解读《大型个人信息处理者个人信息保护规定（征求意见稿）》对合规审计的新要求
大型个人信息处理者合规审计新要求——基于《大型个人信息处理者个人信息保护规定（征求意见稿）》的解读
国家互联网信息办公室于2026年8月7日发布《大型个人信息处理者个人信息保护规定（征求意见稿）》并公开征求意见。文章从报告报送义务、合规审计内容、审计能力要求三个层面梳理新要求，指出第四十三条要求大型个人信息处理者至少每两年通过所在地省级网信部门向国家网信部门报送个人信息保护合规审计报告，审计频率与现行《个人信息保护合规审计管理办法》一致。
梳理征求意见稿对大型个人信息处理者新增的报告报送、审计内容与能力要求，便于对照现行办法判断审计安排。
2026年8月7日，国家互联网信息办公室发布《大型个人信息处理者个人信息保护规定（征求意见稿）》（以下简称《规定》），面向社会公开征求意见。
在现行《个人信息保护合规审计管理办法》所确立的个人信息保护合规审计实施框架基础上，《规定》针对大型个人信息处理者增设了部分涉及合规审计开展的新要求。本文从报告报送义务、合规审计内容以及审计能力要求三个层面进行梳理与分析。
0
1
审计报告报送义务
《规定》第三十三条“大型个人信息处理者应当每两年至少开展一次个人信息保护合规审计”与《个人信息保护合规审计管理办法》“处理超过1000万人个人信息的个人信息处理者，应当每两年至少开展一次个人信息保护合规审计”的要求一致，在审计频率上未作调整。在此基础上，
《规定》第四十三条进一步要求，大型个人信息处理者“至少每两年通过所在地省级网信部门向国家网信部门报送个人信息保护合规审计报告”，首次在制度层面明确了大型个人信息处理者的审计报告定期报送的义务
。这一要求使审计报告从企业内部留存文件转变为需主动提交监管审阅的材料，对报告编制质量、工作底稿留存及审计结论的可验证性均提出了更高要求。
0
2
审计内容扩展
《规定》在个人信息处理规则、数据中心管理以及个人信息保护监督委员会等方面提出了进一步要求。这些要求是大型个人信息处理者的法定义务，同时也构成了个人信息保护合规审计的审查内容。
（一）个人信息处理规则
针对个人信息处理规则，相较于其他个人信息处理者，《规定》为大型个人信息处理者设置了更为细致的规则列明义务：第一，需列明
个人信息保护负责人姓名
；第二，以结构化清单形式列明每项功能服务
调用权限名称、频度
；第三，嵌入软件开发工具包的，应当以结构化清单形式列明嵌入的
软件开发工具包名称（包名）、版本、主要功能、运营者名称或者姓名、收集使用个人信息的种类和完整的软件开发工具包个人信息处理规则访问途径
。
（二）数据中心管理
《规定》第十四条至第十六条对大型个人信息处理者的数据中心设置了体系化要求
，构成合规审计中需关注的审查领域，包括数据中心设立在中华人民共和国境内；数据中心管理机构的法定代表人或者实际控制人具有中华人民共和国国籍；数据中心管理机构应当建立健全内部管理制度和操作规程；委托第三方数据中心管理机构处理个人信息的，应当签订书面合同并明确双方权利义务等。
（三）个人信息保护监督委员会
《规定》设“个人信息保护监督委员会”专章
，并以附件形式发布
《个人信息保护监督委员会工作规则制定指引》
。针对个人信息保护合规审计而言，个人信息保护监督委员会具有双重角色，由此产生两个层面的审计关注：
一是个人信息保护监督委员会本身作为被审计对象
，其设立和运行的合规性纳入审计范围；
二是个人信息保护监督委员会作为个人信息保护审计工作的监督主体
，根据《规定》第四十一条，个人信息保护监督委员会重点监督事项包括“个人信息保护影响评估、合规审计、风险评估组织实施、报告编制、问题整改等情况”。
0
3
审计能力要求分布化
《规定》将个人信息保护合规审计能力要求分层配置于多个内部角色，覆盖管理、执行与监督环节。
第二十五条
“鼓励个人信息保护负责人具备合规审计能力”
，呼应其在职能上承担指导开展合规审计的职责；第二十七条要求
“业务部门具备个人信息保护合规审计能力的人员负责个人信息保护工作，人员数量应当与业务部门的业务规模、履行的个人信息保护义务相适应”
，此类人员在个人信息保护负责人指导下，负责所在部门个人信息处理活动安全管理，明确所在部门个人信息处理规范，确保履行个人信息保护义务；第三十七条要求
“监督委员会设负责人和秘书，负责人由外部成员担任，应当具备高级个人信息保护合规审计人员能力”
，将高级个人信息保护合规审计人员能力作为监督委员会负责人的任职条件。
《规定》推动个人信息保护合规审计从以往主要作为企业内部存档备查的合规环节，逐步转变为需向监管主动报告、审查范围更加具体、内部支撑角色更加专业化的治理机制。个人信息保护合规审计由此成为连接企业内部治理与外部监管评价的常态化接口，个人信息保护合规治理也从分散的节点控制走向体系化的闭环管理。
业
务
咨
询
中国信息通信研究院@杨文瑛
邮箱：yangwenying@caict.ac.cn
电话：15967122513
中国信息通信研究院@甘泉
邮箱：ganquan@caict.ac.cn
电话：18610665957
中国信息通信研究院@陈杨
邮箱：chenyang3@caict.ac.cn
电话：13811870811
—— 推荐阅读 ——
从合规审计视角解读《证券公司投资者个人信息保护技术规范》
个人信息保护合规审计｜中国信通院应邀走进中国电信集团审计信息化训练营
精彩回顾 | “个保审计聚力行”系列沙龙第四期顺利举办
解码年度报告：个人信息保护合规审计的年度演进观察
合规减负下的审计要点聚焦：《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》解读
构筑数字童年的安全底线：未成年人个人信息保护合规审计实践进路
云话两会丨推进未成年人网络保护成数字时代治理焦点
2026春晚AI热潮下的冷思考：生成式人工智能个人信息保护合规审计焦点
年度合规审计制度刚性落地，未成年人个人信息保护迈入常态化监管新阶段
中国信息通信研究院成功获得首批个人信息保护合规审计服务认证证书
一图说丨中国信通院个人信息保护合规审计服务
《个人信息保护合规审计管理办法》正式实施！一图解析个保审计有效实施路径!
一图说“个人信息保护合规审计”：监管要求与实施方法全解析
中国信通院全面支撑《数据安全技术个人信息保护合规审计要求》国家标准试点工作
中国信通院魏亮：多措并举体系化推进合规审计，全面提升电信和互联网行业个人信息保护水平
“个保审计聚力行”系列沙龙第三期成功举办！
“个保审计聚力行”系列沙龙第二期圆满举行
“个保审计聚力行”系列沙龙第一期：走进阿里巴巴集团
来源：数智财务与审计前沿 · mp.weixin.qq.com