鐘梓洛

引言

2021年10月23日新通過的《中華人民共和國審計法》第16條規(guī)定，“審計機關(guān)和審計人員對在執(zhí)行職務(wù)中知悉的國家秘密、工作秘密、商業(yè)秘密、個人隱私和個人信息，應(yīng)當(dāng)予以保密，不得泄露或者向他人非法提供。”這對于促進審計機關(guān)依法審計，規(guī)范審計監(jiān)督行為具有重大意義。由于信息化的飛速發(fā)展，審計機關(guān)獲知和掌握的個人信息越來越多，尤其在審計數(shù)據(jù)綜合利用的大環(huán)境下，個人信息泄露的風(fēng)險將大幅上升。研究信息化環(huán)境下審計活動中個人信息保護的現(xiàn)狀，探索防范審計風(fēng)險的有效途徑，是審計機關(guān)不可回避的課題。

一、建立個人信息保護審計制度的必要性

新修訂的《審計法》規(guī)定了審計機構(gòu)和審計人員負有保守個人信息的法定義務(wù)，其原由不僅是為了與《個人信息保護法》、《民法典》等法律規(guī)范相銜接，也是審計人員在審計活動中防范法律風(fēng)險的內(nèi)在要求。

（一）與《個人信息保護法》等法律相銜接的制度要求

當(dāng)前針對公民個人信息的盜取、泄露等不法行為越來越普遍，并日益突顯出縱深性和普遍性等特征。我國正在逐步完善關(guān)于個人信息保護的法律法規(guī)?！秱€人信息保護法》于2021年11月1日生效，其中規(guī)定國家機關(guān)在法定情形下處理個人信息，要按照法律、行政法規(guī)規(guī)定的權(quán)限、程序進行，不能超過法定職責(zé)的范圍和限度。

2021年新修訂的審計法明確了審計機構(gòu)和審計人員在履行職責(zé)時所掌握的國家秘密、個人信息等應(yīng)當(dāng)嚴格保密，不得泄露或向他人非法提供。既增設(shè)了審計機關(guān)這一新的義務(wù)主體，又要求審計機關(guān)和審計人員對個人信息保護提高認識和加強保護，是對《個人信息保護法》和《民法典》的立法回應(yīng)，有利于維護法律秩序的統(tǒng)一性。

（二）審計人員防范法律風(fēng)險的現(xiàn)實需要

目前，在刑事法律領(lǐng)域，因收集、利用個人信息資料而可能涉嫌犯罪的，主要涉及刑法第二百五十三條中的侵犯公民個人信息罪和第二百八十六條中的拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪。這兩條對泄露個人信息達到的數(shù)量進行了量化，并通過司法解釋加強了構(gòu)成犯罪的條件。在審計活動中，審計機關(guān)或?qū)徲嬋藛T在履職過程中泄露公民個人信息，情節(jié)嚴重的，可能會觸犯侵犯公民個人信息罪。

已經(jīng)出臺的《中華人民共和國民法典》從總則編層面上規(guī)范了個人信息的合法使用，要求尊重和保護個人信息是最基本的道德原則。另外，民法典還在人格權(quán)編之下單設(shè)一章對個人隱私和個人信息保護進行了特別規(guī)定。在信息化社會，國家審計機關(guān)依據(jù)法律規(guī)定取得被審計單位含有個人信息的數(shù)據(jù)后，采取保護個人信息的措施，不僅是審計機關(guān)依法履行法定義務(wù)，保護被審計單位和人員相關(guān)權(quán)益的體現(xiàn)，也是審計人員自我防范，規(guī)避法律風(fēng)險的現(xiàn)實需要。

二、審計領(lǐng)域中對個人信息保護的現(xiàn)狀

（一）規(guī)范體系尚未形成

我國在審計過程中獲取的個人信息以電子數(shù)據(jù)的形式存在，因此國家審計對個人信息保護的規(guī)范也主要包括在對電子數(shù)據(jù)管理的相關(guān)制度中，其內(nèi)容大致包含如下。

