风险数据的治理审计：所有权、质量、安全三个维度的审计项与结论判定

风险数据的治理审计：所有权、质量、安全三个维度的审计项与结论判定本文档提供：三个审计维度与审计项配置表1张；所有权审计项与判定标准表1张；质量审计项与判定标准表1张；安全审计项与判定标准表1张；审计抽样方法与证据配置表1张；审计结论判定与表述表1张；执行要点6条；三个维度的权重平衡四段式1处；完整版精简版极简版三套操作序列；完整案例1个含四次转折五件事；来源说明表1张。2026-11-10这一节的标题读完你能拿到什么这一节在全文中的功能一、三个审计维度与审计项配置三个审计维度与审计项配置表（表1）与所有权、质量、安全三个维度各自覆盖的审计项范围建立风险数据治理审计的整体框架，明确三个维度各自检验什么、对应哪些审计项二、所有权审计：数据资产、权属与责任角色的核对所有权审计项与判定标准表（表2）与七项所有权审计项的判定标准、审计方法、证据要求规定数据资产清单、权属定义、责任角色、决策权限的审计项判定线三、质量审计：准确性、完整性与一致性的核查质量审计项与判定标准表（表3）与七项质量审计项的判定标准、审计方法、证据要求规定数据质量维度、质量监控、问题处置的审计项判定线四、安全审计：访问控制、脱敏与事件响应的核查安全审计项与判定标准表（表4）与七项安全审计项的判定标准、审计方法、证据要求规定数据分级、访问控制、脱敏加密、安全事件响应的审计项判定线五、审计抽样方法与证据配置审计抽样方法与证据配置表（表5）与三类审计项的抽样方法、样本选择、证据要求规定风险数据治理审计的抽样比例、样本选择方法和证据留存要求六、审计结论判定与表述审计结论判定与表述表（表6）与四类结论的判定条件、结论措辞、后续要求规定审计结论的判定标准和表述方式，使结论可复核、可追溯七、执行要点、平衡裁决与操作流程执行要点6条、平衡四段式、三套操作序列与各步骤产出物平衡三个维度的审计权重，给出从审计计划到结论出具的动作顺序八、审计结论的复盘与改进审计结论复盘排查表（表7）与六个复盘点的改进动作针对同类问题反复出现、结论依据不足的情况做复盘并修正审计机制按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、三个审计维度与审计项配置风险数据治理审计的功能是检验风险数据在所有权、质量、安全三个维度上是否具备支撑风险管理决策的能力。风险数据的价值取决于三个条件：数据有明确的所有者和责任角色，出问题时能找到负责的人；数据质量达到决策所需的准确、完整、一致水平；数据在全生命周期中受到与分级相匹配的安全保护。三个维度分别对应这三个条件：所有权维度检验数据资产清单、权属定义、责任分配、决策权限，质量维度检验质量标准的设定、监控与问题处置，安全维度检验数据分级、访问控制、脱敏加密与事件响应。所有权维度设七项审计项：数据资产清单完整性、数据权属定义、数据所有者角色、数据管理责任分配、数据变更审批、数据使用授权、所有权与业务流程的对应。质量维度设七项审计项：质量标准的设定、质量指标的覆盖、质量监控频率、质量问题识别、质量问题处置、质量问题的根因分析、质量报告与使用。安全维度设七项审计项：数据分级分类、访问控制执行、脱敏与加密措施、数据流转记录、安全事件响应、第三方数据共享管理、安全培训与意识。三个维度合计二十一项审计项，每次审计按数据域和业务重要性选取适用项。审计项的判定采用逐项打勾的方式，每项写判定标准、审计方法、证据要求三项。