一千万人是特定频次门槛，不是义务起点
《个人信息保护合规审计管理办法》自二〇二五年五月一日起施行。第三条要求个人信息处理者定期自行开展合规审计，可以由内部机构实施，也可以委托专业机构。第四条进一步规定，处理超过一千万人个人信息的处理者，每两年至少审计一次。
因此，规模未超过这一门槛，不等于没有定期审计义务。网信办答记者问说明，其他处理者根据自身情况合理确定频次。企业不能把门槛写成不足一千万人全部免审，也不能把所有企业统一宣称为每两年恰好一次就足够。
人数与业务风险需要形成实际判断依据
筹备时应先梳理实际处理个人信息的业务、系统、人员范围和处理规模，区分人数与记录条数，避免把一人多次下单机械加成多个人。具体统计口径有适用规范或监管要求时，应进一步核对并留存方法，不能凭营销部门估算排除法定义务。
规模较小但涉及医疗健康、金融账户或大量未成年人信息的业务，也应结合实际风险合理安排周期。新业务上线前开展的个人信息保护影响评估，和对处理活动守法情况的定期合规审计，目的、范围及时间安排不同，不能用一份旧评估表永久替代审计。
监管要求开展审计另有触发条件
第五条规定，发现严重影响个人权益、严重缺乏安全措施等较大风险，或者活动可能侵害众多个人权益，保护部门可以要求委托专业机构审计；发生信息安全事件，导致一百万人以上个人信息或者十万人以上敏感个人信息泄露等，也属于列明情形。
这些条件不是说未达到事件人数就可以不处理泄露，更不是说企业只能等事故后审计。对同一事件或风险，不得重复要求委托审计的限制，也不免除企业日常定期审计和其他法定义务。
自查与受监管要求的程序不能混用
自行开展时可选择内部机构或符合条件的专业机构。按保护部门要求开展的，则应按要求选定机构、在限定时间完成，并报送依法签字盖章的审计报告；复杂情况需要延长，应报批准。发现问题后按要求整改，在整改完成后十五个工作日内报告整改情况。
不能把监管审计的报告报送和十五个工作日期限，无条件套给全部内部日常审计。反过来，已经收到监管要求的企业，也不能仅提交内部经理签过的一页检查表，便说自行审计同样有效。
真正交付的是问题闭环，而非一张证书
綦江经营客户系统的企业，可形成业务及数据清单、周期判断说明、审计范围与取证记录、问题清单、责任人和整改验证结果。专业机构还应具备相应能力，遵守保密和不得转委托等要求；办法鼓励相关认证，不应被宣传为只有购买某一种商业证书才合法。
审计发现没有做到的事项，应当如实记录并整改。客户同意文本存在，不代表实际权限、接口调用和删除操作都已合规，审计结论应与可以核查的业务事实相对应。