2026年制造业外协加工合作数据管理制度

2026年制造业外协加工合作数据管理制度1总则1.1制定目的为规范2026年及以后制造业外协加工合作全链路数据的全生命周期管理，防范数据泄露、篡改、丢失等安全风险，保障制造业供应链稳定、企业核心技术安全与国家产业安全，依据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国保守国家秘密法》《工业数据分类分级指南（试行）》《制造业供应链安全管理规范（2025版）》及各细分行业专项监管要求，制定本制度。1.2适用范围本制度适用于中华人民共和国境内所有规模以上制造业企业、专精特新中小企业、军工涉密配套企业，与各类外协加工供应商（含工序外协、全工序代工、OEM/ODM外协、特殊工艺外协、跨境外协等所有合作类型）在合作需求对接、询比价、订单签订、生产加工、质量验收、结算付款、合作终止全周期内产生的所有结构化、非结构化、半结构化数据的管理活动。外协供应商自身存储、处理、传输与合作相关的数据，必须严格遵守本制度的各项要求。1.3管理原则本制度遵循“谁产生谁负责、谁流转谁审批、谁使用谁授权、全链路可追溯”的核心原则，同时满足三项基本要求：一是分类分级管控，根据数据的敏感程度和影响范围实施差异化管理，平衡安全与效率；二是业务协同支撑，数据管理规则不得影响正常外协业务的开展，要为订单管控、质量追溯、工艺优化等业务场景提供数据支撑；三是合规底线不可突破，所有数据管理活动必须符合国家法律法规和行业监管要求，严禁出现涉敏、涉密数据违规流转的情况。2数据分类分级标准2.1数据分类所有外协加工合作相关数据统一分为四大类，覆盖全业务场景：第一类为合作核心业务数据，具体包括外协订单全链路数据（需求提报时间、询比价记录、中标结果、工艺要求、BOM清单、交付周期、验收标准、订单变更记录、交付日志、索赔记录、结算记录等）、加工过程数据（外协厂对应设备的运行参数、制程SPC数据、质检批次数据、不合格品处置记录、物料损耗数据、能耗数据等）、成本核算数据（供应商报价明细、加工费结算规则、物料成本分摊数据、开票信息、付款记录、对账明细等）。第二类为技术涉密数据，具体包括产品三维模型、二维图纸、工艺规程、材料配方、检测标准、专利相关的技术参数、未公开的新品研发相关外协加工数据，军工类的涉密级、机密级、绝密级技术数据，生物医药领域的未上市临床试验样品加工参数、新能源领域的动力电池核心制造工艺参数等细分行业核心技术数据。第三类为供应链资源数据，具体包括外协供应商的资质文件、产能数据、核心设备清单、核心技术人员信息、其他合作客户的非公开信息、企业自身的外协资源池名录、供应商评级数据、履约信用记录、供应链风险预警数据等。第四类为合规监管数据，具体包括外协加工过程的环保排放数据、安全生产记录、用工合规数据、质量追溯台账、进出口报关数据（涉及跨境外协的）、涉敏产品加工的合规备案数据、特种设备检验记录等。2.2数据分级按照数据泄露造成的影响程度，所有数据统一分为四级，实施差异化管控：一级（极高风险数据）：涉及国家秘密的军工外协技术数据、未公开的核心发明专利技术参数、新品研发未上市产品的全套技术资料、年合作额1亿元以上核心战略供应商的全部核心业务数据，此类数据泄露会导致国家利益受损、企业核心竞争力完全丧失、供应链出现重大断裂风险。二级（高风险数据）：非涉密的核心产品工艺图纸、核心部件BOM清单、成本核算明细、供应商核心产能布局数据、质量不合格品的具体缺陷溯源数据、未公开的供应商招标标底数据，此类数据泄露会导致企业技术流失、成本优势丧失、供应链运营出现较大风险。三级（中风险数据）：普通外协订单的交付数据、常规质检记录、非核心供应商的基础资质文件、通用工艺的加工参数、已上市产品的常规外协加工记录，此类数据泄露不会对企业核心利益造成重大损害，但会影响日常运营效率、增加不必要的业务沟通成本。