很多企业把涉密机房、涉密电脑、内部台账都做得滴水不漏，现场审查却栽在了外协外包上。
不少老板有一个根深蒂固的误区：涉密业务包出去，保密责任就跟着转给合作方了。
事实上，审查规则里写得很清楚：委托方是第一责任人。外协单位泄密，资质单位同样扣分、暂停任务、甚至撤销资质，前期所有筹备全部归零。
今天鑫中安保密咨询，给大家梳理外协外包全链条里，审查组重点盯、企业最容易忽略的风险点，以及可落地的管控方案。
一、先分清：哪些业务属于涉密外协？
不止是零部件加工，这些都算涉密外包：
✅ 涉密图纸、技术方案的第三方设计、仿真、检测、试验
✅ 涉密载体印制、装订、扫描、数字化加工
✅ 涉密软件定制开发、数据处理、技术服务
✅ 涉密工程施工、机房改造、安防维保
只要业务内容包含国家秘密信息，不管金额大小、合作周期长短，都纳入保密管控范围。
很多企业踩坑：找了没有对应保密资质的第三方承接涉密外协业务，等到现场审查，直接判定严重不符合项。
二、外协外包5个高频失分点，自查对照
1. 事前不做保密审查，资质匹配不上
只看对方报价、交付周期，不核验保密资质等级、有效期、资质范围。
举个例子：二级保密资质单位，把秘密级业务外包给只有三级资质的服务商，属于硬伤。
还有一类隐形风险：合作方资质到期、被暂停、经营范围不覆盖该类业务，企业没有定期复核。
2. 外协保密协议流于形式，条款写得太笼统
网上随便下载一份通用保密协议，没有结合项目密级、知悉范围、载体回收、泄密追责。
合格的外协保密协议，必须写清：
- 本项目的密级、保密期限
- 涉密信息知悉人员清单
- 涉密载体交付、回收、销毁流程
- 禁止二次转包、分包涉密业务
- 泄密事件上报、赔偿、追责条款
重点提醒：口头约定保密，在审查中一律无效。
3. 过程管控空白，不知道对方内部怎么管理
业务交给外协之后，全程“放养”，不开展监督检查。
风险场景：外协员工私自拍照、把涉密图纸拷贝到个人电脑、在非涉密网络传输资料、加班时无关人员随意翻看涉密材料。
审查组会直接追问：你如何证明，合作方内部落实了保密要求？
4. 涉密载体交接无台账，来龙去脉说不清
图纸、样件、光盘、技术文档交给外协，没有签收登记、归还记录。
经常出现：图纸交付出去，项目结束后少了一份，说不清是留在对方手里、丢失还是销毁了。
涉密载体每一次交接，都要做到：谁交出、谁接收、什么密级、什么时候归还，全程留痕。
5. 项目结束，保密闭环没做完
外协合作结束，只收成果，忘记回收全部涉密资料、删除对方设备内涉密电子文件，也没有出具保密终结确认单。
哪怕项目验收完成，对方手里留存涉密资料，风险会一直存在。
三、一套合规外协管控流程，直接落地
1. 立项评估：判断业务是否涉密，确定密级，评估是否必须外包；能内部消化的涉密业务，尽量不外流
2. 供方筛选：核验保密资质、有效期、业务范围，做背景调研，建立合格外协供方名录
3. 签订专项协议：定制涉密外协保密协议，禁止转包分包
4. 交底与管控：对外协涉密人员开展保密交底，明确知悉范围；定期开展现场监督检查
5. 载体闭环：涉密载体交接登记，项目结束全部回收、清点、销号，电子资料核查清除
6. 归档留存：资质复印件、协议、交底记录、检查记录、载体台账统一归档，备查
四、鑫中安咨询提醒
保密管理从来不是只管好自己公司这四面墙，涉密业务是一条完整的保密链条，任何一环失守，整条链条全部失效。
很多企业投入大量时间、资金搭建内部保密体系，最后栽在供应链外协上，非常可惜。
外协外包管控，是新版保密资质审查持续加码的方向，也是近几年审查扣分、通报的高发板块。
如果您正在准备资质审查、承接涉密新项目，或者已经有长期外协合作，欢迎联系鑫中安保密咨询，帮您梳理外协供方清单、完善协议模板、补齐管控漏洞，提前规避现场审查风险。