关于发布《证券投资基金销售机构内部控制指导意见》的通知

作者:法律资料网 时间:2024-07-22 23:54:17   浏览:8812   来源:法律资料网
下载地址: 点击此处下载

关于发布《证券投资基金销售机构内部控制指导意见》的通知

中国证券监督管理委员会


关于发布《证券投资基金销售机构内部控制指导意见》的通知

证监基金字[2007]277号


各基金管理公司、基金代销机构:

为加强证券投资基金销售机构内部控制,促进基金销售机构诚信、合法、有效开展基金销售业务,保障基金投资人权益,根据《证券投资基金法》及《证券投资基金销售管理办法》(证监会令第20号)的有关规定,我会制定了《证券投资基金销售机构内部控制指导意见》,现予以发布,请遵照执行。

二○○七年十月十二日

证券投资基金销售机构内部控制指导意见

第一章 总则

第一条 为了加强证券投资基金销售机构(以下简称“基金销售机构”)内部控制,促进基金销售机构诚信、合法、有效开展基金销售业务,维护基金投资人权益,依据《中华人民共和国证券投资基金法》、《证券投资基金销售管理办法》(证监会令第20号)等法律法规制定本指导意见。

第二条 基金销售机构内部控制是指基金销售机构在办理基金销售相关业务时为有效防范和化解风险,在充分考虑内外部环境的基础上,通过建立组织机制、运用管理方法、实施操作程序与监控措施而形成的系统。

本指导意见所称的基金销售机构,是指依法办理基金份额的发售、申购、赎回和转换等基金销售业务的基金管理人以及取得基金代销业务资格的其他机构。

为基金销售机构提供与基金销售业务相关服务的服务提供商就其参与基金销售业务的环节参照执行。

第三条 基金销售机构内部控制的目标:

(一)保证基金销售机构经营运作严格遵守国家有关法律法规和行业监管规则。

(二)防范和化解经营风险,提高经营管理效益,确保经营业务的稳健运行和投资人资金的安全。

(三)利于查错防弊,堵塞漏洞,消除隐患,保证业务稳健运行。

第四条 基金销售机构内部控制应履行健全、有效、独立、审慎的原则:

(一)健全性原则。内部控制应包括基金销售机构的基金销售部门、涉及基金销售的分支机构及网点、人员,并涵盖到基金销售的决策、执行、监督、反馈等各个环节,避免管理漏洞的存在。

(二)有效性原则。通过科学的内部控制制度与方法,建立合理的内部控制程序,确保内部控制制度的有效执行。

(三)独立性原则。基金销售机构内各分支机构、部门和岗位职责应保持相对独立,权责分明,相互制衡。

(四)审慎性原则。制定内部控制应以审慎经营、防范和化解风险为目标。

第五条 基金销售机构应建立有效的内部控制制度,内容至少应包括内部环境控制、业务流程控制、会计系统内部控制、信息技术内部控制和监察稽核控制等。

第二章 内部环境控制

第六条 基金销售机构应根据各自特点和业务需要建立科学、透明的决策程序和管理议事规则,高效、严谨的业务执行系统,以及健全、有效的内部监督和反馈系统。

第七条 基金销售机构应建立包括基金产品、投资人风险承受能力、运营操作等在内的科学严密的风险评估体系,对机构内外部风险进行识别、评估和分析,及时防范和化解风险,保证销售适用性原则的有效贯彻和投资人资金的安全。

第八条 基金销售机构应根据各自特点建立健全相应的授权控制体系。

(一)健全内部逐级授权制度,确保各项规章制度的贯彻执行。

(二)基金销售机构各业务部门、各级分支机构在其规定的业务、财务、人事等授权范围内行使相应的职能。

(三)销售业务和管理程序必须遵从管理层制定的操作规程,经办人员的每一项工作必须在其业务授权范围内进行。

(四)对已获授权的部门和人员应建立有效的评价和反馈机制,对已不适用的授权应及时修改或取消授权。

(五)销售业务前台的宣传推介和柜面操作岗位应相互分离,销售业务后台的信息处理和资金处理岗位应当相互分离、相互制约,各主要环节应分别由不同的部门(或岗位)负责,负责风险监控和业务稽核的部门(或岗位)应独立于其他部门(或岗位)。

