基于資金安全管控的智慧密鑰一體化平臺建設與應用

胡婷婷 王燦 國網安徽省電力有限公司綜合服務中心 張莉 國網安徽省電力有限公司

朱寧寧 國網安徽省電力有限公司綜合服務中心 楊益偉 國網安徽省電力有限公司

引言

資金是企業發展的血脈，是企業資產管理的重要組成部分。目前企業資金管理中仍然大量使用網上銀行支付，雖然網銀結算方便快捷，極大提高了財務人員的工作效率，但近年來國內企業的很多重大資金安全事件，金額之大，讓人瞠目結舌，諸如某地產公司出納挪用公司資金近4800萬元打賞網絡主播；某鐵路局出納通過盜用審核密鑰、偽造對賬單等方式挪用公司資金1000余萬元，等等，這些案例無一例外地暴露出如果企業缺乏對網銀支付的操作風險加以控制，就會給一些不法分子留下可鉆之洞。

因此，如何加強網銀管理，控制網銀支付操作風險，是企業不容忽視的問題，也是企業風險控制管理的重要內容。

一、建設背景

國資發監督〔2021〕19號文《關于加強中央企業資金內部控制管理有關事項的通知》[1]中明確要嚴格銀行賬戶和網銀監管，確保賬戶和網銀安全可控。2021年《國資委辦公廳關于開展網銀U盾等印鑒自查工作的通知》中需要全面開展網銀U盾等印鑒管理情況自查。2022年初，國網公司下發《國家電網有限公司司庫管理辦法》[2]，針對網銀支付相關事項，進一步明確各級單位應通過公司統一資金結算平臺辦理結算業務，原則上不得使用現金、支票、網銀等傳統結算方式，確需使用的應由本單位財務負責人審批并按月報上級單位備案。

國網安徽電力涉及銀行網銀支付的賬戶數量超150個，近350人保管約400個銀行網銀U盾，開通網銀支付的賬戶數量多，涉及的保管人員分布廣。全省平均每年使用網銀進行支付的筆數約57萬筆，金額約達90億元，支付筆數多、金額大，如果缺少對網銀支付的安全管控，那么資金安全風險難以得到管控。

目前，內網財務信息系統已實現了對集團內部賬戶資金支付的安全管控，但是對于外網網銀U盾缺少一定的監控手段。通過智慧密鑰一體化管控體系實現對全省外網網銀U盾線上實時管控，真正落實“三密鑰三人分開保管”的要求，提高網銀支付的安全性；通過授權委托等功能，提升基層財務人員支付便捷性和時效性。

二、管理現狀

（一）密鑰保管現狀

1.三密鑰三人分開保管

按照現行資金管理制度要求，銀行網銀密鑰應當由三人分開保管，由錄入員、審核員、會計主管三人分別保管各自的網銀U盾證書、賬號、密碼等關鍵信息（如圖1），要做到各司其職、崗位相互牽制，不得兼容[3]。

各單位業務部門相關人員發起支付申請，向本單位財務資產部遞交簽字審批完備的支付申請單，由本單位網銀錄入員登錄企業網銀，完成該筆支付申請單相關收款信息、金額等數據錄入，輸入支付密碼后，提交下一崗位審核員完成一級審核，再由會計主管完成網銀支付二級審核。

近年來，發生了多起因出納或財務部主任利用職務之便，將企業資金轉到個人賬戶，并進行高額消費等違法犯罪活動，給企業蒙受巨大的損失[4][5]。究其原因，都是各單位在對于網銀密鑰及密碼的管理上不嚴格，讓不法分子鉆了漏洞，導致公司資金資源流失[6]。

2.保險柜保管

相關文件制度明確要求，財務人員應當妥善保管銀行密鑰及密碼，銀行密鑰等重要支付工具應當妥善保管于保險柜中；在無支付業務時，應當及時簽退支付系統，嚴禁出現無支付業務或制服人員離開工作崗位時，支付密鑰仍然與計算機系統保持連接的情況。

實際工作中，很多單位并未嚴格遵照資金安全制度中相關要求，如果有不良分子通過非法手段獲取密碼后，很容易造成一定的資金安全風險。

（二）臺賬、交接管理現狀

1.臺賬管理

企業應當按照相關管理制度要求，建立完備的臺賬管理制度并按月對本單位持有的銀行密鑰進行盤點登記。

在歷年內外部檢查或自查中都發現，很多單位并未建立一套完整密鑰管理制度，未登記銀行密鑰管理臺賬，未按月盤點密鑰，或者銀行密鑰盤點登記不齊全、與實際保管情況不一致，這些問題都會帶來一定資金安全隱患。