表1三个审计维度与审计项配置表审计维度审计项审计对象适用数据域判定方式所有权数据资产清单完整性数据资产清单全部清单与系统、报表、接口比对所有权数据权属定义权属文档全部权属定义与业务归属比对所有权数据所有者角色岗位职责全部角色清单与岗位职责比对所有权数据管理责任分配责任矩阵全部责任矩阵与数据项对应所有权数据变更审批审批记录全部变更记录与审批层级比对所有权数据使用授权授权记录全部授权范围与使用场景比对所有权所有权与业务流程对应流程文件全部数据项与流程节点对应质量质量标准的设定质量标准文档全部标准与决策需求比对质量质量指标的覆盖质量指标清单全部指标与数据项比对质量质量监控频率监控记录全部频率与制度要求比对质量质量问题识别问题台账全部识别数量与监控结果比对质量质量问题处置处置记录全部处置完成率与时限比对质量质量问题的根因分析分析报告重大问题分析内容与问题对应质量质量报告与使用质量报告全部报告内容与决策引用比对安全数据分级分类分级清单全部分级与监管要求比对安全访问控制执行权限记录全部权限与实际访问比对安全脱敏与加密措施措施记录含敏感数据的措施与分级要求比对安全数据流转记录流转日志全部日志完整性与流转路径比对安全安全事件响应响应记录全部响应时限与制度比对安全第三方数据共享管理共享协议对外共享的协议条款与安全要求比对安全安全培训与意识培训记录全部培训覆盖率与考核结果示例行（所有权）数据资产清单完整性风险数据资产清单信用风险数据清单收录数据项386项，系统实际数据项402项，覆盖率96%配置表完成标志：表1每个审计项的“审计对象”“适用数据域”“判定方式”三列均有具体内容，示例行填有实际数据项和覆盖率。合格形态：审计项与判定方式一一对应，示例行写有具体数值。待改进形态：判定方式写“检查”，示例行写“已核对”。二、所有权审计：数据资产、权属与责任角色的核对所有权维度检验风险数据是否有明确的所有者和责任分配。七项审计项的判定标准分别设定。数据资产清单完整性的判定标准为：数据资产清单覆盖风险管理系统、报表、接口中的全部数据项，覆盖率不低于98%，未覆盖的数据项有书面说明。审计方法为清单与系统数据字典、报表字段、接口文档比对。证据要求为数据资产清单、系统数据字典、报表字段清单、接口文档、比对记录。数据权属定义的判定标准为：每项数据在清单中标注权属归属，权属含业务归属部门和数据产生系统两项，权属定义与业务实际一致，权属不清的数据项数为零。审计方法为权属标注与业务归属文件比对。证据要求为数据资产清单、业务归属文件、比对记录。数据所有者角色的判定标准为：每项数据指定数据所有者，所有者为岗位名，所有者的职责含数据定义、质量标准、访问审批三项，职责写入岗位职责文件。审计方法为角色清单与岗位职责文件比对。证据要求为角色清单、岗位职责文件。数据管理责任分配的判定标准为：数据所有者、数据管理员、数据使用者的职责在责任矩阵中明确，三类角色分离，责任矩阵覆盖全部数据项。审计方法为责任矩阵与数据项逐项比对。证据要求为责任矩阵、数据资产清单。数据变更审批的判定标准为：数据定义、数据源、数据口径的变更经审批后执行，变更记录含变更内容、影响评估、审批人、生效日期四项，审批层级按变更影响范围确定。审计方法为变更记录与审批记录比对。证据要求为变更记录、审批记录、制度条款。数据使用授权的判定标准为：数据使用按授权范围执行，授权记录含使用人、使用场景、使用期限三项，超范围使用记录数为零。审计方法为授权记录与实际使用场景比对。证据要求为授权记录、使用日志。所有权与业务流程对应的判定标准为：每项数据在业务流程中有对应的产生节点和使用节点，数据项与流程节点的对应关系写入流程文件，对应关系缺失的数据项数为零。审计方法为数据项与流程节点逐项比对。证据要求为流程文件、对应关系表。