第九条 基金销售机构应加强对分支机构的管理,有效控制分支机构的业务风险。

(一)明确分支机构的业务范围和业务授权。

(二)制定统一的分支机构标准化服务规程,提高分支机构的服务质量,避免差错事故的发生。

(三)制定统一的交易账户和资金账户管理制度,确保客户信息的有效管理和客户资金的安全。

(四)统一分支机构的信息技术系统和平台,确保信息管理的安全有效。

(五)建立清晰的报告系统,维护信息沟通渠道的畅通。

(六)加强对分支机构的监督和管理,采取业务留痕、定期核对、现场检查、风险评估等方式有效控制分支机构的风险。

第十条 基金销售机构应建立科学的聘用、培训、考评、晋升、淘汰等人力资源管理制度,确保基金销售人员具备与岗位要求相适应的职业操守和专业胜任能力。

(一)基金销售机构应完善销售人员招聘程序,明确资格条件,审慎考察应聘人员。

(二)基金销售机构应建立员工培训制度,通过培训、考试等方式,确保员工理解和掌握相关法律法规和规章制度。员工培训应符合基金行业自律机构的相关要求,培训情况应记录并存档。

(三)基金销售机构应加强对销售人员的日常管理,建立管理档案,对销售人员行为、诚信、奖惩等方面进行记录。

(四)基金销售机构应建立科学合理的销售绩效评价体系,健全激励约束机制。

第十一条 基金销售机构应建立有效的内部控制,防止商业贿赂和不正当交易行为的发生。

第十二条 基金销售机构应切实履行反洗钱义务,建立和完善反洗钱内部控制制度,确保基金销售业务各环节符合反洗钱法律法规的要求。

第十三条 基金销售机构应制订切实有效的应急应变措施,建立危机处理机制和程序,制定应急计划,保障意外事件发生时公司业务的迅速恢复。

第十四条 公司应定期评价内部控制的有效性,根据市场环境、新的技术应用和新的法律法规等情况,适时改进。

第三章 业务流程控制

第一节 销售决策流程控制

第十五条 基金销售机构应自觉遵守国家有关法律法规和相关监管规则,建立科学的销售决策机制。

基金销售机构总部应在科学、客观研究评价基础上对本机构的总体销售策略、网点设置、基金产品、激励政策、合作的服务提供商做出决策,分支机构及销售人员应严格执行机构总部作出的销售决策。

第十六条 基金销售机构应对其销售分支机构的整体布局、规模发展和技术更新等进行统一规划,对分支机构的选址、投入与产出进行严密的可行性论证。

第十七条 基金代销机构应建立科学的基金产品评价体系,审慎选择所销售的基金产品,对基金产品的基本情况进行持续的跟踪和关注,并定期形成基金产品评价报告备查。

第十八条 基金销售机构选择的合作服务提供商应符合监管部门的资质要求,并建立完善的合作服务提供商选择标准和业务流程,充分评估相关风险,明确双方权利义务。

合作的服务提供商主要包括基金销售支付结算机构和基金销售资金账户开立银行等。

第十九条 基金销售机构的重大决策过程应留有书面记录, 供监察稽核部门及监管机关等单位核查。

第二节 销售业务执行流程控制

第二十条 基金销售机构应按照国家有关法律法规及销售业务的性质和自身特点严格制定管理规章、操作流程和岗位手册,明确揭示不同业务环节可能存在的风险点并采取控制措施。

第二十一条 基金销售机构应制定完善的基金销售业务基本规程,对开户、销户、资料变更等账户类业务,认购、申购、赎回、转换等交易类业务及继承、捐赠、司法强制措施等被动接受类业务做出规定。

