去年我帮一家只有十五个人的工业设计公司做保密体系咨询，老板拿出一份打印好的清单说这是我们公司的商业秘密清单。我一看，上面写了五条：客户资料、设计方案、报价策略、供应商信息和员工薪酬。我就问他，你这五条是怎么来的？他说，凭感觉想的。我说那你们公司的设计师，下班后在咖啡店里画的一张设计草图，算不算商业秘密？设计师打开电脑给别人看他正在做的项目，算不算泄密？老板这才意识到，原来自己的商业秘密清单根本没把日常工作场景考虑进去。
小微企业的特点是人少、业务杂、管理松散。很多小微企业连正规的组织架构都没有，更别说花时间做精细化的保密管理了。但正因为他们体量小、抗风险能力弱，商业秘密的流失对他们来说往往是致命的。我在咨询中反复遇到一个规律：越是小企业，商业秘密清单越不能做成了"一张纸贴墙上完事"，而要做成能真正在工作中指导员工行为的实用工具。
那么小微企业到底怎么做商业秘密清单？核心是一句话——把商业秘密从抽象概念变成具体可感的物品和行为。具体来说，我建议按照六个维度来梳理。
首要个维度是技术信息类。技术型小微企业，不管你是做软件的还是做硬件的，技术信息都是命根子。这个维度要梳理的是：源代码、算法模型、产品设计图纸、工艺参数、配方比例、测试数据、研发实验记录、技术方案等。很多小微企业的问题在于，技术人员觉得这些东西在自己脑子里跑不了，但实际上技术方案在日常沟通中的泄露非常隐蔽。比如设计师把半成品发到群里问同行意见，工程师把测试数据附在出差报告里发给客户看，都可能在无意中把核心技术暴露出去。所以技术信息类的清单要做到具体，不能只写一个"技术资料"四个字就完了，要细化到每一类资料是什么、存放在哪里。
第二个维度是经营信息类。这个对非技术型的小微企业尤其重要。包括客户名录、供应商信息、报价体系、招标标底、市场分析报告、营销策略、销售渠道、采购价格、成本构成等。我在一家做外贸的小公司调研时发现，他们的客户名录就存在销售人员的个人邮箱和微信通讯录里，人一走客户全带走。当时那个老板特别无奈，说公司就十几个人，客户信息都是销售自己维护的，不放在他们手机里怎么干活。他的困境确实很现实，但这里恰恰需要通过商业秘密清单来明确——客户名录是公司资产，不是个人资产。
第三个维度是管理信息类。这个维度容易被小微企业忽略。包括组织架构调整方案、股权结构信息、薪酬体系、绩效考核方案、合伙人会议纪要、战略规划等。这些信息虽然不直接产生收入，但一旦泄露，可能引发员工的不安定、竞争对手的针对性打击或者资本运作中的被动局面。我见过一家小创业公司，他们的融资方案被一个参加内部会议的人随手发到了几个行业群里，结果跟投资人谈判的时候，对方已经知道了他们的底线，导致融资条件变得非常被动。
第四个维度是财务信息类。这个维度很多小微企业觉得跟保密没关系，其实关联很大。包括财务预算、现金流报告、成本明细、利润分析、应收账款明细、投资计划等。这些财务信息一旦被竞争对手掌握，他们就能算出你的利润空间，从而制定更有针对性的竞争策略来挤压你。小微企业本来利润就薄，经不起这种打击。
第五个维度是未来计划类。包括新产品研发计划、市场拓展计划、人才招聘与调整计划、合伙人引进安排等。小微企业的一个新计划往往就是公司未来的生存依托，提前泄露出去，轻则被竞争对手模仿抢跑，重则被人截胡。
第六个维度是法律事务类。包括合同文本、法律意见书、知识产权申请文件、法律纠纷相关的材料、尽职调查报告等。这些属于公司的敏感法律资产，不恰当的泄露可能会给公司带来法律上的被动。
六维清单做出来之后，接下来要干的事更重要——把清单变成员工看得懂、用得上、记得住的东西。我的做法是，不要只给员工发一张纸就说"请保存好"，而是做一次集中的讲解会，把清单里的每一项跟员工的日常工作对应起来。比如对销售说，你每天用的客户名单、报价表，都在商业秘密清单里，所以你不能把这些转发给同行的朋友。对研发说，你的代码和设计图都在清单里，你不能放到公开的技术论坛上做交流。对财务说，你的收入和成本明细都在清单里，不能在工作群里讨论具体数字。把抽象的概念跟具体的人对应上，员工才能真正理解保密跟自己的关系。
还有一个步骤很重要——签收确认。每个员工都要在商业秘密清单上签字确认，表示自己已经阅读、理解并承诺遵守保护要求。这个流程在小微企业虽然看起来有点正式，但它的实际意义在于，将来如果真的出了泄密事件，公司能拿出证据证明员工受过培训、知道规矩、签过承诺。这不仅是管理手段，也是法律上的自我保护。
我帮一家设计公司做完全套清单之后，老板让我帮忙再梳理一下有没有遗漏。我让他们设计师把过去三个月的电脑文件打开看了看，结果发现了很多当初没列进去的东西：客户给的原始需求文档、改了好几个版本的废稿、竞品分析报告、设计灵感库等等。这些虽然不是最终交付物，但每一个都有可能成为商业秘密。那个老板感叹说，原来我们公司有这么多宝贝，之前一样都没保护过。
商业秘密清单不是做一次就完事的。小微企业的业务调整比较快，今天做的产品跟半年后做的可能完全不一样。所以我建议小微企业至少要每季度看一遍自己的商业秘密清单，问问自己：这段时间有什么新的信息出现了？哪些旧的信息已经不需要保护了？清单做对了，保密工作就成功了一半。
如果您的企业还不知道如何梳理自己的商业秘密，北京企密安信息安全技术有限公司为小微企业提供专门的商业秘密清单辅导服务，手把手帮助企业梳理出真正需要保护的资产，让保密管理从一开始就走对方向。
问：小微企业做商业秘密清单，总共需要花多少时间？
答：认真做的话，一个十五人以下的小微企业，从梳理到出清单再加培训，大概需要三到五个工作日。关键是各部门要配合好，提供真实的信息资产目录。之后每季度更新一次，每次一到两天就够了。
问：所有员工都应该知道完整的商业秘密清单吗？
答：不建议。商业秘密清单本身就是一个秘密清单。员工只需要知道自己工作范围内可能接触到的商业秘密类型即可。完整的清单由保密负责人和公司管理层掌握。
问：清单做好之后发现根本没有办法照此管理怎么办？
答：这是很常见的情况。解决方案是分步走：先挑出真正核心的非常小的一批信息重点保护起来，其他的先列在清单上但降级管理。不要求一步到位，关键是动起来、有记录。
