关键词:信息革命;顺畅沟通;资源共享;管理制度
中图分类号:F27文献标识码:A
一、引言
21世纪以来,随着加入WTO的各方面积极影响,我国的经济高速平稳发展,不断融入到世界经济体系之中。国际上的各种知名品牌产品、各种带有外来文化的产品不断进入我国市场,随着信息技术的进步、消费者了解产品信息的手段与方式不断丰富,这些客观因素改变了消费者的消费习惯、消费特点。同时,消费环境的变化也改变了企业的经营与竞争方式。因此,对新消费环境下的企业信息的有效管理进行研究,具有重要的现实意义。如今的消费环境是一个企业与消费者之间的博弈逐渐由企业占有信息优势向消费者与企业之间的信息对称的方向变化,企业不能像以前那样控制消费者,只能通过了解相关信息,引导消费者购买企业的产品或服务,从而达到企业盈利的目的。
随着经济全球化的迅猛发展,我国各行各业都面临机遇和挑战,而评价企业成功与否,一个简易的办法是看其物流、工作流和信息流“三流”的情况。其中,信息流的质量、速度和覆盖范围,尤其可以反应企业的生产、管理和决策等各方面的情况。因为物流、工作流在企业的生产工作中无不最终以信息流的“高级形式”展现,就像生物体的所有活动都是基于神经系统传递的生物电信号一样。因此,深入认识“信息流”,将掀开企业发展的新视角。
二、我国信息流现状
根据WTO有关协定,2003年12月11日是我国零售领域对外全面开放的最后时限。全球商业巨头在国际竞争中成功的突出特点,就是积极利用信息技术进行商业变革,在企业管理中加快信息流动。目前,国内企业虽然有了较快发展,但与外国商业企业的差距仍然很大。有关资料显示,世界商业巨头美国沃尔玛迄今已在全球建立了4,000家连锁店,其近几年来的全球营业额均超过2,000亿美元,居《财富》世界500强前列。而国内零售业大王――上海联华的营业额还不及沃尔玛的0.5%。
毋庸置疑,以上数据表明:国外商业企业的实力远远超过国内企业,究其原因,与其顺畅的“信息流”密切相关。以美国沃尔玛为例,20世纪八十年代,沃尔玛将当时刚刚出现的卫星通信技术引入商业流通领域,建立了庞大的私人卫星通讯系统,加快了对基础商业数据的收集、整理加工、决策传达和信息反馈的速度。在此基础上,沃尔玛建立起全球实时采购、配送系统,商品库存风险和物流费用大大降低,市场应变能力大大提高。国外商业企业具有利用、管理信息的主动意识,已普遍建立起规范的信息技术基础,并依托这一基础,实现对其遍布全球的销售网进行有效管理,其管理目标已实现从物流、资金流向信息流的时代跨越。
三、我国企业信息化管理制度建设存在的问题
我国商业企业在与“洋商业”的“近身竞争”中,一些国内商业企业已认识到信息革命在商业领域中的重要意义,开始重视企业在计算机信息管理制度上的问题,并已初步拉动着中国的商业企业迈向信息时代。但在这最初的信息化发展进程中,暴露出一些值得注意的问题:
1、认识片面问题。企业信息化程度低,企业领导和职工对信息化建设的意义认识不够深刻,许多企业领导尤其是“一把手”认为,“购买一些硬件设备、联上网、开发一个应用系统并给予一定的维护就是实现了企业信息化”,这是对信息化片面认识的表现。因此,要加强对企业领导信息化认识的培训,使其改变已习惯的思维方式、工作方式,企业上下要克服“信息化就是买点硬件和软件,开发点软件”这种认识上的误区。虽然有的商业企业建立了商业信息管理的硬件环境,但其计算机的应用仅限于收银记账,或停留在基本数据的收集层面。
2、管理混乱问题。主要表现为:信息化管理机构及职责定位不明确、没有统一的信息资源规划及信息化战略规划。管理模式没有统一标准,流程不透明,导致内部数据残缺,各种信息管理系统无法整合集成。在数据采集规范方面重视不够,如条码技术的应用,应严格按照一品一码的规范要求,而一些企业经营的商品中一品多码、多码一品的现象较多,导致了管理上的混乱。
3、应用不到位问题。主要表现为以下几个方面:(1)应用面不广,目前真正使用计算机来进行辅助管理的仅仅是一些重视计算机技术和管理方法、实力比较雄厚的企业;(2)大部分以开发单机版应用软件为主,仅仅利用了计算机计算速度快的特点,没有形成网络,没有实现信息的共享和自动传递;(3)应用的深度不够,大多数企业停留在日常工作数字化层面上;(4)应用的技术含量不高,没有充分利用信息技术所能提供的集成优势进行信息交流,忽略了信息技术互动性带来的管理效应;(5)国内一些具有影响的软件开发商大多将业务重点放在项目管理层面上。但如何将项目层面与企业层面有机地结合起来,强化企业管理,提高企业核心价值,积极应对WTO的挑战是摆在广大企业和软件开发商面前的一大课题;(6)资金投入不足成为信息化发展的主要制约因素。由于资金缺乏,信息化发展不平衡,一些地方管理部门设备条件较差。
4、人员素质低问题。从业人员的素质参差不齐,信息化专业技术人才特别是既懂IT技术,又懂业务流程和企业管理的复合型骨干人才严重不足,人员结构也不合理,因此在很大程度上制约了信息化建设的质量和速度。
四、解决对策
1、充分认识企业信息化制度的重要性。认识到信息是创造附加值和财富的源泉,企业信息化虽然是要应用现代信息技术并贯穿其始终,但信息化的目的是使企业充分开发和有效利用信息资源,把握市场机会,做出正确决策,增进运行效率,最终提高企业的竞争力水平。企业信息化的目的决定了企业信息化是为管理服务的,所以企业信息化决不仅仅是一个技术问题,而是与企业的发展规划、业务流程、组织结构、管理制度等密不可分的,是不断地应用信息技术和信息资源持续地改进自己的业务流程和变革管理方式。另外,不仅仅是“一把手”的问题,还包括各个业务部门的领导及业务骨干,他们才是信息化真正的主力军。
2、加强企业信息化管理。(1)企业应首先确立企业信息化的总体战略,坚持统筹规划、业务为核、效益优先、协调发展、重点实施的原则。依照先内后外,“互动”、“交易”的顺序,由内部运转至外部协同;同时要建立相应的组织机构并赋予必要的职能权限,统一管理企业的信息化工作;(2)不能将原来落后的手工管理流程直接拷贝成电子化的流程,必须站在全局的角度进行适度优化,按照先固化再优化的原则循序渐进地改进,一步到位的方式往往是不现实的;(3)信息收集标准化。信息化是一项跨部门、跨行业的应用,但目前有关法律制度和信息化技术标准规范的制定滞后于信息化发展的需要。各自为政、互不相通,已经造成了大量的资源浪费。企业首先应尽量采用国际标准及行业标准,同时根据自己的特点编制相关的专业标准。
3、结合企业特点进行信息化建设。如何将项目层面与企业层面有机地结合起来,强化企业管理,提高企业核心价值,积极应对WTO的挑战是摆在广大企业和软件开发商面前的一大课题,资金投入不足成为信息化发展的主要制约因素。由于资金缺乏,信息化发展不平衡,一些地方管理部门设备条件较差,信息收集、处理、加工能力较低,甚至有些地方还处在手工操作阶段。受各种客观条件的限制,企业的信息化建设是一个逐步投入、因地制宜、分步发展的过程。因此,企业必须根据自身的能力、特点来决定采取何种发展策略,优先开发何种信息应用系统。如果需求明确、必须保证核心业务的秘密、自身具有强大的开发及维护实力,可以采用自主开发;如果需求明确、自身开发力量弱、可进行一般的维护,可采用合作开发;如果需求明确,但不具备开发维护实力,可采用外包方式。
4、提高企业从业人员素质。企业从事生产经营管理活动,需要具备两个基本条件:一是占有资金;二是拥有掌握专业技能从事管理和操作的人员。两者之间,人的因素更为重要。人已是企业中最重要的资源,开发人的智力,提高劳动者的素质是企业人才管理的核心。信息管理的重点是,加强职工队伍教育,重视计算机人才的发现、培养、引进以及关键技术的应用研究,特别是加强复合型人才的培养。随时储备企业应用信息技术以及日常经营活动中的经验,将其转化为企业的知识。充实有关专家知识库,为建立本企业有特色的专家系统打下基础。建立CIO(信息管理人员)负责制,由企业领导担当CIO,直接决策、宣传推动和组织实施,这对企业信息化建设至关重要。另外,要设计相应机制,为企业的IT人员提供一条有光明前景的升迁之路。
五、企业信息化制度制定的四大原则
1、量身订做的原则。企业要根据自己的实际情况和实际存在管理问题制定相应的信息制度,不能生搬硬套。很多企业的CIO非常喜欢从别的企业拷贝来一些制度,稍加修改就在本企业使用,但由于和企业的实际情况不吻合,结果造成制度不能得到很好的执行。
2、全面科学的原则。对于企业信息管理制度一定要全面、科学。因为企业信息管理中存在很多问题,问题之间有一定关联性,如果仅仅是片面问题得到解决,是不能全面解决企业问题的。制定制度要科学,要符合客观实际,要切实可行。当企业的情况发生变化时,要及时修改制度,制度要在不断执行过程中得以完善。
3、责任目标明确原则。制度要有明确的目标和责任,这样才能有的放矢,体现整个制度的完整性和合理性。
4、奖惩分明原则。制度要有奖惩措施,否则制度只是一纸空文,起不到真正的作用。
六、企业信息化管理制度的内容
企业信息化管理制度的内容一般应该包括:目标(制定本项制度的目的);范围(制度适用范围)、职责(制度涉及的人、部门的任务和职责)、具体的规定(制度要约束的具体内容)、奖惩(对违反和维护制度的人、部门的奖励和惩罚的具体内容),等等。这几项制度类型基本覆盖了企业的信息管理内容,各个企业可根据自己的具体情况有所选择和增删。
七、总结
企业的信息化管理制度的作用将会在企业的信息化发展过程中发挥越来越大的作用,只有完全、充分、合理地建立信息化管理制度的企业才能在激烈的市场竞争中立于不败之地,才能创造更大的利润与绩效,充分挖掘数据信息,充分发挥数据的实用性,为企业的发展注入一针强心剂,实现合理有效的发展。
(作者单位:东北财经大学)
主要参考文献:
[1]张京宏.从管理实例谈书面沟通函件的必要性和重要性[M].有效营销,2007.