(一)业务基本规程应对重要业务环节实施有效复核,确保重要环节业务操作的准确性。

(二)按照法律法规和招募说明书规定的时间办理基金销售业务,对于投资人交易时间外的申请均做为下一交易日交易处理。

(三)基金销售机构在办理基金业务时应确保申购资金银行账户、基金份额持有人和指定赎回资金银行账户为同一身份。

(四)建立完善的交易记录制度,保持申请资料原始记录和系统记录一致,保证客户信息准确性、完整性,每日交易情况应当及时核对并存档保管。

(五)开通自助式前台服务的基金销售机构应建立完善的营销管理和风险控制制度,确保投资人获得必要服务并保证销售资金的安全。

(六)基金销售机构应在交易被拒绝或确认失败时主动通知投资人。

第二十二条 基金销售机构应制定完善的基金销售业务账户管理制度,确保各类账户的开立和使用符合法律法规和相关监管规则,保证基金销售资金的安全和账户的有序管理。

第二十三条 基金销售机构应制定完善的资金清算流程,确保基金销售资金的清算与交收的安全性、及时性和高效性,保证销售资金的清算与交收工作顺利进行。

(一)严格管理资金的划付,将赎回、分红及认申购不成功的相应款项直接划入投资人开户时指定的同名银行账户。投资人申请赎回时要求变更指定银行账户的,销售机构应对申请变更人的有效身份进行核实,并记录申请变更人的基本信息及申请变更的时间、地点、账户信息,同时作为异常交易处理。

(二)明确基金销售机构总部与各分支机构、基金注册登记机构、托管银行以及相关合作服务提供商的资金清算流程。

(三)严格按照约定的时间进行资金划付,超过约定时间的资金应当作为异常交易处理。

(四)销售机构的分支机构应当将当日的全部基金销售资金于同日划往总部统一的基金销售专户,实现日清日结。

第二十四条 基金销售机构应制定客户服务标准,对服务对象、服务内容、服务程序等业务进行规范。

(一)宣传推介活动应当遵循诚实信用原则,不得有欺诈、误导投资人的行为。

(二)遵循销售适用性原则,关注投资人的风险承受能力和基金产品风险收益特征的匹配性。

(三)及时准确地为投资人办理各类基金销售业务手续,识别客户有效身份,严格管理投资人账户。

(四)在投资人开立基金交易账户时,向投资人提供《投资人权益须知》,保证投资人了解相关权益。

(五)为基金份额持有人提供良好的持续服务,保障基金份额持有人有效了解所投资基金的相关信息。

(六)基金代销机构同时销售多只基金时,不得有歧视性宣传推介活动和销售政策。

(七)明确投资人投诉的受理、调查、处理程序。

第二十五条 基金销售机构应加强对宣传推介材料制作和发放的控制,宣传推介材料应事先经基金管理人的督察长检查,出具合规意见书,并报中国证监会备案。宣传推介材料及《投资人权益须知》由总部统一制作,分支机构、合作的服务提供商不得自行制作宣传推介材料及《投资人权益须知》,未经授权不得发放宣传推介材料及《投资人权益须知》。

第二十六条 基金销售机构关于基金销售业务的信息揭示应由总部统一组织、审核和发布。基金销售机构分支机构、合作的服务提供商未经基金销售机构总部书面授权不得擅自进行信息披露。

第二十七条 基金销售机构制定《投资人权益须知》,内容至少应当包括:

(一)《证券投资基金法》规定的基金份额持有人的权利。

(二)基金销售机构提供的服务内容和收费方式。

(三)投资人办理基金业务流程。

(四)基金分类、评级等的基本知识以及投资风险提示。

(五)向基金销售机构、自律组织以及监管机构的投诉方式和程序。

(六)基金销售机构联络方式及其他需要向投资人说明的内容。

第二十八条 基金代销机构与基金管理人应在代销协议中对向基金持有人提供持续服务事宜作出明确约定,持有投资人联系方式等资料信息的一方应承担持续服务责任。但基金销售机构至少应向基金注册登记机构提供基金份额持有人姓名、身份证号码、基金账号等资料。

第二十九条 基金销售机构应建立完备的客户投诉处理体系。

(一) 设立独立的客户投诉受理和处理协调部门或者岗位。

(二)向社会公布受理客户投诉的电话、信箱地址及投诉处理规则。

(三)准确记录客户投诉的内容,所有客户投诉应当留痕并存档,投诉电话应当录音。

(四)评估客户投诉风险,采取适当措施,及时妥善处理客户投诉。

(五)根据客户投诉总结相关问题,及时发现业务风险,完善内控制度。

第三十条 基金销售机构应建立严格的基金份额持有人信息管理制度和保密制度,及时维护更新基金份额持有人的信息,基金份额持有人的信息应严格保密,防范投资人资料被不当运用。

