国浩视点｜企业商业秘密管理体系建设要点解析

商业秘密是企业的重要无形资产，对企业形成和保持竞争优势起着关键作用。近年来，尽管一些企业已经建立了相应的商业秘密保护制度，但大多数企业在保护商业秘密方面的意识仍相对薄弱。这种保护意识不足和落后的保护措施导致侵害商业秘密的案件不断增加，商业秘密被泄露和窃取的事件频发，严重影响了部分企业的生产经营活动。因此，加强商业秘密管理体系的建设不仅有助于保障企业的无形资产，也是维持企业竞争力的关键。

扁鹊论医时提到其长兄是三兄弟中医术最为高明的，因为长兄能够“医病于未病”，就是在病情发作之前就能铲除病症，商业秘密管理体系建设与之有异曲同工之效，即在发生泄密事件之前就做好防控、能够溯源、有迹可循。商业秘密管理体系建设就是建立起一套科学、系统、有效且可执行的商业秘密管理机制，是现代管理学的重要一环。企业根据自身技术信息、经营信息的特点，结合现行法律法规，利用现代化管理手段，对商业秘密的管理、保护、运用、转化进行统一的调配和统筹，能够提升企业的综合竞争力，助力企业健康、长效发展。

那么如何构建企业的商业秘密保护体系呢？构建商业秘密保护体系作为一个相对模糊的概念，往往难以通过系统化、规范化的文书形式向目标客户进行呈现。如果只停留在为企业撰写规章制度、员工守则、或单纯修订商业合同当中关于知识产权的条款，则难以起到保护客户商业秘密这一根本目的。为更好的呈现这个概念，笔者这里综合参考由日本知识产权协会制定并发布的《商业秘密保护实务指南》，和中国专利保护协会参与编写的《企业商业秘密管理规范》中的观点，试探性地提出商业秘密保护体系应当是一个建立在组织内部、基于组织共同利益而形成的综合性框架。该体系旨在牺牲组织一定效率的前提下，确保企业商业秘密的安全性和保密性。它由一系列策略、政策、程序和措施组成，涵盖了组织内部和外部的方方面面。

它需要组织明确识别和分类商业秘密，并制定详细的保密政策，确保员工和合作伙伴清楚了解保密要求。其次，商业秘密保护体系需要建立强大的技术安全措施，如加密、访问权限控制和网络安全，以防止未经授权的访问和泄露。同时，通过培训和意识提高活动，增强员工的保密意识和能力，使其能够有效保护商业秘密。此外，商业秘密保护体系还需要建立合同和协议，明确相关各方的保密义务和违约责任，并建立内部监测和审计机制，定期检查和评估系统和员工行为，以发现和解决潜在的保密漏洞和风险。最后，商业秘密保护体系需要建立应对保密违规行为的机制，包括内部投诉渠道和处理程序，以及在发生泄密事件后的响应机制和采取适当的法律措施维护权益。通过这样一个综合的保护体系，组织能够在最大程度上全面地保护商业秘密，防止未经授权的披露和利用，从而维护其竞争优势和商业利益。

构建企业商业秘密保护体系与一个国家建立法律体系在本质上有诸多相似之处。两者都是关于建立一套旨在保护和管理宝贵资产或原则的规则和指南。在企业商业秘密保护体系中，这些资产是公司独特和专有的信息，赋予其竞争优势。相比之下，国家法律体系则涉及管理社会的法律和规章。构建商业秘密保护体系的关键环节包括识别公司的商业秘密、建立和执行保护这些秘密的政策，以及培育重视商业秘密价值的文化。这一过程不仅涉及公司员工，还涉及其处理合作伙伴和供应商。这与国家法律体系识别关键社会价值和规范、建立保护这些价值的法律、以及培育法律遵从和尊重法治文化的方式类似。