1.《審計署關(guān)于印發(fā)審計項目電子數(shù)據(jù)保密管理辦法（試行）的通知》

該辦法的適用對象為審計署機關(guān)及其派出機構(gòu)開展審計、專項審計調(diào)查、核查社會審計機構(gòu)相關(guān)審計報告等項目。該辦法中規(guī)定，審計項目電子數(shù)據(jù)的保密實行責(zé)任制?！霸趯徲嬳椖繉嵤┻^程中，實行審計組組長負責(zé)制，審計組組長可以指定專人具體負責(zé)；在審計項目結(jié)束后，實行審計項目對應(yīng)管理部門的部門負責(zé)人負責(zé)制，同時業(yè)務(wù)部門負責(zé)人可以指定專人具體負責(zé)管理?！?/p>

2.《中華人民共和國審計法實施條例》。該條例第55條規(guī)定:“審計人員濫用職權(quán)、徇私舞弊、玩忽職守，或者泄露所知悉的國家秘密、商業(yè)秘密的，依法給予處分；構(gòu)成犯罪的，依法追究刑事責(zé)任?！辈浑y看出執(zhí)法人員在執(zhí)法過程中對國家、商業(yè)秘密具有保密義務(wù)和責(zé)任，未明確審計機關(guān)及審計工作中取得的個人信息進行保密的義務(wù)。

3.《中華人民共和國國家審計準則》。該準則對執(zhí)法人員執(zhí)法過程中的行為規(guī)范進行了詳細的說明，在執(zhí)行審計業(yè)務(wù)過程中的職責(zé)和執(zhí)業(yè)標準。該準則第15條規(guī)定；“審計人員應(yīng)當(dāng)恪守嚴格依法、正直坦誠、客觀公正、勤勉盡責(zé)、保守秘密的基本審計職業(yè)道德?！?/p>

4.地方《審計業(yè)務(wù)電子數(shù)據(jù)管理辦法》。通過檢索可以發(fā)現(xiàn)，不少地級市建立了適用于本地區(qū)的《審計業(yè)務(wù)電子數(shù)據(jù)管理辦法》。例如，深圳市政府根據(jù)《中華人民共和國審計法》及其實施條例、及《廣東省關(guān)于完善審計制度若干重大問題的實施意見》等有關(guān)規(guī)定，制定了《深圳市審計局審計業(yè)務(wù)電子數(shù)據(jù)管理辦法》。

（二）具體操作性規(guī)范不明確

最新修訂的《審計法》中只是明確了審計機關(guān)和審計人員負有保守在執(zhí)行職務(wù)的過程中獲取的個人信息的法定義務(wù)，在涉及個人信息保護的個別地方政府規(guī)章中也只是對個人信息保護作出了原則性的要求，缺乏明確具體的操作規(guī)范。

以《特派辦審計數(shù)據(jù)綜合利用指南》為例，“在該文件中強調(diào)了對審計項目所獲取的所有電子數(shù)據(jù)要安全存儲，并建立規(guī)范的數(shù)據(jù)授權(quán)管理使用辦法，制定完善的數(shù)據(jù)訪問權(quán)限規(guī)則，但是具體的數(shù)據(jù)訪問規(guī)則、授權(quán)使用辦法等尚未出臺?！碧貏e是在數(shù)據(jù)使用上，側(cè)重加強分析、充分利用，忽視個人信息具有隱私的特征，造成含有個人信息的電子資料可能在審計機關(guān)資源共享的過程中面臨巨大的泄露風(fēng)險。因此，需要制定諸如《計算機審計數(shù)據(jù)采集及保密負責(zé)制》類的制度文件，全面規(guī)范審計數(shù)據(jù)采集，明確從主審到審計組成員的具體責(zé)任。

（三）審計活動中的任意性

審計項目實施中，審計人員采集、處理含有個人信息的電子數(shù)據(jù)時存在隨意性。例如，由于對含有個人信息的電子數(shù)據(jù)要件沒有特別規(guī)定，審計人員為便于開展審計，往往自行決定數(shù)據(jù)采集的范圍、方式等，甚至僅口頭溝通后，就從被審計單位信息庫中下載數(shù)據(jù)，從而形成不同形式的個人信息載體，并分散在不同的審計人員手中。