对基金份额持有人信息的维护和使用应当明确权限并留存相关记录。

第三十一条 基金销售机构应建立异常交易的监控、记录和报告制度,重点关注基金销售业务中的异常交易行为。

(一) 反洗钱相关法律法规规定的异常交易;

(二) 投资人频繁开立、撤销账户的行为;

(三) 投资人短期交易行为;

(四) 基金份额持有人变更指定赎回银行账户的行为;

(五) 违反销售适用性原则的交易;

(六) 超过约定时间进行资金划付的行为;

(七) 其他应当关注的异常交易行为。

第三十二条 基金销售机构应建立完善的档案管理制度,妥善保管相关业务资料。客户身份资料,自业务关系结束当年计起至少保存15年,交易记录自交易记账当年记起至少保存15年。

第四章 会计系统内部控制

第三十三条 基金销售机构应依据国家有关法律、法规制定相关财务制度和会计工作操作流程,并针对各个风险控制点建立严密的会计系统控制。

第三十四条 基金销售机构应将自有资产与投资人资产分别设账管理,建立完善的自有资产与投资人资产的管理办法,明确规定其各自的用途和资金划拨的严格控制程序。

第三十五条 基金销售机构应建立严格的制度,规范财务收支行为,确保各项费用报酬的收取符合法律法规的规定及销售合同、代销协议或合作协议的约定,并对收取的各项费用报酬开具相应的发票或支付确认。

第三十六条 基金销售机构应当采取适当的会计控制措施,规范资金清算交收工作,在授权范围内,及时准确的完成资金清算,确保投资人资产的安全。

第三十七条 基金销售机构应在内部每日完成各销售网点与基金销售总部的信息与资金的对账;在外部定期完成与客户和基金注册登记机构的信息与资金的对账。

第五章 信息技术内部控制

第三十八条 基金销售机构应严格按照中国证监会《证券投资基金销售业务信息管理平台管理规定》(证监基金字[2007]76号)的要求建立信息技术内部控制制度,确保信息管理平台的安全高效运行。

第三十九条 基金销售机构应在内部建立完整的信息管理体系,设置必要的信息管理岗位,信息技术负责人和信息安全负责人不能由同一人兼任,对重要业务环节应当实行双人双岗。

第四十条 基金销售机构应通过严格的授权制度、岗位责任制度、门禁制度、内外网分离制度等管理措施,确保系统安全运行。

第四十一条 信息技术开发、运营维护、业务操作等人员必须相互分离,信息技术开发、运营维护等技术人员不得介入实际的业务操作。

第四十二条 基金销售机构应对信息数据实行严格的管理,保证信息数据的安全、真实和完整,并能及时、准确地传递;严格计算机交易数据的授权修改程序,并坚持电子信息数据的定期查验制度。

第四十三条 系统数据应逐日备份并异地妥善存放,系统运行数据中涉及基金投资人信息和交易记录的备份应当在不可修改的介质上保存15年。

第四十四条 基金销售机构应制定业务连续性计划和灾难恢复计划并定期组织演练。

第六章 监察稽核控制

第四十五条 基金销售机构应设立专门的监察稽核部门或岗位,就基金销售业务内部控制制度的执行情况独立地履行监察、评价、报告、建议职能。监察稽核人员应忠于职守,廉洁自律,客观公正,依法稽核。

第四十六条 监察稽核人员对于发现违法违规行为、异常交易情况或者重大风险隐患应当向基金销售机构管理层报告。

第四十七条 遇有如下重大问题,基金销售机构的监察稽核负责人应及时向中国证监会或其派出机构报告:

(一)基金销售机构违规使用基金销售专户;

(二)基金销售机构挪用投资人资金或基金资产;

(三)基金销售中出现的其他重大违法违规行为。

第四十八条 基金销售机构应当将客户投诉及处理情况按照监管部门的要求进行报告。

第七章 附 则

第四十九条 中国证监会及授权机构有权对基金销售机构 内部控制情况进行监督并依据相关法律法规进行处罚,基金销售机构应将内部控制制度报中国证监会备案。

第五十条 中国证监会在对基金销售机构内部控制情况进行监督时,会充分考虑各基金销售机构内外环境的因素及其自身特点,对基金销售机构内部控制做出实事求是的评价。

第五十一条 本指导意见由中国证监会负责解释。

第五十二条 本指导意见自2008年1月1日起施行。

下载地址: 点击此处下载

淄博市旅游业管理办法

山东省人大常委会


淄博市旅游业管理办法
山东省人大常委会


(1997年7月23淄博日市第十届人民代表大会常务委员会第三十二次会议通过 1997年8月16日山东省第八届人民代表大会常务委员会第二十九次会议批准 1997年10月1日起施行)

