企业信用信息归集管理办法

企业信用信息归集管理办法一、第一章总则1.1第一条制定目的与依据为规范企业信用信息的归集、共享、使用与管理工作，提升信用风险防控能力，支撑信用评价、授信审批、风险预警等业务场景，依据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《征信业管理条例》《企业信息公示暂行条例》及行业主管部门相关规定，结合本单位实际，制定本办法。1.2第二条适用范围本办法适用于本单位总部及各级分支机构开展的企业信用信息归集活动，包括：•对外部机构（征信机构、政府部门、公开渠道）信用信息的采集与接入；•内部业务系统（授信、合同、财务、法务等）信用相关数据的抽取与整合；•信用数据的加工、存储、更新、共享、使用与销毁全生命周期管理。个人信用信息的管理不适用本办法，须另行依据《征信业管理条例》及个人信息保护专项制度执行。企业信用信息中涉及的法定代表人、主要股东等自然人身份信息，按个人敏感信息管理要求脱敏处理。1.3第三条基本原则1.合法合规：仅归集有明确业务目的且来源合法的数据，禁止以爬取、购买非法渠道数据等方式获取。2.最小必要：归集字段须与业务用途一一对应，新增字段须经数据管理部门审批。3.及时准确：核心字段（经营异常、涉诉、行政处罚）更新延迟不超过72小时，准确率不低于98%。4.责任到人：每类数据源、每张数据表明确唯一责任人，出现数据质量问题可追溯到岗到人。二、第二章组织与职责2.1第四条信用信息管理委员会成立信用信息管理委员会（以下简称“信管会”），由分管副总任主任，成员包括风控部、法务部、信息技术部、审计部负责人。信管会职责：•审批年度信用信息归集计划及重大变更（如新增外部数据源采购）；•每季度召开1次例会，审议数据质量报告与违规处理情况，会后24小时内下发会议纪要；•决定信用信息共享范围的升降级。2.2第五条各部门职责分工部门职责关键交付物频次风控部提出归集需求、制定字段标准、日常使用监督归集需求清单、字段字典V+版本号每半年修订信息技术部系统接入、数据清洗、存储与安全管控ETL日志、数据质量月报每月5日前出具上月报告法务部数据来源合规审查、授权文件归档合规审查意见书每个新增数据源接入前审计部年度专项审计、违规调查审计报告每年1次各业务部门及时录入/上报职责范围内信用信息业务系统录入记录发生后3个工作日内三、第三章信息归集范围与来源3.1第六条归集信息分类信用信息按用途分为四类，归集优先级依次递减：1.合规风险类：行政处罚、经营异常名录、严重违法失信名单、被执行人信息、失信被执行人信息。此类信息直接触发风控流程，必须优先归集。2.履约能力类：财务报表（资产负债率、流动比率、经营活动现金流）、纳税信用等级、社保缴纳记录、主要客户与供应商集中度。3.诉讼纠纷类：民事判决、执行案件、司法冻结、仲裁裁决。4.经营基本面类：注册资本及变更、股权结构、高管变动、知识产权、招投标记录。3.2第七条信息来源与采集方式采取“优先官方渠道、次选持牌征信机构、可用公开渠道、严禁非法渠道”的分层策略：1.官方公开渠道（首选）：国家企业信用信息公示系统、中国执行信息公开网、中国裁判文书网、信用中国、税务部门纳税信用公开信息。此类数据以接口对接或定期人工核查方式获取，接口对接的同步频率不低于每日1次，人工核查每客户每季度不少于1次。2.持牌征信机构（补充）：在官方渠道无法覆盖时（如历史履约记录、行业黑名单），可采购持牌机构报告，采购前须经法务部确认其持牌资质及数据授权链条完整。3.客户主动提供：授信申请等业务场景要求客户提交审计报告、纳税证明等，客户提交后5个工作日内完成录入。4.内部业务系统（必须归集）：合同履约记录、回款逾期天数、担保代偿记录，由信息技术部按T+1频率自动抽取。5.禁止渠道：严禁购买无授权链条的“打包数据”；严禁通过模拟登录、绕过反爬机制等方式抓取需授权访问的网站数据；严禁归集与业务目的无关的信息（如员工个人消费记录）。违规采集的，对责任人处以书面警告至解除劳动合同处理，涉及违法的移交司法机关。3.3第八条数据标准•企业主体标识统一使用统一社会信用代码（18位），旧系统中的组织机构代码、名称等信息在ETL环节完成映射，重复主体合并率须达100%。•每个字段须在字段字典中登记：字段名、数据类型、来源、更新频率、责任人、保密级别。未登记字段禁止入库。•数值类字段（如逾期天数）缺失时填写统一缺省码-9999，禁止用0填充缺失值——0与“无记录”在信用评价中含义完全不同，混用会导致评分模型系统性偏差。四、第四章信息归集流程4.1第九条新增数据源接入流程1.