- 对本书的赞誉
- 序一
- 序二
- 序三
- 前言
- 第一部分 安全架构
- 第 1 章 企业信息安全建设简介
- 第 2 章 金融行业的信息安全
- 第 3 章 安全规划
- 第 4 章 内控合规管理
- 第 5 章 安全团队建设
- 第 6 章 安全培训
- 第 7 章 外包安全管理
- 第 8 章 安全考核
- 第 9 章 安全认证
- 第 10 章 安全预算、总结与汇报
- 第二部分 安全技术实战
- 第 11 章 互联网应用安全
- 第 12 章 移动应用安全
- 第 13 章 企业内网安全
- 第 14 章 数据安全
- 第 15 章 业务安全
- 第 16 章 邮件安全
- 第 17 章 活动目录安全
- 第 18 章 安全热点解决方案
- 第 19 章 安全检测
- 第 20 章 安全运营
- 第 21 章 安全运营中心
- 第 22 章 安全资产管理和矩阵式监控
- 第 23 章 应急响应
- 第 24 章 安全趋势和安全从业者的未来
- 附录
4.4 制度管理
无论企业属于什么行业、规模大小、发展快慢、战略方向如何,都需要一套科学合理的制度体系,保证制度的合规性、有效性、可操作性及规范性,才能更好地管理和约束员工,形成有序、良性发展。金融企业的 IT 部门也一样。
制度一般以条文形式展示,名称通常冠以政策、规定、办法、规程、细则、指引等;制度可以通过制度补丁的方式进行调整、补充和完善,制度补丁可以采取条文或非条文的形式展示,一般以修订通知、补充通知或加强管理通知等标题体现。
1.制度体系
制度体系应遵循架构合理、层级清晰、覆盖全面的原则,制度体系一般包括三级:
·政策级制度,是指用于规范业务条线行使经营管理职责基本事项的制度,名称一般使用制度、规定、政策、章程等。
·办法级制度,是指用于规范业务条线的工作方法和具体内容的制度,名称一般使用管理办法、管理规程等。
·规程级制度,用于规范具体的作业内容,名称一般使用操作规程、操作细则、实施细则、指引等。
2.制度的起草
在起草制度过程中,应开展调查研究,广泛征求制度执行部门和人员、部门内部相关人员的意见,以论证制度的必要性、有效性、合理性和可操作性。紧密涉及其他部门职责或与其他部门关系的制度,主办部门应充分征求其意见。征求意见可采取发送征求意见函、召开制度会审会、签报以及发文会签等方式进行,其中发文会签为此类制度在发文阶段的必经程序。
制度内容一般应包括:总则(含目的依据、适用范围、管理原则、职责分工、定义等)、管理流程、监督检查及罚则(如有)、附则(含制定细则要求、解释部门、施行日期、作废声明等)。
3.制度的评审
制度评审主要包含以下内容:
·是否符合法律、规则、准则和监管要求。
·是否与本公司有关制度协调一致、接口清晰。
·是否影响本公司制度整体架构的合理性和清晰性。
·制度描述的流程是否清晰并具有可操作性。
·是否符合本公司制度的规范性要求。
·评审人员可以对其认为的其他制度问题(如制度实用性和适宜性等)提出评审意见。
4.制度的发布
经评审、审核或审议通过的制度以公文形式印发。为便于制度维护和管理,印发的制度原则上应一文号对应一项制度。主办部门应根据制度的印发时间,合理确定制度的施行日期,并在制度中明确。实际中,很多情况是“本文自发布之日起施行”,但不如确定日期更合适。
5.制度的维护
制度的维护包括制度的后续评估和制度改进。制度后续评估是指主办部门对制度实际管理效果进行的自我评估,旨在发现制度存在的问题,评估是否需要对制度进行改进。后续评估包括以下内容:
·是否存在合规性、有效性、可操作性和规范性等制度问题。
·制度间是否存在重复、冲突。
·是否存在制度缺失和管理盲点。
·对制度进行梳理,摸清制度补丁情况,评估实施整合的可行性和必要性。
对执行层面反映意见较多的制度,主办部门应及时进行后续评估。对于施行超过 5 年的制度,主办部门必须进行制度后续评估,并将评估结果报同级制度主管部门。
在日常工作中,总分支机构各部门应多方收集和整理制度信息,提高制度后续评估的效率和质量。制度信息包括:外部政策变化,总部制度的变化,制度解释解答,基层操作人员反馈的制度问题,业务检查发现的管理漏洞,外部或同业案件反映的管理漏洞和新风险,内部组织架构、管理和业务流程调整等。
制度改进是指根据制度后续评估结果和业务管理需要,主办部门实施的制度新增、换版、修订、补充以及整合工作。在实施制度改进工作前,主办部门要评估制度改进的成本,兼顾制度的稳定性和执行的方便性,选择印发制度补丁、增加新制度或换版等方式对制度实施改进。对于制度存在较多补丁的,相关部门要结合部门制度架构的安排,对制度实施整合。一般情况下,一项制度的补丁不应超过 3 个。
制度补丁主要有以下几种方式:
·修订通知,是指针对具体制度条款实施调整的制度补丁,发文中应写明作废条款的内容以及对应替换条款的内容,一般情况下其发文标题拟为“关于修订《××公司×××》有关条款的通知”,并在文中注明解释部门和施行日期。如同时补充了相关内容,应对补充内容进行独立描述,并将发文标题拟为“关于《××公司×××》的修订补充通知”。
·补充通知,是指针对具体制度进行整体补充的制度补丁,不对原制度条款实施改变,发文中主要描述补充的内容,一般情况下其发文标题拟为“关于《××公司×××》的补充通知”,并在文中注明解释部门和施行日期。如属对新增业务功能或管理内容的补充,也可采取条文的形式,一般情况下其发文标题拟为“关于印发《〈××公司×××〉新增×××的补充规定》的通知”。
·加强管理通知,是指从某一类业务或管理出发提出的改进要求,对原有的一系列相关制度规定均实施改变的制度补丁,一般情况下其发文标题拟为“关于加强××管理的通知”,并在文中注明解释部门和施行日期。
为加强制度补丁的关联性和针对性,以便于制度查阅和学习的系统性,各部门在选择制度补丁方式时,应尽可能采用“修订通知”或“补充通知”的方式。如以“电邮部通”方式下发的通知涉及制度管理的,一般仅限于对制度进行强调或解释,不得用于对制度进行补充和修订。
6.制度的日常管理
制度应明确解释部门,原则上由制度主办部门负责解释,特殊情况下应明确各部门解释的范围。低层级制度与高层级制度规定相抵触时,以高层级制度规定为准,但制度解释部门另有正式批复或回复的除外。
如果你对这篇内容有疑问,欢迎到本站社区发帖提问 参与讨论,获取更多帮助,或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱,如果其他用户或者作者回复了您的评论,将不能在第一时间通知您!
发布评论