个保合规审计：不是所有企业都“两年一次”，1000万与重大事件分别怎么判断？

[画面] 制作总规格：竖屏 9:16；口播按自然、专业且不刻意赶速的节奏完整朗读，确认时长在 30 至 90 秒；以下每镜 2.5 秒，不超过 3 秒。使用真实动态职场素材，不展示真实个人信息、系统数据或机构内部界面；字幕靠近画面下方，无底框。

[画面] 镜头 01（2.5 秒）：数据合规负责人站在办公室白板前，指向写有“每两年一次？”的便签并停顿思考；英文动态检索词：data compliance manager pointing at audit question note in modern office. [画面] 镜头 02（2.5 秒）：合规负责人坐在会议桌前翻开审计日程表，用手按住一个被问号标记的日期；英文动态检索词：compliance officer reviewing audit calendar at conference table office. [画面] 镜头 03（2.5 秒）：法务人员从文件夹中抽出两张无品牌流程卡，把它们并排放在桌上；英文动态检索词：corporate lawyer separating two compliance process cards on desk office. [画面] 镜头 04（2.5 秒）：法务人员面对镜头抬手示意暂停，身后是明亮会议室；英文动态检索词：lawyer gesturing stop to camera in professional meeting room.

[口播] 企业处理个人信息，就都要两年做一次合规审计吗？不是。每两年至少一次，只对应处理超过一千万人个人信息的处理者。把它套到所有企业，是把两种机制混为一谈。

[字幕] 不是所有企业“两年一次”｜超过1000万人：每两年至少一次

[画面] 镜头 05（2.5 秒）：数据分析师在办公室笔记本上查看无真实数据的处理量汇总表，手指停在“1000万”模拟数字旁；英文动态检索词：data analyst checking personal data volume dashboard in corporate office. [画面] 镜头 06（2.5 秒）：合规负责人把写有“处理量”的文件夹放到桌面左侧，动作清晰利落；英文动态检索词：compliance manager placing data volume folder on desk office. [画面] 镜头 07（2.5 秒）：法务人员在白板上画出两条分开的箭头，一条标注“周期”，另一条标注“风险或事件”；英文动态检索词：corporate lawyer drawing two separate compliance paths on whiteboard office. [画面] 镜头 08（2.5 秒）：团队成员围在会议桌旁，依次查看两张不同颜色的无品牌审计流程卡；英文动态检索词：compliance team comparing two audit process cards in meeting room.

[口播] 另一种机制，是保护部门可以要求委托专业机构审计：发现严重影响个人权益或者严重缺乏安全措施等较大风险，处理活动可能侵害众多个人权益，或者发生达到门槛的安全事件。

[字幕] 保护部门可要求委托专业机构审计｜风险、众多个人权益或达到门槛的安全事件

[画面] 镜头 09（2.5 秒）：信息安全负责人在办公室屏幕前查看通用风险提示，随即拿起电话通知同事；英文动态检索词：information security manager reviewing risk alert and calling colleague in office. [画面] 镜头 10（2.5 秒）：合规人员把“安全措施核对表”摊开，用笔圈出待核对项目；英文动态检索词：compliance officer marking security control checklist at office desk. [画面] 镜头 11（2.5 秒）：两名法务人员在玻璃会议室讨论，一人指向“个人权益”字样的无品牌文档；英文动态检索词：two corporate lawyers discussing personal rights document in glass meeting room. [画面] 镜头 12（2.5 秒）：IT 管理员在工作站前收到通用安全事件提醒，立即开始记录时间；英文动态检索词：IT administrator documenting security incident alert at workstation office.

[画面] 镜头 13（2.5 秒）：合规负责人把两张数字卡“100万个人信息”和“10万敏感个人信息”放到会议桌上；英文动态检索词：compliance manager placing incident threshold cards on conference table office. [画面] 镜头 14（2.5 秒）：安全人员在办公室填写事件记录表，逐项勾选“泄露、篡改、丢失、毁损”的模拟栏目；英文动态检索词：security officer filling data incident report checklist in office. [画面] 镜头 15（2.5 秒）：法务人员拿起“委托专业机构审计”文件夹，与事件记录表并排核对；英文动态检索词：corporate lawyer comparing external audit folder with incident record in office. [画面] 镜头 16（2.5 秒）：团队成员将同一事件编号贴到两份材料上，然后把重复的第三张空白卡移开；英文动态检索词：compliance team matching same incident number on documents at office desk.

[口播] 门槛怎么认？导致一百万人以上个人信息，或者十万人以上敏感个人信息泄露、篡改、丢失、毁损的事件，可能触发这一要求。注意，它不是自动的两年周期；同一事件或风险，也不得重复提出这项委托要求。

[字幕] 100万人个人信息／10万人敏感个人信息｜同一事件或风险不得重复要求

[画面] 镜头 17（2.5 秒）：合规负责人将“处理量台账”和“安全事件记录”两份文件平放在桌面中央；英文动态检索词：compliance manager placing data volume register and security incident records on desk office. [画面] 镜头 18（2.5 秒）：负责人先用手指核对处理量汇总表，再转向安全事件记录，动作有明确先后；英文动态检索词：compliance officer comparing data volume register then security incident record in office. [画面] 镜头 19（2.5 秒）：法务人员在会议室白板上写下“超过1000万？”并勾选第一项核对问题；英文动态检索词：corporate lawyer checking data volume question on whiteboard in office. [画面] 镜头 20（2.5 秒）：信息安全负责人在白板第二行写下“风险或事件触发？”并与法务人员点头确认；英文动态检索词：information security manager checking incident trigger question with lawyer in office.

[口播] 企业现在别只记“两年一次”。把处理量台账和安全事件记录放在一起：先看是否超过一千万，再看风险或事件是否触发委托审计。

[字幕] 先看处理量｜再看风险或事件是否触发委托审计

[画面] 镜头 21（2.5 秒）：法务人员在电脑上打开国家网信办公开网页，页面标题《个人信息保护合规审计管理办法》清晰可见；英文动态检索词：corporate lawyer opening official personal information compliance audit measures webpage in office. [画面] 镜头 22（2.5 秒）：法务人员在公开网页上定位第三条和第四条的条款编号，手指沿屏幕轻滑；英文动态检索词：lawyer reviewing article three and article four on official regulation webpage in office. [画面] 镜头 23（2.5 秒）：合规负责人在公开网页上定位第五条和第二十条的条款编号，随后在笔记本记下核对点；英文动态检索词：compliance manager reviewing article five and article twenty regulation webpage in office. [画面] 镜头 24（2.5 秒）：法务人员合上文件夹，向团队示意先完成台账和事件记录核对；英文动态检索词：corporate lawyer closing compliance file and directing team in meeting room.

[口播] 依据是国家网信办《个人信息保护合规审计管理办法》，二〇二五年五月一日起施行。先把事实分清，再判断适用哪一套审计机制。

[字幕] 国家网信办《个人信息保护合规审计管理办法》｜第3、4、5、20条｜2025-05-01施行