DB34T 4533-2023 企业商业秘密管理体系要求

34Enterprisetradesecretmanagementsystems—RequireI 2 2 2 2 3 3 3 3 3 4 4 4 5 5 5 5 5 6 6 8 8 8 8 9 9 9 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定本文件由安徽省市场监督管理局反垄断和反不正当竞争执法1企业商业秘密管理体系要求注2：管理体系要素规定了组织的结构、岗位和职责、策划、运行、方针、惯例、规则、理念、目标，以及实现这注3：管理体系的范围可能包括整个组织，组织中可被明确识别的职能或可被明确识别的部门，以及跨组织的单一2注2：如果管理体系的范围仅覆盖组织的一部分，在这种情况下，最高管理者是指管理和控制组织的这部分的一个注3：目标可以采用其他的方式进行表述，例如：采用预期的结果、活动的目的或运作准则，或使用其他有类似含4企业所处的环境4.1理解企业及所处的环境a)外部因素可包括国内外的法律法规、技术、竞争、市场、文化、社会和经济环境等；b)内部因素可包括企业价值观、文化、战4.2理解相关方的需求和期望a)与商业秘密管理体系有关的相关方，包括但不限于：商业秘密权利人、员工、顾客、供方、b)与商业秘密管理体系有关的相关方的要求，包括但不限于：企业规章制度、合同约定、法律4.3确定商业秘密管理体系的范围34.3.1企业应确定商业秘密管理体系的边界和适用性，以确定其范围。在确定范围时，企业应考虑：d)权利人的技术信息、经营信息等商业信息。4.3.2企业商业秘密管理体系应包括在企业控制下或在其影响范围内可能影响企业商业秘密管理绩效4.3.3范围应作为成文信息，可获得并得到保持。4.4商业秘密管理体系4.4.1企业应按照本文件的要求建立、实施、保持和持续改进商业秘密管理体系，包括所需过程及其4.4.2在必要的范围和程度上，企业应：a)保持成文信息以支持过程运行，如商业秘密管理方针、商业秘密管理目标、商业秘密管理文b)保留成文信息以确信其过程按策划进行，如本文件要求形成文件的程序和记录。5.1领导作用和承诺最高管理者应通过以下方面，证实其对商业秘密管理体系的领导作a)确保建立商业秘密管理方针和目标，与企业战略方向及所处的环境一致；b)确保将商业秘密管理体系要求融入企业的相关业务过程中；d)就有效的商业秘密管理和符合商业秘密管理体系要求的重要性进行沟通；e)确保商业秘密管理体系达到预期结f)指导并支持相关人员为商业秘密管理体系的有效性做出贡献；h)支持其他相关管理人员，以证实在其职责范围内发挥领导作用；最高管理者应建立、实施和保持商业秘密管理方针，a)与企业的宗旨和所处的环境相适宜；b)为建立商业秘密管理目标提供框架；c)包含满足法律法规要求和其他要求的承d)包含持续改进商业秘密管理体系的4a)确保商业秘密管理体系符合本文件的要求；b)向最高管理者报告商业秘密管理体系的绩效以及改进机会。6.1.1.1在策划商业秘密管理体系时6.1.1.3企业应确定其商业秘密管理体系范围内的潜在紧急情况，包括那些可能发生商业秘密泄漏和——6.1.1~6.1.3中所需的过程，其详尽程6.1.2.1企业应建立风险和机遇的评估准则，识别和分析其活动、产品和服务中能够控制和能够施加影响的商业秘密相关风险和机遇，并确定相应的管理措6.1.2.2企业应保持以下方面的成文当策划措施时，企业应考虑最佳实践、可选技术方5企业应在相关职能和层级上建立商业秘密管理目标在策划如何实现商业秘密管理目标时，企业应f)如何将实现商业秘密管理目标的措施融入其业务过企业应确定并提供建立、实施、保持和持续改进商业秘密管理体系所需的a)配备所需的人员，以有效实施商业秘密管理体系，并运行和控制其过程；b)提供并维护所需的基础设施设备，支撑商业秘密管理过程的运行；c)提供必要的经费，以保障商业秘密管理过程的运行。