办法
第一条 为加强旅游业管理,维护旅游者和旅游经营者的合法权益,促进旅游业的健康发展,根据有关法律、法规,结合本市实际,制定本办法。
第二条 凡在本市行政区域内从事旅游经营和管理的单位、个人以及旅游者,均应当遵守本办法。
第三条 市、区(县)人民政府应当将旅游开发建设纳入国民经济和社会发展计划,制定扶持政策,加大投入,改善旅游环境,促进本行政区域内旅游业的发展。
第四条 发展旅游业应当坚持社会效益、经济效益、环境效益相统一和“谁投资、谁受益”的原则。鼓励单位和个人以及外商、海外侨胞、台湾澳门同胞、香港特别行政区客商投资开发旅游资源,建设旅游基础设施,发展旅游商品生产,从事旅游经营活动。
第五条 市、区(县)旅游行政管理部门依照法定职责对本行政区域内的旅游行业进行管理。
计划、建设、外事、规划、公安、工商、物价、环保、交通、文化、卫生等有关部门应当按照各自职责,配合做好旅游业的管理工作。
报刊、电台、电视台等新闻单位应当加强对本市旅游资源和旅游线路的宣传。
第六条 旅游行政管理部门应当根据国民经济和社会发展规划制定旅游发展总体规划,并组织实施。旅游发展总体规划应当与国土规划、城市总体规划相协调。
旅游区和旅游景点建设,应当按照全市旅游发展总体规划统筹安排,合理布局。
第七条 新建、改建、扩建旅游区和旅游景点,应当经旅游行政管理部门同意后,按规定程序审批。
新建、改建、扩建旅游区和旅游景点项目,应当避免盲目和重复建设,不得破坏自然景观、人文景观和历史文化遗产。
第八条 开发旅游资源应当突出地方特色,充分发挥齐文化、蒲学等独特优势。
市、区(县)、乡(镇)人民政府应当根据财力情况,安排筹集一定资金,加快重点旅游区和旅游景点的开发建设。
第九条 旅游区、旅游景点和旅游设施的开发、建设,应当进行环境影响评价,并依照法定程序报批。任何单位和个人不得建设损害景区环境风貌和有污染的项目。
旅游区内原有的污染项目应当限期治理或者迁出。
第十条 旅游景区内应当按照规划配套建设旅游基础设施;商业服务网点和安全、卫生设施;其建筑风格应当与景区周围环境相协调。
第十一条 禁止在旅游区内进行开山、采石、采矿、挖沙、取土、建坟、倾倒处理废弃物,采伐树木和捕猎野生动物等损害旅游资源、改变旅游景区地形地貌的活动。
第十二条 旅游经营应当以旅游为主,配套发展相关产业,发挥本地优势,体现地方民俗风情,逐步建立综合性的旅游产业体系。
第十三条 旅游经营者必须依法经营,照章纳税;遵循宾客至上、优质服务、诚实信用、公平竞争的职业道德规范。
旅游经营者应当公开服务项目,明码标价,不得降低服务质量和加收各种不合理费用。
第十四条 旅游经营者的经营自主权受法律保护,有权拒绝违反法律、法规的各种摊派和收费。
第十五条 旅游经营者应当建立健全旅游安全管理制度,配备相应的安全设施,保障旅游者的人身和财物安全。
第十六条 从事旅行社业务;应当按照国家规定的程序和权限向旅游行政管理部门提出申请,经批准取得“旅行社业务经营许可证”,并经工商行政管理部门登记注册,领取营业执照后,方可开业。
第十七条 旅行社不得超出“旅行社业务经营许可证”规定范围经营,对外宣传促销应当符合其经营范围。
旅行社组织旅游,应当与旅游者签定合同。合同文本应当符合国家有关规定,明确旅游行程、服务项目、价格标准、违约责任等。
旅行社接待境外游客应当安排在旅游涉外定点单位。
第十八条 导游员应当经培训、考试合格后持证上岗,并自觉接受旅游行政管理部门的管理和监督。
