制度-权限管理制度（面向内审）

权限管理制度（面向内部审计部门）版本：V1.0编制日期：2026年11月8日编制视角：面向内部审计部门的制度执行与合规审查视角目录TOC\o"1-1"\h\z\u第一章总则 PAGEREFsection-1\h1第二章职责分工与管理机构 PAGEREFsection-2\h1第三章核心制度条款 PAGEREFsection-3\h1第四章监督与考核 PAGEREFsection-4\h1第五章附则 PAGEREFsection-5\h1第1页第一章总则1.1制定目的权限管理直接关系公司信息资产的保密性、完整性与可用性，是防范内部欺诈、数据泄露及操作失误的第一道防线。近年来，证券行业因员工越权查询客户信息、系统管理员私自导出敏感数据而引发的监管处罚案例持续上升，最高人民检察院发布的《检察机关加强金融领域商业秘密保护意见》指出，2023年全国检察机关受理的涉及金融信息系统内部人员侵害案件较上一年度增长约17%。在此背景下，建立科学、可追溯、可审计的权限管理体系具有重要的合规价值与风险管理意义。本制度的制定目的在于：第一，明确权限全生命周期的管理责任主体与操作流程，消除权限分配随意性带来的合规隐患；第二，通过制度化手段落实最小特权原则，确保每位员工仅拥有完成其岗位职责所必需的最低限度系统访问能力；第三，构建支持内部审计独立核查的权限档案体系，使每一次权限授予、变更与撤销均留有经审批的记录痕迹，满足外部审计机构的抽查验证需求；第四，建立常态化的权限复核机制，及时发现并纠正越权配置、僵尸账号等潜在风险点。1.2编制依据本制度主要依据以下法律法规与行业标准编制：序号法规/标准名称发布机构适用条款要点1《中华人民共和国网络安全法》全国人大常委会第二十一条网络运营者应采取技术措施和其他必要措施保障网络安全2《中华人民共和国数据安全法》全国人大常委会第二十七条建立健全全流程数据安全管理制度3《中华人民共和国个人信息保护法》全国人大常委会第五十一条采取相应的加密等安全措施处理个人信息4《企业内部控制基本规范》财政部等五部委第二十八条加强对信息系统开发的内部控制5ISO/IEC27001:2022信息安全管理体系国际标准化组织A.5.15访问控制策略与A.5.16用户访问管理6《证券基金经营机构信息技术管理办法》中国证监会第四十三条建立系统用户权限管理制度上述六项依据中，《企业内部控制基本规范》提供了权限管理的顶层设计框架，《证券基金经营机构信息技术管理办法》则为证券行业设定了更为具体的合规红线，两者构成制度建设的双重约束基础。1.3适用范围本制度适用于以下范围：组织范围：公司全体员工（含正式员工、劳务派遣人员、实习生）及经授权接入公司信息系统的外部合作方人员（包括审计师、咨询顾问、第三方运维工程师）。系统范围：纳入公司IT治理体系的各类业务系统与管理平台，包括但不限于核心交易系统、客户服务系统、财务管理系统、人力资源系统、办公自动化系统、数据中心及开发测试环境。权限类型：涵盖三类权限：一是信息系统账号权限，指登录各类业务系统所需的身份认证凭据及相关操作功能授权；二是数据访问权限，指对特定数据集合的读取、修改、删除与导出权利；三是物理场所通行权限，指进入机房、档案室、重点区域办公室的门禁卡及生物识别授权。1.4基本原则权限管理遵循四项基本原则，任何制度设计与执行活动不得突破以下底线：最小特权原则：权限分配以岗位职能为唯一依据，按"职责所需、够用即止"的标准授予。员工入职或转岗时，初始权限仅限于履行当期工作任务所必需的系统功能与数据范围，严禁基于信任或资历给予超额授权。职责分离原则：对于存在利益冲突的职能环节实行强制分权，确保单一人员无法独立完成全流程操作。具体而言，系统管理员不得兼任安全审计员，账号申请人与审批人不得为同一人，系统开发者不得持有生产环境的直接操作权限。审批留痕原则：所有权限的授予、变更、暂停与撤销行为必须形成书面或电子化的审批记录，记录内容包含申请人、审批人、权限内容、生效时间、失效时间及审批依据。审批记录保存期限不少于五年。定期复核原则：建立季度权限复核机制，由内部审计部门牵头对全量活跃账号进行一次系统性审查，重点核查是否存在离职未注销账号、超期未调整权限、跨部门借用账号等异常情形。