第二条凡在本市区域内从事编制信息化建设规划，制定信息产业发展政策，建设信息网络（有线、无线）及信息应用系统，开发和利用信息资源等活动，均适用本暂行办法。
第三条信息化建设遵循统筹规划、互联互通、资源共享和安全保密的原则。信息化建设应纳入我市国民经济和社会发展计划，注重社会效益和经济效益，防止盲目投资和重复建设。
第二章信息化管理机构
第四条**市信息化工作领导小组是我市信息化建设的领导机构，领导小组下设办公室（设在**市信息产业局）。**市信息产业局是本市信息化建设行政主管部门，负责本市信息化建设的统筹规划、综合协调和监督管理。
第三章信息化建设规划
第五条**市信息化建设总体规划由市信息产业局负责拟订，报经市政府批准后实施。
第六条编制市信息化建设总体规划，应当广泛征求各有关部门和社会各界的意见，并经专家论证；应当符合国家、省、**市信息化建设规划和我市国民经济与社会发展计划的要求。
第七条市信息化建设经费纳入市年度财政预算，以确保市信息化建设进程按计划实施。
各镇、市直各部门也应将信息化建设经费纳入本级经费预算。
第八条各镇、各部门单位要根据全市信息化建设总体规划的要求，制定本镇、本部门的信息化建设规划，并报市信息产业局审核备案。
第四章信息产业
第九条本暂行办法所称信息产业，是指电子信息产品制造业、软件业、系统集成业、通信业（有线、无线）及相关的信息服务业。
第十条全市信息产业的发展计划由市信息产业局会同市经贸局、市科技局进行编制，指导信息产业的发展。
第十一条鼓励境内外企业、其他经济组织和个人按国家、省有关规定到我市投资信息产业，运用先进的信息技术开发生产先进的信息产品。
第十二条从事电子信息产品、软件、集成电路以及其它信息产品的开发、研发、制造的企业，应当严格执行国家、行业及地方规定的强制性标准。没有强制性标准的，鼓励采用国际先进标准。
第五章信息工程
第十三条本暂行办法所称信息工程，是指投资主体以计算机、通信、广播电视以及其它现代化信息技术为主要手段的信息网络、信息应用系统建设、信息资源开发等工程。
第十四条凡使用市财政性资金建设的信息工程项目，均须经市信息产业局审查同意后方可实施，非市财政性资金建设的公共信息工程项目，建设单位应将有关可行性研究报告、设计、施工及质量监理方案报市信息产业局备案。
第十五条信息工程设计，施工单位应当严格执行国家、行业及地方规定的强制性标准。没有标准的，鼓励采用国际先进标准。
市信息产业局会同市质量监督主管部门共同编制信息工程标准目录及索引，并向社会公布。
第十六条凡符合国家财政部印发的《政府采购管理暂行办法》规定的信息工程，统一由市政府采购中心会同市信息产业局进行公开招标、投标，择优确定开发建设单位。并由市信息产业局会同其他行业主管部门对信息工程质量进行监督。要逐步完善信息工程招投标制度、监理制度和竣工验收制度。
第六章信息资源
第十七条按照国家和省的要求，建设和整合全市电子政务网络。各级政府及有关部门依托统一的电子政务平台，实现各镇、市直各部门应用系统的信息交换和互联互通。
第十八条加强政府信息资源的开发和利用。要打破政府职能部门对可供利用信息资源的垄断和封锁，建设跨部门的，具有基础性、公益性的数据信息库和办公信息资源库，实现资源共享。
政府机构设置及职责分工、办事程序、办事条件及依据等一切可以公开的政府信息资源，均通过政务公众网站向社会公布。
第十九条各镇、各部门对外公开的信息，允许社会组织和公民个人无偿地查询或索取。确需收费的，按市物价部门的规定执行。公共信息网络的经营单位和利用公共信息网络从事经营活动的单位，要严格遵照国家的有关规定。
第二十条公共信息网的经营单位和应用单位要建立和完善网络运行安全保障制度，并接受公安部门的检查和监督。任何单位和个人不得利用国际互联网制作、复制、查阅和传播国家所禁止的信息，不得从事危害计算机网络信息安全的活动。
第二十一条信息的提供者和者，通过公共信息网络信息的，要对信息的真实性和合法性负责。
合法的信息受国家法律保护。未经信息所有者许可或授权，任何单位和个人不得擅自删除、修改信息网络系统中储存的信息。
第二十二条**市信息产业局负责本市三级域名系统的有关管理工作，负责监督、检查本市范围内各级域名的注册使用情况；各镇政府、市直有关单位、市属企事业单位、社会团体在GOV、ORG、NET下申请三级域名注册，必须报市信息产业局审核同意后，再报**市信息产业局批准方可向CNNIC（中国互联网络信息中心）办理申请注册手续。
第七章信息网络管道管理
第二十三条本暂行办法所称信息网络管道，是指各类信息传输网络专用管道和市政综合性网络管道专用管孔，由管道、管道出入口、建筑物的引入管道和上引管道等组成。
第二十四条市信息产业局要会同有关部门编制全市信息网络管道规划，并纳入市信息化建设规划。要加强对信息网络管道的规范管理。
第二十五条信息网络管道建设工程应坚持先立项，后勘察设计，再施工、验收的原则。工程的勘察、设计、监理、施工建设等各阶段的管理必须严格执行建筑工程、城市道路工程和通信工程建设的有关规定。为抓好全市的信息网络管道联合共建工作，信息网络管道建设工程在办理立项和规划手续前，必须报市信息产业局审查备案。未经审查批准的，不得施工。
第八章无线电管理
第二十六条市无线电管理按照国家和广东省的有关法律、法规和政策执行。
第九章法律责任
第二十七条违反本暂行办法第十条规定，擅自变更信息化建设总体规划或不按总规划内容制定专项规划，由市信息产业局责令其改正，并对责任单位及其主要负责人进行通报批评；情节严重的，依法对违法单位主要负责人和直接责任人员给予行政处分。
第二十八条违反本暂行办法第十二条、第十五条第一款规定，不执行强制性标准的，由市质量技术监督主管部门对违法单位依法实施行政处罚。
第二十九条违反本暂行办法第二十条规定的，由公安机关给予警告，并可以对个人处五千元以下的罚款，对单位处一万五千元以下的罚款；有违法所得的，除处予以没收外，还可以处以违法所得1至3倍的罚款。情节严重的，给予六个月以内停止联网、停机整顿的处罚，必要时建议原发证、审批机构吊销经营许可证或者取消联网资格；构成犯罪的，依法追究刑事责任。
第三十条违反本暂行办法其他条款的，按国家、省有关法律、法规、规章处理。
第三十一条市信息化主管部门的行政执法人员违反管理办法规定，或者营私舞弊、、的，依法对主要责任人和直接责任人员给予行政处分；构成犯罪的，依法追究刑事责任。
第一条为了科学、有效地组织实施电子信息产业统计工作，确保电子信息产业各种统计资料的及时性和准确性，根据《中华人民共和国统计法》、《中华人民共和国统计法实施细则》以及国家统计局《部门统计调查项目管理暂行办法》，结合我国电子信息产业实际情况，制定本办法。
第二条在中华人民共和国境内从事电子信息产品的生产、制造或应用服务等经营性活动的法人、非法人企业事业单位或者社会团体（下称电子信息产业调查统计对象）适用本办法。
军用电子信息产业以及非以营利为目的的电子信息产业社会团体或其它电子信息产业调查统计对象不适用本办法。
电子信息产业调查统计对象所从事的教学、科研等非商业性活动不适用本办法。
第三条在中华人民共和国境内从事电子信息产品的制造、生产、销售等商业经营活动的，应当依据本办法接受、配合或协助电子信息产业统计工作，根据国务院信息产业主管部门或者省、自治区、直辖市人民政府信息产业主管部门（以下统称“信息产业主管部门”）的要求如实填报调查统计报表，及时准确地反馈与调查统计有关的统计数据、统计信息及其他统计资料。
第四条本办法中下列用语的含义是：
（一）电子信息产业，系指为了实现制作、加工、处理、传播或接收信息等功能或目的，利用电子技术和信息技术所从事的与电子信息产品相关的设备生产、硬件制造、系统集成、软件开发以及应用服务等作业过程。
（二）电子信息产品，包括电子雷达产品、电子通信产品、广播电视产品、计算机产品、家用电子产品、电子测量仪器产品、电子专用产品、电子元器件产品、电子应用产品、电子材料产品以及软件产品。
（三）电子信息产业统计工作，系指信息产业主管部门依法进行的搜集、整理、研究和分析电子信息产业调查统计对象各种原始记录、原始台帐，编印各种调查统计报表并下发电子信息产业调查统计对象依法填报，对于其所掌握的电子信息产业调查统计报表及其他统计资料进行分析和研究并形成各种统计分析报告的活动。
（四）商业秘密，是指不为公众所周知、其他第三人通过正当途径也无法轻易获知的，具有现实或潜在的独立经济价值、因此将其公之于众将导致其他第三人从中获利的，各电子信息产业调查统计对象为维持其秘密性已经采取了适当措施的电子信息产业调查统计对象统计资料中所包含的信息内容。
（五）统计资料，系指以纸制品、磁盘、光碟等载体保存的，能够反映电子信息产业发展状况的数字、文字、图表等统计信息、统计数据或其他统计资料。统计资料包括电子信息产业调查对象的各种原始记录和原始台帐，调查统计报表，以及经过分析、研究、加工或整理的统计分析报告。
第二章监督与管理体制
第五条电子信息产业统计工作属于国家统计工作中部门统计工作的组成部分，在国务院统计主管部门统一指导下，由国务院信息产业主管部门进行具体行业督导，实行国务院统计主管部门和国务院信息产业主管部门双重监督管理的体制。
第六条国务院信息产业主管部门负责组织或实施全国范围内电子信息产业统计工作。
各省、自治区、直辖市人民政府电子信息产业主管部门负责组织或实施本行政区域内电子信息产业统计工作。
第七条国务院信息产业主管部门所从事的电子信息产业统计工作应当接受国务院统计主管部门的业务指导。
各省、自治区、直辖市人民政府信息产业主管部门，各电子信息产业调查统计对象，其所从事的电子信息产业统计工作应当接受国务院信息产业主管部门的业务指导。