2.崗位交接管理

相關文件制度明確規定，各級單位應當建立密鑰審批權限授權機制，要規范委托授權的辦理流程，強化對替崗人員的授權管理，要從根源上對內部替代操作帶來的風險嚴格進行防范。

在實際的內外部監管檢查中發現，很多單位對于支付委托授權辦理流程不規范，在相關崗位人員離崗后，未履行交接程序，往往直接將支付密鑰及密碼交接給接交人，無相應的審批流程，如果事后發生支付風險，往往無法進行追溯。

（三）管理者密鑰管控現狀

管理者對全省網銀密鑰的分布使用情況無法像內網中國電財支付一樣全盤掌握，對網銀支付頻率、筆數、金額缺乏有效管控。由于內外網的隔離要求，財務人員在外網操作系統發生的網銀支付數據往往難以實時傳輸到內網系統，如果發生例如非工作時間等異常支付情況，管理者無法實時掌控到可能存在的風險。

三、智慧密鑰一體化平臺構建

智慧密鑰一體化平臺有助于加強集團外部賬戶資金支付安全管控，提高外部銀行網銀U盾保管權限委托的便捷性和靈活性，防范外部銀行賬戶支付風險，實現對外部網銀支付情況的有力監控及管理。

（一）應用架構

智慧密鑰一體化平臺整體有網銀密鑰管理工具、密鑰安全管控應用服務、財務管控資金管理模塊三部分構成，詳見圖1。

網銀密鑰管理工具基STM32芯片進行嵌入式開發，提供對接入的電機、編碼器、傳感器、通信IO等硬件部件的接入控制，完成運動部件的控制、硬件狀態檢測等功能，并提供相關接口供上位機應用程序調用。該工具內部采用微型機械手臂通過磁性編碼器自動記憶網銀U盾按壓確認鍵位置，實現自動按鍵按壓過程，同時裝置上裝有微型攝像頭，能夠讓支付用戶確認網銀U盾支付金額后，再進行支付，保證支付過程的準確性。

密鑰安全管控應用服務實現對已接入的密鑰管理設備進行權限、狀態進行校驗；采用人臉識別算法和指紋識別算法提高用戶身份認證安全性；支持對密鑰證書是否到期、安全操作時間等信息監控預警。

財務管控資金管理模塊整通過調用現有的內外網隔離裝置，接收網銀密鑰管理工具使用過程中產生的臺賬、操作軌跡、異常信息等數據，實現密鑰安全管控應用服務與財務管控資金管理模塊的內外網數據交互。

（二）建設內容

1.智能安全認證

將網銀U盾固定存放在網銀密鑰管理工具中并鎖定，設置好相應使用權限及使用人、匹配電腦之后，盒子即為黑盒，無特殊情況不打開。在特殊情況下，只有通過授權審批的用戶才能通過人臉或指紋認證驗證身份后解鎖打開，同時，開鎖操作記錄會生成日志。

采用生物識別技術，利用人臉、指紋和賬號密碼等組合方式，完成密鑰的安全登錄。嚴格落實“三密鑰三人分開保管”，通過在網銀密鑰管理工具中為不同崗位配置相應權限，密鑰的實際保管人通過驗證賬號密碼、人臉信息無誤后，才能通過密鑰管理工具控制網銀U盾按鍵，真正地落實不相容崗位相分離的內控要求。

2.臺賬及留痕管理

依據《國家電網有限公司司庫管理辦法》中相關要求，各單位應當建立銀行密鑰管理臺賬，對密鑰的使用管理過程進行完整的記錄，包括密鑰的使用人、密鑰編號、發證機構、發證日期、證書管理戶名、證書管理賬號、使用權限、有效期限、交接記錄等詳細信息，每月至少盤點一次，并形成密鑰盤點表。

通過智慧密鑰一體化管控平臺，實現對密鑰的操作使用全過程進行詳細記錄，系統自動出具傳統結算方式臺賬登記表，每月自動出具密鑰盤點表，并通過內外網隔離裝置實現臺賬、盤點表信息回傳至內網財務信息系統相應模塊，提高了每月原先需要手工登記臺賬的效率，進一步將財務人員從煩瑣的機械勞動中解放出來。