1.5术语定义术语定义权限经合法审批后赋予特定用户在指定系统中执行特定操作的资格，包括登录权、功能操作权和数据访问权三个层次账号用于标识用户身份的一串唯一字符编码，通常与个人生物特征或密码凭据绑定最小特权用户拥有的权限恰好满足其当前岗位职责需要且不多于该需求的配置状态职责分离将相互制约的业务流程拆分为两个及以上由不同人员承担的环节以形成内部制衡的控制机制僵尸账号超过九十日未被实际使用且未履行正式注销手续的用户账号权限回收因员工离职、调岗或其他原因导致原有权限不再适用时将其取消的管理行为特权账号具有超越普通用户权限范围的系统管理员账号或服务账号，其misuse可能造成系统性损害第二章职责分工与管理机构2.1组织架构权限管理工作实行"三道防线"分层负责机制，各级主体职责清晰、边界分明：第一道防线——业务部门：各业务部门负责人为本部门权限管理的第一责任人，负责审核本部门员工的权限申请是否与其岗位职责匹配。当员工发生岗位变动时，部门负责人须在五个工作日内发起权限调整流程。第二道防线——信息技术部与安全合规部：信息技术部承担权限的技术执行角色，负责账号的创建、配置与维护。安全合规部承担权限的制度监督角色，负责审批权限申请的合规性、组织周期性权限复核。第三道防线——内部审计部：内部审计部独立于前两道防线之外，负责对权限管理制度的执行情况实施客观评价。内审部的核心职责包括：每年至少开展两次权限管理专项审计；对权限复核中发现的异常情况进行追踪核实；向审计委员会报告权限管理的有效性与缺陷。2.2关键岗位职责岗位角色所属部门主要职责禁止行为部门负责人各业务部门审核本部门权限申请的合理性；发起员工岗位变动时的权限调整不得代为审批下属超出其岗位范围的权限申请系统管理员信息技术部创建与维护用户账号；执行权限配置操作；监控系统运行日志不得自行授予自身或他人超越岗位需求的权限安全合规专员安全合规部审核权限申请的合规性；组织季度权限复核；维护权限管理台账不得在未获得有效审批的情况下批准权限变更内审专员内部审计部执行权限管理专项审计；核查权限违规线索；出具审计报告不得参与权限的日常审批与配置操作权限管理员信息技术部日常权限请求的分发与跟踪；审批记录归档；僵尸账号定期清理不得绕过审批流程直接开通特权账号2.3权限管理委员会权限管理委员会是公司权限管理工作的最高决策协调机构，由公司分管信息技术副总裁担任主任委员，成员包括信息技术部总经理、安全合规部总经理、内部审计部总经理及人力资源部副总经理。委员会每季度召开一次例会，遇重大事项可随时召集临时会议。2.4外包人员权限管理外部合作方人员如需接入公司信息系统，须遵循以下特殊管理规定：首先，外包人员权限申请由其所在服务公司提交，经公司对接业务部门初审、安全合规部复审后方可进入审批流程。其次，外包人员被授予的权限范围严格限定在其合同约定的服务范围内，权限有效期不得超过合同服务期限，且最长不超过十二个月。再次，外包人员账户标记为"临时账号"标识，系统中自动设置到期禁用机制。第三章核心制度条款3.1权限申请与审批流程权限管理的全流程划分为六个阶段：阶段一：申请发起。用户填写《权限申请表》，表中须注明拟申请系统名称、所需权限类型、权限内容及必要性说明。申请表须由申请人本人签字确认后提交至直属部门负责人。阶段二：部门审核。部门负责人在收到申请表后三个工作日内完成审核，重点核查申请内容与岗位职责的匹配程度。阶段三：合规复核。安全合规专员收到申请表后进行合规性审查，主要判断申请事项是否符合最小特权原则。阶段四：最终审批。一般权限申请经部门负责人审核、安全合规专员复核后即可生效执行；涉及特权账号等重大事项的，须经分管副总裁审批。阶段五：权限配置。信息技术部在收到已获批的权限申请后两个工作日内完成系统配置操作。特权账号的配置操作须双人复核。阶段六：记录归档。权限管理专员在权限配置完成后七个工作日内将完整的申请审批记录录入权限管理台账。3.2分级授权矩阵权限层级定义描述示例场景审批人有效期复核频率L1—基础权限与日常工作直接相关的常规操作权限办公软件使用、内部通讯工具部门负责人长期有效年度复核L2—受限权限涉及有限敏感数据的访问权限客户基本信息查询、部门级财务报表查看部门负责人+安全合规专员两年半年复核L3—敏感权限接触高敏感数据或执行高风险操作的权限客户身份信息完整查看、交易数据统计分析部门负责人+安全合规专员+分管副总裁一年季度复核L4—特权权限超越普通用户权限的系统管理或超级操作权限数据库管理员权限、生产系统运维权限分管副总裁+CIO六个月月度复核3.3职责分离控制禁止组合说明风险控制要点系统管理员+安全审计员同一人不得同时拥有系统配置权和审计日志查看权防止篡改系统日志掩盖违规操作账号申请人+审批人同一个人不得既是权限申请者又是批准者防止自我授权绕过审批控制系统开发者+生产操作员系统开发人员不得拥有生产环境直接操作权限防止带病代码流入生产环境造成事故数据导出申请者+导出执行者提出数据导出需求的人员不得自行执行导出操作防止批量导出数据外泄资金支付审批+资金支付执行财务付款审批岗与出纳岗不得为同一人防止挪用资金的内部欺诈密钥生成+密钥使用加密密钥的生成者与使用者不得为同一人防止密钥被恶意利用解密敏感数据3.4密码安全管理密码复杂度要求：所有系统账号密码长度不得低于八位，且必须同时包含大写字母、小写字母、数字及特殊符号四类字符中的至少三类。