本、撤回工单 | 只有一张空表 |
| 供应商合同/DPA | 委托处理目的/期限/措施 | 合同、数据条款、监督/审计权 | 只有服务合同 |
| 跨境路径 | 出境是否合规 | 评估/标准合同/认证、告知/同意 | 合同有、路径无 |
| AI 训练/接管设置 | 对话数据是否被训练 | 关闭训练截图、人工接管、删除 | 供应商口头承诺 |
| 权利请求工单 | 查阅/删除/撤回是否可用 | 入口、工单、时限、结果 | 只有邮箱没人处理 |
| 事件/演练记录 | 事件报告和处置 | 预案、联系人、演练、复盘 | 预案从未演练 |
证据清单是编辑建议；具体证据类型、保存期限和审计程序按适用法律、审计指引和企业制度确定。
90 天怎么排？
前两周定范围和 owner，3–4 周补告知/同意/合同，5–6 周查跨境/AI/敏感场景，7–8 周抽样测试，9–12 周出报告、整改并安排下一次复查。
如果企业现在启动，建议先做“范围+证据”，再做“抽样+报告”。不要一开始就买工具或让供应商写一份模板报告；审计的价值在于发现真实差距、明确整改责任人和复查时间。
| 阶段 | 动作 | 产出 | 负责人 |
|---|---|---|---|
| 0–2 周 | 确定审计范围、适用情形、owner、数据地图和系统清单 | 范围说明、数据地图、证据清单 | 隐私/法务 |
| 3–4 周 | 补隐私政策/告知、同意/撤回、供应商合同/DPA | 版本记录、同意日志、合同清单 | 法务/市场/采购 |
| 5–6 周 | 查跨境、AI/自动化决策、敏感信息、未成年人场景 | 路径说明、评估、AI 设置 | 法务/IT/业务 |
| 7–8 周 | 抽样测试：表单、Cookie、删除/查阅、客服工单、权限 | 抽样表、访谈记录、问题清单 | 审计/IT |
| 9–10 周 | 汇总发现、分级、整改建议、管理层沟通 | 发现清单、整改计划 | 审计/负责人 |
| 11–12 周 | 报告定稿、整改跟踪、复查和下一次审计时间 | 审计报告、整改台账、复查记录 | 隐私/法务 |
90 天计划是编辑建议；监管要求审计的时限、报告报送和整改期限按《办法》和监管部门要求执行。
审计报告/整改验收清单
验收看范围、样本、发现、依据、整改、责任人和复查六项；报告不是“结论页”，要能复算到具体系统、字段和日期。
报告写“基本合规”没有意义，除非能说明审了哪些系统、抽了什么样本、依据哪条规则、发现了什么问题、谁负责整改、什么时候复查。下面这份清单可以给内部审计、法务、IT、业务负责人和外部机构共用。
| 检查项 | 通过标准 | 证据 | 不合格处理 |
|---|---|---|---|
| 范围 | 系统/场景/子公司/供应商边界清楚 | 范围说明、系统清单 | 补范围/说明排除理由 |
| 依据 | 对应法律/办法/指引条款 | 条款映射表 | 补依据/重新判断 |
| 样本 | 抽样方法、数量、覆盖高风险场景 | 抽样表、原始记录 | 补样本/重抽 |
| 发现 | 事实、影响、风险等级、责任人 | 问题清单、截图/工单 | 补事实/降级说明 |
| 整改 | 措施、期限、验证方式 | 整改台账、复查记录 | 重新整改/升级 |
| 报告 | 结论可追溯、附件齐全、签字/盖章 | 报告、附件、审批 | 退回补充 |
| 报送 | 监管要求的是否按时报送 | 报送回执、整改报告 | 补报/说明 |
| 复查 | 下一次审计时间和 owner 明确 | 年度计划、日历 | 补计划 |
验收清单是编辑建议；报告格式、报送对象和整改期限按《办法》、监管要求和专业机构意见确定。
谁该读、谁不适合、能支持什么决策？
适合有官网/表单/CRM/AI 客服、准备客户审核或监管沟通的企业；不适合没有数据地图/owner、或想用一份报告替代实际整改的团队。