實踐中也存在部分審計機關(guān)收集個人信息超限的情況，即收集超過審計需求的個人信息量，這也導(dǎo)致對個人信息被過多的進行收集。如何界定這一收集標準？就目前的行為準則或是剛性規(guī)范都還沒有一定明確的定義，但就個人信息收集而言，無論任何單位在收集個人信息的時候，都應(yīng)本著保護個人信息，盡量最低限度的去獲取個人信息的原則去收集個人信息，這樣對被收集個人信息的公民才能最大限度的保護。

三、完善審計機關(guān)保護個人信息的配套制度

（一）修訂完善審計準則

我國已經(jīng)進入大數(shù)據(jù)時代，就目前已經(jīng)出臺的《審計署關(guān)于計算機審計的暫定規(guī)定》、《審計機關(guān)計算機輔助審計方法》等文件，在大數(shù)據(jù)時代的推動下，大數(shù)據(jù)作為新興技術(shù)，暫時沒有審計相關(guān)法律法規(guī)明確要求大數(shù)據(jù)時代下審計的詳細規(guī)定?！秶覍徲嫓蕜t》中增加運用大數(shù)據(jù)等新技術(shù)進行審計全覆蓋工作的條款，將會引導(dǎo)和解決現(xiàn)有的大數(shù)據(jù)信息安全問題。一是解決審計人員運用大數(shù)據(jù)進行審計工作的依據(jù)條款，使審計人員在進行相應(yīng)的審計工作手段中有法可依；二是大數(shù)據(jù)審計中數(shù)據(jù)的采集中對于可能涉及國家、商業(yè)秘密的信息收集中，在法律法規(guī)中明確提出相關(guān)要求，規(guī)范數(shù)據(jù)信息采集、使用，并形成一體化系統(tǒng)建設(shè)。

（二）完善大數(shù)據(jù)審計工作模式下的審計業(yè)務(wù)規(guī)范要求

在完善修訂審計準則后，需要進一步細化大數(shù)據(jù)審計工作模式下的審計業(yè)務(wù)規(guī)范。一是在法律的強制性要求下建立相關(guān)行政主管部門、被審計單位定期報送相關(guān)電子數(shù)據(jù)主體責(zé)任、職責(zé)的工作機制。二是在工作機制建立后，需要制定大數(shù)據(jù)環(huán)境下審計業(yè)務(wù)規(guī)范要求、大數(shù)據(jù)環(huán)境下審計業(yè)務(wù)開展操作指南等相關(guān)制度規(guī)定，明確數(shù)據(jù)采集、移交、恢復(fù)、存儲、分析、運用和保密等方面的要求。三是提高大數(shù)據(jù)環(huán)境下審計數(shù)據(jù)安全性和效率性。首先要著重加強數(shù)據(jù)訪問權(quán)限控制，對電子數(shù)據(jù)使用進行授權(quán)管理，防止數(shù)據(jù)濫用；其次，在保證安全和保密的條件下，設(shè)定數(shù)據(jù)使用授權(quán)規(guī)則，將大數(shù)據(jù)按權(quán)限向?qū)徲嫿M開放，提高大數(shù)據(jù)審計工作水平。

（三）設(shè)立針對個人信息審計行為的監(jiān)管機構(gòu)

