在收到请求前收集证据

最困难的审计不是缺少政策，而是无法证明实际执行。应持续保存批准、合同、评估、删除记录、事件演练和政策变更证据。

把证据作为正常运营输出，而不是审计前临时重建。

从处理活动记录开始

处理活动记录应连接目的、数据类别、个人类别、接收方、传输、保留和安全措施。小团队也需要一份与实际系统一致的实用清单。

它可以作为政策、供应商审查和权利请求流程的共同索引。

审查合同和供应商证明

确认处理者协议、次级处理者信息、安全资料和传输机制仍然有效，并与当前产品供应商一致。

只有签过合同不够；更换实体、功能或数据流后也要重新评估。

为权利请求和事件做准备

团队应能识别请求、验证身份、查找数据、应用例外、按时回复，并记录结果。安全事件流程则需要角色、升级、证据保存和通知评估。

定期桌面演练可以在真实压力出现前发现流程断点。

使用持续检查

季度或发布驱动的检查应覆盖新数据、新供应商、政策变化、Cookie、传输、保留和未解决发现。

稳定的小循环能让审计准备成为日常状态，而不是一次性的紧急项目。