表2所有权审计项与判定标准表审计项合格条件审计方法证据要求不合格形态数据资产清单完整性覆盖率不低于98%，未覆盖有说明清单与字典、报表、接口比对清单、数据字典、报表字段、接口文档、比对记录清单缺16项数据数据权属定义每项标注归属部门和产生系统，权属不清数为零权属与业务归属比对数据清单、业务归属文件、比对记录12项数据权属标注为“待定”数据所有者角色指定岗位名，职责含三项角色与岗位职责比对角色清单、岗位职责文件5项数据无所有者数据管理责任分配三类角色分离，覆盖全部数据项责任矩阵与数据项比对责任矩阵、数据清单所有者与管理员为同一岗位数据变更审批变更经审批，记录含四项变更与审批比对变更记录、审批记录、制度口径变更无影响评估数据使用授权授权含三项，超范围数为零授权与使用场景比对授权记录、使用日志授权范围写“全行使用”所有权与业务流程对应每项数据有产生和使用节点数据项与流程节点比对流程文件、对应关系表8项数据无产生节点记录示例行（资产清单）386项收录，实际402项清单与字典比对比对记录第X号覆盖率96%，16项待补示例行（所有者角色）402项数据指定所有者岗位与岗位职责比对角色清单第X号397项有所有者，5项待指定所有权维度表完成标志：表2每个审计项的“合格条件”“审计方法”“不合格形态”三列均有具体内容，示例行填有实际覆盖数或比例。合格形态：合格条件写有可计数标准，不合格形态写有具体情形。待改进形态：合格条件写“权属清晰”，审计方法写“查阅清单”。三、质量审计：准确性、完整性与一致性的核查质量维度检验风险数据是否达到支撑决策的质量水平。七项审计项的判定标准分别设定。质量标准设定的判定标准为：每类风险数据设定质量标准，标准含准确性、完整性、一致性、及时性四项维度，每项维度有具体的量化阈值，阈值与决策需求匹配。审计方法为标准文档与决策需求文件比对。证据要求为质量标准文档、决策需求文件。质量指标覆盖的判定标准为：质量指标覆盖全部关键数据项，关键数据项指用于风险计量、限额监控、监管报送的数据项，覆盖率100%。审计方法为指标清单与关键数据项清单比对。证据要求为质量指标清单、关键数据项清单、比对记录。质量监控频率的判定标准为：质量监控按制度规定的频率执行，制度要求通常为每日或每周，实际监控记录与制度频率一致，缺测次数为零。审计方法为监控记录与制度频率比对。证据要求为监控记录、制度条款。质量问题识别的判定标准为：监控发现的质量问题全部录入问题台账，台账含问题描述、发现时间、影响数据项、严重程度四项，识别数量与监控结果一致。审计方法为问题台账与监控结果比对。证据要求为问题台账、监控记录。质量问题处置的判定标准为：质量问题按严重程度设定处置时限，严重问题24小时内处置，一般问题5个工作日内处置，处置完成率不低于95%。审计方法为处置记录与时限要求比对。证据要求为处置记录、问题台账。质量问题根因分析的判定标准为：严重质量问题完成根因分析，分析含问题现象、直接原因、根本原因、改进措施四项，改进措施有落实记录。审计方法为分析报告与问题台账比对。证据要求为分析报告、改进落实记录。质量报告与使用的判定标准为：质量报告按季度编制，报告含质量指标得分、问题趋势、改进建议三项，报告在风险管理会议中有引用记录。审计方法为质量报告与会议纪要比对。证据要求为质量报告、会议纪要。表3质量审计项与判定标准表审计项合格条件审计方法证据要求不合格形态质量标准的设定四项维度有量化阈值标准与决策需求比对质量标准、需求文件标准只写“准确”无阈值质量指标的覆盖关键数据项覆盖率100%指标与数据项比对指标清单、数据项清单、比对记录限额监控数据项无质量指标质量监控频率按制度频率执行，缺测数为零记录与频率比对监控记录、制度条款制度要求每日，实际每周质量问题识别问题全部录入台账，含四项要素台账与监控结果比对问题台账、监控记录监控发现12项，台账录入8项质量问题处置严重24小时、一般5个工作日，完成率不低于95%处置与时限比对处置记录、问题台账完成率88%根因分析含四项要素，改进有落实分析与问题比对分析报告、落实记录分析只写“数据录入错误”质量报告与使用含三项要素，会议有引用报告与会议纪要比对质量报告、会议纪要报告连续两季度无引用示例行（质量指标）关键数据项86项，指标覆盖86项逐项比对比对记录第X号覆盖率100%，合格示例行（处置完成率）问题48项，按期处置46项台账统计台账第X号完成率95.8%，合格质量维度表完成标志：表3每个审计项的“合格条件”“审计方法”“不合格形态”三列均有具体内容，示例行填有实际数量或比例。