根據(jù)目前的規(guī)定，審計項目電子數(shù)據(jù)的保密管理實行責(zé)任制管理。在審計項目實施過程中，實行審計組組長負責(zé)制，審計組長可以指定專人具體負責(zé)。在審計項目結(jié)束后，由實行審計項目歸口管理的業(yè)務(wù)部門負責(zé)人負責(zé)?？梢钥闯觯F(xiàn)行制度中個人信息的電子數(shù)據(jù)監(jiān)管主體不明確，更重要的是缺乏獨立于電子數(shù)據(jù)使用者的部門對電子數(shù)據(jù)情況進行監(jiān)督。審計機關(guān)應(yīng)借鑒相關(guān)國家個人信息保護的做法，設(shè)立專門的電子數(shù)據(jù)個人信息保護機構(gòu)，或?qū)⒃撀毮苊鞔_賦予相關(guān)部門，對審計機關(guān)或?qū)徲嬋藛T使用含有個人信息的電子數(shù)據(jù)情況進行監(jiān)督，確保使用含有個人信息電子數(shù)據(jù)的行為處于可控、可管狀態(tài)。

四、落實審計活動中個人信息保護的實踐舉措

徒法不足以自行。加強審計領(lǐng)域的個人信息保護，不僅需要更加完備的法律頂層設(shè)計，也需要通過一系列實踐舉措讓制度落地生根，構(gòu)筑起從理論到實踐對個人信息全方位保駕護航的堅強壁壘。

（一）構(gòu)建大數(shù)據(jù)安全審計框架

在大數(shù)據(jù)環(huán)境下，安全審計的重點是大數(shù)據(jù)的操作和數(shù)據(jù)的處理。通過相關(guān)文獻研究發(fā)現(xiàn)，大數(shù)據(jù)安全參考架構(gòu)和云計算環(huán)境下的安全審計架構(gòu)有不少學(xué)者進行了探討。其中大數(shù)據(jù)安全審計框架被江茜提出，這是一種在先前學(xué)者研究的基礎(chǔ)上進行的深入探索，主要從用戶角色和數(shù)據(jù)生命周期兩方面展開。

在用戶維度方面，一共有五個參與主體，分別是數(shù)據(jù)系統(tǒng)的總管協(xié)調(diào)者、數(shù)據(jù)參數(shù)的來源提供方、應(yīng)用系統(tǒng)的框架構(gòu)造者和終端的數(shù)據(jù)消費主體。系統(tǒng)協(xié)調(diào)員主要負責(zé)對大數(shù)據(jù)系統(tǒng)的運營進行管理與協(xié)調(diào)，并對其進行全面的保密保障。在整個數(shù)據(jù)價值鏈中，數(shù)據(jù)提供者都是由數(shù)據(jù)提供商決定的。數(shù)據(jù)生命周期的特定行為是通過大型數(shù)據(jù)應(yīng)用程序提供者來完成的，這些服務(wù)包括系統(tǒng)協(xié)調(diào)者、數(shù)據(jù)提供者或者數(shù)據(jù)使用者。大數(shù)據(jù)架構(gòu)提供商負責(zé)數(shù)據(jù)的加工。大數(shù)據(jù)應(yīng)用分析的成果是數(shù)據(jù)使用者的應(yīng)用，而數(shù)據(jù)使用者則是數(shù)據(jù)價值鏈的終端，是數(shù)據(jù)價值的集中體現(xiàn)。

數(shù)據(jù)的生命周期審計包括數(shù)據(jù)采集、傳輸、存儲、處理、交換和銷毀六大環(huán)節(jié)。數(shù)據(jù)的獲取是數(shù)據(jù)價值鏈的基礎(chǔ)。在數(shù)據(jù)存儲階段，安全審計要求具有分布式存取安全審計的功能。在信息安全審計中，數(shù)據(jù)交換流程是關(guān)鍵環(huán)節(jié)。在數(shù)據(jù)銷毀過程中，安全審核的重點在于對存儲媒體的存取和利用行為進行記錄。

（二）建立個人數(shù)據(jù)隱私泄露的溯源機制

數(shù)據(jù)溯源是對數(shù)據(jù)來源信息的記錄,安全審計是對數(shù)據(jù)流轉(zhuǎn)過程的記錄,將安全審計和數(shù)據(jù)溯源技術(shù)結(jié)合起來，可以在發(fā)現(xiàn)敏感信息或個人信息泄漏的情況下，對泄漏源進行追蹤，確定安全責(zé)任人。