四级（低风险数据）：已公开的外协招标信息、已完成交付满3年的常规订单历史数据、通用加工工艺的公开参数、供应商已对外公示的基础信息，此类数据可根据业务需求按规则公开流转。3数据全生命周期管理流程3.1数据采集管理明确数据采集责任主体：企业侧外协管理部门为数据采集第一责任主体，需设置专职外协数据管理员岗位，供应商侧指定的对接负责人为对应数据的第一责任人，对上报数据的真实性、准确性、及时性负责。统一数据采集标准：2026年起所有外协合作必须接入工业互联网标识解析体系，所有数据采集字段必须符合《工业数据元规范制造业外协领域（2025版）》要求，强制采集字段共37项，涵盖订单、工艺、质量、供应商四大维度，各企业可根据业务需求新增扩展字段，但不得减少强制字段。采集过程中不得获取与合作无关的数据，仅可采集供应商对接人员的姓名、联系方式、岗位信息三类必要个人信息，确需采集身份证号的（如军工涉密人员备案需求），必须获得个人书面同意，仅限用于备案场景。明确采集频率与方式：核心业务数据通过系统接口实时采集，技术涉密数据按需定向采集，供应链资源数据每季度更新采集一次，合规监管数据每月自动报送。优先通过API接口对接企业ERP、MES、PLM系统与供应商生产管理系统实现自动采集，禁止通过微信、QQ等未加密公共社交工具传输采集一级、二级数据，确需离线采集的必须使用国密算法加密U盘，且经过外协管理部门、信息安全部门双审批。3.2数据存储管理明确存储权限要求：企业侧信息安全部门负责自有数据的存储安全，供应商侧负责自身存储的合作数据的安全。一级数据必须存储在企业自建的涉密私有云或者符合国家涉密信息系统资质的本地服务器中，禁止存储在境外服务器或者公共云服务平台；二级数据必须存储在企业自有私有云或者获得等保三级认证的公有云专属区域；三级、四级数据可存储在等保二级以上的云服务器中。加密与备份要求：一级、二级数据必须采用国密SM2/SM4算法加密存储，访问设置双人双权限，即需要两个不同岗位的授权人员同时验证才能访问；三级数据采用AES256以上加密算法存储，四级数据可明文存储但需设置访问白名单。备份要求方面，一级数据必须做异地三备份，二级数据做异地双备份，三级、四级数据做本地双备份，备份数据的管理要求与主数据完全一致。存储期限要求：一级数据永久存储，二级数据存储至对应产品退市后10年，三级数据存储至合作终止后5年，四级数据存储至合作终止后3年，涉及质量终身追责的产品相关外协数据需同步延长存储期限至质量追责期结束。3.3数据流转与共享管理建立分级审批机制：一级数据流转必须经过企业总经理、信息安全负责人、技术负责人三方签字审批，且只能在涉密内网环境下流转，禁止以任何形式流出企业内网；二级数据流转必须经过外协管理部门负责人、信息安全部门负责人双审批，流转过程全程留痕，接收方必须提前签订数据保密承诺书；三级数据流转需要外协管理部门主管审批，可在企业内部业务系统和供应商指定对接人员之间流转；四级数据流转可由外协业务经办人直接授权，无需额外审批。跨企业流转要求：所有向外协供应商传输的数据必须添加不可擦除的数字水印，明确标注数据使用范围和有效期，供应商不得向任何第三方转授权使用合作数据，确需向下游分包商传输数据的，分包商的数据管理能力必须符合本制度要求，且需要经过甲方企业提前审批。通过电子邮件传输数据的，必须使用企业专属加密邮箱，禁止使用个人邮箱传输一级、二级数据。跨境流转要求：涉及外协数据出境的，必须严格按照《数据出境安全评估办法》完成安全评估，获得监管部门审批后方可出境，禁止向境外未获得相关资质的供应商传输任何一级、二级数据，涉及军工涉密的数据一律禁止出境。3.4数据应用管理明确数据应用范围：所有外协合作数据仅可用于外协订单进度管控、质量追溯、成本核算、供应商评级、工艺优化、供应链风险预警六大场景，禁止将合作数据用于非合作相关的商业活动，比如利用供应商的产能数据为其他客户报价、利用甲方的技术数据开发同类竞争产品等。