企业官网建设流程全解析

前言

从2022年底开始算，前前后后折腾了快四年时间，公司个人信息保护体系总算正式落地了。

结果有点戏剧性。体系刚落地没多久，《小型个人信息处理者个人信息保护简化措施规定》等配套规定陆续出台，小型个人信息处理者的合规要求相比前几年明显降低了很多。按照现在的要求，很多过去需要单独建立制度、流程和检查机制的事项，通过企业规章制度增加相应要求，配合必要评估和定期自查就能够满足监管要求。

说实话，如果我在项目开始的时候就知道后面会有这些变化，很多事情未必会做得这么重。从顶层框架到标准、流程、工作指引，再到控制基线和审计机制，这些工作投入了大量时间和精力。从投入产出的角度看，多少会让人产生一种“是不是做过头了”的感觉。

不过后来回头再看，我发现这些工作其实并没有白做。因为这几年实践下来，我逐渐意识到，个人信息保护体系最大的价值，其实并不在于满足某个阶段的法律要求。

很多同行应该也有类似感受。2022年前后，个人信息保护和数据出境监管总体处于持续强化阶段，各种处罚案例和专项检查不断出现；而到了今天，随着监管思路调整以及小型个人信息处理者简化规则落地，不少要求又明显放松了。但问题在于，如果今天要求降低了企业就停止建设，那么未来监管再次收紧的时候怎么办？经济不好时标准降低，经济恢复后重新加强检查的时候企业还能不能扛得住？

在我看来，一套成熟的个人信息保护体系，本质上是一套稳定、可量化、可持续运行的内部管理标准。无论外部要求提高还是降低，企业内部对于个人信息的管理原则、职责分工以及控制要求都应该保持稳定，而不是随着监管周期来回摇摆。

除此之外，当企业真正面对集团审计、客户审计或者监管检查的时候，最终都会被问到同一个问题：你们是如何保护个人信息的？这时候很多企业都会陷入一种尴尬的状态。培训记录有一点，权限管理有一点，技术措施有一点，各种制度文件也有一点。单独拿出来都说得过去，但放在一起却很难形成完整逻辑，更难证明这些要求正在持续运行。

这也是我后来坚持把个人信息保护重新整理成一套 Framework，而不是几份制度文件的原因。

为什么我不建议只写制度，而是要建立 Framework

个人信息保护体系建设过程中，我最大的感受之一是：不要试图用一份制度解决所有问题。

很多企业做个人信息保护，最终成果往往就是一份《个人信息保护管理制度》。从个人信息收集、存储、使用到传输、删除全部写进去，看起来很完整，也满足了大部分审计和合规要求。但真正运行起来以后很快就会发现，制度能够解决的是“要求有没有写”，而不是“事情怎么做”。

最典型的例子就是最小必要原则。大部分个人信息保护制度都会要求个人信息收集遵循最小必要原则，但什么叫最小必要？员工入职时收集婚姻状况是否必要？收集子女信息是否必要？为了方便工作沟通要求员工提供微信号是否必要？招聘过程中身份证是在面试阶段收集、Offer阶段收集还是正式入职时收集？制度通常只会告诉你要遵循最小必要原则，却不会告诉你什么才算最小必要。

再比如权限控制。很多制度会规定个人信息只能授权访问，但谁有审批权限？多久复核一次权限？离职员工多久删除权限？共享盘权限和业务系统权限是否需要统一管理？这些问题在实际工作中都会遇到，而制度同样给不出答案。

这也是为什么很多企业做完个人信息保护建设以后，看起来什么都有，但实际运行效果并不理想。制度发了，培训做了，员工签字了，但业务部门还是不断跑来问应该怎么做，做完以后做得对不对也不清楚，很多问题甚至等审计发现了才知道原来一直做错了。问题并不是制度写得不够，而是制度本身并不足以承担流程、操作和检查的职能。

因此后来我没有继续往制度里面堆要求，而是按照 Framework 的思路重新设计。从我的理解来看，Policy负责定义原则和目标，Standard负责定义最低控制要求，Procedure负责规定流程和职责，Work Instruction负责说明具体操作方法，Control Baseline负责定义检查和审计要求。这样每一层文件都解决特定的问题，而不是把所有内容都塞进一份制度里面。

以 闭路电视监控管理为例，如果只有制度，那么通常只能规定监控录像属于个人信息，需要受到保护，未经授权不得查看。但这些内容本质上只是原则。真正运行的时候，还需要一整套配套控制。

Policy规定监控录像应受到保护以及管理目标是什么；Standard规定哪些场景允许调阅录像、录像保留期限是多少、录像导出需要满足什么条件；Procedure规定申请、审批、调阅、留痕以及销毁的整体流程；Work Instruction则进一步细化到每一个执行动作，例如申请表如何填写、审批时需要确认哪些内容、录像如何导出、导出文件保存在哪里；Control Baseline则规定多久检查一次、检查哪些记录、抽查比例是多少、发现问题后如何整改。

这样设计以后，业务部门看到的是自己该做什么，管理人员看到的是自己该管什么，审计人员看到的是自己该查什么，而不是所有人抱着同一份制度各自揣摩应该如何执行。

所以我认为制度很重要，但制度只是开始。真正困难的事情，是把制度要求转换成业务人员能够执行、管理人员能够监督、审计人员能够检查的具体控制措施。这也是我认为 Framework 比单纯制度体系更有价值的原因。

体系建设最难的不是写体系本身，而是确保写的体系可以落地

个人信息保护体系建设过程中，我最后发现一个很有意思的现象。

写体系其实不难。

GB/T 35273、ISO 27701、个人信息保护法，包括网上各种模板和咨询公司的框架，参考资料非常多。只要肯花时间，大部分人都能写出一套看起来不错的个人信息保护体系。

