心理测评系统运行一年后，项目往往经历人员变化、权限调整、导出文件、外部合作和报告模板修改。年度审计的作用，是把这些变化重新核对一遍。
年度审计要检查系统使用、账号权限和数据流转。账号是否过期，权限是否过宽，导出是否有审批，外部合作是否已结束，历史报告是否能追溯，都需要逐项检查。
账号权限要从角色清单开始
审计时先导出账号清单。管理员、咨询师、督导、项目负责人、外部专家和只读账号要分开看，确认每个账号仍有使用必要。
离职人员、调岗人员、项目结束账号和临时外部账号应重点检查。长期未登录的高权限账号，也要确认是否继续保留。
NIST SP 800-53包含账号管理、访问控制和审计相关要求。心理测评系统可以借鉴这些思路做年度权限核对。
导出记录要核对用途和回收
年度审计要看过去一年导出了哪些数据，谁申请，谁审批，给了谁，包含哪些字段，是否有保存期限和回收记录。
个人报告、预警名单、开放题原文和原始作答明细属于高敏感材料。审计时应确认这些导出是否有清楚用途和接收人。
橙星云可以通过导出日志、项目记录和权限控制帮助机构回看数据流转。审计清单要把这些记录转成可核对项目。
外部合作要检查授权期限
外部专家、研究合作方、EAP 服务商和咨询合作机构可能只在某一阶段参与项目。年度审计要检查合作是否仍有效，账号是否已关闭，导出材料是否有回执。
合作延期时，也要更新授权范围。原来只允许查看组织报告的账号，不应因为项目续期就自动扩展到个人报告。
NIST Privacy Framework强调数据处理、共享和风险管理。外部合作核对属于年度审计的重要部分。
审计结果要进入整改清单
审计发现的问题应分为立即处理、限期整改和持续观察。比如过期账号立即关闭，导出回执缺失限期补齐，权限规则过宽进入下年度改进。
年度审计还要保留审计人、审计范围、证据材料和整改结果。下一次审计时，可以对比问题是否重复出现。
审计前还应确定范围。只审计本年度项目，还是覆盖历史项目、外部合作和仍可访问的旧报告，范围不同，所需材料也不同。
审计范围写清后，项目人员更容易准备账号清单、导出记录、授权材料和整改证据。
年度审计也应覆盖报告模板和知识库。模板变更、解释口径调整和历史版本保留方式，都可能影响后续争议处理。
审计结论要有负责人签收。整改项涉及技术、专业和管理三类责任，签收后才能继续跟进。
心理测评年度审计清单，重点是让系统管理有周期性。账号权限、导出记录和外部合作定期核对，机构才能持续控制数据和报告风险。