导游员不得带境外旅游者到非旅游涉外定点单位住宿、就餐、购物、娱乐;不得收受回扣,私收佣金,索兑外币。
导游员不得私自从事导游业务。
第十九条 新建旅游涉外饭店项目,建设单位应当将项目建议书和可行性研究报告报旅游行政管理部门审核,经同意后按国家有关规定审批立项。
第二十条 旅游饭店从事涉外经营,应当经市旅游行政管理部门批准,领取《旅游饭店涉外营业许可证》。
旅游饭店申报星级评定,须事先向旅游行政管理部门提出申请,经审核同意后,按照国家规定的程序申报评定。市旅游行政管理部门应当做好申请评定的协调、服务工作。
星级饭店必须按照所定星级标准向客人提供服务。未评定星级的饭店不得使用星级称谓从事经营活动和进行广告宣传。
第二十一条 对旅游餐馆、商店、游乐场所、旅游车船公司等实行旅游涉外定点管理制度。
旅游涉外定点单位应当经旅游行政管理部门批准,领取许可证后,方能开展旅游涉外业务。
第二十二条 市旅游行政管理部门应当对旅游涉外定点单位每年复核一次,经复核达不到标准的限期整改;经整改仍达不到标准的,取消其定点资格。
第二十三条 旅游商品生产企业实行生产定点管理制度。经批准的旅游商品生产定点企业享受国家规定的各项优惠政策。
非旅游商品生产定点企业不得在广告中使用“旅游商品生产定点企业”或者“旅游定点产品”等字样进行宣传促销。
第二十四条 旅游行政管理部门及其工作人员,应当依法履行职责,提高工作效率。执行公务时应当出示有效证件。
第二十五条 旅游行政管理部门应当建立健全旅游投诉制度。
旅游者的合法权益受到侵害进行投诉时,旅游行政管理部门和被投诉单位应当认真及时处理。
第二十六条 违反本办法第十一条规定,在旅游景区内进行禁止性活动的,由各有关部门按照各自职责责令限期改正,视情节给予警告、没收违法所得的处罚,并可以按照有关法律、法规的规定处以罚款,但不得重复罚款。
第二十七条 违反本办法第十六条规定,擅自从事旅行社业务的,由旅游行政管理部门或者有关行政管理部门责令停止经营活动,没收违法所得,可以并处10000元以上50000元以下罚款。
第二十八条 违反本办法第十七条规定,旅行社超许可证范围经营的,不与旅游者签定合同的,或者将境外游客安排在非涉外定点单位的,由旅游行政管理部门或者有关行政管理部门责令限期改正,可以并处5000元以上20000元以下罚款;情节严重的,按照法律、法规规定的
程序,吊销其经营旅游业务许可证。
第二十九条 违反本办法第十八条规定,导游员私自从事导游业务,或者违法收受回扣、佣金的,由旅游行政管理部门责令改正,没收违法所得或者收受的回扣、佣金,可以并处违法所得一至三倍的罚款;情节严重的,经省旅游行政管理部门批准,收回其导游证书。
第三十条 违反本办法第二十条第三款规定,星级饭店不按星级标准提供服务,或者未评定星级饭店使用星级称谓进行经营和宣传活动的,由旅游行政管理部门给予警告处罚,责令停止违法活动,可以并处1000元以上5000元以下罚款。
第三十一条 违反本办法第二十一条第二款规定,未经批准开展旅游涉外业务的,由旅游行政管理部门责令其限期改正,没收违法所得。
第三十二条 旅游行政管理部门工作人员玩忽职守、徇私舞弊、以权谋私的,由其所在单位或者监察机关给予行政处分;构成犯罪的,依法追究刑事责任。
第三十三条 当事人对行政处罚决定不服的,可以依法申请行政复议或者向人民法院起诉;
当事人逾期不申请复议,也不向人民法院起诉,又不履行处罚决定的,由作出处罚决定的机关申请人民法院强制执行。
第三十四条 本办法自1997年10月1日起施行。



