一、ISO/IEC 27701:2019 5.4 标准原文

二、条款解读说明

5.4是 PIMS 从“理解问题”走向“组织行动”的转折点。很多组织在做隐私治理时，常见的断裂就出现在这里：前面已经识别了法律义务、客户要求、数据主体期待、业务处理场景和内部角色边界，但真正落地时却没有形成一套可执行的计划，于是体系又退回到零散整改、事件驱动和临时补救。27701 把“规划”单独拎出来，正是为了防止这种断裂。

与纯粹沿用 27001 的信息安全规划不同，27701 的 5.4 要求组织在原有管理体系方法上加入隐私维度。它并不是让组织另起一套与 ISMS 平行的体系，而是要求在既有规划逻辑中，显式纳入 PII 处理风险、PII 主体潜在后果、控制者或处理者角色差异、附录 A/B 控制适用性，以及与隐私目标相关的资源和责任安排。换句话说，5.4的重点不在于“多写一份计划”，而在于把原本偏安全的计划逻辑扩展为兼顾隐私和信息安全的统一规划逻辑。

5.4还有一个非常现实的价值，就是迫使组织从“合规清单思维”转向“管理闭环思维”。很多企业在隐私项目早期，会把工作理解为出几份制度、补几条合同、上线几个按钮，觉得只要满足某些外部检查点就够了。但标准要求的是管理体系，不是项目清单。管理体系强调的是可重复、可比较、可更新的规划能力。也就是说，今天新增一个业务场景、明天切换一个供应商、后天遇到一个新的跨境传输要求，组织都应该能用同一套规划逻辑重新判断风险、调整控制和更新目标，而不是每次都从头摸索。

从章节结构上看，5.4.1解决的是“风险和机会如何被纳入计划”，5.4.2解决的是“目标和实现路径如何被纳入计划”。前者更偏向决策依据，后者更偏向执行驱动。两者合在一起，才形成了 PIMS 的规划闭环。很多体系之所以在运行中失速，就是因为它们只做了其中一半：要么做了风险评估，但没有把结果变成目标和计划；要么写了目标，却没有把风险结果真正吸收进来，导致目标与现实问题脱节。

对控制者而言，5.4常常意味着要把合法性基础、透明度、保留期限、共享边界、主体权利响应等事项纳入规划；对处理者而言，则更多体现为如何围绕客户指令、合同约束、分包控制、返还删除、事件通知和处理范围边界来组织规划。标准没有要求两类角色采用完全不同的管理体系方法，但确实要求它们在控制选择和理由说明上做出角色化判断。这也是为什么 5.4 不应被简单理解为“照抄 27001 第6章”。

5.4写得短，但对文章写作和真实实施都有一个共同要求：不能只把它讲成抽象管理概念，而要把它与隐私治理中的具体动作连接起来。读者真正关心的是，为什么一份看似普通的规划条款，会直接影响风险评估能不能支撑决策、控制选择会不会漏项、目标能不能落到部门、以及高层能不能看见体系成效。把这些问题讲透，才算真正写到了 5.4 的要害。

三、实施要点

• 把 5.2 识别出的组织环境、相关方要求和角色定位作为规划输入，而不是单独存档后就结束。
• 将 5.4.1 的风险和机会分析与 5.4.2 的目标设定联动，避免“风险归风险、目标归目标”的割裂做法。
• 在规划中显式区分控制者和处理者场景，尤其关注控制适用性、合同义务和主体影响差异。
• 确保规划结果最终进入资源分配、责任分工、时间安排和管理层报告，而不是停留在项目计划表层面。
• 5.4的核心不是“写计划”，而是建立一套能够持续应对处理活动变化的 PIMS 规划机制。

四、常用工具与实施方法

在实施层面，最实用的方法往往不是再新建一套复杂工具，而是把隐私变量嵌入现有 ISMS 规划机制。例如，原来已有年度风险评审会、管理目标会和适用性声明评审流程，那么只需要明确哪些输入必须新增隐私维度、哪些岗位必须参与、哪些决策必须解释对 PII 主体的影响，就能让 5.4 真正进入现有管理轨道，而不是成为额外负担。

对于业务变化频繁的组织，建议不要把 5.4 只绑定年度周期。产品上线、客户结构变化、跨境安排调整、分包关系变化、数据保留策略变更等，都可能触发重新规划。只要规划机制具备滚动更新能力，体系成熟度通常会明显高于只靠年度集中盘点的组织。

五、典型案例

1. 只识别问题、不形成计划：某互联网企业已经完成了处理活动梳理，也知道自己的高风险场景集中在营销共享、日志留存和外包支持，但这些信息一直停留在评估文档里，没有进入目标、预算和负责人分配。结果半年后同样的问题反复出现。后续依据 5.4 重做规划，将高风险事项直接转成年度目标和季度整改计划，体系才开始真正运转。
2. 沿用27001模板导致隐私要素缺失：某组织在做PIMS时直接照搬原有 ISMS 规划模板，目标只有“提升安全管理水平”“减少漏洞数量”，完全没有体现主体权利、分包透明度、保留删除和处理边界。审核时被指出规划与27701要求脱节，随后组织在 5.4 下补入隐私风险、角色差异和附录 A/B 比对，才让规划文件具备 PIMS 特征。

这两个案例说明，5.4真正区分成熟组织和形式组织的地方，不是文档多少，而是规划能不能推动资源流向正确的问题。只要风险结果没有进入目标和项目，只要角色差异没有进入控制选择，组织就仍处在“知道问题，但不会治理”的阶段。

从读者视角看，5.4特别值得强调的一点是：规划不是为了让文件更完整，而是为了让后续每个条款都有抓手。风险评估要靠规划定义边界，适用性声明要靠规划决定比对口径，目标管理要靠规划确定优先级，管理评审也要靠规划看到结果。它是整个 PIMS 运行链条里的连接枢纽。

六、成文信息管理要求

这些文件的价值不只在于证明“组织做过规划”，更在于能够追溯：某项控制为什么被选中、某项目标为什么被列为重点、某项风险为什么被接受或延期处理。如果追溯链条断掉，5.4 的管理价值就会明显下降。

七、常见误区及踩坑提醒