个人信息合规审计：所有企业都要两年一审吗？

吕箐翎律师的判断是：把个人信息保护合规审计概括为“所有企业两年一审”，并不准确。 处理超过 1000 万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计；保护部门在法定较大风险、可能侵害众多个人权益，或者达到规定规模的个人信息安全事件等情形下，可以要求处理者委托专业机构审计。这是两套不同的触发机制，不能因为听到“两年一审”或发生安全问题，就直接得出企业必须委托审计的结论。

“两年一审”先看处理数量

《个人信息保护合规审计管理办法》自 2025 年 5 月 1 日施行。就定期审计而言，规则明确指向处理超过 1000 万人个人信息的个人信息处理者，要求其每两年至少开展一次个人信息保护合规审计。

因此，判断企业是否进入这项周期规则，首先要核对两个事实：企业是否为个人信息处理者，以及处理数量是否超过 1000 万人。处理数量和相应口径材料尚未核清时，不能把“每两年至少一次”直接写成该企业已经适用的固定周期。

这里的 1000 万人，是定期审计规则的处理数量条件。它只回答是否进入这项周期判断，不能同时证明企业存在特定风险、已经发生达到规定规模的事件，或者保护部门已经提出委托专业机构审计的要求。

监管委托审计看的是另一组事实

保护部门可以要求个人信息处理者委托专业机构审计，适用的是另一套机制。可触发该项要求的情形，包括法定较大风险、个人信息处理活动可能侵害众多个人权益，以及达到规定规模的个人信息安全事件。

涉及事件时，需要核对的是：是否发生导致 100 万人以上个人信息，或者 10 万人以上敏感个人信息泄露、篡改、丢失、毁损的事件。一般的安全异常、风险线索或内部担忧，不能直接替代对信息类型、数量和状态的核对，也不能据此预设保护部门一定会提出委托审计要求。

所以，“发生过安全问题”和“已经必须委托专业机构审计”之间，仍然缺少事件事实与监管要求两层判断。即使企业达到定期审计的处理数量条件，也不能用这一条件替代风险、事件和监管要求；反过来，出现风险或事件，也不会自动证明企业超过 1000 万人的处理数量条件。

两组数量不能互相换算

本题最容易混淆的是两组数字：超过 1000 万人个人信息，关联的是每两年至少开展一次审计的周期规则；100 万人以上个人信息或者 10 万人以上敏感个人信息发生泄露、篡改、丢失、毁损，关联的是保护部门可以要求委托专业机构审计的事件情形之一。

前一组数字看企业的处理数量，后一组数字看特定事件涉及的信息数量、类型和状态。它们所衡量的对象和所处的触发机制都不同。不能用一次事件涉及的人数推定企业的整体处理数量，也不能用企业的整体处理数量推定某一事件已经达到规定规模。

监管委托审计也不只与上述事件数量有关。法定较大风险或者可能侵害众多个人权益，同样需要结合各自事实判断。因此，仅核对一个数字，不足以代替对完整触发事实的核查。

已有监管要求，还要核对是否指向同一事件或风险

如果企业已经收到保护部门关于委托专业机构审计的要求，还应当核对该要求具体针对哪一事件或风险。规则明确，同一事件或风险不得重复提出该项委托要求。

但这并不意味着只要企业曾经收到过相关要求，就能笼统认定后来讨论的事项都是重复要求。是否为同一事件或风险，仍须把已有要求所指向的事项与当前风险、事件事实对应起来；材料不足时，不宜预先作出相同或不同的结论。

下一步：把四类事实分开整理

吕箐翎律师建议，企业先分别整理四类材料：一是企业是否为个人信息处理者，以及个人信息处理数量和相应口径材料；二是被讨论的风险、权益影响或事件的已知事实；三是事件涉及的个人信息、敏感个人信息数量、类型和状态；四是保护部门是否已经针对同一事件或风险提出委托专业机构审计的要求。

企业是否为个人信息处理者或者处理数量尚未核清时，不能认定其已经进入“每两年至少一次”的周期；风险、权益影响、事件事实，以及保护部门是否针对该事件或风险提出要求尚未核清时，不能认定已经触发具体的委托专业机构审计要求。分开确认各自进入的是哪套触发机制，再讨论后续判断，才不会把不同条款下的条件压缩成一句失真的“所有企业两年一审”。