两种体系都需要持续的维护和发展。正如法律必须与社会变化保持同步一样，企业关于商业秘密的政策也必须适应新的商业实践和技术。在这两种场景中，都强调了教育和培训的重要性。公司必须定期进行培训，确保员工理解并遵守商业秘密政策，就像法律教育旨在让公民了解他们在法律下的权利和责任一样。这两种体系的有效性都取决于执行力。企业商业秘密保护体系必须具有检测和处理违规行为的机制，这类似于国家法律框架中执法和司法系统的作用。

因此把构建企业商业秘密保护体系与建立国家法律体系联系来看，我们便可以顺着这个逻辑进行部署。首先要制定的是基本的纲领性质的“商业秘密保护工作办法”，该文件可以理解为国家宪法。在企业层面，制定“商业秘密保护工作办法”的重要性类似于国家宪法在国家治理体系中的作用。这个办法可以视为企业内部关于商业秘密保护的最高指导文件，它设定了企业对商业秘密管理的基本原则、范围、责任、措施和执行机制。如同宪法为国家法律体系提供基本框架和原则一样，“商业秘密保护工作办法”为企业内部关于商业秘密的所有政策和程序提供了核心指导和依据。该文件的制定也是之后相关配套文件的基础以及落实具体事务的纲领。

商业秘密管理体系建设主要包括商业秘密保护工作办法（也就是商业秘密管理制度）的编制和延伸、保密措施设置以及执行环节共计三大核心模块。

商业秘密管理规章制度包括与商业秘密有关的全部管理制度，编制过程包括企业内部的商业秘密管理机构设置、企业信息的梳理、商业秘密范围的划定等，还至少应包括员工工作档案管理制度、离职员工跟踪管理制度、主要竞争对手跟踪管理制度、信息发布审批制度等内容。延伸的还包括将商业秘密管理相互配合的管理制度进行编制和修订，例如与劳动人事相关制度紧密结合，包括新员工尽职调查、劳动合同、员工手册、员工在职培训协议、员工岗位变更协议、劳动合同解除（终止）协议、岗位描述、规章制度的民主公示程序等内容。

保密措施设置是针对企业具体情况设计的个性化保密措施，包括对内部员工的保密协议、员工离职的保密协议、对外部访问、洽淡等人员及客户的保密协议、竞业限制协议、保密软硬件的设置、保密区域的划分及技术措施设定、档案室保密措施的设定和管理、涉密文件的分类与管理、保密信息的传递流程等个性化内容。

执行环节是将设置好的各类措施和管理制度进行执行、发现问题、处理问题以及再修改的循环，同时针对全体成员进行商业秘密培训，针对不同职级、不同岗位的员工分阶段、分内容培训，至少包括商业秘密法律法规基础培训和侵犯商业秘密的刑事法律风险培训，并制作商业秘密法律风险培训手册以便查阅，形成企业自身的保密文化。

(一) 商业秘密管理机构的设立

企业应当设立一个商业秘密管理的机构，这个机构可以不是一个常设机构，以一个临时性组织的方式存在（如：商业秘密管理小组），这个管理机构的主要作用就是领导企业的各个部门开展商业秘密的保护工作，企业的高层领导应当参与到商业秘密管理机构当中以便更好地展开工作，毕竟商业秘密的保护是关乎着企业整生命线的，需要强有力的“权利支撑”，除此之外，还应该包括行政管理部门、办公室、法务部门、财务部、销售部、宣传部门、生产研发部门等其他相关部门的领导参加，并指定专员承担具体工作。

商业秘密管理机构的主要职责包括：

1. 研究决定本企业商业秘密管理和保护的基本方针，审议企业商业秘密保护工作的各类规章制度，制定和审阅企业的商业秘密保护工作计划并领导实施；

2. 划定企业所拥有的商业秘密范围，决定企业商业秘密的密级、保护期限、保护范围，以及相关事项的变更、解除；

3. 组织、指导企业商业秘密保护的基础设施、信息系统的建设方案和实施，划定保密区域和部门；

4. 组织开展企业商业秘密保护的教育和培训工作；

5. 监督指导企业商业秘密保护工作，组织查处并应对泄密事件。

企业的商业秘密保护工作应当实行领导干部责任制，各部门的主要负责人是商业秘密保护工作的第一责任人，对本部门的商业秘密保护工作负总责，分管商业秘密保护工作的负责人对本部门商业秘密保护工作负具体领导责任，分管业务工作的负责人在职责范围内对商业秘密保护工作负直接领导责任，各岗位具体工作人员对本岗位的商业秘密保护工作负责。