合格形态：合格条件写有具体阈值或时限，不合格形态写有具体情形。待改进形态：合格条件写“质量良好”，审计方法写“查阅报告”。四、安全审计：访问控制、脱敏与事件响应的核查安全维度检验风险数据是否受到与分级相匹配的保护。七项审计项的判定标准分别设定。数据分级分类的判定标准为：风险数据按敏感程度分级，分级含公开、内部、敏感、核心四级，分级结果与监管要求一致，未分级数据项数为零。审计方法为分级清单与监管要求比对。证据要求为分级清单、监管要求文件。访问控制执行的判定标准为：数据访问权限按最小必要原则设置，权限申请有审批记录，权限定期复核，超权限访问记录数为零。审计方法为权限记录与实际访问日志比对。证据要求为权限清单、审批记录、访问日志、复核记录。脱敏与加密措施的判定标准为：敏感和核心级数据在传输和存储中采取脱敏或加密措施，措施与分级要求对应，未采取措施的敏感数据项数为零。审计方法为措施记录与分级清单比对。证据要求为措施实施记录、分级清单。数据流转记录的判定标准为：数据在系统间流转有完整记录，记录含流转时间、源系统、目标系统、数据项四项，流转记录覆盖全部接口。审计方法为流转日志与接口清单比对。证据要求为流转日志、接口清单。安全事件响应的判定标准为：数据安全事件按制度要求响应，响应记录含事件描述、响应时间、处置措施三项，响应时限符合制度要求。审计方法为响应记录与制度要求比对。证据要求为响应记录、制度条款。第三方数据共享管理的判定标准为：对外共享数据的，共享协议约定数据用途、保密义务、安全措施三项，协议经法务审核，共享数据有登记记录。审计方法为协议条款与安全要求比对。证据要求为共享协议、登记记录。安全培训与意识的判定标准为：数据相关人员每年接受安全培训不少于一次，培训覆盖分级保护、访问控制、事件报告三项内容，培训覆盖率不低于95%。审计方法为培训记录与人员清单比对。证据要求为培训记录、人员清单。表4安全审计项与判定标准表审计项合格条件审计方法证据要求不合格形态数据分级分类四级分级，未分级数为零分级与监管要求比对分级清单、监管要求敏感数据未分级访问控制执行最小必要，有审批和复核，超权限数为零权限与日志比对权限清单、审批记录、日志、复核记录5个账户权限超出岗位需要脱敏与加密措施敏感和核心级有措施，未措施数为零措施与分级比对措施记录、分级清单核心级数据传输未加密数据流转记录含四项，覆盖全部接口日志与接口清单比对流转日志、接口清单两个接口无流转记录安全事件响应含三项，时限符合制度响应与制度比对响应记录、制度条款事件发生后72小时才响应第三方共享管理协议含三项，经法务审核，有登记协议与要求比对共享协议、登记记录协议无保密义务条款安全培训与意识每年不少于一次，覆盖率不低于95%培训与人员比对培训记录、人员清单覆盖率82%示例行（访问控制）权限账户186个，超权限5个权限与日志比对日志第X号超权限占比2.7%，不合格示例行（安全培训）应培训240人，实际培训228人记录与人员比对记录第X号覆盖率95%，合格安全维度表完成标志：表4每个审计项的“合格条件”“审计方法”“不合格形态”三列均有具体内容，示例行填有实际数量或比例。合格形态：合格条件写有具体分级数或覆盖率，不合格形态写有具体情形。待改进形态：合格条件写“安全可控”，审计方法写“查阅记录”。五、审计抽样方法与证据配置风险数据治理审计的抽样按审计项性质确定。清单和权限类审计项采用全量核对或抽样核对，日志和记录类审计项采用抽样核对。所有权维度的数据资产清单、权属定义、所有者角色、责任分配、变更审批五项采用全量核对，使用授权和流程对应两项采用抽样核对，抽取不低于30%的数据项。