会计师事务所数据安全管理暂行办法（征求意见稿）.docxVIP

附件1

会计师事务所数据安全管理暂行办法

（征求意见稿）

第一章总则

第一条为保障会计师事务所数据安全，规范会计师事

务所数据处理活动，根据《中华人民共和国注册会计师法》、

《中华人民共和国数据安全法》、《中华人民共和国网络安

全法》等法律法规，制定本办法。

第二条在中华人民共和国境内依法设立的会计师事务

所开展下列审计业务相关数据处理活动的，适用本办法：

（一）为上市公司以及非上市的国有金融机构、中央企

业等提供审计服务的；

（二）开展跨境审计业务的。

第三条本办法所称数据，是指会计师事务所执行审计

业务过程中，从外部获取和内部生成的任何以电子或者其他

方式对信息的记录。

数据安全，是指通过采取必要措施，确保数据持续得到

有效保护和合法利用。

第四条会计师事务所承担本机构的数据安全主体责任，

履行数据安全保护义务。

第五条国务院财政部门会同国家网信部门负责全国会

1

计师事务所数据安全监管工作，省、自治区、直辖市人民政

府财政部门会同省级网信部门负责本行政区域内会计师事

务所数据安全监管工作。

第六条注册会计师协会应当加强行业自律，指导会计

师事务所加强数据安全保护，提高数据安全管理水平。

第二章数据管理

第七条会计师事务所应当在下列方面履行本所数据安

全管理责任：

（一）建立健全数据安全管理制度，完善数据运营和管

控机制；

（二）健全数据安全管理组织架构，明确数据安全管理

权责机制；

（三）实施与业务特点相适应的数据分类分级管理；

（四）建立数据权限管理策略，按照最小授权原则设置

数据访问和处理权限，定期复核并按有关规定保留数据访问

记录；

（五）组织开展数据安全教育培训；

（六）法律法规规定的其他事项。

第八条会计师事务所的首席合伙人（主任会计师）是

本所数据安全负责人。

第九条会计师事务所应当按照相关法律法规的规定和

被审计单位所处行业数据分级分类标准确定核心数据、重要

2

数据和一般数据。

会计师事务所应当通过业务约定书等方式与被审计单

位明确审计资料分级分类要求，审计资料分级分类的要求应

当与被审计单位相关资料分级分类的要求保持一致。

第十条针对核心数据，会计师事务所应当建立核心数

据保护机制，通过专用服务器或者会计师事务所私有云平台

设置内部专门空间存储，使用加密虚拟专用网络等技术手段

传输，对核心数据的存储、读取、转移应当建立授权与记录

机制并保证有效运行。

针对重要数据，会计师事务所应当制定和执行规范的处

理流程，将其存放于和互联网逻辑隔离的信息系统中，并严

格控制接触人员范围。

针对一般数据，会计师事务所应当采取基于用户角色的

授权访问控制，并且按照最小权限原则授权。

第十一条会计师事务所的审计工作底稿及相关数据应

当存储在境内，不得在境外备份。

会计师事务所应当对审计业务相关的信息系统、数据库、

网络设备、网络安全设备等设置并启用访问日志记录功能。

日志应当存放境内，其中，日志中的用户登录及访问日志保

存期限不得少于十年，其他日志保存期限不得少于六个月。

第十二条会计师事务所应当明确数据传输操作规程。

核心数据、重要数据传输过程中应当采用加密技术，保护传

3

输安全。

第十三条审计工作底稿和相关数据的加密设备应当设

置在境内并由境内团队负责运行维护，密钥应当存储在境内。

第十四条会计师事务所应当建立数据备份制度。会计

师事务所应当确保在审计相关应用系统停止使用、被限制使

用等情况下，仍能访问、调取、使用相关审计工作底稿。

第十五条会计师事务所不得在业务约定书或类似合同

中包含会计师事务所向境外监管机构提供境内项目资料数

据等类似条款。

第十六条会计师事务所应当采用网络隔离、用户认证、

访问控制、数据加密、病毒防范、非法入侵检测等技术手段，

及时识别、阻断和溯源相关网络攻击和非法访问，保障数据

安全。

第十七条会计师事务所应当建立数据安全应急处置机

制，加强数据安全风险监测。发现数据外泄、安全漏洞等风

险的，应当立即采取补救、处置措施。发生重大数据安全事

件的，应当及时向省级以上财政部门报告。

第十八条会计师事务所在境内形成的审计工作底稿应

当存放在境内。需要出境的，按照国家有关规定办理审批手

续。

第十九条会计师事务所对于审计工作底稿出境事项应

当建立逐级复核机制，采取必要措施严格落实审计工作底稿

4

涉密敏感信息管控责任。

第三章网络管理

第二十条会计师事务所应当建立完善的网络管理治理

架构，建立健全内部网络管理制度体系，建立内部决策、管

理、执行和监督机制，确保网络管理能力与提供的专业服务

相适应，为数据安全管理工作提供安全的网络环境。

第二十一条会计师事务所应当按照业务活动规模及复

杂程度配置具备相关职业技能水平的网络管理技术人员，确

保合理的网络资源投入和资金投入。

第二十二条会计师事务