各位合规、法务、网安的同行们🧚🏿‍♀️，大家好。

做PIA（个人信息保护影响评估）这件事🦸🏼，很多人觉得头疼🏇🏻🗒。明明花了大量时间，写了几十页报告，结果要么被监管打回来，要么被领导质疑“没用”👩🏻‍🦱。

问题出在哪🦸🏿？根据我过去5年服务300多家企业的经验，核心在于流程不对🎞，方法不对。一份能被监管100%认可的PIA报告🥀，绝不是“填空”，而是“造房子”👨🏽。地基不稳，楼盖得再高也得塌❤️。

今天🛕，我就把这套经过实战检验的“PIA八步法”毫无保留地分享给你，保证每一步都看得见、摸得着。

第一步➞：前期准备——搭好骨架

别急着动笔。先成立一个跨部门小组，组长必须是PIPCA持证人员。然后明确评估范围，比如“评估APP会员系统的人脸登录功能”，而不是“评估华润所有个人信息”。最后收集好业务流程图、隐私政策等基础资料🍚。

第二步：数据资产梳理——摸清家底

这是PIA的地基。你需要绘制一张“数据地图”⛹🏻‍♂️，沿着用户的使用路径🧛🏻‍♂️，把数据的收集、存储、使用🤛🏻🧑‍🦲、删除等每一个环节都拆解出来。比如，人脸登录功能，流程就是：拍摄→加密传输→存储特征值→比对→删除。同时，要制作一份精确到字段级的《个人信息清单》，特别是敏感信息🎒，必须单独标注。

第三步：合规性核查——自我体检

拿着法律法规这个“尺子”，去量一量你的业务🚵🏿。从处理目的的合法性🟥、告知同意的有效性，到最小必要性🪶、用户权利的保障，一共7个维度，逐项排查🏊🏼‍♀️。每一项都要写清楚现状🌃、判定结果和存在的问题。

第四步🏑：风险识别——深挖病灶

这一步是PIA的灵魂。不要只找三五个风险点糊弄人，至少要找出8个以上📚。从合规风险、安全技术风险👩‍🦽、个人权益风险三个层面去挖掘。例如：“用户人脸特征值仅采用普通加密👩🏻‍🦽，未采用国密算法，一旦数据库被攻破🚴🏿‍♀️，可能导致120万用户的生物识别信息泄露🪇。”

第五步🍠：风险分析与评价——科学定级

顶级不能拍脑袋。要用“风险矩阵法”👊🏽：给每个风险的可能性（1-5分）和影响程度（1-5分）打分，两者相乘得出风险值👩‍🦽。比如1️⃣，上述人脸泄露风险𓀁，可能性3分，影响程度5分🦂，风险值15分🙆🏼‍♀️，即为“高风险”📄。

第六步👩‍👩‍👧‍👧：风险处置与整改——对症下药

找出问题不解决♐️，等于白做。针对每个风险点，给出具体的、可落地的整改措施。比如，“2026年9月30日前👵🏻，完成人脸特征值存储的国密SM4算法改造，由技术部李工负责。” 整改后🤱🏽，还要评估残余风险等级。

第七步：报告撰写——整合输出

将所有工作成果整理成一份结构完整的PIA报告。一份合格的报告应包含评估概述、业务说明🤾🏻‍♀️、合规核查🤾🏽👩🏿‍🎨、风险识别🦹🏻、风险评估、整改措施、评估结论🌃↩️、签字页和附件等10个部分👨‍👩‍👦。

个人信息安全无小事，专业防护更安心

CCRC-PIPP个人信息保护专业人员

CCRC-PIPCA个人信息保护合规审计人员

CCRC-PIPA个人信息保护评估师认证

青蓝智慧马老师😰：135-2173-0416

丁老师：135-2209-4648

马老师：133-9150-9126

第八步📎：评审签字——闭环管理

报告完成后，需经过内部评审🛀🏿，最后由PIPCA持证人员签字确认并加盖公章。所有过程文档（会议纪要👨🏻‍🦼‍➡️🪺、原始数据等）必须归档保存至少3年🧑‍🍼。