各电子信息产业调查统计对象的统计机构及其统计人员所从事的电子信息产业统计工作，应当接受其所在地省、自治区、直辖市人民政府信息产业主管部门的业务指导。
第八条国务院信息产业主管部门应当依据政府决策的实际需要，制定电子信息产业统计指标体系。
电子信息产业统计工作应当按照电子信息产业统计指标体系进行。
电子信息产业统计指标体系应当报国务院统计主管部门备案。
第九条电子信息产业统计指标体系应当包括统计调查对象、统计调查项目、统计调查计划以及统计调查标准等电子信息产业统计工作必须遵守的内容。
第十条各省、自治区、直辖市人民政府电子信息产业主管部门，各电子信息产业调查统计对象，应当加强电子信息产业统计信息基础设施建设，配备专门用于电子信息产业统计工作的电子信息技术设备，建立采集、处理、传输电子信息产业统计信息的网络化管理系统。
第三章统计人员和统计机构
第十一条信息产业主管部门应当依法指定所属国家机关工作人员或委托其他相关人员作为电子信息产业统计工作人员（下称电子信息产业统计工作人员），专司电子信息产业调查、统计与分析工作。
各电子信息产业调查统计对象应当指定内部工作人员作为统计人员或者组成专门内设统计机构（下称统计机构及其统计人员），从事电子信息产业统计信息的采集和申报工作。但是由于人员或其他资源有限、确属不具备相关条件的电子信息产业社会团体除外。
第十二条国务院信息产业主管部门电子信息产业统计工作机构的职责为：
（一）对全国范围内电子信息产业统计工作进行业务指导；
（二）制定电子信息产业统计指标体系，监督本办法及电子信息产业统计指标体系的执行和实施情况；
（三）组织实施全国范围内电子信息产业统计工作；
（四）对全国电子信息产业经济运行状况进行统计分析、统计预测和统计监督；
（五）指导并监督实施电子信息产业统计工作网络化系统的建设；
（六）审定、公布或出版全国范围内电子信息产业调查统计报表、统计分析报告或其他统计资料；
（七）保管全国范围内电子信息产业各项统计调查报表。
第十三条各省、自治区、直辖市人民政府信息产业主管部门电子信息产业统计工作机构及其工作人员的职责为：
（一）对本行政区域内各电子信息产业调查统计对象统计机构及其统计人员的统计工作进行业务指导；
（二）监督电子信息产业统计指标体系在本行政区域内的执行和实施情况；
（三）在本行政区域内组织实施电子信息产业统计工作；
（四）对本行政区域内电子信息产业经济运行状况进行统计分析、统计预测和统计监督；
（五）在本行政区域内实施或指导电子信息产业调查统计对象实施电子信息产业统计工作网络化系统的建设；
（六）审定、公布或出版本行政区域内电子信息产业调查统计报表、统计分析报告或其他统计资料；
（七）按照国务院统计主管部门和国务院信息产业主管部门的有关规定，报送和提供本行政区域内电子信息产业调查统计报表、统计分析报告或其他统计资料；
（八）保管本行政区域内电子信息产业各种统计调查报表。
第十四条电子信息产业调查统计对象统计机构或其统计人员的职责为：
（一）对本单位各职能机构及其所属机构电子信息产业统计工作进行业务指导；
（二）负责填报电子信息产业调查统计报表，配合或协助信息产业主管部门的电子信息产业统计工作；
（三）按照信息产业主管部门的要求，及时、如实报送与统计调查有关的统计信息、统计数据或统计资料；
（四）对本单位执行统计计划情况和经营管理效益进行统计分析和统计监督；
（五）建立健全原始记录、原始台帐的档案保管制度；
（六）按照信息产业主管部门的要求实施电子信息产业统计工作网络化系统的建设；
（七）管理本单位与统计调查有关的原始记录、原始台帐以及统计调查报表或其他统计资料。
第十五条电子信息产业统计工作人员、统计机构及其统计人员依法享有下列权利：
（一）统计调查权。电子信息产业统计工作人员有权检查与统计资料有关的各种原始记录和原始台帐。电子信息产业统计工作人员、统计机构及其统计人员有权调查、搜集有关资料，要求有关单位和人员如实填报调查统计报表、提供统计资料。
（二）统计报告权。电子信息产业统计工作人员、统计机构及其统计人员有权对调查统计报表予以整理和分析，依法向有关部门提出统计分析报告。
（三）统计监督权。电子信息产业统计工作人员、统计机构及其统计人员根据统计调查和统计分析，有权考核企业经济效益；检查统计资料的准确性，责成有关单位改正不确实的统计资料；检查或揭露虚报瞒报统计资料的行为；揭发和检举统计调查工作中的其他违法行为。
第十六条电子信息产业统计工作人员、统计机构及其统计人员具有如下义务：
（一）依法如实提供或填报调查统计报表或其他统计资料，保证所报统计资料的真实性、准确性和完整性；
（二）不得利用统计调查工作之便窃取、私占、篡改、拒报、迟报、误报或漏报调查统计报表或其他统计资料；
（三）不得利用统计调查工作之便窃取、使用或泄漏国家秘密或电子信息产业调查统计对象的商业秘密；
（四）对于其掌握的统计资料负有保密义务，不得随意公布或擅自泄漏；对于涉及国家秘密或商业秘密的统计资料，应当按照国家有关保密规定确定密级，并依照国家有关法律、法规进行管理；
（五）拒绝并抵制有关负责人员强令或授意其篡改统计资料或者编造虚假数据或信息的行为。
第十七条电子信息产业统计工作人员、统计机构及其统计人员不得为其私人目的，擅自窃取、使用或泄漏其在统计工作过程中掌握的调查统计报表或其他统计资料。
第十八条电子信息产业调查统计对象因电子信息产业统计工作人员、统计机构及其统计人员擅自窃取、使用、泄露其在统计工作中得知的商业秘密，致使其经济利益受到损害的，有权依法获得赔偿。
第十九条电子信息产业调查统计对象应当承担如下义务：
（一）对电子信息产业统计工作人员、统计机构及其统计人员依法履行电子信息产业统计工作给予配合与协助；
（二）填报并提供真实的调查统计报表或其他统计资料，不得篡改、拒报、迟报、误报或漏报；
（三）不得伪造或篡改调查统计报表或其他统计资料，不得阻挠或扣压统计分析报告；
（四）对于其掌握的统计资料负有保密义务，不得随意公布或擅自泄漏；对于涉及国家秘密或商业秘密的统计资料，应当按照国家有关保密规定确定密级，并依照国家有关法律、法规进行管理；
（五）及时答复并处理电子信息产业统计工作人员、统计机构及其统计人员所反映或揭露的问题。
第二十条电子信息产业调查统计对象，各省、自治区、直辖市人民政府信息产业主管部门，国务院信息产业主管部门，其内部相关直接负责人员须承担如下义务：
（一）不得擅自修改或篡改调查统计报表或其他统计资料；
（二）不得强令或者授意统计工作人员、统计机构或统计人员篡改统计资料或者编造虚假的数据或信息；
（三）不得对拒绝、抵制篡改统计资料和拒绝、抵制编造虚假数据或信息的统计工作人员、统计机构及其统计人员进行打击报复；
（四）发现调查统计报表或其他统计资料的来源、计量方法或计算标准有误的，应当向统计工作人员、统计机构及其统计人员指出，由其负责予以核实并订正。
第四章统计工作程序
第二十一条信息产业主管部门的统计工作人员进行电子信息产业统计工作时，可以采取普查、抽样调查、重点调查、经常性调查、一次性调查等方式。
第二十二条国务院信息产业主管部门负责组织电子信息产业统计工作人员、统计机构及其统计人员实施全国范围内电子信息产业重点调查、抽样调查工作。
各省、自治区、直辖市人民政府信息产业主管部门负责组织本行政区域内电子信息产业统计工作人员、统计机构及其统计人员实施地方性电子信息产业重点调查、抽样调查工作。
第二十三条电子信息产业统计工作应当依据电子信息产业调查统计指标体系编印调查统计报表。
国务院信息产业主管部门负责拟订全国性的电子信息产业各种调查统计报表，并报送国务院统计主管部门予以审核。
各省、自治区、直辖市人民政府信息产业主管部门负责拟定地方性电子信息产业各种调查统计报表，报同级人民政府统计主管部门审查后，报送国务院信息产业主管部门予以审核。
第二十四条调查统计报表应当载明电子信息产业调查统计指标体系中所包含的调查统计对象、调查统计项目、统计调查计划、统计调查标准等必要的信息，并须于右上角标明调查统计报表编码、制表机关以及有效期限。
第二十五条电子信息产业统计工作分为全国性电子信息产业统计工作和地方性电子信息产业统计工作。
国务院信息产业主管部门依据其所制定的电子信息产业调查统计指标体系，负责组织实施全国性电子信息产业统计工作；各省、自治区、直辖市人民政府信息产业主管部门依据国务院信息产业主管部门的委托，在本行政区域内配合协助国务院信息产业主管部门组织实施全国性电子信息产业统计工作。
各省、自治区、直辖市人民政府信息产业主管部门负责在本行政区域内组织实施地方性电子信息产业统计工作。
第二十六条各省、自治区、直辖市人民政府信息产业主管部门在进行地方性电子信息产业统计工作之前，应当将其依据电子信息产业调查统计指标体系拟定的调查统计报表上报国务院信息产业主管部门予以审核。
国务院信息产业主管部门负责审查地方性电子信息产业统计工作的必要性、可行性和科学性。存在如下情形之一的，不得进行地方性电子信息产业统计工作：
（一）在已经完成的各种电子信息产业统计工作中，已经存在相同或相近的调查统计报表或其他统计资料或者统计分析报告的；
（二）拟采用的调查统计对象范围、调查统计项目、统计调查计划、统计调查标准与国务院信息产业主管部门制定的电子信息产业调查统计指标体系不相一致的；
（三）通过抽样调查、重点调查即可满足政府调查统计目标需求，但是拟采取普查方式的；
（四）通过一次性调查即可满足政府调查统计目标需求，但是拟采取经常性调查方式的；
（五）通过年度调查即可满足政府调查统计目标需求，但是拟采取季度或月度调查统计周期的；
