audit-risk-assessment

用途：该技能用于隐私审计中的风险评估，即系统识别、评估并排序隐私风险，以确定审计范围、频率与资源分配，使审计力量集中在暴露最大的领域。资料称其契合 GDPR 第 5(2) 条问责原则与 ISO 19011:2018 相称性要求，并引用 IIA 标准 2010 关于风险导向审计计划的要求。\n\n主要能力：\n一、风险全景（Risk Universe）。覆盖可审计实体，按风险域划分：数据主体权利（DSAR 处理、同意管理、自动化决策）；数据处理（处理登记、合法性依据、目的限制）；数据传输（跨境传输、SCC、BCR、充分性依赖）；数据安全（技术控制、访问管理、加密）；泄露管理（检测、通报、记录、补救）；供应商管理（处理者合同、再处理者监督、尽职调查）；隐私治理（DPO 独立性、培训、政策、ROPA）；特殊类别数据（生物识别、健康、儿童数据）。\n二、固有风险评分为加权模型，各因子权重与 1-5 分档：数据量 20%、数据敏感度 25%、监管暴露 25%、处理复杂度 15%、外部共享 15%。\n三、控制有效性分三级：有效=1、部分有效=2、无效=3。\n四、剩余风险＝固有风险 × 控制有效性，按分值定审计优先级：1.0-2.0 低（每 3 年审计）；2.1-3.5 中（每 2 年）；3.6-4.5 高（每年）；4.6-5.0 严重（每半年并持续监控）。\n五、风险偏好对齐。监管合规、数据主体伤害、财务处罚为“极低”；运营中断与声誉风险为“低”。资料提及 GDPR 最高罚款 2000 万欧元或全球营业额 4%。\n六、审计计划整合：以剩余风险得分、风险偏好阈值、资源约束、监管动态、过往审计发现及管理层请求作为输入，输出优先审计清单、最低审计频率与资源配置模型。另提供可能性×影响的热力图判读规则。\n\n使用方式：资料未提供具体命令、安装步骤或调用接口，暂未提供。\n\n适用场景：隐私合规审计规划、年度审计排期、DSAR/同意/跨境传输/供应商等专项审计范围确定。\n\n限制：资料未说明适用平台、是否收费及具体产品形态，暂未提供。