1997年8月16日

铁路计算机信息系统安全保护办法

铁道部


铁路计算机信息系统安全保护办法

(2003年7月15日铁道部令第10号公布)



第一章 总则

第一条 为了保护铁路计算机信息系统安全,促进计算机的应用和发展,保障铁路运输和现代化建设顺利进行,根据《中华人民共和国计算机信息系统安全保护条例》的规定,制定本办法。

第二条 本办法适用于铁路系统的机关、企业、事业单位及铁路计算机信息系统的延伸点。

第三条 本办法所称的计算机信息系统,是指由计算机及其相关和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第四条 铁路计算机信息系统安全保护工作的主要任务是:提高铁路计算机信息系统的整体安全水平,保障铁路运输安全。

第五条 铁路计算机信息系统的安全保护工作,是铁路运输安全保护工作的组成部分,应贯彻“预防为主、综合治理、人员防范和技术防范相结合”的方针,逐级建立安全保护责任制,加强制度建设,逐步实现科学化、规范化管理。

第六条 铁道部公安局主管铁路计算机信息系统安全保护工作,各铁路(含铁路工程、铁道建筑)公安局、处应明确信息网络安全监察机构,负责计算机信息系统安全保护工作。

第二章 安全监督

第七条 铁路公安机关对铁路计算机信息系统安全保护工作行使下列监督职权:

(一)督促计算机信息系统的管理部门和使用单位执行国家有关计算机信息安全法律、法规和规定,依法对其安全保护工作进行监督、检查和指导;

(二)负责对新建、改建和扩建铁路计算机信息系统的安全保护措施进行备案;

(三)负责检查、指导铁路计算机信息系统的安全技术措施;

(四)负责计算机信息系统安全员的培训;

(五)负责计算机信息系统安全专用产品使用的审核;

(六)负责监督、检查计算机信息系统安全管理制度的落实;

(七)组织计算机病毒防治和通报疫情;

(八)查处和侦破危害铁路计算机信息系统安全的事故和案件;

(九)负责奖励和处罚;

(十)办理有关铁路计算机信息系统安全管理手续;

(十一)组织计算机信息系统安全检查、检测工作;

(十二)组织计算机信息系统安全知识的培训和宣传工作。

第八条 铁路公安机关负责辖区内的计算机网络国际联网安全保护监督管理工作。

第九条 铁路公安机关发现影响计算机信息系统安全隐患时,要及时通知使用单位采取安全措施,限期整改。

第十条 铁路公安机关信息网络安全监察人员必须持铁路计算机安全监察证方可上岗工作。监察证由铁道部公安局签发。

第十一条 铁路公安基层段、所队应当协助信息网络安全监察机构,做好计算机信息系统安全保护工作。在特殊情况下,经上级铁路公安机关批准,可行使有关计算机安全监察职权。

第三章 安全保护

第十二条 计算机信息系统安全保护工作实行“谁主管,谁负责,谁经营,谁负责”的原则。使用、管理计算机信息系统的单位(部门)要建立计算机信息系统安全管理组织并设立安全员,负责本单位(部门)的计算机信息系统安全保护工作,其职责是:

(一)确定本单位计算机信息系统的安全保护策略,建立健全安全管理制度;

(二)完善和落实计算机信息系统安全措施,实现内部网与外部网的物理隔离,严禁一机两用;

(三)配合公安机关办理有关计算机信息系统安全保护管理手续;

(四)严格管理计算机信息系统资源,建立计算机信息系统资源台帐;

(五)严格管理系统管理员;

(六)建立与公安机关的通报联系制度,定期向铁路公安信息网络安全监察部门报告计算机信息系统安全情况;

