1.9　审计流程

隐私审计、评估、测试与合规性审查用于确保企业的隐私政策、程序、实务、个人信息规则和标准符合内部和外部的法律、法规、指令及其他法律要求和隐私标准。隐私审计、评估等也可用于识别企业架构和信息架构由于未基于设计原则和未考虑支持隐私保护的因素从而造成的业务风险。

执行隐私审计可证明企业遵循了应有的谨慎标准，并且支持 ISACA 隐私原则 9：监控、衡量和报告。40该原则建议企业应针对隐私管理计划和工具的有效性建立适当和一致的监控、衡量和报告。为了支持这项工作，企业应：

●建立一个审计、衡量/评估和监控以下方面的框架：

■隐私管理计划的有效性。

■对相关政策、标准和法律要求的合规程度。

■隐私工具的使用和实施。

■隐私增强技术的进步。

■隐私法律法规的变更。

■发生的隐私泄露的类型和数量。

■数据控制者数字生态系统内的隐私风险领域。

■有权访问个人信息、敏感信息和相关风险级别的第三方。

● 向关键利益相关方报告对隐私政策、适用标准和法律的合规性。

●将国际公认的隐私实务整合到企业的业务实务中，并在隐私审计期间进行检查，确保这些实务已得到适当的实施和一致的遵循。

●针对内部或外部审计师在调查、监控、持续审计、分析等过程中对个人数据的使用建立相应的程序。

●如果地方/国家法律不允许通过监控个人数据来预防欺诈/犯罪等，应对个人数据进行匿名处理；执行审计，确保在整个企业内有效且一致地应用匿名化流程。

隐私审计计划应涵盖需要解决的审计问题的广度和深度。隐私审计计划通常包括以下步骤。41

1.确定审计主题：首先应确定审计主题。隐私对企业而言意味着什么？如果有不同类别的数据用于不同的业务领域，则可能需要将它们记录为单独的审计范围项。从根本上说，在考虑隐私问题时，可以将数据分解为存储在客户和员工（个人权利）身上的数据。除数据库、文件和文档外，还应重点考虑数据的存储位置和来源。

2.定义审计目标：确立审计范围后，应确定审计目标。为什么要对该对象进行审计？从审计师的角度来看，建议采用基于风险的方法并定义目标。

3.设定审计范围：定义目标之后，审计师应通过范围界定流程来确定需要审计的实际数据。换句话说，审计的边界在哪里？它可能仅限于特定应用程序、流程、位置的数据或存储在某些设备中的数据。应采用基于风险的方法设定审计范围。

4.执行审计前计划：识别风险后，应对风险进行评估以确定其重要性。进行风险评估对于设定基于风险的审计的最终范围至关重要。风险的重要性越高，就越需要鉴证。图 1.8 列出了基于隐私原则的隐私风险考虑因素的示例。

5.确定以收集数据为目的的审计程序和步骤：在此审计流程阶段，审计团队应当拥有识别和选择审计方法或策略，以及开始制定审计程序所需的充足信息。获得这些信息后，审计团队应确定需要审查的文档和适用的法律法规，制定标准，并确定需要访谈的关键利益相关方。审计团队还应定义测试步骤。

采用审计计划可帮助隐私工程师确定面向企业服务和产品的工程计划中存在的缺陷，这些服务和产品涉及多种形式的个人信息并使用不同类型的技术。