客戶問會員資料可能在哪裡流出，公司答「我們有 SOP」。下一句卻是：「上週匯出完整會員名單的帳號是哪個？」能提出證據，才算有真正可查核的管理。
「我們有個資管理制度。」這句話不難說。難的是稽核人員追問：「那上個月離職同仁的後台帳號，哪一天停權？誰核准？紀錄在哪裡？」
個資稽核不是確認文件是否存在，而是檢查管理措施有沒有依規則執行，而且能不能驗證。這也是一般制度盤點與真正查核之間最大的差異。
個資稽核要查什麼？先分三層
| 層次 | 你要確認的問題 | 常見證據 |
|---|---|---|
| 制度設計 | 公司有沒有明確規則、責任人與適用範圍？ | 政策、SOP、權限矩陣、委外管理規範 |
| 執行事實 | 現場人員是否按規則處理資料？ | 帳號異動、核准申請、交付與刪除紀錄 |
| 證據品質 | 這些紀錄能否追溯時間、對象、動作？ | 系統日誌、簽核、可核對的報表或工單 |
文件寫「離職當日移除權限」，但人資名單與實際後台帳號對不起來，是執行缺口。平台沒有提供必要紀錄、目前無法證明是否按規則執行，則可能是證據不足或查核受限，不能任意推論為已違規。
先畫資料流，不要從寫報告開始
以使用第三方購物車的品牌為例，查核範圍不應只看購物車管理後台，至少要確認：
- 會員與訂單資料存在哪些系統；
- 何時會匯出成 Excel、CSV 或其他檔案；
- 哪些資料流到物流、客服、CRM、廣告或簡訊供應商；
- 誰有管理權限、誰核准權限變更；
- 資料保留多久、如何刪除或停止利用。
這張資料流地圖的用途，是決定後續應該抽查哪些環節，而不是為了把報告畫得漂亮。
五個步驟，讓稽核有辦法重複執行
第一步：界定範圍與依據
列出公司適用的法規、產業安全維護管理辦法、內部政策、委外合約及實際涵蓋的系統。不是每一家企業都適用同一套管理辦法，不能從別人的查核表直接複製「法定必備」標籤。
第二步：建立查核項目及抽樣計畫
例如選取：近期離職帳號、會員資料匯出申請、委外資料交付、客戶刪除資料請求與一次系統異動。樣本數應考慮風險、交易量與可取得證據；沒有放諸四海皆準的「抽幾筆就合法」答案。
第三步：取得證據並交叉核對
以「離職停權」為例，不只看 IT 提供的停權截圖，還應與人資離職名冊、購物車管理員名單及處理日期交叉檢查。
以「會員資料匯出」為例，不只看 SOP 是否要求主管核准，還應對照實際匯出事件是否真的有申請、用途、核准及適當保管紀錄。
第四步：把結果分成不同狀態
| 查核結果 | 代表什麼 | 下一步 |
|---|---|---|
| 已驗證符合 | 在本次抽樣與查核範圍內，有足夠支持資料 | 保存查核紀錄並依週期複查 |
| 已確認缺口 | 有具體證據顯示規則未落實或控制不足 | 指定負責人、期限與改善措施 |
| 證據不足 | 資料尚不足以支持符合或不符合結論 | 補件或改善紀錄機制 |
| 查核受限 | 因平台權限、合約或技術限制無法驗證 | 記錄限制、評估替代證據或補強控制 |
這四種狀態不能混成「通過／不通過」兩格。對法遵及事故責任而言，「沒有證據」不等於「確定沒有執行」，但也絕不能當成「已經驗證通過」。
第五步：追蹤改善是否真的關閉
報告寫「建議加強管理」沒有驗收價值。至少應有缺口描述、證據來源、風險、負責人、改善措施、期限及複查結果。
可以直接套用的稽核紀錄表
以下為假設情境示例，不代表任何實際品牌已被查到缺失。
| 控制項目 | 本次抽樣 | 預期證據 | 查核結果 | 後續動作 |
|---|---|---|---|---|
| 離職人員停權 | 抽近期 3 名離職人員 | 離職日期、帳號狀態、停權紀錄 | 1 筆缺少停權時間紀錄：證據不足 | 確認系統是否有紀錄可查；訂出未來保存方法 |
| 會員資料匯出 | 抽近期 3 次匯出申請 | 用途、核准、交付對象與保留方式 | 其中 1 件未依內部規則取得核准：已確認缺口 | 修正申請流程並抽樣複查 |
| 委外資料交付 | 抽 2 家合作供應商 | 交付目的、資料範圍、契約及監督紀錄 | 其中 1 家合約未載明資料管理事項：待確認缺口 | 檢視合約與其他約定文件後判定 |
實際抽樣數量與判定標準，應由查核人依案件風險及範圍決定。這張表的核心不在樣本數，而在每個結論都有可回查的依據。
三個最常見的稽核錯誤
一、只檢查制度，沒有測試實際操作。 SOP 寫得再完整，只要帳號共用、資料任意匯出，風險仍然存在。
二、把平台沒有提供日誌，直接寫成品牌違法。 平台端與品牌端的資訊可得性不同；應先確認誰持有、誰能調閱，以及是否有替代管理措施。
三、為了讓報告全綠，補造過去不存在的紀錄。 補強未來程序是改善；捏造歷史證據則會破壞調查可信度。
個資稽核和 ISO 27001 驗證有什麼差別？
企業可以針對會員資料、權限與委外流程進行個資稽核，確認管理缺口；這不等同於完成 ISO/IEC 27001 資訊安全管理系統的全部要求，也不能替代第三方正式驗證。
相反地，拿到 ISO 證書也不表示每一項品牌端資料匯出、CRM 串接或客服外包操作都已經被逐件查核。
若想先知道品牌的資料流、權限與執行紀錄究竟缺在哪裡，可參考電商品牌個資風險與證據健診的查核範圍與交付項目。
參考法規：個人資料保護法已施行條文、零售業個人資料檔案安全維護管理辦法、數位經濟相關產業個資安全維護管理辦法。
法規查核日期：2026-10-22。本文為稽核方法說明，實際適用法規、抽樣範圍與稽核結論仍須依個案確認。
同主題延伸閱讀：evidence checklist、personal data breach lawsuit cost。