崗位交接涉及密鑰交接時，只需要網銀U盾保管人發起交接申請單，經審批通過后，原網銀U盾的使用權限便能自動轉移至接交人，接交人可完成人臉等生物信息錄入后可直接登錄進行操作，申請及審批操作過程在網銀密鑰管理工具中保留日志，密鑰安全管控應用服務通過調用網銀密鑰管理工具中的記錄，將詳細的交接記錄回傳至內網財務信息系統中。

通過在密鑰安全管控應用服務中設置超級管理員的權限，對基層單位網銀U盾的數量分布、網銀支付情況進行詳細展示，并回傳信息至內網，通過圖表等方式對網銀使用情況進行橫向或縱向對比，省公司管理者可以登錄財務信息系統查看網銀使用情況，實現所有支付人員、所有支付記錄在線掌握。

3.異常告警及支付跟蹤管理

通過在密鑰管理工具中設置網銀U盾正常工作時間，在非工作時間內鎖定盒子中內置的U盾，不允許使用網銀U盾，特殊情況下，可通過申請的方式，得到審批人的同意后才能解鎖網銀U盾，通過日志管理記錄申請及審批過程中的操作記錄。

通過密鑰安全管控應用服務對網銀密鑰管理工具設置密碼定期更換時間，系統自動提醒到期更換密碼信息，用戶依據提醒按時修改網銀密碼，提高密鑰使用的安全性。

將外網網銀操作記錄與內網支付申請單據相匹配，真正落實“無預算不開支，有預算不超支”。在外網網銀密鑰操作時，通過在密鑰管理盒子中輸入內網單據的支付申請單編號后，系統自動彈出該單位支付申請單據的詳細信息，用戶可手動選擇本次支付明細數據，確認無誤后方能提交支付指令，實現了內網支付流程與外網網銀支付信息的連接，網銀支付更安全。密鑰管理工具記錄本次操作的時間、操作單位、操作人、單據編號、金額、證書信息等，回傳至內網財務信息系統相應模塊，實現網銀支付可跟蹤、可追溯。

4.在線委托及審批

在實際工作中，如果財務人員因出差等原因臨時離崗時，往往只能直接將密鑰及口令移交接替人員處理，存在事后無法追溯某一業務具體經辦人，移交人返崗后也無法確認是否及時收回密鑰等風險。

智慧密鑰一體化平臺通過發送手機驗證碼的方式，被授權人可使用審批人提供的驗證碼登錄密鑰管理工具，實現密鑰的實際保管人出差后，在需要緊急支付的情況下，被授權人仍然可以操作密鑰，不會影響正常支付。同時，通過日志管理記錄授權審批的日志，便于日后移交人進行稽核檢查。

四、智慧密鑰一體化平臺建設成效

（一）提升資金安全防控水平，守住資金安全管理底線

強化企業資金內部控制體系建設，進一步防范資金安全風險。按照不相容崗位相分離原則，在啟動使用U盾之前增加人臉驗證，通過系統控制密鑰的使用人與實際保管人保持一致，能夠真正地落實“三密鑰三人分開保管”，為外網網銀支付增加了一道安全防護鎖。

實現外網網銀支付可控、可追溯，在內網支付安全通過人臉識別、流程控制等措施得到保障的基礎之上，全面實現對全公司所有內外部賬戶的安全管控。

（二）創新財務信息化管理思路，提高支付便捷性和靈活性

為加強對資金支付關鍵控制點的管理，通過梳理企業日常資金支付中潛在的風險點，研究應對解決措施，提出建設智慧密鑰一體化平臺，采用信息化手段解決日常資金支付中的難點和堵點，針對人員臨時離崗后，無法追溯管控密鑰使用問題，開發在線授權委托功能，提升了支付操作的效率水平，有力地支撐了財務集約化的創新發展。

結語

深入應用智慧密鑰一體化管控平臺，不斷提高資金精益化管理，深化“1233”司庫管理體系建設。以保障外網網銀支付安全為著力點，持續優化完善資金管理制度、標準、規則及流程，由內網資金支付安全監控轉變為內外網資金支付安全監控相結合的方式，打通資金安全監控的斷層點，形成“事前——事中——事后”的安全管控體系，提高了資金安全監控的效率和效益，資金安全管控水平得到進一步提升，有效保障了全量資金收支業務的安全，推動公司“1233”司庫管理體系建設在基層單位提升與應用。