依据《中国人民银行关于进一步加强银行卡风险管理的通知》（银发〔2016〕170号）的规定，金融机构每年至少开展（ ）支付敏感信息安全的内部审计。