(二) 商业秘密保护范围的划定

既然商业秘密是被保护的客体，那么明确商业秘密的范围是个非常重要的课题。另外，在很多商业秘密争议解决案件中，原告败诉的主要原因就是无法确定商业秘密的具体范围。企业就商业秘密的范围进行划定后，应当明确的写入商业秘密管理规定。明确了商业秘密的保护范围后，形成企业自己的商业秘密库将更有利于商业秘密的管理和保护。

根据定义，商业秘密指的是企业在开展经营活动中获得的不为公众所知悉、具有商业价值并经企业采取相应保密措施的技术信息、经营信息以及其他商业信息。根据企业的类型、产品、经营模式等因素的不同，技术信息包括：研发战略、核心技术、技术方案、技术设计、技术图纸、科研成果、标准化建设、技术流程、程序、制造工艺、制造方法、技术诀窍等技术信息；经营信息包括：战略规划、投融资决策、经营模式、管理方法、经营管理信息、并购重组、产权交易、财务信息、财务报表、成本结构、研究报告、商业计划、市场调研、市场营销信息资源储备、客户名单、客户信息、合同、招投标事项等经营信息。企业商业秘密保护范围包括企业内部的商业秘密，以及企业与外部机构、个人之间的商业秘密所涉及的获取、使用、储存、传输以及销毁等全过程。

(三) 商业秘密的诊断

虽然相关信息被划入企业内部的商业秘密保护范围，但是在司法实践中这些信息能否被认定为是商业秘密主要考察的还是其是否具备“三性”，也就是是否不为公众所知悉、具有价值性的信息和企业采取了合理的保密措施的信息。企业在进行内部诊断时，可以就具体的信息做出判断，具体方法包括：

1. 就技术信息进行检索以综合判断其是否是公众所知悉的信息，检索包括但不限于专利数据库、论文库、教科书、期刊文献等渠道，经检索后的信息发现具体内容已经被公开了，那么相应的“秘密性”自然不存在，也就不具备商业秘密的基本属性了。反之，经检索并未发现同样的信息，那么从一定程度上来说相关信息是不为公众所知悉的，但是这个结论并不绝对，因为检索结论并不能百分百保证相关信息绝对没有被公开。就经营性信息而言，它的“秘密性”判断相对复杂，除了进行一定的检索之外，还要考虑到相关信息的特定性和关联性，结合企业自身的经营模式、信息类型等要素进行判断。

2. 关于是否具有商业价值，前面章节已经介绍过，商业秘密的价值性包括现实的价值性和潜在的价值性，前者涉及可以现实地直接应用的信息，能为企业创造经济价值、带来利益，如商业秘密所对应的产品可以创收，客户名单能为企业带来销售；后者涉及虽不能现实地应用，但将来可以应用的信息或者可以加快商业活动进程的信息，例如失败的实验数据可以为竞争对手缩短研发时间。

3. 关于是否采取合理的保密措施，就是判断企业对其划入商业秘密范围的信息是否采取了相应的保密措施，并且判断其是否合理有效，这也是企业凭借自身管理能力的提升能够达成的要素，也是建立企业商业秘密保护体系的目标。企业可以通过判断某一件具体信息的管理情况、保护情况、使用情况去判断保密措施的合理性，进而完成自我诊断。

(一) 纲领性的规定

商业秘密管理制度将企业商业秘密管理的基本原则、法律法规依据、适用范围等内容写入其中，是商业秘密管理制度的基本条款。写明为规范企业的商业秘密的保护工作，提高保密工作管理水平，确保企业商业秘密安全，所依据的法律至少包括《中华人民共和国反不正当竞争法》，并结合企业实际情况而制定的管理规定。其次，明确商业秘密保护工作指的是划定企业商业秘密的范围、保密措施的设定和实施、就商业秘密进行分级管理、商业秘密载体的管理、涉密人员管理、信息管理、涉密区域管理、涉密载体管理、信息发布审核、泄密风险评估、应急事件处理以及奖惩规则、评价改进和责任划分等事项。写明企业商业秘密保护工作的领导原则，强调建立商业秘密保护体系的决心。最后，明确商业秘密管理制度的适用范围，是全集团适用还是分、子企业适用，亦或某一个特殊实体适用。

