个人信息保护合规审计国标7月实施，软件测评机构如何承接审计需求

国家标准 GB/T 46903—2025《数据安全技术 个人信息保护合规审计要求》已于 2026 年 7 月 1 日正式实施，它把《个人信息保护法》第五十四条的合规审计义务落成了一套可执行的审计内容与实施流程，明确适用于个人信息处理者和专业机构。对第三方软件测评机构而言，这既是新的合规服务入口，也是对自身数据安全检测能力的延伸考验。

一、GB/T 46903—2025 确立个人信息保护合规审计的内容与方法

这项国标由国家市场监督管理总局、国家标准化管理委员会于 2025 年 12 月 31 日发布，2026 年 7 月 1 日实施，归口国家标准委，标准状态为现行（全国标准信息公共服务平台）。它与此前已经施行的《个人信息保护合规审计管理办法》形成配套：管理办法提供制度依据与附件《审计指引》，国标则给出审计的原则、总体要求、实施流程、内容和方法。

标准定位与配套关系

这项义务的法律来源，是《中华人民共和国个人信息保护法》第五十四条的明确规定：

“个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。”

国标与《个人信息保护合规审计管理办法》正是对这条义务的细化落地。《个人信息保护合规审计管理办法》自 2025 年 5 月 1 日起施行，其中附件《个人信息保护合规审计指引》列出的重点审查事项与国标第 6 章的审计内容一一对应。合规审计分为处理者自主审计与监管部门责令的专项审计两类，处理 1000 万条以上个人信息的处理者，每两年至少开展一次合规审计。

26 项审计内容覆盖全生命周期

26 项审查内容覆盖个人信息从收集、存储、使用到传输、提供、公开、删除的完整生命周期，并延伸到自动化决策、敏感个人信息、未成年人信息、跨境提供、个人权利响应、安全技术措施与安全事件应急等环节。这意味着合规审计不是简单核对隐私政策文本，而是要对数据流转日志、权限配置、去标识化效果等做实质性核查。

二、合规审计新规落地，软件测评机构要补哪两类能力？

承接合规审计服务的机构，需要在技术核查与人员独立性两个维度上达到标准要求，这直接关系到第三方软件测评机构能否把已有的安全测试能力转化为合规审计能力。

技术措施审查依赖日志与权限分析

合规审计中的安全技术措施审查，要求审计人员能够读懂数据流转日志、验证权限控制、评估去标识化与加密措施的实际效果。软件测评机构长期从事安全漏洞测试、渗透测试与代码审计，具备现成的技术工具与方法储备，能够把这些能力迁移到个人信息处理活动的技术性核查中，构成承接审计服务的技术基础。

人员分级与审计独立性是硬门槛

标准把审计人员划分为初级、中级、高级三个等级，并对应不同的个人信息保护工作年限要求；处理超 1000 万人信息的处理者，其审计团队须不少于 10 人，其中含高级与中级人员。独立性方面，第三方专业机构不得转委托，且同一机构及其关联方、同一项目负责人不得连续三次审计同一对象。这些规定对机构的团队规模与人员结构提出了明确要求。

三、第三方机构承接合规审计的三个业务切入点

软件测评机构切入个人信息保护合规审计，可以从检测、评估、审计三个层次逐步推进，形成与现有 CMA、CNAS 软件测试业务的协同。

切入点一：以数据安全检测作为审计的取证支撑

审计需要证据，而证据的采集离不开检测。机构可以依托已有的 APP 个人信息安全检测、数据泄露风险检测能力，为合规审计提供日志取证、权限核查、接口数据流向分析等支撑性证据，降低审计结论的主观性。

切入点二：以安全评估衔接整改闭环

合规审计的落脚点是整改。机构可将信息安全风险评估、等保测评中的风险识别方法用于审计问题的分级定级，帮助处理者把审计发现转化为可执行的整改方案，并跟踪验证整改效果，形成审计到整改的闭环。

切入点三：以合规审计服务延伸软件测评报告价值

对于已委托软件测评的企业，机构可在出具功能、性能、安全测试报告的同时，补充个人信息保护合规审计服务，使同一客户获得从产品质量到数据合规的完整证据链。北京尚拓云测等机构已把数据安全检测纳入测评服务矩阵，可为企业提供从检测到审计的衔接方案。

个人信息保护合规审计的常见问题

哪些企业必须开展个人信息保护合规审计？

处理 1000 万条以上个人信息的处理者，每两年至少开展一次；监管部门在发现重大合规风险、安全保障严重缺失，或发生 100 万条普通信息、10 万条敏感信息以上泄露等情形时，可责令委托第三方机构开展专项审计。

合规审计与等保测评、安全测试有什么不同？

等保测评针对等级保护对象的网络安全防护能力，安全测试针对具体漏洞与缺陷，而合规审计核查的是个人信息处理活动是否符合法律、行政法规的规定，是面向合规性的审查评价活动，三者范围与依据不同，可互相衔接但不能互相替代。

软件测评机构承接合规审计需要哪些资质？

专业机构须具备适配的人员、场地与软硬件条件并具备审计能力，鼓励取得合规资质认证；机构及项目负责人还须遵守不得连续三次审计同一对象的回避轮换规则。并非必须取得特定认证才可开展审计，但机构应具备可证明的技术能力与独立性。