a)确定影响商业秘密管理绩效和有效性的人员所需具备的能力；b)基于适当的教育、培训或经历，确保人员具备胜任工作的能力；c)在适用时，采取措施以获得和保持所必需的能力，并评价所采取措施的有效性；d)保留适当的成文信息，作为人员能力的6c)不符合商业秘密管理体系要求的后7.4.2企业应建立必要的分层沟通机制，确保与商业秘密管理体系有关的内部沟通和外部沟通，并应——应确保所沟通的信息与来源于商业秘密管理体系的信息一致且可信。注：通常包括商业秘密管理方针、商业秘密管理目标、商业秘密管理文件等。a)标识和说明（如标题、日期、作者、索引编号b)形式（如语言、软件版本、图表）和载体（如纸质的、电子的c)评审和批准，以确保适宜性和充分7.5.3.1应控制商业秘密管理体系和本文件所要求的成文信息，以a)予以妥善保护（如防止泄密、不当使用或缺失a)分发、访问、检索和使用；b)存储和防护；7.5.3.3对于确定的策划和运行商业秘密管理体系所必需的来自外部的成文信息，企业应进行适当识77.5.3.4对所保留的、作为符合性证据的成文信息应予以保护，防止非预期8.1.1为满足商业秘密管理体系的要求，a)确定商业秘密管理要求；e)在必要的范围和程度上，确定并保持、保留策划和控制过程的成文信息，以确信过程已经按8.1.2企业应确保对外部提供的与商业秘密8.1.3企业应控制策划的变更，评审非预期变更的后果，必要时，采取措施减轻不利影响。企业应按照8.1的要求开展商业秘密的管理工作a)识别和确定商业秘密；b)采取措施隐藏商业秘密；d)解除不具有保密价值或由于特定因素导致被公开的商业秘密；企业应按照8.1的要求开展涉密事项的管理工作a)识别和确定涉密事项（如涉密人员、涉密载体、涉密物品、涉密区域、涉密商务活动等企业应定期对涉密事项管理措施进行评审。附录A给出了a)针对商业秘密泄密、侵权等紧急情况策划应急预案；b)为所策划的响应提供培训；8企业应对已发生或疑似发生的泄密、侵权等紧急情况做出响应，a)启动对商业秘密泄漏、侵权等紧急事件的核查，确认事件发生的事实和过程；b)分析商业秘密泄漏或侵权原因，判断是否侵权，并评估事件的严重程度；c)收集和固定商业秘密相关证据；必要时，可委托律师调查取证、通过公证机构取证、向法院9绩效评价9.1监视、测量、分析与评价9.1.1企业应建立、实施和保持用于监视、测量、b)适用时的监视、测量、分析与评价的方法，以确保得到有效的结果；e)何时应分析和评价监视和测量的结9.1.2企业应评价其商业秘密绩效和商业秘密管理体系的有效性。9.2.1总则企业应按照策划的时间间隔进行内部审核，a)是否符合企业自身的商业秘密管理体系要求和本文件要求；a)在考虑相关过程的重要性和以往审核结果的情况下，策划、建立、实施和保持审核方案，审b)规定每次审核的审核准则和范围；c)选择审核员并实施审核，以确保审核过程的客观性和公正性；e)采取措施，以应对不符合和持续改进其商业秘密9.3管理评审9.3.1总则99.3.2管理评审输入b)与商业秘密管理体系相关的内外部因素的变化；e)应对风险和机遇所采取措施的有效h)监视测量的结果；9.3.3管理评审输出b)评审和分析不符合，确定不符合的原因，确定是否存在或者可能发生类