（六）通过季度调查即可满足政府调查统计目标需求，但是拟采取月度调查统计周期的；
（七）月度以下的周期性电子信息产业统计工作。
第二十七条国务院信息产业主管部门进行的全国性电子信息产业统计工作，其调查统计对象超出本办法规定的适用对象范围的，须事先取得国务院统计主管部门的同意。
各省、自治区、直辖市人民政府信息产业主管部门进行的地方性电子信息产业统计工作，其调查统计对象超出本办法规定的适用对象范围的，须事先取得同级人民政府统计主管部门的同意；其调查统计对象超出本行政区域范围的，须事先取得国务院信息产业主管部门的同意。
第二十八条地方性电子信息产业统计工作在调查统计对象范围、调查统计项目、统计调查计划、统计调查标准等方面不得与全国性电子信息产业统计工作相互重复或相互冲突。
第二十九条电子信息产业调查统计对象或其统计机构及其统计人员收到信息产业主管部门的调查统计报表后，应当对其各种原始记录和原始台帐进行归纳和整理，分项认真如实填写完毕后，由其相关负责人员予以审核并签署或盖章，在指定的时限内报送于信息产业主管部门。
电子信息产业调查统计对象或其统计机构及其统计人员将调查统计报表报送后发现有误的，应在信息产业主管部门核定的期限内予以更正。
第三十条对于符合本办法要求的调查统计报表，电子信息产业调查统计对象应当准确、如实、及时地予以填报。
对于未按照本办法要求载明法定记载事项或者超过表面记载有效期限的调查统计报表，电子信息产业调查统计对象有权拒绝填报。
国务院信息产业主管部门有权宣布未按照本办法要求载明法定记载事项或者超过表面记载有效期限的调查统计报表为无效的调查统计报表。
第三十一条国务院信息产业主管部门编印的调查统计报表和省、自治区、直辖市人民政府信息产业主管部门编印的、经国务院信息产业主管部门审定同意的调查统计报表，任何自然人、法人或其他组织均不得擅自修改其表面所载明的法定记载事项，亦不得擅自篡改或删减各电子信息产业调查统计对象已如实予以申报的调查统计报表。
第三十二条信息产业主管部门自收齐其为调查统计目的之需所下发的、由各个电子信息产业调查统计对象填报的调查统计报表之后，应当对电子信息产业调查统计对象所填内容的完整性、准确性和真实性进行审查或复核，根据其审查或复核结果决定每份调查统计报表的有效性，然后依据电子信息产业调查统计指标体系及其统计调查标准对被确定有效的调查统计报表进行整理、加工、分析和研究，形成最终的统计分析报告。
第五章统计资料的管理和公布
第三十三条电子信息产业调查统计对象应当建立统计资料保管档案制度。
电子信息产业调查统计对象应当依据法律或行政法规有关档案管理规定，依法保管、借用或移交其档案中所保存的原始记录、原始台帐、调查统计报表或其他统计资料。
第三十四条电子信息产业调查统计对象对于其业务经营过程中形成的各种原始记录和原始台帐应当予以妥善保管，对于原始财务凭证及其他各种财务报表的保存期限应当符合有关法律或行政法规的规定。
各省、自治区、直辖市人民政府电子信息产业主管部门对于各种地方性电子信息产业统计工作中形成的调查统计报表及统计分析报告应当予以妥善保管，保管期限不得少于1年。
国务院信息产业主管部门对于各种全国性电子信息产业统计工作中形成的调查统计报表及统计分析报告应当予以妥善保管，保管期限不得少于2年。
第三十五条信息产业主管部门和电子信息产业调查统计对象在保管各种统计资料的过程中，不得为自己或为他人故意使用、泄露、遗失或篡改该类统计资料，不得因未尽注意或未尽勤勉而导致其所保管的各种统计资料遗失、泄露或被他人使用。
第三十六条国务院信息产业主管部门有权公布或出版各种全国性电子信息产业统计工作中所形成的调查统计报表及统计分析报告。
各省、自治区、直辖市人民政府电子信息产业主管部门有权公布或出版各种地方性电子信息产业统计工作中所形成的调查统计报表及统计分析报告。
电子信息产业调查统计对象有权公布或出版其业务经营过程中所形成的各种原始记录、原始台帐、统计数据或其他统计信息。
第三十七条除电子信息产业调查统计对象、信息产业主管部门以及其所委托的自然人、法人或其他组织之外，任何自然人、法人或其他组织，无论出于任何目的，均不得直接或间接泄漏、公布、使用或出版他人的电子信息产业统计资料。
第三十八条电子信息产业调查统计对象进行自身经济效益或工作成绩考核时，所依据的统计资料应当以其所保管或公布的各种原始记录、原始台帐、统计数据或其他统计信息为准。
第三十九条信息产业主管部门可以利用其已经公布或出版的统计资料向社会公众提供有关数据或信息的咨询或服务工作。
信息产业主管部门应当为以个人研究或学习或者以社会公益为目的的信息数据咨询服务对象免费提供有关数据或信息的咨询或服务工作。
信息产业主管部门向以营利为目的的数据信息咨询服务对象提供有关数据或信息的咨询或服务工作时，若发现其准备将该次咨询服务的结果用于商业途径，则有权依据法律或行政法规的有关规定收取一定数额的咨询服务成本费用或地方物价管理部门核定的其他费用。
第六章罚则
第四十条电子信息产业调查统计对象有下列违法行为之一的，信息产业主管部门可以建议相关统计主管部门依法予以处理，对直接责任人员报请其上级主管部门给予行政处分：
（一）虚报、瞒报调查统计报表或其他统计资料的；
（二）伪造、篡改调查统计报表或其他统计资料的；
（三）拒报或者屡次迟报调查统计报表或其他统计资料的；
（四）拒绝提供调查统计报表或其他统计资料、提供虚假调查统计报表或其他统计资料，或者转移、隐匿、毁弃原始记录、原始台帐、调查统计报表以及与统计有关的其他数据或信息的；
（五）利用电子信息产业统计工作之便，损害社会公共利益或者进行欺诈活动的；
（六）干扰或阻挠统计工作人员行使统计监督职权的；
（七）擅自编制统计调查报表的；
（八）擅自公布调查统计报表或其他统计资料的；
（九）利用电子信息产业统计工作之便窃取国家秘密，或者违反其他法律法规有关保密规定的；
（十）擅自窃取、使用或泄露电子信息产业调查统计对象的商业秘密，造成其经济损失的。
第四十一条电子信息产业统计工作人员、统计机构及其统计人员为其私人目的擅自窃取、使用或泄漏其在统计工作过程中掌握的调查统计报表或其他统计资料的，应当承担个人责任。
电子信息产业统计工作人员、统计机构及其统计人员有下列行为之一的，信息产业主管部门可以报请其上级主管部门依法给予行政处分；造成电子信息产业调查统计对象经济损失的，依法给予民事赔偿；构成犯罪的，依法移送司法机关追究其刑事责任：
（一）利用统计调查工作之便，窃取、私占、篡改、拒报、迟报、误报或漏报调查统计报表或其他统计资料的；
（二）利用统计调查工作之便，窃取、使用或泄漏国家秘密或电子信息产业调查统计对象商业秘密的；
（三）随意公布或擅自泄漏其所掌握的调查统计报表或其他统计资料的。
第四十二条电子信息产业调查统计对象和信息产业主管部门的内部相关直接负责人员有下列行为之一的，信息产业主管部门可以报请其上级主管部门依法给予行政处分；造成电子信息产业调查统计对象经济损失的，依法给予民事赔偿；构成犯罪的，依法移送司法机关追究其刑事责任：
（一）擅自修改或篡改调查统计报表或其他统计资料的；
（二）强令或者授意统计工作人员、统计机构或统计人员篡改统计资料或者编造虚假的数据或信息的；
（三）对拒绝、抵制篡改统计资料和拒绝、抵制编造虚假数据或信息的统计工作人员、统计机构及其统计人员进行打击报复的；
（四）发现调查统计报表或其他统计资料的来源、计量方法或计算标准有误，未及时予以核实并订正的。
第四十三条各省、自治区、直辖市人民政府信息产业主管部门以及其他组织在进行地方性电子信息产业统计工作时，违反本办法第二十六条规定的，国务院信息产业主管部门应当责令其停止该项电子信息产业统计工作。
第四十四条国务院信息产业主管部门发现地方性电子信息产业统计工作与其已经完成、正在进行或拟将举行的全国性电子信息产业统计工作相互重复或相互冲突的，有权责令改正。
一、信息安全指导方针
保障信息安全，创造用户价值，切实推行安全管理，积极预防风险，完善控制措施，信息安全，人人有责，不断提高顾客满意度。
二、计算机设备管理制度
1、计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境，禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。
2、非本单位技术人员对我单位的设备、系统等进行维修、维护时，必须由本单位相关技术人员现场全程监督。计算机设备送外维修，须经有关部门负责人批准。
3、严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口，计算机出现故障时应及时向电脑负责部门报告，不允许私自处理或找非本单位技术人员进行维修及操作。
三、操作员安全管理制度
（一）操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。
操作代码分为系统管理代码和一般操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置；
（二）系统管理操作代码的设置与管理
1、系统管理操作代码必须经过经营管理者授权取得；
2、系统管理员负责各项应用系统的环境生成、维护，负责一般操作代码的生成和维护，负责故障恢复等管理及维护；
3、系统管理员对业务系统进行数据整理、故障恢复等操作，必须有其上级授权；
4、系统管理员不得使用他人操作代码进行业务操作；
5、系统管理员调离岗位，上级管理员（或相关负责人）应及时注销其代码并生成新的系统管理员代码；
（三）一般操作代码的设置与管理
