商业秘密保护体系的最大敌人不是外部攻击，而是"建成即搁置"。项目组撤了、台账没人更新、检查没人跟进、员工换岗后权限没复核——时间一长，体系就从运行机制退回文件柜。让体系长期有效的唯一解法是PDCA闭环：把检查、整改、复训和管理评审变成常态动作，靠"会议+记录+签批"把四个环节串联起来，形成一条可审计、可追溯的证据链。

本节聚焦六步建设法的第六步"持续改进"，将商业秘密保护体系从"建设项目"转化为"运行机制"。核心回答了五个问题：PDCA闭环在保密管理中怎么落地、管理评审需要什么输入、自查和专项检查怎么操作、整改台账和复训怎么排期、30-60-90路线图如何衔接持续改进。每个答案都落到具体动作、表单和留痕要求上，不是管理口号，而是可执行的工作清单。

如果只记住一句话：商业秘密保护体系如何保持长期有效？靠PDCA闭环——计划→执行→检查→改进，四步循环、持续运转，缺任何一步体系都会慢慢失效。

【持续改进（Continuous Improvement）】六步建设法的第六步，也是整个体系的"造血机制"。持续改进不是年终写一份总结报告，而是建立四个常态化动作：年度复核（检视制度适配性）、季度检查（运行指标和风险趋势）、触发式专项培训（人员换岗、系统升级、事件发生后）、管理评审（管理层听取汇报并做出资源决策）。四类动作按时间表和触发条件自动启动，不靠人推动。

【30日启动清单（30-Day Launch Checklist）】体系启动阶段的最小行动包，包括成立保密组织、指定责任人、完成初始摸底、列出高风险对象前20项、签署关键岗位保密协议、完成首次全员宣贯等核心动作。目标是30天内让体系具备基本运行能力，然后通过PDCA闭环逐步完善。

问：商业秘密保护体系建好以后，最大的风险是什么？

答：最大的风险不是技术漏洞，而是"建完就散"。很多企业花了几个月把制度写出来、系统部署好、培训都做了，然后项目组解散、各自归位。三个月后台账没人更新，半年后权限没人复核，一年后制度与实际业务严重脱节。等到真正发生泄密事件时才发现，当初建好的体系已经退化成一堆没人在看的文件。

这个问题的根源在于：把体系建设当作一个有终点的项目，而不是一个没有终点的运行机制。保密网推出的商业秘密保护体系建立课程 TS-A-L1-05《从0到1建设流程》，在六步建设法的第六步重点解决的就是这个问题——如何让体系从"建成"走向"持续有效"。

问：PDCA闭环在商业秘密保护中到底怎么落地？

答：PDCA闭环的落地不是挂一张流程图就完了，而是要把四个阶段变成四个节奏固定的动作，每个动作都有输入、有产出、有留痕。

Plan（计划）阶段：每年初，保密办公室牵头制定年度保密工作计划。计划不是泛泛的"加强管理"，而是要落到具体任务——今年新增哪些保护对象、修订哪些制度条款、做几次培训、覆盖哪些岗位、对哪几个高风险模块做专项检查。计划要有责任人、完成时限和验收标准，经保密委员会签批后生效。

Do（执行）阶段：日常操作严格按制度走，关键是不省略留痕环节。保密协议签署要留存双方签字的纸质或电子版本；涉密人员入职培训要有签到表和考核成绩；涉密文件外发要有审批单和审批意见；操作日志要按周期归档，不能只存在系统里从来不看。一句话：没留痕的管理动作，在法律上等于没做。

Check（检查）阶段：分三个层次。第一层是部门月度/季度自查——用V-05泄露风险自查表逐项对照，生成风险评分和变化趋势；第二层是保密办专项检查——针对高风险领域（如研发图纸管理、投标文件外发、第三方合同回收）做定向抽查；第三层是年度管理评审——管理层基于KPI和KRI数据，系统性评价体系运行效果，做出资源调配和改进决策。

Act（改进）阶段：基于Check阶段的发现，形成三份输出物。第一份是整改台账——逐条列出问题、原因、整改措施、责任人、完成时限和验收标准；第二份是复训安排——针对检查中暴露的薄弱岗位和薄弱流程安排补充培训；第三份是制度修订——管理评审决议中要求修订的制度条款，走版本变更流程。整改台账要追踪到关闭，复训要考核通过，制度修订要签批生效——三项都完成，一轮PDCA才算闭环。

问：管理评审怎么做才不走形式？

答：管理评审最容易变成"大家围坐一圈，保密办念完报告，管理层点个头就散会"。要避免形式主义，管理评审必须建立在数据和证据之上。

管理评审的输入至少要包括五类信息：一是KPI指标数据——保密协议签署率、培训完成率、整改关闭率等执行指标的变化趋势；二是KRI指标数据——违规外发次数、异常下载次数、超期未复核比例等风险指标的变化趋势；三是自查和专项检查的发现——对比上次评审，哪些风险收敛了、哪些扩散了、哪些新风险出现了；四是重大事件复盘——期间是否发生过泄密事件或重大隐患，处置是否到位、根因是否排除；五是外部变化——法律法规更新、业务扩张、组织调整、新系统上线对体系的影响。

管理评审不是保密封办一个人的汇报，而是管理层基于这些数据做决策：下一步重点投入哪个薄弱环节、是否需要增加编制或预算、是否需要调整风险容忍度、制度修订的优先级怎么排。输出物就是管理评审会议纪要、签批记录和改进决议——这份文件本身也是PDCA的证据链组成部分。

一个好的管理评审，标准很简单：散会时每个人都清楚接下来三个月要做什么、谁做、什么时候验收。

问：自查和专项检查有什么区别，怎么安排节奏？

答：自查是业务部门自己的常规体检，专项检查是保密办的定向抽查，两者覆盖不同层级、解决不同问题。