质量维度的质量标准、指标覆盖、问题处置、根因分析四项采用全量核对，监控频率、问题识别、质量报告三项采用抽样核对，监控记录抽取不低于30%的监控周期，质量报告选取最近四个季度。安全维度的分级分类、访问控制、脱敏加密、第三方共享四项采用全量核对，流转记录、事件响应、安全培训三项采用抽样核对，流转日志抽取不低于20%的接口，事件响应全量核对，培训记录抽取不低于30%的人员。证据配置按审计项确定。所有权维度的证据为数据资产清单、系统数据字典、报表字段、接口文档、业务归属文件、角色清单、岗位职责、责任矩阵、变更记录、审批记录、授权记录、使用日志、流程文件、对应关系表。质量维度的证据为质量标准文档、决策需求文件、质量指标清单、关键数据项清单、监控记录、问题台账、处置记录、分析报告、落实记录、质量报告、会议纪要。安全维度的证据为分级清单、监管要求、权限清单、审批记录、访问日志、复核记录、措施记录、流转日志、接口清单、响应记录、共享协议、登记记录、培训记录、人员清单。审计证据在审计报告出具后5个工作日内归档，归档件含审计方案、抽样记录、证据材料、审计报告四项。保管责任为审计项目组长。表5审计抽样方法与证据配置表审计维度抽样方法抽样比例样本选择证据配置所有权全量核对加抽样核对五项全量，使用授权和流程对应抽取不低于30%覆盖关键数据项数据清单、数据字典、报表字段、接口文档、归属文件、角色清单、职责文件、责任矩阵、变更记录、审批记录、授权记录、使用日志、流程文件、对应表质量全量核对加抽样核对四项全量，监控频率和问题识别抽取不低于30%，质量报告取最近四季度覆盖关键指标和问题质量标准、需求文件、指标清单、数据项清单、监控记录、问题台账、处置记录、分析报告、落实记录、质量报告、会议纪要安全全量核对加抽样核对四项全量，流转日志抽取不低于20%，培训记录抽取不低于30%覆盖全部接口和敏感岗位分级清单、监管要求、权限清单、审批记录、访问日志、复核记录、措施记录、流转日志、接口清单、响应记录、共享协议、登记记录、培训记录、人员清单示例行（所有权）数据项402项，抽取121项30%覆盖信用、市场、操作三类数据核对记录121份示例行（安全日志）接口26个，抽取6个23%覆盖内外网接口日志核对6份抽样表完成标志：表5每类审计项的“抽样方法”“抽样比例”“样本选择”“证据配置”四列均有具体内容，示例行填有实际样本数。合格形态：抽样比例写有具体百分比，样本选择写有覆盖范围。待改进形态：抽样比例写“适量”，样本选择写“根据需要”。六、审计结论判定与表述风险数据治理审计结论分四类：合格、基本合格、需整改、无法审计。四类结论的判定条件按三个维度的审计结果组合确定。合格的判定条件为：所有权维度七项中六项及以上合格，质量维度七项中六项及以上合格，安全维度七项中六项及以上合格，且三个维度均无影响数据可用性或安全性的不合格项。结论措辞为“风险数据治理在所有权、质量、安全三个维度上达到合格标准”。基本合格的判定条件为：所有权维度七项中五项及以上合格，质量维度七项中五项及以上合格，安全维度七项中五项及以上合格，且无影响数据可用性或安全性的不合格项。结论措辞为“风险数据治理基本合格，[具体维度]存在需关注的项，已列明”。需整改的判定条件为：任一维度合格项数低于基本合格的下限，或存在影响数据可用性或安全性的不合格项（如核心数据无所有者、关键数据项质量无监控、敏感数据未分级保护、安全事件未响应）。结论措辞为“风险数据治理需整改，[具体维度]未达到标准，整改要求见建议清单”。无法审计的判定条件为：审计所需的数据清单、质量记录、安全日志等材料不具备，无法形成有效结论。结论措辞为“因[具体原因]无法完成审计，建议在条件具备后重新审计”。结论的判定依据在审计报告中逐项列明：每个审计项的合格条件、实测结果、是否合格三项。