1、一般操作码由系统管理员根据各类应用系统操作要求生成，应按每操作用户一码设置。
2、操作员不得使用他人代码进行业务操作。
3、操作员调离岗位，系统管理员应及时注销其代码并生成新的操作员代码。
四、密码与权限管理制度
1、密码设置应具有安全性、保密性，不能使用简单的代码和标记。密码是保护系统和数据安全的控制代码，也是保护用户自身权益的控制代码。密码分设为用户密码和操作密码，用户密码是登陆系统时所设的密码，操作密码是进入各应用系统的操作员密码。密码设置不应是名字、生日，重复、顺序、规律数字等容易猜测的数字和字符串；
2、密码应定期修改，间隔时间不得超过一个月，如发现或怀疑密码遗失或泄漏应立即修改，并在相应登记簿记录用户名、修改时间、修改人等内容。
3、服务器、路由器等重要设备的超级用户密码由运行机构负责人指定专人（不参与系统开发和维护的人员）设置和管理，并由密码设置人员将密码装入密码信封，在骑缝处加盖个人名章或签字后交给密码管理人员存档并登记。如遇特殊情况需要启用封存的密码，必须经过相关部门负责人同意，由密码使用人员向密码管理人员索取，使用完毕后，须立即更改并封存，同时在“密码管理登记簿”中登记。
4、系统维护用户的密码应至少由两人共同设置、保管和使用。
5、有关密码授权工作人员调离岗位，有关部门负责人须指定专人接替并对密码立即修改或用户删除，同时在“密码管理登记簿”中登记。
五、数据安全管理制度
1、存放备份数据的介质必须具有明确的标识。备份数据必须异地存放，并明确落实异地备份数据的管理职责;
2、注意计算机重要信息资料和数据存储介质的存放、运输安全和保密管理，保证存储介质的物理安全。
3、任何非应用性业务数据的使用及存放数据的设备或介质的调拨、转让、废弃或销毁必须严格按照程序进行逐级审批，以保证备份数据安全完整。
4、数据恢复前，必须对原环境的数据进行备份，防止有用数据的丢失。数据恢复过程中要严格按照数据恢复手册执行，出现问题时由技术部门进行现场技术支持。数据恢复后，必须进行验证、确认，确保数据恢复的完整性和可用性。
5、数据清理前必须对数据进行备份，在确认备份正确后方可进行清理操作。历次清理前的备份数据要根据备份策略进行定期保存或永久保存，并确保可以随时使用。数据清理的实施应避开业务高峰期，避免对联机业务运行造成影响。
6、需要长期保存的数据，数据管理部门需与相关部门制定转存方案，根据转存方案和查询使用方法要在介质有效期内进行转存，防止存储介质过期失效，通过有效的查询、使用方法保证数据的完整性和可用性。转存的数据必须有详细的文档记录。
7、非本单位技术人员对本公司的设备、系统等进行维修、维护时，必须由本公司相关技术人员现场全程监督。计算机设备送外维修，须经设备管理机构负责人批准。送修前，需将设备存储介质内应用软件和数据等涉经营管理的信息备份后删除，并进行登记。对修复的设备，设备维修人员应对设备进行验收、病毒检测和登记。
8、管理部门应对报废设备中存有的程序、数据资料进行备份后清除，并妥善处理废弃无用的资料和介质，防止泄密。
9、运行维护部门需指定专人负责计算机病毒的防范工作，建立本单位的计算机病毒防治管理制度，经常进行计算机病毒检查，发现病毒及时清除。
10、营业用计算机未经有关部门允许不准安装其它软件、不准使用来历不明的载体（包括软盘、光盘、移动硬盘等）。
—
第一条为维护金融稳定，防范和降低商业银行的信用风险，促进个人信贷业务的发展，保障个人信用信息的安全和合法使用，根据《中华人民共和国中国人民银行法》等有关法律规定，制定本办法。
第二条中国人民银行负责组织商业银行建立个人信用信息基础数据库（以下简称个人信用数据库），并负责设立征信服务中心，承担个人信用数据库的日常运行和管理。
第三条个人信用数据库采集、整理、保存个人信用信息，为商业银行和个人提供信用报告查询服务，为货币政策制定、金融监管和法律、法规规定的其他用途提供有关信息服务。
第四条本办法所称个人信用信息包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。
前款所称个人基本信息是指自然人身份识别信息、职业和居住地址等信息；个人信贷交易信息是指商业银行提供的自然人在个人贷款、贷记卡、准贷记卡、担保等信用活动中形成的交易记录；反映个人信用状况的其他信息是指除信贷交易信息之外的反映个人信用状况的相关信息。
第五条中国人民银行、商业银行及其工作人员应当为在工作中知悉的个人信用信息保密。
第二章报送和整理
第六条商业银行应当遵守中国人民银行的个人信用数据库标准及其有关要求，准确、完整、及时地向个人信用数据库报送个人信用信息。
第七条商业银行不得向未经信贷征信主管部门批准建立或变相建立的个人信用数据库提供个人信用信息。
第八条征信服务中心应当建立完善的规章制度和采取先进的技术手段确保个人信用信息安全。
第九条征信服务中心根据生成信用报告的需要，对商业银行报送的个人信用信息进行客观整理、保存，不得擅自更改原始数据。
第十条征信服务中心认为有关商业银行报送的信息可疑时，应当按有关规定的程序及时向该商业银行发出复核通知。
商业银行应当在收到复核通知之日起5个工作日内给予答复。
第十一条商业银行发现其所报送的个人信用信息不准确时，应当及时报告征信服务中心，征信服务中心收到纠错报告应当立即进行更正。
第三章查询
第十二条商业银行办理下列业务，可以向个人信用数据库查询个人信用报告：
（一）审核个人贷款申请的；
（二）审核个人贷记卡、准贷记卡申请的；
（三）审核个人作为担保人的；
（四）对已发放的个人信贷进行贷后风险管理的；
（五）受理法人或其他组织的贷款申请或其作为担保人，需要查询其法定代表人及出资人信用状况的。
第十三条除本办法第十二条第(四)项规定之外，商业银行查询个人信用报告时应当取得被查询人的书面授权。书面授权可以通过在贷款、贷记卡、准贷记卡以及担保申请书中增加相应条款取得。
第十四条商业银行应当制定贷后风险管理查询个人信用报告的内部授权制度和查询管理程序。
第十五条征信服务中心可以根据个人申请有偿提供其本人信用报告。
征信服务中心应当制定相应的处理程序，核实申请人身份。
第四章异议处理
第十六条个人认为本人信用报告中的信用信息存在错误(以下简称异议信息)时，可以通过所在地中国人民银行征信管理部门或直接向征信服务中心提出书面异议申请。
中国人民银行征信管理部门应当在收到异议申请的2个工作日内将异议申请转交征信服务中心。
第十七条征信服务中心应当在接到异议申请的2个工作日内进行内部核查。
征信服务中心发现异议信息是由于个人信用数据库信息处理过程造成的，应当立即进行更正，并检查个人信用数据库处理程序和操作规程存在的问题。
第十八条征信服务中心内部核查未发现个人信用数据库处理过程存在问题的，应当立即书面通知提供相关信息的商业银行进行核查。
第十九条商业银行应当在接到核查通知的10个工作日内向征信服务中心作出核查情况的书面答复。异议信息确实有误的，商业银行应当采取以下措施：
（一）应当向征信服务中心报送更正信息；
（二）检查个人信用信息报送的程序；
（三）对后续报送的其他个人信用信息进行检查，发现错误的，应当重新报送。
第二十条征信服务中心收到商业银行重新报送的更正信息后，应当在2个工作日内对异议信息进行更正。
异议信息确实有误，但因技术原因暂时无法更正的，征信服务中心应当对该异议信息作特殊标注，以有别于其他异议信息。
第二十一条经过核查，无法确认异议信息存在错误的，征信服务中心不得按照异议申请人要求更改相关个人信用信息。
第二十二条征信服务中心应当在接受异议申请后15个工作日内，向异议申请人或转交异议申请的中国人民银行征信管理部门提供书面答复；异议信息得到更正的，征信服务中心同时提供更正后的信用报告。
异议信息确实有误，但因技术原因暂时无法更正异议信息的，征信服务中心应当在书面答复中予以说明，待异议信息更正后，提供更正后的信用报告。
第二十三条转交异议申请的中国人民银行征信管理部门应当自接到征信服务中心书面答复和更正后的信用报告之日起2个工作日内，向异议申请人转交。
第二十四条对于无法核实的异议信息，征信服务中心应当允许异议申请人对有关异议信息附注100字以内的个人声明。个人声明不得包含与异议信息无关的内容，异议申请人应当对个人声明的真实性负责。
征信服务中心应当妥善保存个人声明原始档案，并将个人声明载入异议人信用报告。
第二十五条征信服务中心应当对处于异议处理期的信息予以标注。
第五章安全管理
第二十六条商业银行应当根据中国人民银行的有关规定，制定相关信用信息报送、查询、使用、异议处理、安全管理等方面的内部管理制度和操作规程，并报中国人民银行备案。
第二十七条商业银行应当建立用户管理制度，明确管理员用户、数据上报用户和信息查询用户的职责及操作规程。
商业银行管理员用户、数据上报用户和查询用户不得互相兼职。
第二十八条商业银行管理员用户应当根据操作规程，为得到相关授权的人员创建相应用户。管理员用户不得直接查询个人信用信息。
管理员用户应当加强对同级查询用户、数据上报用户与下一级管理员用户的日常管理。查询用户工作人员调离，该用户应当立即予以停用。
第二十九条商业银行管理员用户、数据上报用户和查询用户须报中国人民银行征信管理部门和征信服务中心备案。
前款用户工作人员发生变动，商业银行应当在2个工作日内向中国人民银行征信管理部门和征信服务中心变更备案。
第三十条商业银行应当制定管理员用户和查询用户的口令控制制度，并定期检查口令控制执行情况。
第三十一条商业银行应当建立保证个人信用信息安全的管理制度，确保只有得到内部授权的人员才能接触个人信用报告，不得将个人信用报告用于本办法第十二条规定以外的其它用途。
