保密体系建设的经济与行政管理探析范文

《保密科学技术杂志》2016年第7期

摘要：

社会主义市场经济改革的不断深化，政府、机关、单位的采购需求，以及企业在市场竞争中供给关系的客观需要，使一些非公有制企业等“体制外”力量不同程度地进入了涉密领域，从事涉密服务活动。可以说，保密工作已不断涉及一些社会化的管理内容，逐渐向“体制外”延伸。保密法第三十四条规定：“从事国家秘密载体制作、复制、维修、销毁，涉密信息系统集成，或者武器装备科研生产等涉及国家秘密业务的企业事业单位，应当经过保密审查。”这充分体现了针对社会涉密领域的保密行政管理，即国家采取事前保密审查的管控措施。对经常从事涉密业务的单位，国家保密行政管理部门实行保密资质管理，并陆续出台《国家秘密载体印制资质管理办法》《涉密信息系统集成资质管理办法》等一系列文件，明确了对涉密印制、涉密信息系统集成行业的保密监管实施办法。近年来，以保密资质审查为代表，保密行政管理部门积累了大量面向社会企业的监管经验。然而，传统的资质审查方式以保密组织机构、规章制度建立及保密设施、设备配置等为主要审查内容，难以了解企业日常保密规定以及保密制度的执行情况。在非公有制单位从事涉密业务量日益增长，国家保密管理要求更加严格的新形势下，传统审查方式的局限性日益凸显：一是难以做到全面排除保密隐患，二是整体提升社会化涉密领域保密管理水平进展缓慢。此外，新资质申请单位普遍保密管理基础薄弱，与日常业务脱节，缺乏保密管理经验，长期处在依据保密检查意见被动整改的局面。企业这种被动无序的保密管理状态与现代企业管理运营总体要求相悖，同时也影响企业的整体运转效率。在新形势下，如何提高资质单位的保密管理水平，破除保密行政管理困局，成为当前迫切需要解决的问题。以资质审查为抓手，引导资质单位建立健全保密管理体系，是实现保密管理改革，提升社会化涉密领域保密管理水平的重要环节。

1.保密体系建设的内涵

保密管理体系是指，按照保密管理要求，规范企业保密工作开展并取得一定社会、经济效益的一系列管理理念、管理方法、管理机构和管理人员的总称。企业管理体系包含若干个子系统，如，质量管理体系、环境管理体系、职业健康和安全管理体系等。就涉密资质单位来说，保密管理体系应与质量、环境、安全管理体系并重，成为企业管理体系的一个重要子系统。此外，保密管理体系应同其他管理体系协同一致，支撑企业高效运转。对此，资质单位进行保密管理体系建设应处理好以下三方面问题：

第一，做好顶层设计，将保密工作融入生产经营活动。保密管理作为企业管理的一个子系统，应与其他子系统彼此嵌入，在企业管理体系内协同运转，使企业进行生产经营活动的过程真正成为执行保密管理活动的过程。这就要求在顶层设计上做好保密管理与生产、销售、人力资源等管理工作的深度融合。一是组织架构重建，将保密管理部门定位为与人力资源部、财务部、生产管理部等常规管理部门同等重要的实体职能部门。保密管理部门会同其他职能部门共同参与到企业管理的顶层设计中去。二是制度梳理再造，在生产管理、销售管理、人力资源管理、财务管理等企业基本管理制度中，将保密管理要求直接嵌入各项基本管理制度中，使之与企业常规管理工作同步运行。以人力资源管理为例，其包括人力资源规划、绩效、薪酬、招聘、培训及员工关系六大模块，应把涉密岗位设置纳入人力资源规划中，涉密人员审查纳入招聘流程中，保密培训纳入员工培训计划内，涉密工作考核纳入绩效管理中，保密津贴也应在员工薪酬福利设置时直接体现。

第二，开展保密风险评估，进行生产流程再造。做好涉密业务保密管理的关键是排除隐患，从源头上降低失泄密事件发生的可能性，其本质是一种风险管理。风险管理包括风险点识别、危害等级评估、防控措施制定和实施及效果评价。保密风险管理可通过企业生产流程再造得以落实。通过经验总结、梳理流程、调查研究等方式，对各生产环节可能存在的风险点进行识别，并分析其发生的概率和可能产生的后果。在风险评估成果方面，制定相应防范措施，并通过改造生产流程，将风险防控措施落实。以涉密文件印制活动为例，从事印刷的员工势必接触涉密信息，各生产环节如不采取技术加管理的强制措施，涉密信息就可能被泄露，这就是一个高发高危的风险点。涉密印制资质单位可通过对人员进行出入场安检，增加印制过程视频监控及现场抽查等工作环节来改造生产流程，从而实现保密风险防控的目的。

