一是审计频次被国标钉死了。处理超1000万人个人信息的，每2年至少1次；100万—1000万人的，每3-4年至少1次；处理未成年人信息的，每年1次还要报网信部门。

二是审计组人数有硬指标。国标明确100万—1000万人规模的企业，审计组不少于5人；1000万人以上的不少于10人。

三是审计内容按26个审计域对标。告知同意、委托处理、自动化决策、数据出境、主体权利、安全措施、平台治理……过去还能说"我们按内部制度做了"，从今天起得按GB/T 46903一条条对。

全国处理个人信息超100万人的企业，保守估计上万家。1万家企业 × 最低5人 = 5万人的最低岗位需求，这还不算律所、会所、安全厂商那些第三方机构的储备。

那谁来填这个坑？目前看最对口的，是中国网络安全审查认证和市场监管大数据中心（CCRC，国家市场监督管理总局直属正司局级事业单位）推出的个人信息保护合规审计师（CCRC-PIPCA）认证。CCRC也是国家网信办数据与技术保障中心、赛西认证之外，三家向国家认监委备案个保审计专业机构认证规则的单位之一，国家级背书。

PIPCA 这套课我跟踪了一年多，4天线上直播，覆盖《个人信息保护合规审计管理办法》《数据安全技术 个人信息保护合规审计要求（送审稿）》的全部审计域，法律+技术+管理+审计四个维度，带模拟审计和底稿报告实操，考过70分拿 CCRC 盖章的证书，官网可查。