第三十二条征信服务中心应当制定信用信息采集、整理、保存、查询、异议处理、用户管理、安全管理等方面的管理制度和操作规程，明确岗位职责，完善内控制度，保障个人信用数据库的正常运行和个人信用信息的安全。
第三十三条征信服务中心及其工作人员不得违反法律、法规及本办法的规定，篡改、毁损、泄露或非法使用个人信用信息，不得与自然人、法人、其它组织恶意串通，提供虚假信用报告。
第三十四条征信服务中心应当建立个人信用数据库内部运行和外部访问的监控制度，监督个人信用数据库用户和商业银行用户的操作，防范对个人信用数据库的非法入侵。
第三十五条征信服务中心应当建立灾难备份系统，采取必要的安全保障措施，防止系统数据丢失。
第三十六条征信服务中心应当对商业银行的所有查询进行记录，并及时向商业银行反馈。
第三十七条商业银行应当经常对个人信用数据库的查询情况进行检查，确保所有查询符合本办法的规定，并定期向中国人民银行及征信服务中心报告查询检查结果。
征信服务中心应当定期核查商业银行对个人信用数据库的查询情况。
第六章罚则
第三十八条商业银行未按照本办法规定建立相应管理制度及操作规程的，由中国人民银行责令改正，逾期不改正的，给予警告，并处以三万元罚款。
第三十九条商业银行有下列情形之一的，由中国人民银行责令改正，并处一万元以上三万元以下罚款；涉嫌犯罪的，依法移交司法机关处理：
（一）违反本办法规定，未准确、完整、及时报送个人信用信息的；
（二）违反本办法第七条规定的；
（三）越权查询个人信用数据库的；
（四）将查询结果用于本办法规定之外的其他目的的；
（五）违反异议处理规定的；
（六）违反本办法安全管理要求的。
第四十条商业银行有本办法第三十八条至第三十九条规定情形的，中国人民银行可以建议商业银行对直接负责的董事、高级管理人员和其他直接责任人员给予纪律处分；涉嫌犯罪的，依法移交司法机关处理。
第四十一条征信服务中心工作人员有下列情形之一的，由中国人民银行依法给予行政处分；涉嫌犯罪的，依法移交司法机关处理：
（一）违反本办法规定，篡改、毁损、泄露或非法使用个人信用信息的；
（二）与自然人、法人、其它组织恶意串通，提供虚假信用报告的。
第四十二条中国人民银行其他工作人员有违反本办法规定的行为，造成个人信用信息被泄露的，依法给予行政处分；涉嫌犯罪的，依法移交司法机关处理。
第七章附则
第四十三条本办法所称商业银行，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村信用合作社以及经国务院银行业监督管理机构批准的专门从事信贷业务的其他金融机构。
关键词:信息管理
一、问题的提出及文献综述
随着我国中小企业开始实现信息化管理,运用信息管理系统来对企业生产进行管理,一方面,提高了企业管理的效率和科学性,使企业的生产、存储、财务、成本、控制都得到了大幅度的改善;而另一方面,在实际的运行中不可避免的引发各种问题,其中包括信息安全性的问题,即存储在计算机或在传输中的文件和数据遭受到破坏和滥用,而且这种活动对企业的影响非常严重,例如:电子商务公司,如果网站出现故障,每天的损失会高达数额人民币,所以如何保障信息系统的安全,使其得到安全的控制,对于企业来说已经变的非常重要。目前,在我国的中小企业信息管理系统内部构建中,经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位,所出现数据的丢失或者数据的信息反应迟钝,不能使管理者及时得到有效的信息,使其信息系统的发挥起不到其最佳的效果,因此如何保障中小企业信息系统安全,加强中小企业信息的测控是非常必要的。
在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面,涉及到中小企业信息管理制度这方面很少。如:杨斌、费同林(2002),赵宏中(2005),刘仁勇,王卫平(2007),在企业管理信息系统建设方面提到了制度设计方面,但是没有把其作为一个研究重点,其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑,一般来说,由于运用的相应技术不是很高,基本都是基础的软件系统,所以有必要对中小企业面临的制度方面进行详细的分析。
二、中小型企业信息系统制度方面分析
首先,根据Laudon对企业信息系统面临威胁,按照来源分为六类:硬件故障、软件故障、人为因素、数据、服务及设备被偷盗,这些都是中小企业面临的问题,但Laudon从单个信息系统的角度进行分析,却没有把企业的信息管理系统管理制度考虑进去,在我国中小企业的信息系统建设上许多企业尽管设置了制度,但很大程度上都是形同虚设或者是制度管理存在缺失,容易导致中小企业信息系统实际操作上面临效率和安全的问题,下面具体从制度方面进行分析:
在中小型企业中,存在着正式制度与非正式制度,正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排,主要包括法律制度、企业制度安排等;非正式制度,是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念,是形态等对人们行为产生非正式约束的规则,是那些对人们行为的不成文的限制。
(一)正式制度的分析
在中小企业中,正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面,根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》,也只是从信息交换角度来保护整个信息系统的安全,对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定,并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定,也没有一套正确引导进行风险防范的标准规定,所以中小企业的法规建立基本都是从企业各自实际出发,所以各企业的标准不一,导致安全隐患存在比较大。
从企业自己建立的信息管理制度来说,一般大型企业有明确的规定制度,包括维护、人员素质等方面都有明确的规定,在一定程度上能有效防范信息系统存在的安全隐患,并能够及时有效的进行相应信息的反馈,对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说,由于企业自身比较小,相应的信息管理系统人员比较缺乏,其维护也是谁操作谁负责,这样只能根据各企业自身人员的情况来确定其系统的安全程度,其次在效率方面,由于人员缺乏以及其计算机操作应用存在的不规范,信息交换、反馈也相对比较落后,或者根本起不到效率作用。
再次中小企业虽然有一定的信息管理制度规范,却由于监管不到位,主要是由于中小企业的机构比较小,维护人员、计算机使用都是由使用人员一人来完成,所以容易导致即使有制度,也难以执行,这也是制约中小企业信息系统的数据安全的主要原因。
(二)非正式制度的分析
在非正式制度中,意识形态处于核心地位,它不仅蕴含价值关键、伦理规范、道德观念和风俗习性,而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说,公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。
在中小企业的管理信息系统中,由于员工的意识不强,对于信息系统的维护、使用存在一定的松懈,信息操作员经常在值班时没有定期维护计算机及信息管理系统,只是在当其产生问题时才处理,这样很容易导致企业数据损失,如果信息备份不完全的话,可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。
在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响,对信息反馈报告在效率方面也会产生一定的负面作用,主要原因是领导层的要求不严格,操作人员的报告提交不及时等因素所致,因此非正式制度因素对中小企业信息管理系统影响也是非常大的。
三、加强信息管理系统管理制度建设的对策
在加强制度建设中,主要从国家信息系统的法律制度建设、企业信息制度的设置与执行,再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。
(一)首先在我国信息管理系统的法律规范中,不仅应该对信息交换中安全问题进行规范,而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准,这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值,不仅能够使信息安全从法律依据上得到一个基本的系统安全标准,而且也能对公司信息管理系统起到强制规范性的作用。
(二)在制度设定层面,加强中小企业信息系统安全管理制度的健全及制度化,也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中,信息系统 管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、 操作制度、用户管理制度、人员培训制度等等,并严格按照制度实施奖惩,从而从企业内部制度上认识到信息管理系统安全的重要性。