(二) 写明管理机构和职责

将前述章节提到的商业秘密管理机构明确写入商业秘密管理规定，写明机构领导和管理结构，写明各部门职责并进行明确分工，如：技术研发部门负责研发相关的商业秘密保护，财务部门负责财务相关的商业秘密，销售部分负责销售数据和客户名单的保护等。

(三) 商业秘密分级

考虑到商业秘密管理的成本，避免冗余的管理投入，企业在划定商业秘密范围时根据商业秘密的重要程度、易于实施的程度、成本高低等因素结合企业自身情况设定商业秘密的分级。一般的分级方式分为两种，第一种是参考“国家秘密”的分级方式，将商业秘密分为绝密、机密和秘密三级。绝密，指企业赖以生存，泄露后会使企业的经济利益遭受特别严重损害的商业秘密。绝密级商业秘密的泄露会造成企业对应产品线失去市场竞争力、造成重大的经济损失。包括但不限于核心产品的工艺技术、图纸、过程技术、算法、代码、核心数据、独特的采购渠道、重要的战略规划、投资计划、财务信息、研发计划、核心技术人员和管理人员的信息等，以及企业商业秘密保护委员会认为属于绝密信息的其他信息。机密，指对企业有重大价值、泄露后会使企业的经济利益遭受严重损害的商业秘密。机密级信息的泄露会造成企业部分产品线的市场竞争力降低或者单一订单损失、使竞争对手缩短与企业的差距或者更容易对企业战略作出判断。包括但不限于产品的部分技术信息、特殊零配件信息、投标信息、客户信息、非核心实验数据、价格信息、战略规划、一般技术人员和管理人员信息等。秘密，指一般的企业秘密，部分泄露不会使企业利益造成重大损失。包括但不限于通用技术、常规采购信息、一般经营信息、一般投标信息、不涉及商业秘密的新闻稿件等。第二种分级方式仅将商业秘密分为核心商业秘密和普通商业秘密两级，核心商业秘密指的是企业赖以生存泄露后会使企业的经济利益遭受特别严重损害的商业秘密。绝密级商业秘密的泄露会造成企业对应产品线失去市场竞争力、造成重大的经济损失。普通商业秘密指的是企业一般保密信息，一旦泄露会给企业造成一定损失，但是不会影响企业核心产业、不会动摇企业生命线。

商业秘密密级的划分方法由商业秘密管理机构确定，具体信息的分级由产生的部门根据指导进行拟定，由管理机构最终审批和确定并在商业秘密目录进行标注。商业秘密的密级可以根据现实情况及时变更，变更由相应部门和商业秘密管理机构国共同确定。

(四) 保密期限

商业秘密的保密期限，企业根据商业秘密的性质、特点、生命周期、价值大小、市场因素影响、维护成本等条件，按照维护企业权益的要求，可以为相关保密信息设定保密期限，无法确定期限的可以设定为“长期”“实施前”“公布前”等期限设置。对于已经被公开的信息会因为自动丧失“秘密性”而失去商业秘密的基本要素。保密期限将会被标注在商业秘密目录上，需要变更的由商业秘密管理机构和相应部门共同确定。

(五) 商业秘密的知悉范围

既然是秘密，那就不能人尽皆知，商业秘密应当根据具体的适用范围、层级等因素设置接触人员的范围，应当在最小范围内限定具体岗位和具体人员，例如行政部门没有比较接触技术信息、销售部门没有比较接触员工信息，否则在具体案件中很难认为采取了合理的保密措施。

