核心答案（先看结论）
《个人信息保护合规审计管理办法》自2025年5月1日施行：处理超过1000万人个人信息的处理者应当每两年至少开展一次合规审计；处理超过100万人个人信息的关键基础设施运营者等重要处理者同样负有定期审计义务；其他处理者则按监管部门要求开展。收到审计通知的处理者应在30个工作日内完成整改并报告，审计报告需留存至少三年。
一份监管通知书的30天
某连锁口腔医疗机构在全国拥有数十家门店，累计处理患者个人信息约120万条，涵盖就诊记录、影像资料与支付信息。某日，该机构收到监管部门出具的合规审计通知，要求其限期开展个人信息保护合规审计并提交报告。管理层盘点后发现：机构从未系统梳理过个人信息的处理流程，各门店的预约系统、会员系统由不同供应商搭建，隐私政策多年未更新，更谈不上有审计经验。
从收到通知到提交报告，留给企业的窗口通常以"日"计。这份通知书背后是一条清晰的法定链条——《个人信息保护法》第54条要求个人信息处理者定期对其处理个人信息遵守法律、行政法规的情况进行合规审计，而《个人信息保护合规审计管理办法》把"多久做一次、由谁做、审计什么、报告给谁"全部落到了实处。对企业而言，审计不再是抽象义务，而是有期限、有清单、有后果的具体动作。
哪些企业必须做、频率如何
《个人信息保护法》第54条确立合规审计义务，第64条赋予监管部门在发生重大安全事件或风险明显增大时要求委托专业机构审计的权力。据此，审计分两种启动方式：一是处理者按《个人信息保护合规审计管理办法》第5条自行定期开展；二是监管部门依第4条责令委托专业机构审计。
自行定期审计的频率规则：处理超过1000万人个人信息的处理者，每两年至少开展一次合规审计；处理超过100万人个人信息的处理者、关键信息基础设施运营者等，按办法及监管要求执行相应频率。前述口腔医疗机构处理120万人信息，已明显落入定期审计范围。此外，《网络数据安全管理条例》对重要数据的处理者另行规定了年度风险评估等义务，与合规审计并行不悖。
| 处理者类型 | 启动方式 | 频率要求 |
|---|---|---|
| 处理超1000万人信息 | 自行定期审计 | 每两年至少一次 |
| 处理超100万人信息等重要处理者 | 自行定期审计 | 按办法与监管要求 |
| 发生重大事件或风险突出 | 监管责令委托专业机构 | 按通知期限完成 |
| 其他一般处理者 | 按监管要求 | 收到通知后限期开展 |
审计什么：一张核心清单
合规审计不是泛泛的安全检查，办法第10条要求专业机构独立、客观、诚信地开展工作并承担保密义务。审计内容围绕个人信息处理全生命周期展开，核心审查项包括：
- 告知同意：处理规则是否明示，取得同意是否属于充分知情、自愿明确，敏感个人信息是否取得单独同意。
- 最小必要：处理目的、方式、范围是否与业务直接相关，是否存在超范围收集与强制捆绑授权。
- 敏感个人信息：医疗健康信息属典型敏感信息，须核查单独同意、严格保护措施与内部访问权限。
- 跨境提供：是否通过安全评估、标准合同或认证等法定路径，是否履行出境告知与单独同意。
- 委托处理：与供应商的委托协议是否约定处理目的、期限、方式与保护措施，并对受托方进行监督。
- 安全事件：应急预案是否建立，事件发生后是否履行通知与报告义务。
- 权利响应：查阅、复制、更正、删除、撤回同意等请求渠道是否畅通、响应是否及时。
审计结束后，报告须留存至少三年，作为企业履行义务的证明。发现问题不等于合规失败，隐瞒问题或整改不闭环才是监管处罚的主要诱因。
常见问题解答
问：企业只有几十万条客户信息，还需要做合规审计吗？ 答：未达100万人规模的，不承担固定频率的定期审计义务，但仍负有《个人信息保护法》第54条的合规审计义务，且在发生安全事件或监管风险提示时会被要求限期审计。主动开展有助于证明企业尽到管理义务。
问：审计可以由公司内部法务或IT部门完成吗？ 答：自行定期开展的审计，办法允许处理者自行实施或委托专业机构；但被监管部门责令审计的，必须委托专业机构。即便自行开展，也应保持审计的独立性与专业性，避免既当运动员又当裁判员。
问：审计发现大量问题，会被处罚吗？ 答：主动审计、如实报告并整改的，通常作为企业积极履行义务的体现；拒不改正或造成危害后果的，才面临责令改正、警告、罚款乃至暂停业务等法律责任。合规审计的定位是"治病"而非"定罪"。
问：审计报告要给监管部门报备吗？ 答：被责令审计的，处理者应将审计报告报送监管部门；自行开展的审计报告则作为内部合规档案留存至少三年，备监管检查时调取。
行动建议
- 先做信息盘点：摸清本企业处理的个人信息类型、数量、存储位置与各系统数据流向，判断是否达到审计门槛。
- 建立审计台账：确定自身适用的频率规则，将下一次审计时间写入年度合规计划，避免临时抱佛脚。
- 优先整改高危项：敏感个人信息单独同意、委托处理协议、跨境提供路径通常是薄弱环节，应在审计前先行自查。
- 审慎选择审计机构：核验其独立性、专业能力与保密安排，避免与日常运营外包方重合。
- 落实整改闭环：审计发现的问题逐项登记、定责、限期整改，整改结果形成书面记录。
- 妥善留存报告：所有审计报告及相关证据留存至少三年，建立可追溯的合规档案。
关于北京百环律师事务所
北京百环律师事务所企业合规团队长期为医疗、零售、互联网等行业提供个人信息保护合规服务，涵盖合规审计组织、整改方案设计、监管应对与委托处理协议体系搭建，能够为企业提供从自查到审计报告的全流程支持。北京百环律师事务所提示：2025年5月1日新规施行后，审计义务已有明确期限与标准，如需评估贵司是否触发定期审计义务，可访问 www.baihuanlaw.com 或致电 18511835733。
法律依据
- 《中华人民共和国个人信息保护法》第54条（合规审计义务）、第64条（监管部门要求委托审计）
- 《个人信息保护合规审计管理办法》（2025年5月1日施行）第4条（责令委托专业机构审计）、第5条（自行定期审计的频率）、第10条（专业机构独立、客观与保密义务）及审计报告留存三年等配套规定
- 《网络数据安全管理条例》关于重要数据处理者风险评估与安全保护义务的相关条款