(三)培养与使用企业信息化是一项复杂的系统工程,除了领导层要高度重视外,设立一个既懂信息系统、又懂业务流程的复合型信息主管职位,也是非常关键的。在国外大学、大企业的CIO(首席信息主管),相当于企业级的领导,直接参与企业的重大问题决策。 一个合格CIO,既能充分调动网络技术人员的积极性,又能把握企业信息化发展全局,并能随时为领导提供参考意见,起到了很好的监督作用,并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用,中小企业中也设立这样一个职位,从而使信息化系统成为企业运行中的一个非常重要的部分。
(四)加强信息系统人员的培训,使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员,定期对信息系统人员进行培训,不仅有助于了解信息系统的最新发展,而且能够使其从意识中不断了解到信息系统安全的重要性,使其操作、维护的规范化不断得到改善,从而减少由于非制度性因素所产生的信息系统安全问题。
四、结论
在中小企业信息管理系统中,很大问题是由于中小企业的制度方面造成的,所以在企业内部加强其监管,使中小企业的信息管理制度得到很好执行是非常必要的,其次就是加强员工的素质培养,使其能够具有很好的业务水平,使信息管理系统得到很好的运行,并能够使管理层及时了解到企业的信息,保证企业的顺利运行;最后完善国家信息管理系统法律,是保证企业信息制度建立的重要标准,使中小企业达到基本的信息系统风险管理水平,从而从制度上使其信息管理系统得到很好的保护。
参考文献
[1]Kenneth C.Laudon Jane P.Laudon.管理信息系统-管理数字化公司(第8版)[M]北京:清华大学出版社,2005年:501-538
一、制度设计的意义和手工作业相比， 信息化管理使企业财会在作业流程、手段、方法等方面发生了深刻变革， 同时也给企业内部控制带来了新的问题， 具体表现在:
1 、授权方式的改变， 潜伏着巨大的控制风险。在信息化管理中， 权限分工和批准的主要形式是口令授权， 虽然比手工作业下的签名、签章效率高， 但口令存放于计算机系统内而不象印章那样由专人保管， 容易被偷看和窃取， 而且也失去了过去财会人员之间直接识别、直接联系的制约机制。
2 、作业流程的简化， 弱化了作业环节的相互检验和控制。有了计算机系统强大的功能， 手工作业下的一些作业环节被合并和取消， 如制单和审核已合并到一起由计算机统一执行， 过去繁杂的过账已成为简单的按键操作， 这些作业环节相互检验和控制的功能自然就不存在了。
3 、财会信息的数字化， 使得篡改和伪造更容易。存放于磁(光) 性介质上的财会信息， 容易被不留痕迹地篡改， 而在那些已实现财会、业务全面信息化管理的企业， 可能入库单、出库单一类的原始凭证也摆脱了纸质形式， 容易被伪造。
4 、硬件系统的复杂性和网络环境的开放性， 考验数据安全。功能越强大， 硬件系统越复杂， 越难保证高效无误的运转， 而大量数据通过网络传输， 容易被非法拦截， 甚至篡改，同时也存在遭遇病毒和黑客攻击的可能性。
5 、对技术手段的依赖， 要求扩展内部控制的范围。软件是信息化管理的基石， 其功能的强弱、性能的好坏关系到财会工作能否正确、高效地进行; 网络技术的采用， 一方面使信息化管理具有远程报账、网上支付、网上销售等令人兴奋的功能， 另一方面也漏洞百出。所以， 信息化管理下的内部控制应该延伸到软件的选择和开发、网络平台搭建和维护等。以上这些问题的解决， 一方面需要提高信息化管理的技术水平， 如充分应用电子加密技术、信息隔离技术、网络防护技术等， 保证系统运转的稳定和数据的安全， 另一方面，建立健全一套行之有效的机制和程序， 来明确职责、监控流程、调节关系， 也十分必要。
二、制度设计的依据
制度设计的主要依据有:
1 、法律规范和政策精神。1996 年， 财政部颁布了《会计电算化规范》， 明确要求开展会计电算化的单位应该根据本单位实际情况， 建立健全会计电算化人员岗位责任制度、操作管理制度、计算机硬件和数据管理制度、电算化档案管理制度等。这不仅向企业提出了加强对信息化管理控制的要求，也提供了一种制度设计的框架和思路。当然， 制度设计的作业流程、手段、方法等还必须符合国家财会法规的规定。
2 、财会规律和管理实际。不科学、不现实的制度将难以落实， 所以， 制度的设计一方面应符合财会活动的客观规律，另一方面也应充分考虑企业的管理实际， 具有较强的可操作性。凡是可以由企业进行选择的财会计策， 企业可结合实际情况做出具体规定， 信息化管理的制度还要考虑技术水平、管理能力等。
3 、企业根本利益和财会工作目标。制度的作用在于规范和控制信息化管理， 推动财会工作， 进而为企业谋取利益，所以， 制度设计应体现企业根本利益和财会工作目标， 具体有: (1) 提高业务活动、财会工作的效率和效益; (2) 增强财会信息输出和财会报告的可信性; (3) 遵循既定的政府法规和信息披露规定。
4 、制度设计的一般原则。包括: (1) 全面性原则， 应当全面规范相关的各项财务活动; (2) 效益性原则， 应当考虑设计成本、运行成本与效益的关系， 达到制度科学化、效益最大化(3) 稳定性原则， 应当具有相对稳定性和连续性， 不能朝令夕改， 等等。
三、制度设计的内容
(一) 组织制度设计
组织安排和职责分离是重要的控制手段， 因为其确定各作业单元和人员的职责、权限， 以及彼此的关系， 具体应设计的方面包括:
1 、机构设置。除了传统的财会部门， 一个负责系统维护和资料管理的部门是必须的， 同时由于其处理和控制业务资料的职责， 应保证其独立于: (1) 执行业务的部门; (2) 使用资料的部门， (3) 授权和批准业务的部门。
2 、岗位设置。不相容的工作必须分派给不同的人员担当， 在信息化管理中， 除了考虑特定财会工作本身的不相容性， 还要考虑在计算机系统中实现隔离访问的可能性， 以此来确定岗位和配备人员。手工作业下的一些相互检验和控制的作业环节被合并和取消后， 对其中重要的环节可以分设操作和监控两个岗位， 当财会人员在计算机系统中进行账务处
理时， 其操作和数据被同步记录于监控人员的机器上， 并由监控人员及时备份、定期审查。
3 、口令管理制度和工作交接制度。在信息化管理中， 职责、权限实际上是和口令相联系， 所以必须规范口令的使用，加强对其的控制， 有两条原则供参考: (1) 一人一口令， 不因岗位相同而共用口令， 以便将与口令相关联的操作的责任落实到人; (2) 定期、统一地更换口令， 全部口令要形成档案， 此档案必须限制接触。和手工作业下的工作交接有很大区别的是， 财会人员离职、离任时， 除完成业务的交接， 其在计算机系统中的操作权限应被禁用， 给到岗人员重新分派口令， 但原用户设置、操作日志等应保留一定时间， 以便审 计。
(二) 操作制度设计
在信息化管理中， 手工作业下的一些过程控制被内化在计算机系统中， 由预先设定的程序执行， 这正是信息化管理能够提高财会工作效率的主要原因。所以， 在保证预先设定程序的正确性的前提下， 应特别关注对计算机系统“进”、“出”的控制， 其关键点如下:
1 、输入。重要业务的确认、记录除前述分设操作和监控两个岗位外， 对于数字化的原始凭证， 首先应与业务系统中的相关数据核对， 其次可以实地考查， 抽验业务的真实性。
2 、备份。备份应经常、定期地进行， 如按日、按月、按年; 备份的内容可以是业务资料、经处理生成的各类财会信息， 以及汇总加工形成的财会报告; 备份的方式可以选择在磁(光) 性介质上的多方备份， 或打印输出; 备份的权限可以分派给直接操作人员， 或监控人员。不同的业务以何种组合形式备份， 制度应明确规定。
3 、修改。预先设定的程序中应有“操作不可反复”的限制， 需要修改时， 废止而不是删除旧操作， 重新做正确的操作， 以便留下审计线索。对重要业务的修改， 要有严格的申请、批准、备案制度。
(三) 档案制度设计
1 、财会信息和财会报告按国家财会法规的规定打印输出， 并保留。
2 、信息化管理本身的资料也应形成档案， 包括: (1) 信息流程图和操作流程图; (2) 预先设定程序的代码和说明;(3) 用户设置和口令分派、更改的记录; (4) 日常操作日志;(5) 备份操作日志; (6) 修改操作日志。操作日志主要记录开始操作时间及运作时间、操作用户及其口令、终端编号，以及操作的相关要件， 如申请、批文等。这些资料应从计算机系统中打印输出， 以纸质形式保管。
3 、谁能使用、经过什么程序使用档案， 制度应明确规定。
(四) 安全制度设计
安全制度试图以一系列的方法维持一定的技术水平， 保证硬件系统稳定运转， 具体应设计的方面包括:
1 、软件选择和开发。应分析各供应商软件的功能、兼容性， 并在“软件买价 服务支持费用 二次开发成本 因应用延误而损失的收益”的基础上权衡软件的总拥有成本， 决定是购买还是自行开发， 这是信息化管理启动阶段的必要程序。
2 、硬件系统维护。硬件的质量必须有充分保证， 关键设备采取双系统备份， 配置UPS (不间断电源) 、防辐射和防电磁波干扰设备， 等等。
3 、病毒防范。加强安全教育， 严格执行病毒防范管理制度， 具体包括: (1) 软件、软盘及计算机系统的采购和更新要通过计算机病毒检测后才可使用; (2) 专机专用， 绝对禁止在工作机上玩游戏; (3) 建立软盘管理制度， 防止乱拷贝软盘; (4) 安装防病毒卡和反病毒软件， 定期检测并清除计算机病毒; (5) 采用网上防火墙技术。
4 、实体安全。涉及计算机机房的环境， 计算机机房应当符合技术要求和安全要求， 充分满足防火、防水、防潮、防盗、恒温等技术条件， 配备空调和消防设置等。
主要参考文献:
[1 ] 张英明1IT环境下会计信息系统内部控制研究[ J ] . 中国会计电算化， 2002.