(六) 人员管理

根据法律规定，企业全体员工不得实施的侵犯商业秘密行为包括：

1. 以盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取公司商业秘密；

2. 披露、使用或者允许他人使用以前项手段获取的公司商业秘密；

3. 违反保密义务或者违反公司保密要求，披露、使用或者允许他人使用其所掌握的商业秘密；

4. 教唆、引诱、帮助他人违反保密义务或者违反公司保密要求，获取、披露、使用或者允许他人使用公司商业秘密。

员工入职时应当由人力资源管理部门做好知识产权背景调查，入职员工应对其填写内容的真实性负责，以免企业被动侵犯其他公司的商业秘密。员工入职应根据不同岗位的性质签订《员工保密协议》《竞业限制协议》等文件。涉密人员是指各单位日常工作中生产、经管或者接触、知悉商业秘密事项的岗位工作人员。各单位涉密人员的确定，由涉密人员（岗位）所在部门根据承担工作任务人员实际涉密情况，提出涉密人员名单报商业秘密管理机构备案。各单位涉密人员实行动态化管理，应根据涉密人员的工作岗位、工作任务、职责范围等变化，及时调整并报商业秘密管理机构备案。各单位涉密人员应进行岗位保密教育培训，掌握商业秘密保护工作知识和技能，签订《员工保密协议》和《竞业限制协议》，明确保密义务和责任。各单位涉密人员转岗时，应切实保护员工权益，并签订新的《岗位说明书》，有必要时根据调整签署新的《员工保密协议》和《竞业限制协议》，进一步明确保密义务和责任，注重公司商业秘密保护，降低泄密风险。各单位涉密人员离岗、离职时，企业应与其进行离职谈话，清退、移交或者销毁个人持有和使用的商业秘密文件、资料以及涉密设备、物品，签订《离职承诺书》，承诺书中明确保密义务、竞业限制义务及其他应当承担的法律责任。最后，在涉密人员离职后的一定期限内，企业应当做好离职员工动态跟踪，了解离职员工去向和工作内容，以防本企业商业秘密被离职员工带入新的工作单位，造成本单位的商业秘密泄露，造成损失。

(七) 涉密区域管理

涉密区域指各部门日常工作中产生、传递、使用、存储商业秘密及载体的场所，企业各部门应加强保密区域的管理，按照最小化、精准化原则，严格界定保密区域，落实保密责任，在条件允许的情况下配备、使用电子监控、红外报警等必要的技术防护设施和设备，确保商业秘密处于安全状态。企业的安保、保卫管理部门应当定期组织对安防设备（门禁系统、视频监控、防盗报警安防设备等）进行检测和维修，并就相应设备的使用、维护、运行状态做好记录，保证相关设备标识清晰完整、能够正常使用，对于发现的问题应及时解决。企业应以醒目的方式对涉密区域加以标识，涉密区域发生变化时，应及时变更标识。对涉密区域人员进出权限做出明确规定，对物资出入保密区严格执行出入登记制度。在涉密区域设置监控，保留进出涉密区域人员可溯及性记录。未经许可，涉密区域内严禁拍照、摄像等任何可能泄密的行为。各涉密区域，非经商业秘密管理机构审批同意，原则上禁止一切外来参访活动，经许可的外来参访活动，接待部门应要求外来人员先行签署《外来人员保密承诺书》后进入公司或特定区域。但是，在现实情况中，很多处于强势地位的参访人员是不会签署“承诺书”的，在这种情况下陪同参观人员应该及时告知参访人员不得拍照不得录像。

(八) 载体管理

涉密载体总体上分为涉密文件和涉密设备（硬件）两大类，涉密文件指的是以文字、符号、图形、声像资料等形式载有商业秘密的文件、资料，如图纸、电子文档等。涉密设备指的是直接含有商业秘密信息的设备、产品，如光片、U盘、硬盘等。各部门在涉密载体的收发、使用、保管过程中，不得随意遮挡、涂改其保密标识，汇编、摘录和引用商业秘密内容时，应以其最高密级和最长保密期限做出标志。各部门应加强涉密文件资料的制作、手法、传递、使用、保存、销毁、鞋带外出等全流程闭环管理，遵守相关保密规定，严格控制查阅范围，严禁在没有安全保障的个人电脑、公共电子邮箱、QQ、微信、云盘等网络工具中存储、传输、处理涉密文件资料。各部门应做好涉密电子设备保密工作，涉密电子设备包括但不限于计算机、打印机、复印机、传真机等用于处理商业秘密信息的电子设备。对涉密U盘、光盘等移动存储介质要实行统一购置、统一标识、统一备案、跟踪管理政策。