该读：企业负责人、法务/隐私、信息化/安全、市场运营、销售/CRM、HR 和采购；正在做官网/表单/Cookie/AI 客服/跨境数据项目的团队；需要判断自审还是委托、制定 90 天计划、准备监管/客户审核的企业。 不适合：没有数据地图、系统清单或隐私 owner 的团队；希望用一篇报告替代实际整改、或让供应商“包过”的项目；把合规审计等同于等保、ISO 27001 或隐私政策年检的团队。 能支持：判断是否必须审计/委托、确定范围和频次、搭建数据地图和证据、选择自审/委托、安排 90 天计划、验收报告和整改。
常见问题
所有企业都要做个人信息保护合规审计吗？
《个人信息保护法》要求个人信息处理者定期开展合规审计；《办法》进一步细化。处理超过 1000 万人个人信息的处理者至少每两年一次，其他处理者根据自身情况合理确定频次。是否被监管部门要求委托专业机构，要看是否存在较大风险、可能侵害众多权益或达到事件阈值。具体适用请结合自身处理活动和律师意见判断。
“1000 万人”是网站访问量还是客户数？
条文表述是“处理超过 1000 万人个人信息”，不是网站访问量、粉丝数或页面浏览量。应按处理的个人信息对应的个人数量理解，但具体统计口径、去重和子公司/关联方合并方式，建议与律师/主管部门确认，不要用流量数据代替。
自审报告要交监管部门吗？
自行开展的审计，重点是按《办法》和审计指引定期审计、留存报告和整改记录；监管部门要求开展的审计，才涉及按监管要求选定机构、在限定时限完成、报送报告和整改情况。具体报送范围、格式和时限按监管部门要求执行，不要自行推断。
找专业机构是不是“包过”？
不是。专业机构要独立、客观地作出判断，不得转委托，同一机构/同一负责人不得连续三次以上对同一对象审计；报告是监管参考，不是“免罚证书”。企业仍要对数据、证据、整改和持续合规负责。选择机构时看能力、范围、方法和保密，不要只看报价。
官网只收集询盘，也需要审计吗？
只要处理个人信息，就可能是个人信息处理者，需要履行告知、同意、最小必要、保存期限、权利响应等义务；是否达到必须审计/委托的门槛，要看处理规模、风险、事件和监管要求。询盘表单、Cookie、AI 客服和 CRM 往往是审计最先抽查的场景，建议先做数据地图和证据自查。
审计发现的问题怎么整改/多久复查？
先把问题按风险分级，明确责任人、措施、期限和验证方式；监管要求开展的审计，按监管部门要求整改并报送整改情况（办法规定整改完成后 15 个工作日内报送整改情况报告）。自查项目建议在 30/60/90 天复查，并把未关闭问题纳入下一次审计范围。
一句话总结
2026 年做个人信息保护合规审计，先判断是否超过 1000 万人、是否被监管要求委托，再按审计指引把官网/表单/Cookie/AI 客服/CRM 映射到合法性基础、告知、委托、跨境、权利和事件证据；自审可以内部或自愿委托，监管要求才必须委托，报告和整改要能复算到系统、字段和日期。
研究方法与局限
本文为公开法律、部门规章、国家标准和编辑方法整理，不是对任何企业、网站、系统、数据或具体项目的法律意见、审计结论、合规认证或监管认定。文中没有使用未公开的客户数据、审计报告或监管沟通材料；适用表、范围表、数据地图、证据清单、90 天计划和验收清单是编辑建议，具体审计情形、人数口径、报告报送、整改期限和法律责任以法律、主管部门、审计指引和律师/专业机构意见为准。法规和配套规则会更新，以官方最新文本为准。
数据来源与口径
资料截止 2026-10-30；以下为公开官方/一手页面，具体适用范围、版本和条款以原文为准。
- 《个人信息保护合规审计管理办法》（国家网信办令第18号，2025-05-01 施行）：cac.gov.cn。第三条自审、第四条 1000 万人/两年、第五条监管要求情形、第十条/第十一条报告和整改、附件审计指引。
- 《个人信息保护合规审计管理办法》答记者问：cac.gov.cn。审计两种情形、频次、机构选择、报告和整改要求。
- 《中华人民共和国个人信息保护法》：中国人大网。第五十四条定期合规审计、第六十四条监管要求审计。
- GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》：国家标准全文公开系统。个人信息安全影响评估方法，可与审计抽样/风险评估配合使用。
- 专家解读《出台〈个人信息保护合规审计管理办法〉为数字经济持续健康发展保驾护航》：cac.gov.cn。制度背景和审计要点。