先核对承接的是哪一种审计业务
企业委托专业机构开展个人信息保护合规审计，甲公司收取费用后，称集团内部统一安排，由乙公司负责取证、评价并形成结论。即使二者关系密切，也需要核查是否构成被禁止的转委托。《个人信息保护合规审计管理办法》第十四条明确，专业机构不得转委托其他机构开展这类审计。
这里讨论的是个人信息保护合规审计，不能把一般财务审计、软件开发外包或者个人信息处理委托的规则混用。先确认业务范围及法律性质，才知道合同中的可任意转包条款是否与适用规定相冲突。
签约机构应当有实际履约能力
办法第七条要求专业机构具备相应能力，有与服务相适应的人员、场所、设施和资金等。采购时不能只看销售人员承诺有知名机构盖章，还应核实谁实际执行、负责人及团队属于什么机构、资料向谁开放、报告由谁形成。
同一机构内部人员依职责分工，与将业务转交另一机构完成，并非完全相同。关联公司是另一法律主体，不能仅因使用共同品牌便当然绕过禁止规定。遇到安排不清楚的，应要求书面说明并据实际工作判断，不能只修改合同称呼使转委托看起来像内部协作。
关联机构更名承接也不能规避连续审计限制
第十五条同时规定，同一专业机构及其关联机构、同一合规审计负责人，不得连续三次以上对同一审计对象开展个人信息保护合规审计。审计采购台账因此不能只记录发票抬头，还应记录关联情况、每次审计对象及实际负责人。
更换一家关联公司的名称，或者换机构却继续由同一负责人连续实施，并不当然消除该项限制。具体连续次数应按真实既往业务核查，不能销毁旧合同或人为拆分报告，制造没有连续审计的外观。
对资料的保密与结束删除应具体约定
第十三条要求对履职知悉的个人信息、商业秘密和保密商务信息等依法保密，不得泄露或非法提供，并在审计工作结束后及时删除相关信息。机构不能以以后可能继续服务为由，将企业完整客户库无限留在自己的共享网盘。
企业应限定提供范围、访问权限和安全交付方式，核对实际取得资料的人员及设备，约定结束时的权限关闭和删除反馈。发现资料已流向未披露的乙公司，应先查明范围、实际访问及必要补救，不能把追回一个压缩包等同于消除所有副本风险。
合同与报告都应能够对应真实执行
按保护部门要求开展审计的，办法还对机构选择、限定时间、报告签字盖章和报送等作出要求。不能仅让甲公司最后在乙公司报告上盖章，就认为完成了全部法定义务；自主审计也不能以内部同意为由忽略专业机构的禁止转委托要求。
重庆企业选择服务时，可形成机构能力核查表、关联与连续审计记录、人员及数据流向清单、报告形成和资料收尾文件。发现原安排不合规，应依法调整实际承接和执行关系，并如实说明已完成工作。真正需要确认的是谁有能力、谁在负责和资料去了哪里，不能只取得一张与实际执行脱节的证书。