audit-evidence-collect

审计证据收集

概述

审计证据收集是指系统地收集充分、可靠、相关且有用的信息，以支持审计发现和结论。在隐私审计中，证据必须能够证明对数据保护法规（GDPR、CCPA、HIPAA）、内部政策和行业标准的遵守程度。证据质量直接决定审计结论的可信度和可辩护性。

ISO 19011:2018 将审计证据定义为“与审计准则相关且可验证的记录、事实陈述或其他信息”。IIA 标准要求内部审计师“识别充分、可靠、相关且有用的信息，以实现业务目标”（标准 2310）。

证据类别

书面证据

• 政策和程序：数据保护政策、隐私声明、保留期限表、数据泄露响应计划
• 记录：处理活动记录（第 30 条 ROPA）、同意记录、DSAR 日志、DPIA 报告、数据泄露登记册
• 合同：数据处理协议（第 28 条）、共同控制者安排（第 26 条）、标准合同条款
• 培训记录：出勤日志、结业证书、培训材料、能力评估
• 往来函件：DPA 往来函件、数据主体投诉、供应商沟通记录

证言证据

• 访谈：与 DPO、流程负责人、数据管理员、IT 管理员进行结构化访谈
• 声明：管理层关于合规状况的书面陈述
• 流程演示：系统演示期间对流程的口头说明

观察证据

• 系统演示：现场演示 IT 系统中的隐私控制措施
• 实地检查：物理安全控制措施、清桌合规情况、文件处理方式
• 流程观察：实时观察 DSAR 处理、同意收集、数据泄露分流

分析证据

• 数据分析：同意率分析、DSAR 响应时间指标、数据泄露统计
• 趋势分析：合规指标随时间的变化、培训完成情况趋势
• 基准比较：与监管预期或行业标准进行比较

证据质量标准

标准	定义	应用
充分性	有足够证据支持审计发现	每项审计发现都应有多项证据；相互印证
可靠性	证据可信且可验证	来源独立；优先采用系统生成的信息，而非自我报告
相关性	证据与审计目标相关	与审计准则和受测控制措施直接相关
有用性	证据有助于得出结论	可操作、清晰，且利益相关方能够理解

抽样方法

统计抽样

• 随机抽样：每个项目被选中的概率相同；适用于规模较大且同质的总体
• 分层抽样：将总体划分为不同层（例如按数据类别、部门划分）；从各层中抽取样本
• 系统抽样：每隔 n 个项目抽取一个；适用于按时间排序的记录

非统计（判断）抽样

• 基于风险的选取：重点关注高风险处理活动、特殊类别数据、跨境传输
• 关键项目抽样：选取所有超过重要性阈值的项目（例如，所有针对高风险处理的 DPIA）
• 发现性抽样：专门抽取样本，以发现至少一例不合规情况

证据文档标准

所有证据必须：

1. 标注：唯一的参考编号、收集日期、来源、收集者姓名
2. 安全存储：采用加密存储，并根据数据敏感程度设置适当的访问控制
3. 交叉引用：关联到具体的审计目标和发现
4. 标注时间戳：证据收集日期和证据项日期
5. 验证真实性：屏幕截图应包含系统时间戳；文档应包含版本信息

证据保管链

对于可能用于支持监管执法或法律诉讼的证据：

1. 记录证据的收集者、收集时间和证据来源
2. 记录证据在团队成员之间的所有转交情况
3. 保持证据完整性（数字证据应记录哈希值）
4. 仅限获授权的审计团队成员访问
5. 根据审计证据保留政策保留证据（隐私审计通常为 7 年）

访谈最佳实践

1. 做好准备：访谈前审阅现有文档；准备有针对性的问题
2. 提出开放式问题：从宽泛的问题开始，再逐步聚焦具体问题
3. 交叉核实：通过文档或观察所得的证据核实访谈陈述
4. 及时记录：访谈期间做笔记；在 24 小时内整理出摘要
5. 确认准确性：与受访者分享访谈记录，请其确认内容准确无误

集成点

• audit-remediation-program：证据用于支持发现记录和整改验证
• audit-follow-up-verify：后续审计需要重新收集证据，以验证整改情况
• ai-dpia：DPIA 审计需要特定类型的证据（算法影响评估、公平性指标）
• records-of-processing：ROPA 是任何隐私审计中的关键文档证据