导语

泄密事件的发生，极少是毫无征兆的“瞬间崩塌”，更多时候，风险早已潜伏在人员、载体、项目、场所的日常缝隙之中。排查泄密风险，本质上是在事件发生之前或发生过程中，对这些缝隙进行系统性的“扫描”与“预判”。2024年修订施行的《中华人民共和国保守国家秘密法实施条例》（以下简称《实施条例》）进一步压实了机关、单位的保密工作主体责任，并将保密自查自评上升为法定义务。对科研单位及科技人员而言，做好风险排查，既是贯彻“积极防范”方针的必然要求，也是在法律框架下守住底线的第一道关口。本文从“查什么、怎么判、如何固化”三个层面，梳理泄密风险排查的四步操作逻辑、基本思路与方法，供各单位参考执行。

一、查什么：把风险来源逐一“摆上桌面”

风险排查的第一步，不是急于下判断，而是先把可能出问题的环节全部纳入视野。科研单位的泄密风险来源，通常分布在以下几个层面：

（一）组织与制度层面

保密工作机构是否实体化运转，保密工作责任制是否落实到岗到人，是风险排查的起点。《实施条例》第六条明确，机关、单位主要负责人对本单位保密工作负总责，分管负责人负领导责任，工作人员对本岗位负直接责任，且履责情况纳入年度考评考核。排查时应重点对照：保密工作机构或指定人员是否实际承担了统筹、检查、督促职能，还是停留在“挂牌”状态；保密制度是“写在纸上”，还是嵌入了科研管理的日常流程。

（二）人员层面

涉密人员是风险排查的核心变量。排查的重点不在于简单统计人数，而在于审视人员管理的全周期是否闭环：岗前审查是否实质进行，在岗保密教育是否持续、有针对性，离岗离职时载体清退、权限取消、脱密期管理是否到位。科研单位中劳务派遣人员、博士后、研究生等流动性较强的群体参与涉密项目时，知悉范围是否得到有效控制，是实践中容易被忽视的薄弱环节。

（三）载体与设备层面

涉密载体“台账不清、账实不符”是高频风险点。排查应覆盖纸质文件与电磁介质两类载体：领用、归还、复制、销毁是否有完整记录且可追溯；报废设备与废旧介质在处理前是否完成了涉密属性核验和数据残留排查，是否存在“台账已注销、实物仍含密”的管理真空。此外，非涉密计算机或移动介质是否被用于处理涉密信息，同样是必须逐项确认的底线问题。

（四）项目、场所与外部环境层面

科研项目全过程的保密管理，涉及申报、立项、实施、结题、成果发表等多个节点。论文发表和专利申请环节尤其需要前置审查：是否存在引用未公开数据或涉密资料的情况，是否履行了信息公开保密审查程序。场所方面，保密要害部门部位是否依法确定并落实物理防护与访问控制，涉密会议和涉外交流活动的保密方案是否实际执行，都应纳入排查清单。外部环境因素，如合作单位资质、境外交流中的保密风险评估，同样不应留白。

二、怎么判：识别风险从“潜在”走向“现实”的转化条件

排查出风险来源，只是完成了“看见”。真正具有决策意义的，是判断这些来源在什么条件下会转化为实际的泄密风险，以及转化的临界点在哪里。

（一）把握风险转化的“量变”信号

风险的转化往往不是非此即彼的突变，而是沿着某些可观察的维度累积。涉密人员规模扩大、涉密事项数量增加，如果保密管理力量未能同步匹配，风险敞口就会随之放大。反过来，当保密工作力量相对于涉密体量明显偏弱时，风险的“势能”就已经在积累。排查的任务，是在这些量变信号尚未跨过临界点之前加以识别和干预。

（二）锚定最直接的因果关系

识别转化条件时，需要避免泛化归因。一个具体的风险来源，对应的是特定的、现实的条件组合，而非抽象的“管理不到位”。例如，涉密载体台账缺失这一来源，其最直接的转化条件是“载体流转脱离了可追溯的控制链条”；论文发表环节的风险，其直接转化条件是“未履行保密审查即进入公开渠道”。排查应追求每一个风险点都能对应到一个可干预、可验证的条件上，而不是停留在笼统的“意识不强”“制度不完善”层面。

（三）以法定要求校准判定尺度

《实施条例》为风险判定提供了外部校准坐标。例如，涉密信息系统安全保密风险评估已有明确的频次底线：绝密级系统每年至少一次，机密级及以下系统每两年至少一次。保密自查自评的内容框架也覆盖了责任制、制度、人员、载体、信息系统、场所、信息公开审查等十三个维度。以这些法定要求为参照，可以避免排查标准主观化、随意化，使“是否构成风险”的判断具有可复核的依据。

三、如何固化：将排查逻辑沉淀为可对照、可重复的体系模型

单次排查的成果如果不加以固化，下一次仍可能退回经验驱动的起点。针对泄密风险因素的复杂性和科研活动的动态性，有必要将前两步的排查逻辑转化为本单位可操作、科技人员可对照的体系模型。

（一）模型的功能定位：不是“额外负担”，而是“日常工具”

体系模型的价值，在于把分散的制度要求和排查要点整合为一张清晰的风险对照地图，使科技人员在日常工作中能够快速识别自身岗位和当前环节所处的风险状态，而不是等到专项检查时才被动应对。模型的设计应以“可用”为首要标准，避免追求大而全导致难以落地。

（二）模型的维度选择：紧扣科研活动的关键节点

可参考的构建思路包括：以“人员—载体—项目—场所—网络”为基本维度，在每个维度下标注高风险环节和对应的转化条件，形成矩阵式对照表；或者借鉴“结构—过程—结果”的逻辑，分别检视保密组织与资源保障是否到位、管理流程是否闭环、风险控制效果是否可验证。无论采用何种框架，核心是让排查从“一次性运动”转变为嵌入科研管理流程的常态化机制。

（三）模型的运行保障：自查自评与整改闭环

体系模型的有效性，最终取决于是否与法定的自查自评机制相衔接。《实施条例》第五十八条已将自查自评确立为机关、单位的法定义务。模型应当为自查提供具体的检查项和判定参考，同时明确发现问题后的整改路径与时限要求，形成“排查—判定—整改—复核”的闭环，避免模型停留在纸面上。

结语

泄密风险排查的专业性，不在于列出多少条检查项，而在于是否真正理解了风险从“来源”到“事件”之间的转化逻辑。科研单位面临的保密环境日趋复杂，涉密与非涉密的边界在项目合作、成果发表、人员流动中频繁交织。将排查从“凭经验、靠突击”转向“有框架、可对照、能闭环”，既是落实新修订《实施条例》合规要求的务实之举，也是在科研效率与秘密安全之间找到可持续平衡的根本路径。守住底线，靠的不是运气，而是一套经得起反复使用的排查逻辑。