似的不符合；评价等，以确定是否存在需求和机遇，这些需求和机遇10.2.2企业应持续改进商业秘密a)应制定涉密人员管理制度，明确涉密人员的应聘、入职、在职、离职等环节的管理要求；b)应对涉密岗位的应聘人员进行保密事项提醒，对涉密岗位的拟入职人员进行背景调查；应要求其做出不侵犯前雇主的商业秘密、不违反与前雇主签订的竞业限制协议等承可签署竞业限制协议；开展新入职人员的保密教育培训，培训结束后并进行考核，保存培d)应对在职人员进行管理，建立涉密人员名单，实施分级管理；定期开展保密教育培训，对e)应对涉密人员离职进行管理，对其使用的涉密设备、涉密载体、涉密文件及相关物品进行清查并移交；开展离职面谈，告知其离职后应负有的保密义务；应完成涉密载体的交接，f)应对聘任或委托外聘的专家、顾问、翻译、律师等可能接触涉密信息的外部人员签订保密协议或保密承诺书，宜进行背景调查；临时访问人员需要接触或可能接触商业秘密时，应经审批和登记，签订保密协议或保密承诺书，并安排保密人员全a)应制定涉密载体管理制度，明确涉密载体的识别和确定、制作、使用、保存、维修和销毁b)应识别和确定企业所有涉密载体，建立涉密载体台账，宜按照涉密信息的密级和性质进行分类，实行分级管理；应定期对涉密载体进行清点和核查，确定涉密载体的数量、位置、c)涉密载体制作过程应进行保密，由专人负责制作、收转、存档，并在涉密载体的适当位置d)涉密载体的使用（包括查阅、借阅、复印、拷贝等）应履行审批和登记手续，并对涉密载e)涉密载体应保存在涉密区域的专用设备中，并由专人负责保管；涉密载体的维修，应指定f)涉密载体的维修和销毁应履行审批和登记手续，按照规定的程序和方法，并在专人监督下a)应制定涉密物品管理制度，明确涉密物品的识别和确定、生产和加工、使用、保存、维修b)应识别和认定企业所有涉密物品，建立涉密物品台账，宜实行分级管理，并在醒目位置粘贴（悬挂）涉密指示标识和禁止行为的警示标识；应定期对涉密物品进行清点和核查，确c)应在涉密区域内进行涉密物品的生产和加工，宜根据涉密物品生产和加工流程，安排不同d)应在涉密区域内使用涉密物品，并履行使用登记程序；对外销售的涉密物品，应与客户签订保密协议或在销售合同中增加保密义务条款，宜采取足以对抗不特定第三人通过反向工e)应在指定的涉密区域存放涉密物品，并指定专人负责管理；f)涉密物品的维修、报废应履行审批和登记手续，按照规定的程序和方法，并在保密人员监a)应制定涉密区域管理制度，明确涉密区域的识别和确定、安全防护、日常管理、检修和维b)应识别企业所有涉密区域，确定涉密区域的范围，并在醒目位置粘贴（悬挂）涉密区域指c)应对涉密区域进行物理隔离，并根据其保密级别，选择安装安全防范设施设备，配备专职d)涉密区域内部使用的通信、网络、计算机、信息系统、办公设备等应符合国家相关保密规e)应对涉密区域人员、物资进出实行登记管理，未经审批或授权严禁人员进入和物资离开；涉密区域如需接待外来人员，应指派保密人员全程陪同，并告知保密注意事项和要求；必f)应定期对涉密区域的设施设备进行检修和维护，并履行审批和登记手续，按照规定的程序和方法，并在保密人员监督下进行；必要时，应开展不定期a)应制定涉密商务活动管理制度，明确涉密商务活动中信息发布、涉密会议、商业活动、对b)应对信息发布实施保密审查，明确人员职责权限，对新闻稿件、展览展会宣传资料、著作论文、申请专利等信息实施对外发布前审查、发布后检查，以及对涉密信息的c)应对涉密会议实施商业秘密管理，选择具有保密条件的场所，限定参会人员范围，签订保密协议或承诺书；涉密文件资料应