心理测评系统上线后，机构不能只在采购时审供应商。项目运行一段时间后，也需要检查权限日志、数据导出、账号清单、报告版本、备份恢复和安全响应记录。
供应商审计的目标是确认系统仍按约定运行。学校、企业、社区和咨询机构处理的数据都很敏感，长期项目更需要周期性复核。
权限和账号清单要定期核对
审计时先看账号清单。管理员、心理老师、HR、咨询师、外部专家、临时服务商和已离职人员账号是否仍可登录，权限是否超过当前职责。
临时账号尤其需要检查。项目结束、专家协作到期、供应商交付完成后，账号应及时回收。长期开放的外部账号会增加访问风险。
还要抽查权限变更日志。谁开通了账号，谁调整了权限，谁关闭了权限，系统是否保留时间和操作人。没有日志，审计只能依赖口头说明。
NIST SP 800-53提供了访问控制、审计和账户管理等控制项，可作为供应商审计的参考清单。
数据导出和报告版本要可追溯
心理测评系统的高风险动作通常包括报告查看、批量导出、预警名单下载、外部共享和报告重发。审计时应抽查这些动作是否有记录。
报告版本也要检查。量表解释、报告模板、预警规则和组织报告口径发生变化时，系统是否保留版本说明，历史报告是否能按原版本查看。
NIST Privacy Framework强调隐私风险治理。供应商审计要覆盖数据处理、访问、共享和留存。
橙星云可以把权限控制、导出日志、报告版本、项目记录和复核流程集中到系统中。审计时，机构可以按项目和角色查看证据。
合同承诺要和系统证据对应
供应商合同里写到的数据安全、备份、权限、响应时限和服务范围，审计时都要找到对应证据。只有口头说明，难以证明系统长期按约定运行。
机构可以抽查一个历史项目，从名单导入、作答、报告发布、导出、预警复核到项目归档走一遍证据链。证据链完整，供应商审计才有实际意义。
安全响应也要进入审计
审计不应只看功能。还要问备份频率、恢复演练、异常访问处理、系统故障响应、漏洞修复和联系人机制。心理测评项目上线期间，响应速度会影响服务连续性。
审计结果应形成整改清单。比如关闭过期账号、补充导出审批、完善报告版本说明、补做恢复演练或调整外部协作权限。
审计频率也要写进管理规则。新系统上线后、重要项目结束后、供应商人员变更后、发生异常访问后，都适合做一次专项核查。
审计结果要分配责任人。系统问题由供应商修复，内部权限问题由项目负责人调整，导出文件问题由数据接收方确认回收。
心理测评系统供应商审计，重点在证据。权限日志、数据导出、账号清单、报告版本和安全响应都有记录，机构才能判断系统是否持续符合项目要求。