存在影响数据可用性或安全性的不合格项的，不论其他审计项结果如何，结论判定为“需整改”。结论由审计项目组长起草，审计部门负责人复核，复核重点为结论措辞与判定条件的一致性。表6审计结论判定与表述表结论类型判定条件结论措辞后续要求合格所有权六项及以上，质量六项及以上，安全六项及以上，无影响可用性或安全性的不合格项三个维度达到合格标准按常规周期复审基本合格所有权五项及以上，质量五项及以上，安全五项及以上，无影响可用性或安全性的不合格项基本合格，具体维度存在需关注项需关注项在下一期审计中跟踪需整改任一维度低于基本合格下限，或存在影响可用性或安全性的不合格项需整改，具体维度未达标整改后重新审计无法审计数据清单、质量记录、安全日志等材料不具备因具体原因无法完成，条件具备后重新审计补齐条件后重新审计示例行（基本合格）所有权六项合格、一项不合格，质量五项合格、两项不合格，安全六项合格、一项不合格基本合格，所有权维度8项数据无产生节点，质量维度处置完成率偏低，安全维度两个接口无流转记录三项在下一期审计中跟踪示例行（需整改）所有权五项合格、两项不合格，质量五项合格、两项不合格，安全五项合格、两项不合格需整改，核心数据无所有者，敏感数据未分级，安全事件未按期响应建议清单含八项整改，90日内完成结论表完成标志：表6每个结论类型的“判定条件”“结论措辞”“后续要求”三列均有具体内容，实际报告的结论与判定依据逐项对应。合格形态：结论措辞写有具体维度和项数，判定条件写有可计数标准。待改进形态：结论写“总体规范”，判定条件栏只写“审计完成”。七、执行要点、平衡裁决与操作流程风险数据治理审计按下列六条要点落实。执行要点要点1：三个维度二十一项审计项按数据域和业务重要性选取适用项，全部适用的为完整审计，部分适用的在审计报告中注明适用项和理由。要点2：所有权维度七项中清单、权属、角色、责任、变更全量核对，使用授权和流程对应抽取不低于30%的数据项。要点3：质量维度七项中标准、指标、处置、根因全量核对，监控频率和问题识别抽取不低于30%的监控周期。要点4：安全维度七项中分级、访问、脱敏、共享全量核对，流转日志抽取不低于20%的接口，培训记录抽取不低于30%的人员。要点5：审计结论按四类判定，存在影响数据可用性或安全性的不合格项的，不论其他审计项结果如何，结论判定为“需整改”。要点6：审计证据在报告出具后5个工作日内归档，归档件含审计方案、抽样记录、证据材料、审计报告四项。平衡四段式两种合理诉求的陈述：审计部门从数据治理的整体性出发，主张所有权、质量、安全三个维度二十一项审计项全部覆盖、每个数据域都按完整审计执行，理由是数据有所有者但质量无监控会使决策依据失真，质量达标但安全无保护会使数据在流转中泄露，三个环节相互依赖，单维度审计容易得出偏乐观的结论；数据管理部门从审计资源效率出发，主张按数据域重要性和历史审计结果分层审计、低重要性数据域简化审计项，理由是风险数据域数量多、每个数据域的审计工作量相近，全部完整审计使年度审计周期延长，核心数据域的审计深度被摊薄。两种诉求在同一个审计周期内指向不同的审计覆盖面。实质分析：整体性的评估单位是治理能力的可靠性，资源效率的评估单位是审计资源的分配。两种评估各有依据，适用的数据域类型不同。核心数据域（用于资本计量、监管报送、重大决策的数据）的三个维度均需完整审计；一般数据域可以质量维度为主、所有权和安全维度按年度轮换审计。差异根源在于审计覆盖面按统一标准设定，未按数据域的重要性分档。平衡规则：审计覆盖面按数据域重要性分三档。核心数据域三个维度二十一项全量审计；重要数据域质量维度全量审计，所有权和安全维度按年度轮换，每年覆盖一个维度的全部审计项；一般数据域质量维度全量审计，所有权和安全维度每两年覆盖一次。三档标准写入年度审计计划，分档结论在计划审批时确认。