(七)对造成损失并影响运输安全、计算机信息系统安全的案件、事故及违法行为,在12小时内报告铁路公安机关,并保护现场及有关资料,协助开展调查,处理责任者。

第十三条 计算机信息系统安全员必须经过铁路公安机关培训,经考试取得培训合格证书后方可上岗。

第十四条 进行国际联网的个人、单位,必须严格执行国家、铁道部有关规定。

第十五条 计算机机房的建设应当符合国家和铁道部的有关规定。

第十六条 重要部门的计算机机房应当制定严格的出入制度,未经主管部门批准的人员,不得接触和使用信息处理设备和媒体。

第十七条 铁路各单位和部门在新建、改建、扩建计算机系统前应当将计算机系统安全保护方案报铁路公安机关备案。

第十八条 重要部门的计算机信息系统需要对外联网或提供服务时,在报上级主管部门批准的同时,应当报铁路公安机关备案。

第十九条 各单位和部门使用的计算机信息系统安全专用产品,必须是经国家有关部门许可的产品,未经许可的产品不得使用。

第二十条 联网的计算机必须配置防病毒工具进行实时监控和检测。

第二十一条 重要计算机信息系统应设置双路双机冗余,实行封闭运行,制定应急方案,确保系统在发生意外情况后能够迅速恢复正常。

第二十二条 所有的计算机信息系统资产要严格执行登记使用制度,并建立完整的设备台帐及设备档案,定期进行清查。

第二十三条 对信息处理的各个环节和流程要有安全保护和安全控制措施,防止被人非法利用、更改、损害和泄漏。

第二十四条 计算机设备使用和信息存取权,按工作需要原则授予,任何人不得越权使用。

第二十五条 连接重要计算机信息系统的计算机不得存储与工作无关的程序和数据。存储介质和文件资料要严格执行安全保密制度,并设专人、专柜妥善保管。未经主管领导批准,不得随意利用、修改、复制和外借。

第二十六条 使用、管理计算机的单位要做好日常数据和软件备份,对新引用的软件和外来数据必须进行安全检测,确认无误再投入正常运行。

第二十七条 重要计算机信息系统应当建立完善的计算机信息系统日志,根据信息的重要程度设定保存时间,最短不少于60天。

第四章 法律责任

第二十八条 违反本办法,有下列行为之一的,由公安机关处以警告:

(一)逾期不到公安机关办理有关计算机信息系统安全管理手续的;

(二)发生计算机信息系统案件、事故或违法行为,在12小时内不报告的;

(三)违反计算机信息系统国际联网备案制度的;

(四)接到整改通知书后,不按期进行整改的;

(五)拒绝、阻碍铁路公安机关依法实施计算机信息系统安全检查、监督的;

(六)有危害计算机信息系统安全的其他行为的。

第二十九条 计算机信息系统存有严重安全隐患或违法犯罪嫌疑证据,需要技术检验核实的或者发生重大计算机信息系统安全事故或违法犯罪案件,需要保护现场或取证的,由公安机关采取措施保全证据。

第三十条 故意制作、传播计算机病毒及其它有害数据的,由公安机关对个人处以5000元以下罚款、对单位处以15000元以下罚款。

第三十一条 违反本办法,应给予行政处罚的,由铁路公安机关依照《行政处罚法》规定的程序给予行政处罚。

第三十二条 铁路公安机关对违反本办法给予行政罚款处罚的,应当实行罚款决定与罚款收缴相分离的制度。铁路公安机关应当确定罚款代收机构,由公安机关出具处罚决定文书,被处罚人到代收银行自行缴纳罚款。

第三十三条 铁路公安机关实施行政处罚,使用公安部制发的《行政处罚决定书》。按照《行政处罚法》第四十八条规定,经当事人提出,由铁路公安机关当场收缴罚款的,铁路公安机关应当向当事人出具财政部指定的收据。

第三十四条 违反本办法、构成犯罪的,依照刑法的有关规定追究刑事责任。

第三十五条 对铁路公安机关依照本办法作出的行政处罚不服的,可以依法向上一级铁路公安机关申请复议或向人民法院提起行政诉讼。

第三十六条 因计算机信息系统安全保护工作不落实,导致发生危害后果的单位,除处罚直接责任者外,还要追究单位主要领导的责任。

第三十七条 铁路公安信息网络安全监察部门、人员违反本办法规定,由上一级铁路公安机关依法处罚。

第五章 附则

第三十八条 本办法所称“重要部门”、“重要计算机信息系统”、“计算机事故及违法行为”另行规定。

第三十九条 中国铁路工程总公司、中国铁道建筑总公司应当适用本办法。

第四十条 本办法由铁道部负责解释。

第四十一条 本办法自2003年9月1日起施行。铁道部《铁路计算机信息系统安全保护办法》(铁公安[1998]74号)同时废止。