個人データを扱う業務を委託しても、委託元は安全管理が図られるよう委託先を必要かつ適切に監督する責任があります。
全事業者に行政のシステム監査やプライバシーマーク取得を義務付ける規定ではありません。認証取得と法律上の安全管理義務は別です。