忙了几个月准备保密体系认证，结果被驳回了，这种感觉确实不好受。但先别灰心，被驳回不代表你做错了所有事情，也不代表你的体系建设方向错了。问题往往出在一些关键点上。这篇文章我就把认证审核中被驳回的常见原因做个系统梳理，帮助你在下一次申请时避开这些坑。
第一个原因：制度体系不完整或者交叉矛盾
这是最基础也是最常见的问题。很多企业提交的体系文件看起来很多，但仔细一看，要么缺东少西，要么制度之间互相矛盾。
不完整表现在几个方面。缺少纲领性文件，较高层的方针和手册没有或者写得太简单。缺少支撑性文件，有些重要环节没有专项制度覆盖，比如涉密载体的管理规定没有，或者涉密事件报告制度缺失。缺少操作层面的规程，员工在实际工作中不知道按照什么步骤去做。记录表单不完善，制度要求记录的地方没有对应的表单。
制度矛盾的问题更隐蔽但后果更严重。比如保密手册里规定涉密文件借阅需经保密办公室批准，但文件管理规定里写的是经部门负责人批准。两个制度打架，评审组会认为你的体系没有形成统一的标准，反映出制度建设缺乏整体规划。企业在自查时可以做一个制度交叉比对表，把各个制度中对同一事项的规定放在一起对照，看看有没有不一致的地方。
第二个原因：制度与实际情况严重不符
这个问题在评审中被发现的概率很高。企业套用了网上的模板，制度内容跟实际业务完全不搭。比如一家小型咨询公司，制度里却写着建立机房管理制度和服务器运维规范，但实际上公司根本没有自建机房和服务器，用的是云服务。这种明显不符会被判定为走过场式的应付，评审直接扣分。
每一条制度都要跟企业的实际情况对应上。制度里出现的部门名称、岗位设置、业务流程都要跟实际一致。制度中涉及的技术措施要是企业实际采用了的技术。制度中规定的管理流程要符合企业的实际运作方式。制度里写的跟实际做的是两回事，这在评审中是一票否决的常见原因。
第三个原因：执行记录缺失或不连续
制度写得再好，没有执行证据来证明，在评审中也是白搭。执行记录缺失的原因主要有几种。
第一种是从一开始就没做记录。制度规定了要做的工作，实际执行了但没有留下任何记录。比如按照规定做了涉密载体清点，但没有清点记录。评审组看不到证据，只能判定为执行不到位。
第二种是记录不完整。有记录但关键信息缺失。比如培训记录有签到表，但没有培训内容、培训讲师、培训时间这些重要信息。或者涉密文件借阅记录有借阅人，但没有归还时间和归还确认。记录不完整的另一个常见表现是只有结果没有过程，看不出事情是怎么做的。
第三种是记录不连续。人员培训记录显示去年办了三期，今年一期都没有。涉密载体台账去年更新了几次，今年就停更了。记录在时间上出现断层，评审组会质疑企业的保密管理是否在持续有效运行。保持记录的连续性是日常管理工作必须做到的，突击补记录不但于事无补，反而会在评审时暴露问题。
第四个原因：组织架构和职责不清晰
很多企业在保密管理的组织架构和岗位职责方面存在问题。没有明确的保密管理组织架构，或者有架构但没有实际运作。保密管理领导小组的名单有了，但会议记录显示很少开会。保密办公室设了岗，但实际工作中没有人真正负责。
职责不清的问题也很普遍。保密工作职责分散在不同部门，但缺乏统一的协调机制。部门之间在保密管理上的职责边界模糊，出了问题互相推诿。员工不清楚自己的保密职责，认为保密是保密办公室的事情跟自己无关。评审组检查时发现员工对自己的保密义务一问三不知，这在评审中是很严重的失分项。
职责清晰有两个基本要求。每个保密相关岗位都要有明确的职责描述。从管理层到基层员工，每个岗位的保密责任都要写清楚。职责描述要写入岗位说明书或者保密责任书中。职责要有考核机制。保密职责履行情况要纳入绩效考核，有奖惩机制。光说不练、没有奖惩的职责在执行中会形同虚设。
第五个原因：人员管理和培训不到位
人员管理是保密体系认证中的重点审核环节。常见的问题包括涉密人员的审查和界定不清晰，没有明确的涉密人员范围，或者涉密人员标准模糊。涉密人员的保密协议签署不全面，有些应该签的人没有签。
培训方面的问题更多。培训计划不完整，没有覆盖所有应该培训的内容。培训记录不真实，存在补签或者虚假记录的情况。培训效果没有考核，培训完了就完了，不关心员工到底掌握了多少。培训频次不够，一年只培训一次，或者只在新员工入职时培训一次。
人员离职管理是另一个高发问题点。离职人员的信息清理不彻底，涉密资料回收不完整，系统权限没有及时注销。这些在评审审核时都是扣分项。每个离职员工都应该有完整的离职保密交接记录，确保人走门关。
第六个原因：技术措施和管理措施脱节
有些企业制度做得很好，但技术防护措施跟不上。管理制度要求访问控制，但系统权限配置一团乱。制度要求数据加密，但实际并没有部署加密系统。制度要求日志审计，但系统的日志功能没有开启。
技术措施和管理措施应该是相互配合的。管理制度提出要求，技术措施提供保障。两者脱节的话，制度的落实就缺乏技术支撑，评审时会被判定为执行不到位。反之，如果只有技术手段没有管理制度，评审时也会被判定为管理不完善。
第七个原因：整改落实不闭环
首次评审或者预审中发现的问题，如果整改不彻底，正式审核时同样通不过。很多企业整改时表面化了事，没有从根本上解决问题。比如涉密文件管理不规范的问题被提出来，企业只是把文件整理了一下，没有分析为什么会不规范，没有从制度层面去改进。
整改要有系统性。发现问题后要分析根本原因，制定整改措施，落实整改行动，验证整改效果。每个环节都要有记录，形成完整的闭环。整改完成后还要举一反三，排查是否存在同类问题。评审组对整改质量的关注度很高，整改不到位直接反映企业的改进意识和执行力不足。
第八个原因：对变更管理不够重视
企业的业务在变、技术在变、人员在变，保密管理体系也需要相应调整。但很多企业的体系建好后就不管了，几年不做一次评审和更新。业务范围扩大了，保密管理的范围没有同步扩大。组织架构调整了，保密职责没有重新梳理。新的技术手段引入了，保密控制措施没有跟上。这些变更管理的问题在评审中会被视为体系缺乏动态管理能力。
其实被驳回了不可怕，关键是搞清楚驳回原因，针对性地改进。我建议企业收到驳回通知后，认真分析评审组的审核意见，逐条对照整改。可以请有经验的咨询机构帮忙分析，也可以跟评审组沟通，了解清楚具体的问题点和改进方向。第一次没过不代表你做不了这个认证，很多人第一次申请时都有各种各样的不足，吸取经验、踏实改进，第二次成功率就会高很多。
总结一下，保密体系认证能否通过，取决于制度、组织、执行、技术、人员、整改等多个维度的综合表现。任何一个维度出现明显短板，都可能导致认证被驳回。最根本的办法还是把功夫放在日常，让保密体系建设真正服务于业务和管理，而不是为了应付认证。方向对了，方法对了，认证通过就是水到渠成的事情。