在大數(shù)據(jù)安全審計過程中,應(yīng)當(dāng)結(jié)合可追溯數(shù)據(jù)開展審計工作。建立個人數(shù)據(jù)、重要數(shù)據(jù)等關(guān)鍵數(shù)據(jù)的登記備案制度,由數(shù)據(jù)提供方提供數(shù)據(jù)備案信息,包括數(shù)據(jù)來源、數(shù)據(jù)用途等，并由大數(shù)據(jù)應(yīng)用提供者對數(shù)據(jù)生命周期各階段處理過程形成記錄日志。針對關(guān)鍵的數(shù)據(jù)處理活動制定有效的數(shù)據(jù)溯源機制,確保溯源數(shù)據(jù)能重現(xiàn)數(shù)據(jù)處理過程,追溯操作的發(fā)起者及操作時間。

（三）加強對個人信息的“匿名化”和“脫敏化”處理保護

加強對個人信息的脫敏處理，是避免審計活動中隱私泄露的一種行之有效的方法。匿名化、模糊化處理和數(shù)據(jù)加密都是典型的信息脫敏處理措施,其基本原理就是通過對信息的脫敏，對個體的特征和內(nèi)容進行科學(xué)的處理，去除特定的信息與具體的身份的關(guān)聯(lián)，通過變形、變換等方式來減少數(shù)據(jù)的敏感性，從而降低對數(shù)據(jù)的采集、傳輸、使用過程中的敏感信息的泄露。

根據(jù)《個人信息安全規(guī)范》的相關(guān)規(guī)定，當(dāng)用戶的個人信息被審計機關(guān)采集后，應(yīng)立即解除身份認證，并通過一定的技術(shù)手段，將能夠二次識別的個人信息與已解除身份特征的信息分離，并加強對其進行存取和利用的監(jiān)管?！稊?shù)據(jù)安全法》也指出，為了強化數(shù)據(jù)安全，特定的手段是必要的；在使用線上平臺進行數(shù)據(jù)分析和加工時，必須依托平臺的基本安保運營制度，對數(shù)據(jù)進行保護。

（四）建立大數(shù)據(jù)審計信用體系

國家最高行政機關(guān)發(fā)布了要求全面加強社會誠信機制建設(shè)，完善國家機關(guān)內(nèi)部監(jiān)督和外部監(jiān)督的總體要求，這就要求審計機關(guān)在履行職責(zé)過程中，既要重視自身誠信機制建設(shè)，強化審計公信力和影響力，也要拓展對自身的信用監(jiān)督方式方法。目前，可以利用大數(shù)據(jù)平臺，構(gòu)建審計人員的誠信檔案，將個人有關(guān)事項的報告、年度考核結(jié)果、相關(guān)違約情況等信息錄入系統(tǒng)。堅持從嚴治審原則，對照審計工作崗位責(zé)任，將審計誠信建設(shè)相關(guān)事項層層分解到各區(qū)局、各內(nèi)設(shè)機構(gòu)以及審計工作的各個環(huán)節(jié)，結(jié)合審計質(zhì)量管理，推行審計誠信終身負責(zé)制，審計人員對其參與的審計項目的信息失真問題終身負責(zé)。這將有利于切實提高審計人員的誠信意識和信用水平，繃緊“個人信息保護”這根弦。

結(jié)語

在審計全覆蓋的要求下，大數(shù)據(jù)平臺的發(fā)展不僅提供了技術(shù)支撐，也造成了潛在的數(shù)據(jù)安全風(fēng)險。保護以個人信息為代表的數(shù)據(jù)安全是事關(guān)審計成果是否可靠、審計目的能否實現(xiàn)。因此，審計機關(guān)要牢固樹立網(wǎng)絡(luò)安全紅線意識，健全完善制度、增強系統(tǒng)防護，多措并舉防范信息泄露風(fēng)險，加強審計信息安全。總之，需要在法治軌道上推進國家審計，要將依法依規(guī)的審計理念貫穿到審計活動的全過程，切實提高審計效能，促進國家審計事業(yè)行穩(wěn)致遠。