真正困难的是：你写的东西能不能在企业里活下来。

很多人在设计体系时，考虑的是标准怎么要求；但真正应该考虑的问题是，这套要求投入运行以后，企业能不能长期承担对应的管理成本。

例如体系要求每半年开展一次个人信息权限审查，表面上看完全合理。但谁来审？业务部门有没有这个能力去做？如果企业规模扩大、系统变多、人员增加，明年的审查工作量会不会变成现在的几倍？相关部门还能不能持续投入资源完成这些工作？

再比如最小必要原则。标准要求企业按照最小必要原则收集个人信息，这没有问题。但具体哪些信息属于必要信息？哪些信息不应该收集？如果不允许收集某些信息，会不会影响招聘、人事管理或者日常业务开展？如果业务部门认为这些信息确实有使用价值，那么应该如何处理？这些才是真正需要解决的问题。

再比如个人信息保护影响评估。很多标准都会要求企业在特定场景开展影响评估。但评估标准是什么？谁来评价风险高低？发现供应商存在合规问题怎么办？现实情况是，国内大多数企业自身的数据保护能力都不成熟。如果一个业务场景需要使用的供应商普遍达不到理想标准，企业是停止业务，还是接受风险并采取补偿控制措施？这些问题远比"是否开展评估"本身复杂。

这些问题如果在体系设计阶段没有想清楚，那么最后大概率会变成纸面合规。制度里写得很好，审计来的时候文件也很齐全，但真正执行时大家默认绕过，或者干脆没人执行。

我在建设过程中花时间最多的，其实不是写文件，而是在反复思考另一件事：

这条要求放进体系以后，企业真的能够持续执行三年、五年，甚至更长时间吗？

很多标准的要求其实都没有错，但企业运行同样有自己的现实需求。作为体系建设者，需要不断在风险控制和业务效率之间寻找平衡。

管得太松，体系失去意义。

管得太严，业务一定绕过体系。

最坏的结果往往不是不合规，而是制度彻底失去公信力。所有人都知道制度做不到，于是所有人都默认不执行。

所以后来我逐渐形成一个观点：

个人信息保护体系不是把标准翻译成制度，而是把标准翻译成企业能够执行的管理要求。

如果一项要求长期无法落地，那么与其把它写进制度以后变成摆设，不如在风险可接受的前提下调整控制方式，找到企业真正能够执行的方案。因为对于企业而言，一个能够持续运行的80分控制措施，往往比一个永远停留在纸面上的100分控制措施更有价值。

决定体系质量的并不是你写了多少页文件，而是这些文件发布一年以后，还有多少内容仍然在被执行。

持续运行才是真正的开始

如果说体系建设最难的是落地，那么体系建设完成以后最难的事情就是持续运行。

记得看过一个笑话：体系只在发布当天存在。

制度发布的时候开会宣贯一次，员工培训一次，文件上传到共享盘，然后整个项目就结束了。等到下一次审计来的时候，再翻出这些文件，各部门根据体系要求疯狂补流程、补记录、补检查表，把审计糊弄过去就算大功告成。

虽然是个笑话，但现实里这样的情况并不少见。从这个角度来看，体系在发布的一刻其实就已经死了。

我刚开始建设体系的时候，也觉得培训、宣贯、通知这些工作很重要。后来慢慢发现，这些事情只能解决“大家知不知道”的问题，却解决不了“大家做不做”的问题。真正推动体系持续运行的核心，其实是检查和审计。

企业里面大部分管理体系能够长期运行，并不是因为大家都认同制度，而是因为大家知道有人会检查。质量体系如此，环境体系如此，信息安全体系如此，个人信息保护体系本质上也是一样。对于业务部门来说，制度要求可能会忘，培训内容可能会忘，但整改通知单一般不会忘。

因此我的建议是，不要等别人来审计，而是主动创造审计压力。推动集团审计、事业部内审、专项检查，甚至主动引入第三方审计，让个人信息保护真正进入企业日常管理体系。只有当业务部门知道这件事情每年会被检查、会被追踪、会形成整改项、会被持续复查的时候，体系里的要求才会逐渐变成日常工作的组成部分。

从实践来看，推动体系运行最有效的往往不是培训，而是审计发现项。培训的时候大家听完就忘，但如果某个部门因为权限管理问题被开了整改项，或者因为个人信息管理不到位被要求限期整改，那么相关负责人通常会非常认真地研究制度到底要求什么。很多控制措施真正开始落地，往往不是从培训开始，而是从第一次被审计发现问题开始。

除了检查之外，体系本身也需要持续更新。数据保护领域变化非常快，从个人信息保护法到数据出境标准合同，从个人信息影响评估到小型个人信息处理者简化规则，监管要求一直在变化。对于跨国企业来说，还需要同时考虑集团政策、GDPR以及其他国家和地区的数据治理要求。如果体系建好以后几年不更新，那么再完善的设计也会逐渐失去价值。

所以我现在越来越觉得，个人信息保护体系最重要的成果其实不是 Policy、Procedure 或者 Work Instruction 本身，而是建立一套能够自我运转的机制。有人制定规则，有人执行规则，有人检查规则，有人修改规则。只要这套循环还在运转，体系就还活着。

如果要总结这些年的经验，我认为个人信息保护体系最大的价值不在于写出了多少文件，而在于建立了一套能够持续接受检查、持续发现问题、持续推进整改、持续适应变化的管理机制。因为能够长期运行的体系才是真正的体系，不能持续运行的体系，无论设计得多漂亮，最终都只是共享盘里的一堆文件。

甚至在某种程度上，我认为有一句三体系审核的黑色幽默同样适用于个人信息保护：

培训告诉员工应该做什么，而审计决定员工最终会不会做。