广州市国资委监管企业数据安全合规管理指南 (试行 2021 年版)

第十三条 内部审计部门负责定期对数据安全进行审计，可根据风险评估和审计资源铺

排，在审计工作中涵盖数据安全合规的内容，并出具相关审计报告，为公司数据安全风险管 理的有效性提供合理保障。

纪检监察部门负责职权范围内的违规事件的监督、执纪、问责等工作。

第三章 制度规范建设

第十四条 监管企业应建立健全数据安全合规管理的相关标准、制度和规范，建立重大 数据安全合规审批清单、数据分类分级管理、权限管理、数据安全合规风险评估及审计、重 大数据安全合规风险事件报告、应急处置机制、教育培训等管理事项，并根据法律法规变化 和监管动态，及时将外部合规要求落实到内部规章制度。

第十五条 监管企业重大数据安全合规事项实施清单管理。由数据安全合规管理的责任 部门牵头编制本企业重大数据安全合规事项清单，提交党委会审议通过后，由董事会合规委 员会或承担合规管理职责的专业委员会负责审批清单涉及的重大数据合规事项。

数据安全合规管理的责任部门应根据法律法规及企业的实际运营情况的变化进行及时 更新清单。

第十六条 监管企业应建立数据分类分级管控标准和管控要求。企业应优先根据所属行 业相关标准对核心业务数据进行分类分级，无明确标准的企业可自行建立相关分类及分级标 准。其中数据分级标准应参考及遵循国家数据安全等相关法律法规。

关系国家安全、国民经济命脉、重要民生、重大公共利益等数据需要实施更加严格的管 理制度，包括涉及国家保密范围的产业规划、战略规划、重大项目、核心技术等，应根据相 关法律法规的具体要求进行重点保护和管理。上述相关数据的交易、出境及共享等业务，应 列入企业“三重一大”事项进行管理，不得向境外司法或执法机构提供存储于境内的数据。

监管企业应根据标准对现有数据进行全面分类分级，并通过技术手段落实安全管理要

求，定期对新增数据进行梳理，确保所有数据分类及分级管控。同时，应根据相关法律法规 或行业标准的变化，及时更新企业内部数据分类分级的相关标准。

第十七条 监管企业应规范数据处理的权限管理，建立适当的用户权限管理机制，根据 岗位设置相关账户权限，明确相关数据所涉及的账户管理流程，减少数据滥用情况，提高数 据安全合规水平。