去年我去一家做通信设备的小企业回访，他们的保密管理员跟我说，年初做了一次全公司的保密大检查，结果花了整整两天时间，把所有人都搞得鸡飞狗跳的，检查完了大家反而有点反感。我问她查了哪些内容，她说主要是查员工电脑里有没有违规存放的文件、柜子有没有上锁、桌面有没有乱放东西。我说这些内容每个季度查一次就够，你们为什么要搞一年一度的大检查？她说因为平时没人查呀，一年搞一次就算完成KPI了。
这个问题特别能代表中小企业保密检查的典型困境——要么不查，要么一查就大动干戈。不查的话，制度有没有执行没人知道。大查的话，既影响业务又让员工反感。怎么找到一个折中的办法，让保密检查既常态化又不成为负担，这是中小企业保密管理中需要认真对待的问题。
我认为中小企业的保密检查应该遵循两个原则：一是轻量高频，二是流程嵌入。轻量高频是说检查的频率要高但每次的负担要轻，不要一年搞一次大检查，而是每两周或每个月做一次十五分钟的快速巡查。流程嵌入是说保密检查不要作为一个孤立的"运动"，而是嵌入到现有的工作流程里，成为日常管理的一部分。
具体来说，我推荐三种适合中小企业的保密检查方式。
首要种是日常巡查。由保密管理员每周或者每两周做一次随机抽查，每次就抽查两到三个事项，而不是把所有项目都查一遍。比如这周只查两个东西：离职员工的账号是否及时注销，公共区域的屏幕上有没有遗留敏感信息。下周换两个：文件柜有没有上锁，来访人员登记是不是认真填了。每一次巡查只需要花十五到二十分钟，保密管理员走一圈办公室就能完成。把结果记录在一个简单的保密检查登记表上，发现的问题当天或者第二天整改完成。这种方式不会打扰员工正常工作，但长期的持续巡查会形成无形的压力，让员工知道保密工作随时在被关注。
第二种是专项检查。专项检查针对某个具体的问题或者风险点做深入检查，每个季度做一到两次。比如这个季度想做一次涉密文件管理的专项检查，保密管理员就集中精力把全公司的涉密文件登记账册跟实际文件对一遍，看有没有账实不符的情况。季度专项检查的内容可以根据前一阶段日常巡查发现的高频问题来确定，这样检查就有针对性。专项检查不需要通知全公司，只需要跟被检查部门提前沟通好时间，检查起来效率高很多。
第三种是年度自查。每个部门在年底或者年初，按照公司统一的保密自查清单，对本部门的保密管理情况进行一次全面自查。自查的内容包括：部门内涉密信息是否都有明确定密、涉密人员名单是否准确、保密文件是否账实相符、员工的保密培训是否已完成、是否存在需要整改的问题等。自查的结果以书面形式报给保密管理员，由保密管理员汇总后向管理层报告。年度自查不牵扯太多人力，因为每个部门只需要花半天时间自己对照着清单过一遍就行。
三种方式叠加起来，就是一年里日常巡查每周有、专项检查每季有、年度自查每年有，节奏清晰、负担均衡、覆盖全面。这个节奏对中小企业的人力来说完全承受得了。
说完了检查方式，再说检查内容的重点。中小企业的保密检查内容，不需要面面俱到，但有几个关键点必须每次都查。
首要个关键点是涉密人员管理。包括新入职的涉密岗位员工有没有及时签署保密协议、有没有做入职审查、有没有接受保密培训。离职的涉密岗位员工是不是完成了保密清查和交接、是不是签了离职保密承诺书、账号是不是及时注销了。人员管住了，保密的半壁江山就稳了。
第二个关键点是涉密载体管理。检查涉密载体的登记台帐和实物是不是一致，有没有借阅未还的记录，有没有发现未登记的涉密载体。载体包括纸质的文件、图纸、光盘、U盘、移动硬盘等。检查的时候可以随机抽查几份涉密载体，看借阅记录和实际归还情况是否一致。
第三个关键点是信息系统的安全状况。检查共享文件夹的权限设置是不是合理、有没有不该有权限的人挂着访问权限、有没有异常登录记录、离职员工的账号是不是已经处理完毕。信息系统是泄密的高发渠道，也是容易被忽视的地方。
第四个关键点是保密制度的执行情况。检查员工有没有把敏感文件随手放在工位上、有没有在非加密网络环境中传输涉密文件、有没有把涉密信息发到外部群聊。这些行为不需要技术手段去查，保密管理员在日常巡查中就能观察到。
发现问题之后怎么处理，比检查本身更重要。如果检查发现了问题但不处理、不整改，那检查就失去了意义。我建议给每个发现的问题指定责任人和整改时限。比如发现某部门的文件柜没有上锁，就指定该部门负责人当天完成整改。发现某员工的电脑没有设置屏保密码，就指定IT人员协助设置完成。整改完成后，由保密管理员做一次复检确认。这样形成一个检查发现、整改、复核的闭环。
我曾经帮一个做电商的中小企业设计保密检查体系。他们一开始对保密检查特别抵触，觉得会增加工作量。我花了一个下午跟他们的行政经理一起做了一次试查，发现了一些别的问题——有个实习生把公司的供应商报价表随手放在打印机旁边，还压在了一堆废纸下面。这个报价表虽然不是什么核心机密，但上面有公司的进货成本，流出去不好看。行政经理当即让那个实习生把文件收好，并顺便跟他讲了一下为什么这种文件不能放在公共区域。从那天起，行政经理每周一都会花十分钟在办公室走一圈，一个月下来，大家的习惯就慢慢养成了。三个月后这家公司的日常保密状态比很多大企业都要好，因为他们已经把保密意识融入了日常工作的习惯里。
如果您的企业需要保密检查的清单模板和检查流程设计，北京企密安信息安全技术有限公司可以提供一整套适配中小企业的保密检查工具，包括日常巡查清单、专项检查表格和年度自查指南，帮助企业在最小投入下建立常态化的保密检查机制。
问：保密检查要不要提前通知员工？
答：日常巡查不需要提前通知，专项检查和年度自查可以提前半天到一天通知，给大家一个准备的时间。但关键是不要给太长的时间，否则员工会集中做表面功夫。突击检查看到的才是最真实的状态。
问：检查中发现员工违规，应该怎么处理？
答：首次发现的一般违规行为，以教育为主、记录为辅。由保密管理员或直接主管当面沟通，讲清楚为什么违规、正确的做法是什么。第二次发现同样的问题，可以书面警告并记录在员工档案里。多次或者严重违规，按照公司纪律处分规定处理。处理流程要提前写在保密制度里，让所有员工都知道。