退路：两个部门对某数据域的审计覆盖面仍有分歧的，把该数据域的业务影响、历史审计结果、审计工作量测算三项并排提交审计部门负责人，由负责人做书面裁定。裁定结论写入年度审计计划，同一数据域在下一个审计年度内沿用。操作流程第一个动作：审计计划阶段按表1选取适用审计项，按数据域重要性确定审计覆盖面。产出：审计方案1份。第二个动作：按表2执行所有权维度核对，清单和权属全量，使用授权抽样。产出：所有权维度核对记录1份。第三个动作：按表3执行质量维度核对，标准和处置全量，监控频率抽样。产出：质量维度核对记录1份。第四个动作：按表4执行安全维度核对，分级和访问全量，流转日志抽样。产出：安全维度核对记录1份。第五个动作：按表6判定审计结论，判定依据逐项列明，结论措辞与判定条件对应。产出：审计报告1份。第六个动作：报告出具后5个工作日内归档，归档件含审计方案、抽样记录、证据材料、审计报告。产出：归档记录1份。完整版按上述六个动作全量执行。精简版保留第一个、第二个、第五个、第六个动作，跳过第三个和第四个动作；精简版删掉的检查项为：质量维度核对、安全维度核对。极简版只保留第二个动作中的数据资产清单核对和第五个动作中的结论判定；极简版删掉的检查项为：质量维度、安全维度、抽样、归档。三套版本共同坚守的底线：数据资产清单完整性在三个版本中均须核对；审计结论在三个版本中均按四类判定并写明判定依据；存在影响数据可用性或安全性的不合格项的，三个版本均判定为“需整改”。八、审计结论的复盘与改进审计结论出具后出现同类问题反复出现、结论依据不足、整改后同类问题再次出现的情况，按六个复盘点逐项检查并确定改进动作。复盘每半年执行一次，复盘记录与审计报告档案一并归档。表7审计结论复盘排查表复盘点打开什么看什么改进动作1.审计项的适用性审计方案与数据域重要性选取的审计项是否覆盖该数据域的主要风险，适用项的理由是否写明审计方案增加“数据域重要性与审计项对应表”，逐类列明必审项2.数据资产清单的维护机制清单更新记录与系统变更记录清单是否随系统新增数据项同步更新，更新时延清单更新纳入系统上线流程，系统上线前完成数据项登记3.质量指标的阈值设定质量标准与决策需求阈值是否根据决策需求调整，阈值长期未调的项数质量标准每年复核一次，阈值调整记录写入质量文档4.访问权限的复核执行权限复核记录与实际权限复核是否按季度执行，复核后权限调整是否落实权限复核记录增加“调整落实”栏，未落实的由数据所有者跟进5.结论措辞与判定条件的一致性审计报告结论与判定依据结论类型与判定条件是否对应，影响可用性或安全性的不合格项是否触发需整改审计报告模板增加“结论与判定条件对照页”，逐项打勾6.整改后同类问题是否再次出现前后两次审计报告的结论清单同一数据域的同一审计项在两次审计中是否重复出现不合格重复出现的不合格项升为下一审计周期的重点审计项，审计方案中标注复盘完成判定：六个复盘点逐项打开看过，“看什么”列填有具体记录或字段名称，“改进动作”列填有可执行动作且动作中含字段名、对照表或标注要求。合格形态：改进动作写有具体表格或流程节点。待改进形态：“什么”列写“已复查”，“改进动作”列写“加强数据治理审计管理”。第1、2项属于审计项与清单维护环节，改进动作落在对应表和系统上线流程；第3项属于质量阈值环节，改进动作落在年度复核；第4项属于权限复核环节，改进动作落在调整落实栏；第5、6项属于结论与整改环节，改进动作落在对照页和重点审计项。改进完成后在表7末尾追加“改进验证”行，写验证日期和验证人角色名。完整案例：一次信用风险数据治理审计的资产清单与权限核对示例案例，细节为合理设定。某银行审计部门对2026年度信用风险数据治理执行审计，数据域用于信贷审批和风险计量，重要性为高。审计覆盖所有权、质量、安全三个维度二十一项审计项。上期审计结论为“基本合格”，本期按核心数据域全量审计。