第一条为加强和规范信息安全等级保护管理，提高信息安全保障能力，维护国家安全、公共利益和社会稳定，促进信息化建设，根据国家有关规定，结合本省实际，制定本办法。
第二条本省行政区域内建设、运营、使用信息系统的单位，均须遵守本办法。
第三条本办法所称信息安全等级保护，是指按国家规定对需要实行安全等级保护的各类信息的存储、传输、处理的信息系统进行相应的等级保护，对信息系统中发生的信息安全突发公共事件实行分等级响应和处置的安全保障制度。
第四条本办法所称信息，是指通过信息系统进行存储、传输、处理的语言、文字、声音、图像、数字等资料。
本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。
第五条信息安全等级保护应当遵循分级实施、明确责任、确保安全的原则；重点保障基础信息网络和重要信息系统各类信息的安全性和信息处理的连续性。
信息系统应当按照信息安全等级保护的要求，实行同步建设、动态调整、谁运行谁负责的原则。
第六条县级以上人民政府应当加强对信息安全等级保护工作的领导，把信息安全等级保护纳入信息化建设规划，协调、解决有关重大问题，建立必要的资金和技术的保障机制。
第七条县级以上人民政府公安、国家安全、保密、密码、信息化等行政主管部门应当按照国家和本办法规定，履行监督管理职责。
县级以上人民政府其他相关部门，应当按照职责分工，落实信息安全等级保护管理的责任，配合做好相关工作。
第二章等级保护的分级与实施
第八条根据信息系统承载的信息的重要性、业务处理对系统的依赖性以及系统遭到破坏后对经济、社会的危害程度，确定信息系统相应的保护等级。
信息系统的保护等级分为以下五级：
（一）信息系统承载的信息涉及公民、法人和其他组织的权益，信息系统遭到破坏后，业务可以直接用其他方式替代处理，对公民、法人和其他组织的权益有一定影响，但不损害国家安全、社会秩序、经济建设和公共利益的，为一级保护，由运营单位自主保护；
（二）信息系统承载的信息直接涉及公民、法人和其他组织的权益，信息系统遭到破坏后，会影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成一定损害的，为二级保护，由运营单位在信息安全等级保护工作监管部门的指导下进行保护；
（三）信息系统承载的信息涉及国家、社会和公共利益，信息系统遭到破坏后，会严重影响业务的正常处理，并对国家安全、社会秩序、经济建设和公共利益造成较大损害的，为三级保护，由运营单位在信息安全等级保护工作监管部门的监督下进行保护；
（四）信息系统承载的信息直接涉及国家、社会和公共利益，信息系统遭到破坏后，业务无法正常处理，并对国家安全、社会秩序、经济建设和公共利益造成严重损害的，为四级保护，由运营单位按照信息安全等级保护工作监管部门的强制要求进行保护；
（五）信息系统承载的信息直接关系国家安全、社会稳定、经济建设和运行，信息系统遭到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的，为五级保护，由运营单位在国家指定的专门部门、专门机构的专控下进行保护。
第九条信息系统的建设、运营、使用单位，应当按照国家有关技术规范、标准和本办法第八条规定自行选定其信息系统相应的保护等级。
基础信息网络和重要信息系统的保护等级，建设单位应当在信息系统规划设计时，按照本办法第十条规定报经审定。
第十条基础信息网络和重要信息系统保护等级，实行专家评审制度。
省、设区的市信息化行政主管部门应当分别建立省、市信息系统保护等级专家评审组，并分别组织对关系全省和关系全市的基础信息网络和重要信息系统的保护等级进行审定。申报与审定的具体细则，由省信息化行政主管部门会同省公安部门制定，并报省人民政府备案。
第十一条对于包含多个子系统的信息系统，应当根据各子系统的重要程度分别确定保护等级。
第十二条信息系统建设完成后，其运营、使用单位应当按照国家有关技术规范和标准进行安全测评，符合要求的，方可投入使用。
第十三条信息系统投入运行或者系统变更之日起三十日内，运营、使用单位应当将信息系统保护等级选定或者审定情况报所在地县级以上人民政府公安部门备案。备案的具体细则由省公安部门制定。
信息系统涉及国家秘密的，运营、使用单位应当按照有关保密法律、法规、规章的规定执行。
第十四条信息系统的运营、使用单位，应当按照国家有关技术规范和标准，建立信息安全等级保护管理制度，落实安全保护责任，采取相应的安全保护措施，切实保障信息系统正常安全运行。
第十五条信息系统的运营、使用单位，应当建立信息系统安全状况日常检测工作制度，加强对信息系统的日常维护和安全管理，及时消除安全隐患，确保信息的安全和系统的正常运行。
基础信息网络和重要信息系统的运营、使用单位，应当按照国家有关技术规范和标准，每年对系统的信息安全状况进行一次全面的测评，也可以委托有相应资质的单位进行安全测评。
第十六条信息系统发生信息安全突发公共事件时，应当根据事件的可控性、地域影响范围和信息系统遭到破坏的严重程度，实行分级响应和应急处置。分级响应和应急处置按照省有关网络与信息安全应急预案的规定执行。
通信基础网络发生突发公共事件时，应当按照省有关通信保障应急预案的规定执行。
第三章监督管理
第十七条县级以上人民政府公安部门依法对运营、使用信息系统的单位的信息安全等级保护工作实施监督管理，并做好下列工作：
（一）督促、指导信息安全等级保护工作；
（二）监督、检查信息系统运营、使用单位的安全等级保护管理制度和技术措施的落实情况；
（三）受理信息系统保护等级的备案；
（四）依法查处信息系统运营、使用单位和个人的违法行为；
（五）信息安全等级保护的其他相关工作。
第十八条保密工作部门依照职责分工，依法做好下列工作：
（一）督促、指导涉及国家秘密的信息安全等级保护工作；
（二）受理涉及国家秘密的信息系统保护等级的备案；
（三）依法查处信息泄密、失密事件；
（四）信息安全等级保护中涉及国家秘密的其他相关工作。
第十九条密码管理部门应当按照职责分工依法做好相关工作，加强对涉及密码管理的信息安全等级保护工作的监督、检查和指导，查处信息安全等级保护工作中违反密码管理的行为和事件。
第二十条信息化行政主管部门应当加强对信息安全等级保护工作的指导、服务、协调和管理，并做好下列工作：
（一）指导、协调信息安全等级保护工作；
（二）组织制定信息安全等级保护工作规范;
（三）组织专家审定信息系统的保护等级；
（四）为相关单位提供信息安全等级保护的有关资讯和技术咨询；
（五）根据预案规定，组织落实信息安全突发公共事件的应急处置工作；
（六）信息安全等级保护的其他相关工作。
第二十一条信息系统建设、运营、使用单位，应当按照国家和本办法有关规定，开展信息安全等级保护工作，接受有关部门的指导、检查和监督管理。
信息系统运营、使用单位，在运营、使用中发生信息安全突发公共事件、泄密失密事件的，应当按照应急预案要求，及时采取有效措施，防止事态扩大，并立即报告有关主管部门，配合做好应急处置工作。
第四章法律责任
第二十二条违反本办法规定的行为，有关法律、法规已有行政处罚规定的，从其规定。
第二十三条信息系统运营、使用单位违反本办法规定，不建立信息系统保护等级或者自行选定的保护等级不符合国家有关技术规范和标准的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，处一千元以上二千元以下罚款。
第二十四条信息系统运营、使用单位违反本办法第十二条、第十三条第一款规定的，由公安部门责令限期改正，并给予警告；逾期不改正的，处二千元罚款。
第二十五条信息系统运营、使用单位违反本办法第十四条规定，未建立信息安全等级保护管理制度、落实安全保护责任和措施的，由公安部门责令限期改正，并给予警告；
逾期拒不改正的，对经营性的处五千元以上五万元以下罚款，对非经营性的处二千元罚款。
第二十六条违反本办法第十五条第一款规定，信息系统运营、使用单位未建立信息系统安全状况日常检测工作制度的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，处一千元以上二千元以下罚款。
违反本办法第十五条第二款规定，基础信息网络与重要信息系统的运营、使用单位，未定期对系统的信息安全状况进行测评的，由公安部门责令限期改正，并给予警告；逾期拒不改正的，对经营性的处二千元以上二万元以下罚款，对非经营性的处二千元罚款。
第二十七条信息系统运营、使用单位违反本办法第二十一条第二款规定的，由县级以上人民政府信息化行政主管部门责令改正，给予警告，对经营性的并处五千元以上三万元以下罚款，对非经营性的并处二千元罚款；涉及泄密、失密的，按照有关保密法律、法规、规章的规定处理。
第二十八条有关信息安全等级保护监管部门及其工作人员有下列行为之一的，由其主管部门或者监察部门对直接负责的主管人员和其他直接责任人依法给予行政或者纪律处分。
（一）未按照本办法规定履行监督管理职责的；
（二）违反国家和本办法规定审定信息系统保护等级的；
（三）违反法定程序和权限实施行政处罚的；
（四）在履行监督管理职责中，、、的；
（五）其他应当依法给予行政或者纪律处分的行为。
第二十九条违反本办法规定，构成犯罪的，依法追究刑事责任。
第五章附则
