Размер компании и количество сотрудников тут ни при чем. Политика нужна любому оператору, который обрабатывает персональные данные, а бухгалтерская фирма их обрабатывает точно: данные клиентов по договорам, данные собственных сотрудников, переписку с контрагентами. Отсутствие форм на сайте ничего не меняет, обработка идет и без сайта.
Документ должен быть доступен тем, чьи данные вы обрабатываете - клиентам и сотрудникам. Публикация на сайте самый простой способ выполнить это требование, но если сайт действительно только визитка без страниц, политику можно разместить отдельной страницей все равно, а ссылку дать в договоре или в кадровых документах. Хранить документ только в папке на рабочем компьютере и не показывать никому - не выполнение требования, а его имитация.
Отдельно проверьте, что политика описывает реальную практику: если для сдачи отчетности вы передаете данные в другие организации или используете облачные сервисы для хранения документов клиентов, это тоже должно быть отражено. Устаревшая политика, где написано одно, а на деле происходит другое, при проверке выглядит хуже, чем ее полное отсутствие - это уже недостоверные сведения.
Обновлять документ стоит при любом заметном изменении в работе с данными: смена бухгалтерской программы, новый сервис для электронного документооборота, начало работы с новым видом клиентов. Раз в год пробежаться по документу и сверить с реальностью - разумная привычка даже без внешнего повода.