外包项目安全风险保证金收支管控指南（2025版）

外包项目安全风险保证金收支管控指南（2025版）第一章总则为确保外包项目在实施过程中的安全、合规与稳定，有效防范因外包方行为可能引发的各类安全风险，保障委托方核心资产与业务连续性不受侵害，特设立外包项目安全风险保证金制度。本指南旨在规范该保证金的设立、缴存、使用、扣罚、补足、返还及日常监督的全流程管理，为相关管理行为提供明确、可操作的标准与依据，适用于所有涉及外部供应商或服务商且存在潜在安全风险的项目合作。管理原则遵循“事前约定、事中监控、事后追溯、风险覆盖、动态调整”，确保保证金机制能够真实、有效地发挥风险缓释作用。第二章保证金的设立与缴存管理2.1保证金设立依据与标准保证金的设立应基于项目安全风险评估结果。在项目招标或合同谈判阶段，须由委托方安全管理部门会同项目主管部门、法务部门，共同对项目可能涉及的数据安全、系统安全、物理安全、供应链安全及业务连续性风险进行专项评估。评估报告应明确风险等级（高、中、低），并作为确定保证金具体金额的核心依据。保证金计算可采用以下一种或多种方式组合，并在主合同或附属协议中明确约定：（1）固定金额法：根据项目风险等级，设定固定数额的保证金。例如，高风险项目不低于合同总额的15%，中风险项目不低于10%，低风险项目不低于5%，且设有最低金额门槛。（2）比例浮动法：以合同总额或年度服务费用为基数，按约定比例计算，并可设置与服务水平协议（SLA）或安全事件发生率挂钩的浮动调整条款。（3）分项计提法：针对数据泄露、系统中断等特定高风险场景，设立专项保证金子项。2.2缴存方式与时限保证金应以货币资金形式缴存，原则上不接受保函等非现金形式，以确保偿付能力。缴存主体为项目外包方。合同生效后，外包方应在约定期限内（通常为合同签订后15个工作日内或项目启动前）将足额保证金汇入委托方指定的专用托管账户。该账户应独立核算，专户管理，不得与日常运营资金混同。委托方财务部门在收到款项后，应在3个工作日内向外包方出具加盖财务专用章的正式收款凭证，并通知项目主管部门及安全管理部门完成系统台账登记。项目风险等级建议保证金基数最低金额要求（示例）缴存时限高风险合同总额的15%-20%人民币50万元合同签订后10个工作日内中风险合同总额的8%-12%人民币20万元合同签订后15个工作日内低风险合同总额的3%-5%人民币10万元合同签订后15个工作日内或项目启动前第三章保证金的使用与扣罚机制3.1触发扣罚的情形当外包方在项目实施过程中发生违反安全协议、造成安全事件或存在重大安全隐患时，委托方有权依据合同约定启动保证金扣罚程序。具体扣罚情形需在合同中详尽列明，主要包括但不限于：（1）数据安全类：发生敏感数据泄露、非法数据爬取、超权限访问、未加密传输或存储、违规数据跨境等事件。（2）系统与网络安全类：因外包方原因导致系统被入侵、植入恶意代码、发生拒绝服务攻击、出现高危漏洞未及时修复、或非计划性系统中断超过约定时长。（3）合规与审计类：在安全审计中发现重大不合规项且未在整改期内完成整改；违反国家法律法规或行业监管要求。（4）供应链安全类：擅自将核心服务转包或分包给未通过委托方安全审查的第三方。（5）业务连续性类：未按约定执行应急预案，导致安全事件影响扩大，业务恢复时间目标（RTO）未达成。3.2扣罚流程与标准扣罚流程应遵循公正、证据确凿、程序合规的原则。（1）事件报告与认定：安全事件发生后，安全管理部门牵头成立事件调查组，出具包含事件原因、责任认定、损失初步评估的《安全事件调查报告》。（2）通知与申辩：委托方向外包方发出《保证金扣罚事先告知书》，列明拟扣罚事实、依据及金额。外包方应在收到通知后5个工作日内提交书面申辩意见及相关证据。（3）审议与决定：由委托方项目主管部门、安全管理部门、法务部门及财务部门组成审议小组，对外包方申辩进行复核，并最终形成《保证金扣罚决定书》。（4）执行扣划：财务部门依据生效的《扣罚决定书》，从保证金专用账户中将相应款项扣划至委托方指定收入账户。同时，向外包方出具扣款凭证，并更新台账。扣罚金额应基于实际损失、修复成本、潜在影响及合同约定的罚则进行计算。对于造成重大损失或社会影响的事件，扣罚可直至保证金全额扣除，且不免除外包方的其他赔偿责任。第四章保证金的补足与返还管理4.1保证金的动态补足在合同履行期间，当保证金因扣罚或合同金额变更等原因导致余额低于合同约定的最低水平时，即触发补足机制。项目主管部门应在外包方保证金余额低于约定下限的5个工作日内，向其发出《保证金补缴通知书》。外包方应在收到通知后10个工作日内将差额部分足额补缴至专用账户。若外包方未按时补足，委托方有权暂停项目付款，甚至视其为严重违约，按合同约定采取进一步措施。4.2保证金的到期返还合同正常履行完毕或提前终止，且不存在未解决的安全责任纠纷与未完成的整改项时，应启动保证金返还程序。（1）申请与审核：外包方向委托方项目主管部门提交返还申请。项目主管部门会同安全管理部门，对外包方在整个合同期内的安全履约情况进行最终审核，并出具《安全履约情况终审意见》。（2）审批与支付：审核通过后，按公司财务支付流程进行审批。财务部门在收到完整审批单据后，应在15个工作日内将保证金本金（扣除已罚没部分）无息返还至外包方指定账户。（3）争议处理：若双方对扣罚、返还金额存在争议，应首先依据合同争议解决条款进行协商。协商不成的，可通过仲裁或诉讼方式解决，在此期间，存在争议部分的资金可予以暂扣。第五章监督、审计与台账管理5.1全过程监督机制建立由项目主管部门、安全管理部门、财务部门、内审部门组成的四方监督机制。项目主管部门负责保证金的日常联系与催缴；安全管理部门负责提供扣罚的技术依据与建议；财务部门负责资金的安全保管与收支操作；内审部门负责对保证金管理的全流程进行独立审计，确保制度的严格执行与资金的合规运作。5.2信息化台账管理必须建立统一的“外包项目安全风险保证金电子台账管理系统”，实现动态化、精细化管理。台账信息应包括但不限于：项目基础信息：项目名称、外包方、合同编号、金额、期限。保证金信息：约定金额、缴存日期、缴存凭证号、当前余额、专用账户信息。收支记录：每次扣罚的日期、事由、依据文件编号、扣罚金额；每次补足的日期、金额。状态标识：账户状态（足额、待补足、冻结等）、返还状态（待审核、已审批、已支付）。系统应设置关键节点自动提醒功能，如缴存到期、余额不足、返还时限等，并确保台账记录的不可篡改性，所有操作留痕。5.3定期审计与报告内审部门应每半年至少对全部保证金账户的管理情况进行一次专项审计，审计重点包括：制度执行的合规性、资金存放的安全性、扣罚依据的充分性、审批流程的完整性以及台账记录的准确性。审计报告应直接报送公司最高管理层，发现的问题需明确整改责任与时限，形成管理闭环。第六章附则本指南自2025年1月1日起正