起点所有权维度七项：数据资产清单收录386项，系统实际402项，覆盖率96%；每项标注归属部门和产生系统；402项数据指定所有者；责任矩阵覆盖全部数据项；变更审批记录齐全；授权记录含三项要素；流程对应表有8项数据无产生节点。质量维度七项：质量标准含四项维度；关键数据项86项，指标覆盖86项；监控频率每日；问题台账录入48项，监控发现52项；按期处置46项，完成率95.8%；严重问题根因分析完成；质量报告最近四个季度有引用。安全维度七项：四级分级；权限账户186个，超权限5个；敏感和核心级数据脱敏加密；流转日志覆盖24个接口，2个接口无记录；事件响应记录齐全；第三方共享协议经法务审核；安全培训覆盖率95%。分步操作第一步，按表1选取二十一项审计项，核心数据域全量审计。第二步，按表2核对所有权维度，资产清单完整性、流程对应两项不合格，其余五项合格。第三步，按表3核对质量维度，质量问题识别一项不合格，其余六项合格。第四步，按表4核对安全维度，访问控制执行、数据流转记录两项不合格，其余五项合格。不顺利环节第一次转折。信号：数据资产清单收录386项，系统实际402项，16项未收录。初步判断为清单维护遗漏。核对16项数据项后发现，其中12项来自2026年新上线的信贷审批子系统，4项来自报表系统的新增字段。与数据管理部门沟通后了解到，系统上线时数据项登记未纳入上线检查清单，报表字段变更由业务部门自行添加。由此确认未收录的根源在于数据项登记的触发机制未覆盖系统上线和报表变更两个场景。调整动作：数据资产清单更新纳入系统上线流程和报表变更流程，系统上线前完成数据项登记，报表字段变更后5个工作日内完成清单更新，登记记录写入清单的“来源”字段。第二次转折。信号：所有权维度流程对应表有8项数据无产生节点。初步判断为流程文件不完整。核对8项数据后发现，其中6项为衍生数据，由其他数据计算得出，无单独的业务产生节点。与业务部门沟通后确认，衍生数据的产生节点应记录其计算规则和上游数据项。由此确认流程对应表的记录规则未区分原始数据和衍生数据。调整动作：流程对应表增加“数据类型”栏，原始数据记录业务产生节点，衍生数据记录计算规则和上游数据项，两类数据分别设记录要求。第三次转折。信号：质量问题台账录入48项，监控发现52项，差异4项。初步判断为录入遗漏。核对监控记录后发现，4项未录入的问题均为“数据延迟”，监控系统标记为“低优先级”，数据管理人员认为低优先级问题无需录入台账。核对质量标准后发现，标准中及时性维度的阈值对数据延迟有明确要求，延迟超过阈值即构成质量问题。由此确认问题识别环节对低优先级问题的处理规则未明确。调整动作：质量问题识别核对表增加“低优先级问题”栏，监控发现的问题不论优先级全部录入台账，低优先级问题标注“低优先级”并在处置时限上适用一般问题的5个工作日。第四次转折。信号：安全维度访问控制超权限5个账户，初步判断为权限设置不当。核对5个账户后发现，其中3个为数据管理人员，因参与数据质量核查需要临时访问敏感数据，临时权限未在核查结束后收回；2个为岗位调整人员，原岗位权限未及时注销。与数据所有者沟通后确认，临时权限的回收和岗位调整的权限注销缺少触发机制。由此确认访问控制的问题不在权限设置本身，而在权限生命周期管理。调整动作：权限管理增加“临时权限”和“岗位变更”两类触发，临时权限设有效期，到期自动收回；岗位变更由人力资源部门在变更后3个工作日内通知数据所有者，数据所有者在5个工作日内完成权限调整。终点数据资产清单更新纳入系统上线和报表变更流程，流程对应表增加数据类型栏，质量问题识别表增加低优先级栏，权限管理增加临时权限和岗位变更触发。审计结论判定为“需整改”，整改建议七项：补齐16项数据清单（一级，30日）、8项数据流程节点补录（一级，30日）、4项延迟问题补录台账（二级，60日）、临时权限有效期设置（一级，30日）、岗位变更