需求提出：业务部门填写《数据源接入申请表》（附件1），说明用途、目标字段、预期更新频率，报风控部初审，5个工作日内出初审意见。2.合规审查：法务部核查数据来源合法性（授权文件、平台用户协议、robots协议），3个工作日内出具意见；审查不通过的，退回申请部门并书面说明理由。3.技术实施：信息技术部在合规审查通过后15个工作日内完成接口开发或爬取脚本部署（限合规公开数据），并完成数据比对测试，抽样比对不少于100条，字段一致率须达100%方可上线。4.试运行验收：上线后试运行1个月，数据及时率、准确率达标（见第六条）后由信管会正式验收。4.2第十条日常归集与更新•自动同步：接口类数据每日凌晨2:00—5:00批量同步；同步失败的，系统自动告警，运维人员须在2小时内响应、24小时内补齐数据。•重大事项人工报送：业务人员获知客户出现被执行、破产申请、主要资产被查封等重大负面信息的，无论系统是否已同步，须在24小时内报送风控部；风控部4小时内完成风险等级初判。•核查修正：任何员工发现数据错误的，可向数据责任人提出异议；责任人须在3个工作日内核实并反馈处理结果；涉及外部来源的错误，同步向数据提供方反馈。4.3第十一条数据质量检查（PDCA闭环）•计划：信息技术部每月制定抽检计划，覆盖率不低于全量客户的5%。•执行：按字段字典核对来源与库内数据，记录差错。•检查：每月出具《数据质量月报》，公示及时率、准确率、完整率三项指标；任一指标连续2个月不达标的，责任部门须提交整改方案并在下月报告中跟踪验证。•改进：每半年将高频差错类型纳入ETL规则优化或培训重点，形成“发现问题—定位原因—规则固化—验证关闭”闭环。五、第五章信息使用与共享5.1第十二条使用授权信用信息按密级分层使用：公开级（工商基础信息）全员可查；内部级（财务、履约数据）限业务相关岗位查询，查询须留痕（查询人、时间、用途）；受限级（涉诉细节、负面清单）查询须经风控部负责人审批，单次授权有效期不超过30天。系统对每次查询自动记录日志，日志保存期限不少于3年。5.2第十三条对外提供•向监管机构、司法机关提供数据，凭正式文书办理，由法务部核验文书真实性后2个工作日内完成。•向第三方机构提供数据的，必须签订数据保密协议并经信管会审批，明确用途、范围、销毁义务；超出约定用途使用一经发现，立即终止合作并追责。•禁止对外提供未经脱敏的法定代表人身份证号、银行账号等敏感字段。六、第六章安全与保密6.1第十四条存储安全•信用信息库与外部网络物理或逻辑隔离，访问须通过堡垒机，禁止将数据库直连办公网段。•敏感字段（身份证号、账号）在存储层加密，密钥由信息技术部专人管理，密钥保管人与数据库管理员不得为同一人。•数据备份每日1次增量、每周1次全量，备份数据异地保存；每年至少开展1次备份恢复演练，恢复时间目标（RTO）不超过4小时。6.2第十五条应急处置数据安全事件按三级管理：级别判定标准启动权限处置原则Ⅰ级核心库被入侵、全量数据泄露风险信管会主任立即断网隔离，2小时内上报管理层，48小时内按《数据安全法》要求向主管部门报告Ⅱ级单一数据源接口异常、部分字段泄露信息技术部负责人4小时内切断相关链路，24小时内完成影响评估Ⅲ级个别记录差错、越权查询数据责任人24小时内修正或撤销授权，7日内提交原因分析所有事件须在处置完毕后5个工作日内形成事件报告，纳入审计部年度审计范围。七、第七章监督考核与责任追究7.1第十六条考核指标将下列指标纳入相关部门年度考核：•数据及时率≥95%（核心风险类字段≥98%）；•数据准确率≥98%；•数据录入及时率（3个工作日内）≥95%；•越权查询、违规导出事件：目标为0起。7.2第十七条责任追究1.未按期报送重大负面信息导致风险损失的，视情节对责任人处以绩效扣减10%~50%；造成重大损失的，追究管理责任。2.越权查询、私自导出、对外泄露受限级信息的，一经查实，给予警告直至解除劳动合同处理；构成犯罪的，移交司法机关。3.连续2个季度考核指标不达标的部门，由信管会约谈部门负责人并限期整改，整改期1个月，期满复验。八、第八章附则8.1第十八条本办法由风控部负责解释，自发布之日起30日后施行。原有相关规定与本办法不一致的，以本办法为准。本办法每两年复审1次，法律法规变化时即时修订。附件1：数据源接入申请表（样表）项目内容申请部门/申请人数据源名称数据来源类型官方渠道/持牌机构/客户提供/内部系统（勾选）业务用途申请字段清单更新频率要求法务合规意见信管会审批意见附件2：数据质量月报关键指标表（样表）指标目标值本月实际上月实际是否达标差异原因及时率≥95%准确率≥98%完整