操作留痕要求：所有数据应用操作必须生成不可篡改的操作日志，记录操作人、操作时间、操作内容、应用场景，日志保留期限不得少于6年，审计部门可随时调取日志核查数据应用合规性。数据价值挖掘规则：企业联合供应商开展工艺优化、效率提升等数据分析的，产出的知识产权归属按照合作协议约定执行，没有约定的归双方共同所有，任何一方不得单独申请专利或者对外披露相关成果。3.5数据销毁管理销毁审批流程：超过存储期限的数据或者因合作终止不需要继续存储的数据，由数据管理部门提出销毁申请，列明销毁数据的类别、数量、存储位置，经过信息安全部门审核、分管领导审批后方可实施销毁。销毁操作要求：一级、二级数据必须采用物理粉碎存储介质、不可逆消磁或者7次以上覆写的方式销毁，禁止简单删除或者格式化；三级、四级数据可采用专业数据销毁软件删除或者格式化的方式销毁。销毁过程必须有两名以上见证人在场，全程拍摄视频记录，视频保留期限不少于1年，销毁完成后出具正式销毁证明存入企业档案。4外协供应商数据管理约束4.1准入资质要求2026年起所有新引入的外协供应商必须提供自身的数据安全管理制度文件，配备至少1名专职数据安全管理人员，涉及一级、二级数据加工的供应商必须通过网络安全等级保护二级以上认证，涉及军工涉密数据加工的必须获得国家保密局颁发的涉密信息系统集成资质。不符合资质要求的供应商不得纳入外协资源池。4.2合作过程考核将数据管理合规情况纳入供应商绩效考核体系，占比不低于15%，考核内容包括数据上报的及时性、准确性、数据存储的安全性、数据流转的合规性、应急响应能力等，考核不合格的供应商扣减对应比例的加工款，连续两次考核不合格的纳入供应商黑名单，3年内不得开展任何合作。4.3违约责任约束所有外协供应商签订合作协议时，必须同步签订《外协加工数据安全保密协议》作为附件，明确数据安全责任、保密范围、违约赔偿标准，其中涉及一级数据合作的供应商，违约赔偿标准不得低于年合作额的30%，涉及二级数据合作的不得低于年合作额的20%。供应商出现数据泄露事件的，甲方有权单方面终止合作，且供应商需承担所有相关损失，包括但不限于技术流失带来的营收损失、监管处罚金额、品牌损失等，涉及国家秘密泄露的直接移交司法机关处理。5监督问责与绩效考核5.1内部审计机制企业需建立每季度一次的外协数据专项审计制度，由内审部门、信息安全部门、外协管理部门联合开展审计，每次审计覆盖不少于30%的在合作供应商，涉及一级、二级数据的供应商每次审计必须全覆盖。审计内容包括数据采集的合规性、存储的安全性、流转的审批记录、应用的场景合理性等，审计报告提交企业管理层，对审计发现的问题建立整改台账，明确整改责任人、整改期限，整改完成后进行复查，复查不通过的暂停新订单下发，直至整改合格。5.2行业监管要求各地工信部门、网信部门、保密管理部门按照职责分工，对辖区内制造业企业的外协数据管理情况开展每年不少于1次的专项检查，对违反本制度的企业按照《数据安全法》等法律法规进行处罚，情节严重的纳入失信企业名单，限制其享受相关产业扶持政策。5.3内部问责规则企业内部出现数据管理违规行为的，对第一责任人处以当月绩效的30%-100%的处罚，造成重大损失的解除劳动合同，追究相应法律责任；部门负责人管理不到位的，连带处以当月绩效的20%-50%的处罚，年度内出现2次以上重大数据安全事件的，取消部门年度评优资格。6应急处置管理6.1应急预案与演练企业需制定外协数据安全专项应急预案，明确数据泄露、数据丢失、数据被篡改等各类场景的处置流程、责任分工，每年至少开展1次应急演练，提升相关人员的应急处置能力，演练记录存档期限不少于3年。6.2事件处置流程发生数据安全事件后，第一责任人要在1小时内上报企业信息安全部门和分管领导，涉及一级数据泄露或者国家秘密泄露的要在2小时内上报当地网信部门和保密管理部门，同时启动应急预案，采取技术措施阻断泄露路径，评估损失范围，排查风险点，对涉