Положение об обработке персональных данных - это внутренний документ компании, обязательный для любого оператора: в нем описывается, какие данные обрабатываются, с какой целью, на каком правовом основании, какие меры защиты применяются и как реализуются права субъектов - доступ, исправление, удаление данных. После аудита его не пишут заново с нуля, а приводят в соответствие с тем, что аудит реально обнаружил.
Сначала сверьте список из отчета аудита - какие данные фактически собираются: формы на сайте, CRM, кадровый учет, куки, - с тем, что написано в старом положении. Обычно расхождение именно здесь: за годы работы появились новые формы, новая CRM, рассылка, а документ не обновлялся. Дальше добавьте разделы под фактическую ситуацию: категории данных, сроки хранения по каждой категории, ответственное лицо, порядок реагирования на утечку.
Утвержденное положение подписывает руководитель, и с ним знакомят сотрудников, которые работают с данными. Публичная политика конфиденциальности на сайте - производный документ для клиентов, ее текст не должен противоречить положению, а должен быть его открытой версией. Актуализация такого пакета документов обычно и есть логичный следующий шаг после аудита - поднимать всю документацию заново не нужно, достаточно поправить разделы, где реальная практика разошлась с бумагой.