(九) 会议管理

会议涉及讨论商业秘密相关信息的，按照“谁主办、谁负责”的原则进行管理，条件允许的情况下应当选择具备保密条件的场所召开涉密会议，会场应当使用信号屏蔽装置，禁止携带或者使用无线电子设备，会议中如需播放涉密视频、音频等，应使用涉密计算机等设备。会前应将涉密会议文件、资料进行编号登记后发放，发放应履行签收手续，并对参会人员及工作人员进行保密教育。会议进行中无关人员不得进入会场，会场人员不得随意录音、摄像、拍照和摘抄，不得擅自复印涉密会议相关文件、资料。

(十) 计算机网络安全管理

企业应充分管理和控制网络，以防泄密事件发生，维护网络系统和计算机应用程序的安全。涉密计算机应根据处理信息最高密级确定级别，与国际互联网及其他公共信息网络实行有效的物理隔离，安装保密技术防护系统，并采取身份鉴别、访问控制、安全审计、密码保护、边界安全防护和病毒防护等安全保密防护措施。

(十一) 信息对外发布与新闻宣传管理

企业应当加强宣传报道和信息发布保密管理，建立健全保密管理制度，明确保密职责，严格新闻宣传、信息发布等活动的保密审查和审批，明确发布信息的合法性、安全性、准确性，符合国家有关法律法规的规定。严禁各部门对涉及商业秘密的内容向大众媒体投寄传播、公开出版、宣传报道和接受采访。确因工作需要涉及商业秘密事项的，采取保密措施后，提交宣传部门和商业秘密管理机构审核，并确保以合同协议等形式明确告知和要求相关方承担保密义务。未经审核，任何部门和员工都不得以个人名义对外宣传、发布和公司相关的各类涉密信息。企业应设置新闻发布审批流程和信息对外发布审批流程。对外发布新闻参考流程：各部门编写信息原稿—本部门领导初审—宣传部门编辑审校—宣传部门领导复审—商业秘密管理机构审批—信息发布部门签发。对外发布信息参考流程：宣传部门编辑撰写—宣传部门领导审校—商业秘密管理机构审批决定—总经理签发。各部门负责发布的人员应对收到的经过审核后的信息在确认审核意见后，及时进行发布，以确保信息发布的及时性和准确性。信息发布后，发布人应对信息原档即时进行保存，完成信息内容的检查和校对确保无误，并应同步完成发布人、发布时间等信息登记。坚持“谁签字、谁负责”的原则，所有信息必须经审核负责人签字同意后，交由专职人员负责发布。

(十二) 对外合作保密管理

对外合作除了主营业务往来外还包括与企业业务相关的系统开发、会计、法律、审计、评估等中介服务，企业在与外部单位合作前应与之签订保密专项协议或在合作对应的合同中明确保密条款，并将相关合同协议报送商业秘密管理机构备存，对应部门应当就合作过程中的保密事项进行负责。各部门在重点项目、重大工程、重要谈判工作中，应加强商业秘密保护，建立健全保密工作前期介入机制，形成商务洽谈前签署《保密协议》的习惯。

除上述要点外，企业还需要就商业秘密管理体系的运行进行检查与考核，设立奖励与惩处机制以及评价改进机制，并且对泄密事件的应对做出明确的规定和演练。经过长时间的运行和修订，最终形成与本企业客观情况相适应的管理体系与保护习惯。

【 特别声明：本篇文章所阐述和说明的观点仅代表作者本人意见，仅供参考和交流，不代表本所或其律师出具的任何形式之法律意见或建议。】