用途：面向控制者对其处理者（供应商）行使 GDPR 第 28(3)(h) 条审计权，验证处理者是否遵守第 28 条义务，支撑第 5(2) 条问责原则，并与 EDPB Guidelines 07/2020 第 110 段“审计权须切实可行”的要求对应。
三种审计形式：类型一为基于文件的远程审计，适用于有现行第三方认证的标准风险供应商，审查 ISO 27001/27701 证书、SOC 2 Type II 报告、DPA 自评问卷、次级处理者登记、事件日志摘要、培训与保密协议记录、数据主体请求指标；类型二为远程技术审计，含视频访谈、共享屏幕查看访问控制、日志与监控面板、DSR 处理演示、密钥管理、渗透测试报告；类型三为现场检查，含物理安全、机房与网络设施、门禁、清桌、环境控制、人员访谈与操作观察。
能力与流程：给出审计前 60/30/7 天的活动与责任人分工；提供四组检查清单：A 项 DPA 合规（对应第 28(3)(a)-(h)）、B 项技术控制（加密、访问控制、MFA、日志、漏洞扫描、渗透测试、备份恢复）、C 项组织控制（培训、事件响应、变更管理、物理安全、留存与删除、第 30(2) 条记录）、D 项违规通知准备（检测、通知时限、联系人、违规登记）。发现按 Critical（7 天内）、Major（30 天）、Minor（90 天）、Observation 分级，并附整改跟踪字段（发现 ID、供应商、日期、严重度、根因、整改计划、期限、所需证据、状态、验证方式）。
适用与限制：适用于供应商隐私审计的项目规划与执行参考；审计类型的选择、时长、频次与费用分摊依赖 DPA 条款与风险分级，资料仅给出示例性安排。资料未提供具体工具、自动化实现、价格与平台信息。引用法规包括 GDPR 第 28(3)(h)、5(2)、24、32 条，EDPB Guidelines 07/2020，BayLDA 处理者审计指南（2022），ISO 19011:2018。