第三，建立持续改进机制，保持管理体系的先进性。企业内环境及所处行业乃至整个社会经济大环境都在不断变化，纵使有完美的保密管理体系，也会因一成不变而可能失去实用性。因此，保密管理体系应具备针对暴露问题及时纠错与修正的能力，以及应对情况变化快速响应的能力。通过建立持续改进机制，可实现以上自我更新的管理要求。资质单位应制定并执行一系列保密防范措施，并将实施效果与预期目标进行比对，对已证明有效的措施进行标准化，载入制度加以推广；对出现的问题进行分析，鉴定是否为管理缺陷所致，对相应措施进行调整优化，带入下一轮的管理循环，检验实施效果。以涉密档案数字化加工活动为例，为防止信息外泄，资质单位采取手机寄存、视频监控、监督奖励等控制措施。如经举报发现夹带手机进场，在严格执行制度的情况下，说明入场控制措施、视频监控探头安装方案均存在漏洞，须调整优化，监督奖励机制发挥了效用，应继续执行。

2.保密管理体系建设的收益

资质单位通过获取涉密资质，取得在涉密领域这个特殊市场的竞争资格，进而带来收入的增长和利润的回报。然而，由于涉密业务的特殊性，资质单位在涉密领域从事生产经营活动时，须落实国家保密管理要求，投入额外成本（即保密管理成本）。保密管理成本主要包括：一是增加人员，配备设施、设备等的经济投入，二是执行保密管理过程的时间成本。在同一类涉密活动的市场竞争中，资质单位的保密管理越精准，保密管理成本控制得就越合理，承接涉密业务所获得的利润回报也就越丰厚。当前，新申请资质单位的保密管理水平普遍还处于初级阶段，管理方式单一，对全过程控制不足，时常陷入“头痛医头，脚痛医脚”的被动局面。将保密管理作为企业管理的一个子系统进行系统化建设，可转被动为主动。通过顶层设计，协同其他子系统嵌入企业日常生产经营管理中，将大幅提升保密措施的针对性，收缩无效投入，优化资源配置。通过持续改进，始终保持从源头控制泄密风险的优势，以此获得长期稳定的保密管理效益。此外，在企业管理体系内运行保密管理，相比独立运作，可有效降低资源消耗总量。以涉密人员管理为例，从上岗、在岗到离岗，需采取包括资格审查、培训、签订责任书等一系列管控措施，独立于企业人力资源日常管理工作之外，由企业保密机构单独实施涉密人员管理措施所消耗的资源，将远高于与人力资源管理合并执行的成本。因此，资质单位通过开展保密管理体系建设，可大幅提高保密管理精准度，与企业高效运转的总体目标相一致。通过合理的资源配置，合理控制保密管理成本，将最终转化为依法依规从事涉密业务所获取的利润回报。

3.保密行政管理的效益

在新形势下，结合现行的资质管理制度，保密行政管理部门以资质审查工作为抓手，通过转变审查视角，引导资质单位进行保密管理体系建设，提倡保密管理系统化、日常化，是贯彻“行为论”法律精神的管理实践。依据新法赋予的监督管理职权，面对社会化涉密活动的激增，保密行政管理部门通过改革监管模式，从“现状审查，出具整改意见”向“评估管理水平，指导体系优化”转变，可提高管理效率，降低行政管理执行成本。在资质书面审查阶段，通过查阅保密机构在企业组织架构中所处位置，以及企业基础管理制度中保密管理要求的体现程度，判断资质单位保密体系的顶层设计是否合理、到位，保密工作开展思路是否以“与业务工作深度融合”为出发点，设立相关评分项，调整评分标准；在现场审查阶段，通过实地考察、询问、抽查记录等方式，判断资质单位保密风险管理、持续改进机制是否运转有效，以及日常生产经营活动中保密工作是否同步执行，设立相关评分项，调整评分标准。这种审查角度的转变将有效扩展对资质单位监管的广度与深度。通过追溯制度的执行情况，审查工作所覆盖的时间轴也将得以拉伸。从“针对保密管理现状的审查”向“对保密管理体系整体评估”的转变，是从“授之以鱼”向“授之以渔”管理方式的转变。资质审查评分标准的转变势必倒逼资质申请单位进行保密管理改革，探索实践保密管理体系建设，从而促使社会涉密领域的保密管理整体水平迈上新台阶。

作者:韩曦 单位:国家保密科技测评中心资质审查部