心理测评项目引入外部专家、研究团队、EAP 服务商或咨询合作方后，机构需要定期做外部合作审计。合作越多，账号、数据和报告分享越容易越界。
外部合作审计的目标，是确认合作仍在授权范围内运行。专家账号是否过期，研究数据是否超范围使用，报告分享是否有记录，都要逐项核对。
专家账号要核对权限和期限
外部专家账号应有明确项目、报告范围、有效期和下载限制。审计时要看账号是否仍在使用，是否访问过无关项目，是否存在异常登录。
合作结束的账号应关闭，阶段性复核账号应设置到期提醒。长期开放外部账号，会让访问范围逐渐失控。
NIST SP 800-53包含访问控制和审计要求。外部专家账号尤其需要定期复核。
研究数据要查字段和再使用范围
研究合作中，数据包可能包含量表结果、人口学字段、开放题和时间信息。审计时要确认字段是否符合授权，是否已经脱敏，是否产生衍生数据。
如果研究方再次共享给统计人员、合作机构或外包团队，也应纳入审计范围。二次接收方越多，回收和撤回越复杂。
橙星云可以通过导出日志、授权记录和项目版本帮助机构追踪研究数据。系统至少应说明数据从哪里导出、交给谁、用于什么项目。
报告分享要看对象和版本
外部合作方查看的报告，应限定版本、对象和用途。个人报告、组织报告、预警名单和复核意见不能使用同一分享规则。
如果报告链接可转发，要检查有效期、水印、下载记录和关闭记录。已下载文件还要看是否有回收确认。
NIST Privacy Framework强调数据共享和风险管理。报告分享是外部合作审计中的关键项目。
审计结论要形成整改动作
发现账号过期、字段过宽、回执缺失或分享记录不完整时，应形成整改清单。整改动作包括关闭账号、补齐回执、限制下载和重新确认授权。
外部合作审计还要看合同或项目方案中的数据条款。系统记录和协议要求对应起来，审计人员才能判断是否存在超范围使用。
如果外部合作方提出新增字段或延长保存期限，应重新走授权和审批流程。
审计证据要能回到原项目
外部合作审计中的每条记录，都应能对应到项目、账号、导出批次和报告版本。只保留截图或口头说明，后续很难核实。
审计完成后，应把整改动作写入项目记录，便于下次复核。
审计频率也要按风险设置。长期合作方可以季度复核，高敏感研究项目可以按阶段复核，短期专家账号可以在任务完成后立即复核。
频率写进项目计划后，外部合作审计更容易执行。
心理测评外部合作审计，重点是把外部参与纳入同一套治理。专家账号、研究数据和报告分享逐项核对，合作才能持续可控。