密码有效期管理：普通用户密码有效期为九十天，到期前三天系统自动发送提醒通知。特权账号密码有效期缩短为三十天。多因素认证：对于L3及以上级别的敏感权限和特权权限，除密码外还必须启用第二因素认证。3.5特权账号专项管理特权账号是权限管理体系中的高风险焦点。特权账号的使用实行"即用即开、用完即关"原则。正常情况下特权账号应保持锁定状态，仅在确需执行系统维护、故障排查等特殊操作时经分管副总裁审批后方可解锁。3.6账号生命周期管理账号的生命周期涵盖创建、变更、暂停、恢复与注销五个环节：创建：新员工入职后由人力资源部提供录用名单至信息技术部，信息技术部依据岗位说明书和分级授权矩阵为其创建初始账号并分配L1级基础权限。变更：员工岗位调动、职级晋升或职责调整后，原部门负责人须在三个工作日内发起权限变更申请。暂停：员工休长假（连续请假超过三十日）期间其账号处于暂停状态。恢复：暂停期满后经部门负责人审批确认可以恢复权限的，由信息技术部在系统中解除暂停状态。注销：员工离职当日由人力资源部发出终止用工通知，信息技术部接到通知后一个工作日内完成全部账号的注销操作。第四章监督与考核4.1定期检查机制权限管理的有效性依赖持续的监督检查。公司建立三级检查机制：日常监控：信息技术部安全运营中心每日自动扫描权限系统运行状态，重点监测异常登录行为、超时未退出会话、异地IP登录等风险信号。异常情况在两小时内响应处置。季度复核：每季度的首月十日前，内部审计部启动上季度的权限全面复核。复核范围涵盖本季度新增账号、本季度变更账号、本季度注销账号及长期未活动的僵尸账号。年度审计：每年第四季度由内部审计部组织实施权限管理专项审计，审计覆盖面须达到全量业务系统的百分之百。审计结论分为"有效""基本有效""无效"三个等级。4.2违规认定与处理以下行为构成权限管理违规，公司将视情节轻重分别给予警告、通报批评、绩效扣减、调离岗位直至解除劳动合同的处理：轻度违规：未及时发起权限调整申请导致权限滞后于岗位现状超过三十日；密码使用过期超过七天仍未更新。中度违规：未经审批私自为他人开通系统账号；将个人账号借予他人使用；发现权限漏洞未及时报告而是故意隐瞒。重度违规：利用职务便利非法获取敏感数据；协同外部人员窃取公司机密信息；故意规避职责分离控制实现违规操作。4.3绩效考核指标考核项目评分标准满分权限申请及时处理率在规定时间内完成权限审批和配置的比例，低于95%扣分25季度复核问题整改率复核报告中提出的整改事项按期完成的比例，低于90%扣分25违规事件发生次数本单位发生的权限违规事件数，每发生一起扣5分，上限20分20权限台账完整性台账记录与实际权限一致的程度，抽样核查不一致比例超过5%扣分15培训覆盖率参加权限管理培训的员工占全员比例，未达到100%扣分154.4审计独立性保障为确保内部审计的独立性和客观性，本制度对审计职能作出如下特殊保障安排：内部审计部的权限管理审计工作直接对董事会下设的审计委员会负责，行政上不隶属于信息技术部或安全合规部。4.5持续改进机制权限管理不是一次性工作而是持续改进的过程。公司建立以下持续改进机制：每年度末由安全合规部牵头汇总本年度权限管理运行的各项指标数据，对比上年度数据进行趋势分析；对行业内新出现的权限管理最佳实践保持跟踪。第五章附则5.1制度解释本制度由公司安全合规部负责解释。制度条文的理解和执行中出现歧义的，由安全合规部会同内部审计部出具书面解释意见。5.2制度修订本制度原则上每三年进行一次全面修订，修订时机包括：国家法律法规或监管政策发生重大变化；公司业务模式或信息系统架构发生根本性改变；内部审计发现制度设计存在重大缺陷。5.3生效日期本制度自发布之日起施行。制度发布前已建立的权限管理体系与本制度不一致的，应当在六十个自然日内完成整改过渡。5.4附件一：职责分离矩阵表序号不相容职务组合控制措施责任部门