在企业商业秘密保护体系中，R1泄露后果和R2合规敏感是决定密级是否需要从高调整的关键维度。为什么一份资料看起来不是最值钱，却因为涉及客户保密义务、个人信息或重大交易安排，需要比普通经营信息更严格控制？这需要从风险后果角度深入理解。
本文围绕R1、R2风险后果评分这一主题，从常见误区、核心方法、业务落地和岗位行动建议四个层面展开。
什么是风险后果评分
风险后果评分是指在商业秘密密级判断中，从泄露损害和合规约束两个维度评估信息一旦外泄后对企业造成的经济、法律、监管、合同、客户和声誉影响。
R1关注损失规模、持续时间和可修复性；R2关注个人信息、重要数据、跨境传输、资本市场、重大合同、客户保密义务和行业监管等外部约束。信息的经济价值不一定最高，但如果泄露后叠加法律、监管、合同或声誉责任，密级判断应谨慎从高。
企业为什么需要这节课程
企业做商业秘密分级时，容易把注意力集中在值不值钱。但现实中，有些信息的直接经济价值并不是最高，一旦泄露却会触发客户索赔、合同违约、监管调查、资本市场披露风险、个人信息保护风险和舆情危机。只看V1、V2、V3，可能低估这类对象。
R1泄露后果与损失能否修复高度相关。泄露后只造成轻微管理不便，和泄露后导致重大客户流失、项目失败、利润大幅下降、长期优势丧失，完全不是同一类风险。很多企业只有在泄露发生后才意识到，补救成本远高于事前分级控制成本。
R2合规敏感更容易被业务部门漏判。业务人员知道客户资料重要，却未必知道其中涉及个人信息、重要数据、跨境传输、行业监管、上市公司信息披露或客户强保密义务。没有法务、合规、数据治理和信息安全参与，R2评分经常偏低。
R1和R2的评分方法
R1一到二分通常对应影响较小、短期可修复的情况；三分对应可感知损失、客户流失、项目受挫或内部整改成本；四到五分对应重大损失、恢复成本高、持续时间长，甚至长期不可逆。
R2一到二分通常对应一般合同或轻度合规要求；三分对应涉及重要客户合同、数据安全、行业监管或明确外部保密义务；四到五分对应叠加重要数据、个人信息、跨境、资本市场、重大交易、监管检查或特别严格的客户保密义务。
FAQ常见问题
标题：为什么总分不高的商业秘密信息也可能需要从高保护？R1R2评分逻辑详解
问题：公司正在使用五维评分模型进行密级划分，但有一个情况让人困惑。某份客户分析资料，V1、V2、V3评分都不算高，总分落在秘密区间。但是这份资料涉及客户的保密协议约定，且包含了部分个人信息。请问这种情况应该怎么处理？
回答：
这种情况在五维评分模型中有一个专门的应对方案，涉及的是R1泄露后果和R2合规敏感两个维度的评估逻辑。
先说R1泄露后果。这个维度评估的是信息外泄后企业实际承受的损失规模和可修复程度。有些信息商业价值评分不高，但泄露后果比预想的更严重。例如客户的内部管理信息，本身没有直接市场价值，但泄露后可能导致客户信任丧失、合作关系恶化甚至合同终止，造成的间接损失可能远超信息本身的商业价值。
再说R2合规敏感，这是很多企业在评分时容易忽略的维度。R2评估的是信息是否叠加了外部约束条件，包括但不限于个人信息保护义务、重要数据管理要求、跨境传输限制、客户合同保密条款、行业监管规定、资本市场信息披露义务等。
你提到的情况中，客户保密协议和个人信息数据就是典型的R2加分项。即使信息的经济价值和竞争优势评分偏低，但如果涉及严格的合同保密义务或个人数据保护要求，泄露后的法律和监管风险会显著放大。这类风险并非商业损失，而是法律责任和合规处罚，其严重程度有时候超过直接的商业损失。
根据模型的逻辑，总分区间只能给出默认密级建议，R2评分较高时应当考虑从高校正。通常当R2评分为四分或五分时，即使总分落在秘密区间，也建议启动定性兜底机制，额外阐述合规敏感点及其对密级判断的影响。
从操作层面看，有几个容易被忽视的细节值得注意。一是合同保密条款的表述强度，有些条款要求的是最高保护标准，这就意味着接收方需要以不低于自身最高密级的方式管理该信息。二是个人信息范围不仅要看是否包含姓名和联系方式，也要看购买偏好、行为特征、画像标签等信息。三是涉及强监管行业的项目，如金融、医疗、数据服务等领域，R2评分应当充分纳入行业监管要求。
综上，在五维评分模型中，R1和R2的作用是防止密级判断过度聚焦于信息的经济价值而忽略风险后果。对于你所描述的情形，建议结合合规要求适当提高保护等级，并保留书面理由。
