数据风险评估——评估机构怎么选:资质、合同和第 3 年换人

这是「年度数据风险评估全攻略」系列第 5 篇，前两篇拆了义务条款和报告写法，这一篇解决选人问题：评估这件事，自己做还是外包？外包的话机构怎么挑、合同怎么签、什么时候必须换人。

先说个场景：假设你是负责采购评估服务的安全负责人，预算报上去了，供应商名单拉出来了——报价差 5 倍的两家，一家自称"官方指定资质"，一家便宜但说"保证过"。哪个能签？先泼个冷水：办法里根本没有"官方指定资质"这回事，便宜承诺"保证过"的那家，涉嫌的违法条款倒是有。

一、法律只给了两条路

办法第七条：网络数据处理者可以自行或者委托第三方评估机构开展风险评估。

两条路的法定动作不一样：

• 自己干：指定专人负责。不是拉个群分工，是要落到一个具体的人头上，出事找得到责任人；
• 外包：通过订立合同或者其他具有法律效力的文件，明确双方权利义务。口头约定、微信聊天记录不算数。

怎么选？办法不设门槛，但责任逻辑要算清：报告交上去，真实性、准确性由你自己接受核验（第十六条），机构跑了责任跑不了。自己评估省的是钱，赌的是团队能力；外包买的是专业判断，换来的是要对机构的能力把关。

法律不管你选哪条路，只管每条路上的动作到位——自己干落到人，外包落到合同。

二、认证不是今天的门槛，是明天的保险

第八条：鼓励相关评估机构通过认证，认证按《认证认可条例》执行。

注意措辞——是鼓励，不是强制。日常年度评估，用没认证的机构不违法。

但别急着省这笔钱。第十七条埋了一个反向钩子：监管在核验、检查中发现你有这几种情形——处理活动存在较大安全风险可能危害国家安全、公共利益的；发生数据安全事件导致重要数据或者大规模个人信息泄露、被窃取的——可以要求你委托通过认证的评估机构开展风险评估。

把两条连起来读：日常你用谁都行；一旦出事被点名复评，必须换认证机构。也就是说，认证机构是"出事那天"的入场券。选机构的时候问一句有没有认证，不是给自己加戏，是提前买保险。

三、机构的红线，就是你的雷

办法给评估机构划了三条线，每一条背后都对应你的风险：

第一条：对报告真实性、有效性、完整性负责（第十条）。报告出了问题，机构担责——但你的报送责任不转移。所以选机构要看它敢不敢在报告上署真名实姓。

第二条：不得转委托（第十一条）。你签的是 A 机构，干活的可能是 A 转包给的小作坊。签约时写死"禁止转委托"并约定违约责任，验收时核对面谈评估师和合同主体是不是一批人。

第三条：不得连续 3 次以上对同一处理者开展年度风险评估（第十二条）。这条做个算术：按法律惯例"以上"含本数，连续 3 次就触线——第 1 年、第 2 年用 A 机构，第 3 年必须换。两个细节：一是"及其关联机构"，A 换个牌子同一集团接着干，也算；二是限制的是"连续"，第 3 年换 B 干一年，第 5 年再用 A 是允许的。

一句话：选机构本质是在替监管做预审——署名敢当、不许转包、三年必换，这三条过不了的都是雷。

四、合同必写的四件事

第十四条只点了一个合同要素，展开成完整的清单，签约前逐条对照：

• 权利义务划分（第七条要求"订立合同或者其他具有法律效力的文件"）：谁提供资料、谁出人配合、谁对报告结论负责，写明白；
• 机构责任表述：照第十条原文写——机构对报告的真实性、有效性、完整性负责； 
• 保密条款（第十四条）：机构对评估中获得的数据、商业秘密、保密商务信息依法保密，不得泄露或非法向他人提供； 
• 数据处置（第十四条）：评估结束后及时删除或者按照合同约定妥善处置相关信息。这条最容易被漏——评估机构手里存着你全套数据资产清单和系统权限记录，不写删除期限和方式，等于把家底长期存在别人服务器上。

五、被监管点名的那一天

假设真出了事件，监管按第十七条要求你委托认证机构复评，第十八条的义务清单要提前知道：

• 给评估机构开必要权限：访问数据设施、系统及操作日志记录权限等——这条是法定义务，不配合本身就是问题；
• 限定时间内完成，情况复杂的报批后可以延长；
• 报告由评估机构主要负责人、风险评估负责人签字并加盖机构公章后报送——两个签字一个章，少一样都不合格；
• 整改完成后 15 个工作日内报送整改情况报告。

还有一条容易被忽略的反向条款：不得以任何方式要求或者示意评估机构出具不实或者不当的风险评估报告。"示意"两个字写进了规章——给机构递话、暗示"报亮点别报风险"，本身就是违法动作。

六、补一条更正

第 4 篇里我说"报告模板以官网发布为准"，现在正式稿全文有了，要修正：办法没有附统一模板。第十五条的规则是——按有关主管部门规定编制报告；主管部门没有规定的，参照数据安全风险评估有关国家标准编制，也就是GB/T 45577—2025《数据安全技术 数据安全风险评估方法》（2025 年 11 月 1 日实施）。动手写报告前，先问主管部门要规定，要不到就照国标搭结构。

两个数字记一下：报告至少保存 3 年（第十五条）；年度评估完成后20 个工作日内报送（第十六条）。

自查清单

• 自己干：负责人落到具体的人了吗，有书面任命吗； 
• 外包：合同签了没，权义划分、机构责任、保密、数据处置四条齐了吗； 
• 禁止转委托写进合同了吗，验收时核对过实际执行团队吗；
• 现用机构连续服务到第几年了——到第 2 年就启动换机构流程，别等第 3 年； 
• 关联关系查过吗——换的"新"机构和原机构是不是一个集团；
• 机构有没有认证——日常不强制，但出事复评必须有；
• 报告保存安排了吗——至少 3 年，和密评报告一个保险柜。

本篇总结表

赵工

13488683602

zhaojh@kw.beijing.gov.cn

投稿/推广/入群/ 转载