基于PDCA的企業保密風險管理研究與應用

鞠姝妹

【摘? 要】風險管理是企業建立保密管理長效機制的重要手段。論文提出了基于PDCA的保密風險管理模型，從確定目標和風險策劃到風險識別、風險控制、監督與檢查機制以及資源配置和變更等風險管理的全過程進行了探索與研究，同時提出了實施保密風險管理的保障措施。

【Abstract】Risk management is an important means for enterprises to establish a long-term mechanism of confidential management. This paper puts forward a PDCA-based confidential risk management model， explores and studies the whole process of risk management from the determination of objectives and risk planning to risk identification， risk control， supervision and inspection mechanism， as well as resource allocation and change， and puts forward the safeguard measures for the implementation of confidentiality risk management.

【關鍵詞】保密風險;風險管理;PDCA

【Keywords】confidential risk; risk management; PDCA

【中圖分類號】F272.3? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文獻標志碼】A? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?【文章編號】1673-1069（2020）03-0013-02

1 引言

PDCA是質量管理體系持續改進的基本方法，要求把各項工作作出計劃、按照計劃實施、檢查實施效果，然后將成功的納入標準，不成功的留待下一循環去解決。將PDCA循環方法引入保密風險管理，標準即是保密制度和工作流程，通過風險策劃、風險識別、風險評估、風險控制等一系列措施開展保密風險管理活動，促進保密管理體系的不斷完善，使保密風險降低在可控制的范圍內，確保國家秘密安全。

2 基于PDCA的保密風險管理模型

保密風險管理是以頂層業務架構及其流程體系為依托，制定風險管控的操作流程，做到全面優化保密管理業務流程和制度體系，以統一管理防范制約保密目標實現的重大風險。通過確定保密風險等級，有重點地進行風險應對，能更好地預測、預防、控制失泄密事件和重大違規行為的發生。保密風險管理過程和相應的活動包括：確定目標→建立保密風險框架→風險評估→風險控制→三級監督與檢查→資源配置與變更管理。

對應PDCA（Plan-Do-Check-Act）模型，確定目標，建立保密風險框架屬于計劃階段（Plan），實施風險評估和風險控制屬于實施階段（Do），三級監督與檢查屬于檢查階段（Check），資源配置與變更管理屬于處理階段（Act），如圖1所示。該模型是由風險驅動的保密管理體系持續改進模型，其中風險評估和風險控制是核心[1]。

3 保密風險管理實施

3.1 確定目標和風險策劃

企業實施保密風險管理的目標就是準確找到各個業務管理流程中的保密風險、隱患，并根據風險值合理分配資源投入，同時有針對性地制定安全保密防范措施，通過內部管理評審和外部審查，檢查風險控制的有效性和合理性，再進行資源配置的調整和制度流程的完善，最后回歸計劃形成新的保密風險框架，如此循環反復，達到保密管理體系持續改進的目的。

保密風險框架和管理流程要基于業務工作流程，將保密管理節點融合在科研生產和管理活動的業務流程中，以流程圖的形式構建風險管理框架。

3.2 風險識別

風險識別是風險管理實施階段的首要步驟，一般從人、域、物三個維度來識別業務工作中可能存在的潛在保密風險，對每個流程節點進行全面的風險分析，并將識別出來的風險事件進行分類，采用矩陣式方法形成風險事件庫[2]。

3.3 風險評估

風險評估是在風險識別的基礎上，對風險進行計量、分析、判斷、排序的過程。我們可以采用LEC評價法對風險事件進行打分，L（Likelihood）即風險發生的可能性，E（Exposure）即風險發生的頻繁程度，C（Consequence）即風險造成的后果，給三種因素的不同等級分別確定不同的分值，再以三個分值的乘積D（Danger，危險性）來評價風險的等級，如表1和表2所示。

3.4 風險控制

作為管理者會采取各種措施減小風險事件發生的可能性，或者把可能的損失控制在一定的范圍內，以避免在風險事件發生時帶來難以承擔的損失。企業會根據內外部環境以及對風險的承受度選擇風險控制的方式，主要有風險規避、損失控制、風險轉移和風險承擔四種方式，企業對風險的承

受度通常取決于風險等級，一般情況下，風險等級為A級和B級選擇風險規避，風險等級為C級選擇損失控制，風險等級為D級選擇風險轉移，風險等級為E級選擇風險承擔。

3.5 監督與檢查機制

3.3節的風險評估和3.4節的風險控制都是業務管理者對業務活動者實施的二級監管下自評估和控制行為，企業應建立三級監督與檢查機制，這才是推動PDCA循環的有力抓手。保密風險管理中的監督檢查方式主要有內部檢查和外部審查，有條件的企業可以每年實施管理評審，最重要的步驟是制定檢查方案和培訓檢查人員，檢查方案主要包括檢查時間、檢查內容和檢查標準等，直接決定了風險管理效能，檢查人員的經驗、水平和能力也間接影響了風險管理質量。

3.6 資源配置和變更

在實施檢查的基礎上，針對發現的問題，要及時采取措施，確保風險管理的充分性、適宜性和實效性。這一階段將根據重新評估的風險等級和控制措施確定人、財、物的資源配置，或是修訂管理制度和重新設計業務審批流程，形成新的保密風險框架，進入新的PDCA循環，以達到持續提升保密風險管理水平的目的。

4 保密風險管理的保障措施

一是健全的保密管理制度是實施保密風險管理的前提，制度既要符合國家法律法規和標準，又要符合企業實際情況，方便易操作，否則只是“紙上談兵”，要制度流程化，流程信息化;二是合理的獎懲和考核制度是建立保密風險管理長效機制的催化劑，通過考核和獎懲保證控制措施的執行性，同時調動員工的積極性;三是有效的預警與應急管理制度是保密風險管理的防線，風險的不確定性和變動性給我們準確應對風險帶來了難度，應急管理就是通過對突發事件的預防和處置來將損失降到最低，是風險管理的最后一道防線。

5 結語

開展保密風險管理活動，通過合理配置保密管理資源，有效控制和大幅降低保密風險，促使保密管理更加有針對性、真正落實預防為主的保密工作原則，同時，增強全員保密風險意識，形成風險思維，提升企業整體保密防護能力，以合理的成本使泄密風險控制在能夠接受的狀態，以合理的代價獲得最大的保密安全保障。

【參考文獻】

【1】王少剛，吳金秋，李險峰.企業保密風險管理的應用與實踐[J].保密科學技術，2014（11）：21-26.

【2】張云霞.保密風險管理應用與實踐[J].數據庫與信息管理，2016（19）：57-59.