一家收集超过1000万人个人信息的企业，如今多了固定日程：至少每两年一次合规审计，由具备资质的机构实施或委托实施，并留存结果。这项义务来自《个人信息保护合规审计管理办法》，一部由国家互联网信息办公室（网信办）发布、自2025年5月1日起施行的令。
该办法于2024年5月20日经网信办第15次部务会议通过，由主任庄荣文于2025年2月12日公布，把此前仅存在于原则中的条款，变成了可运转的合规周期。
关键要点
- 办法自2025年5月1日起施行，以网信办令第18号发布。
- 处理超过1000万人个人信息的处理者，须至少每两年开展一次合规审计。
- 监管可在重大风险或涉及100万人一般信息、10万人敏感信息的事件后，责令委托审计。
- 强制性附录《个人信息保护合规审计指引》界定了审计实质内容。
从原则到程序
个人信息保护法与网络数据安全管理条例都曾暗示合规审计；这道令正是暗示变成程序之处。它把个人信息保护合规审计定义为：对处理活动是否合规于法律法规，进行审查与评价的监督活动。
存在两条路径。处理者可自行审计，使用内部团队或委托专业机构，按自定节奏进行。但法律设定的触发是底线：任何超过1000万人门槛的处理者，无论监管是否敲门，都须至少两年一审。门槛之下，义务由风险驱动而非日程驱动。
监管何时拉下杠杆
这道令赋予监管者——网信办及其他个人信息保护职责部门——在三种情形下责令委托审计的权力：处理显现对个人权益的严重风险或明显缺乏安全措施；处理可能损害众多个人权益；以及安全事件泄露、篡改、丢失或销毁超过100万人个人信息，或超过10万人敏感个人信息。
两道护栏值得一提。同一事件或风险不得被用于要求重复审计；当监管责令审计时，费用由处理者（而非被审计方的相对方）承担。处理者还须向专业机构提供必要访问、在限定窗口内完成、提交报告并整改。
审计究竟查什么
附录指引才是实质。它把个人信息保护法及相关规则要点提炼成审计视角：处理是否有合法基础、同意是否有效、敏感信息如何处置、未成年人数据如何保护、跨境传输如何证成，以及个人能否行使访问、复制、更正或删除的权利。
对AI产品而言，这份清单并不抽象。训练数据来源、基于用户输入的模型微调、对话日志留存、境外模型托管，都与传统数据库一样落入同一审计聚光灯下。
谁可实施审计
这道令为专业机构设置了准入门槛。具备资质的机构须有履职能力——审计人员、场所、设施与经费——并鼓励依认证规则申请认证。它须诚信、公正，对所见个人信息、商业秘密或涉密商务信息保密，且不得把审计转委托给其他机构。
一处细节防止"俘获"：同一机构及其关联方、同一主审审计师，不得连续三次以上审计同一对象。轮换规则是一项低调却重要的防俘获机制。
坦诚的局限
办法规定了节奏与范围，却未规定深度。处理者可通过委托一次"填表式"审计满足字面要求，却未暴露系统性风险；而令赋予监管监督职责，却不保证各省统一尺度。1000万门槛还制造了断崖：一家990万人的企业完全避开两年一审义务，这可能激励"门槛管理"而非真正保护。执法仍依托基础法律的罚则，因此令的真正效力取决于网信办与地方机构多积极查处违规、并在事件后责令触发式审计。
普通人现在能做什么
1. 如果你的服务持有超过1000万人的个人信息，现在就把两年一审的节奏写进合规日历，而非等监管来令。
2. 如果你处理敏感类别或未成年人数据，提前依附录指引对齐内部管控，让触发式审计成为走流程而非救火。
3. 如果你遴选审计机构，签约前确认其独立性与"连续三次"轮换规则，因为受污染的审计可能被驳回并责令重做、费用自理。