服務熱線
400 180 8892
第一章 總則
第一條 為保障會計師事務所數據安全，規范會計師事務所數據處理活動，根據《中華人民共和國注冊會計師法》、《中華人民共和國數據安全法》、《中華人民共和國網絡安全法》等法律法規，制定本辦法。
第二條 在中華人民共和國境內依法設立的會計師事務所開展下列審計業務相關數據處理活動的，適用本辦法：
（一）為上市公司以及非上市的國有金融機構、中央企業等提供審計服務的；
（二）開展跨境審計業務的。
第三條 本辦法所稱數據，是指會計師事務所執行審計業務過程中，從外部獲取和內部生成的任何以電子或者其他方式對信息的記錄。
數據安全，是指通過采取必要措施，確保數據持續得到有效保護和合法利用。
第四條 會計師事務所承擔本機構的數據安全主體責任，履行數據安全保護義務。
第五條 國務院財政部門會同國家網信部門負責全國會計師事務所數據安全監管工作，省、自治區、直轄市人民政府財政部門會同省級網信部門負責本行政區域內會計師事務所數據安全監管工作。
第六條 注冊會計師協會應當加強行業自律，指導會計師事務所加強數據安全保護，提高數據安全管理水平。
第二章 數據管理
第七條 會計師事務所應當在下列方面履行本所數據安全管理責任：
（一）建立健全數據安全管理制度，完善數據運營和管控機制；
（二）健全數據安全管理組織架構，明確數據安全管理權責機制；
（三）實施與業務特點相適應的數據分類分級管理；
（四）建立數據權限管理策略，按照最小授權原則設置數據訪問和處理權限，定期復核并按有關規定保留數據訪問記錄；
（五）組織開展數據安全教育培訓；
（六）法律法規規定的其他事項。
第八條 會計師事務所的首席合伙人（主任會計師）是本所數據安全負責人。
第九條 會計師事務所應當按照相關法律法規的規定和
被審計單位所處行業數據分級分類標準確定核心數據、重要數據和一般數據。
會計師事務所應當通過業務約定書等方式與被審計單位明確審計資料分級分類要求，審計資料分級分類的要求應當與被審計單位相關資料分級分類的要求保持一致。
第十條 針對核心數據，會計師事務所應當建立核心數據保護機制，通過專用服務器或者會計師事務所私有云平臺設置內部專門空間存儲，使用加密虛擬專用網絡等技術手段傳輸，對核心數據的存儲、讀取、轉移應當建立授權與記錄機制并保證有效運行。
針對重要數據，會計師事務所應當制定和執行規范的處理流程，將其存放于和互聯網邏輯隔離的信息系統中，并嚴格控制接觸人員范圍。
針對一般數據，會計師事務所應當采取基于用戶角色的授權訪問控制，并且按照最小權限原則授權。
第十一條 會計師事務所的審計工作底稿及相關數據應當存儲在境內，不得在境外備份。
會計師事務所應當對審計業務相關的信息系統、數據庫、網絡設備、網絡安全設備等設置并啟用訪問日志記錄功能。日志應當存放境內，其中，日志中的用戶登錄及訪問日志保存期限不得少于十年，其他日志保存期限不得少于六個月。
第十二條 會計師事務所應當明確數據傳輸操作規程。核
心數據、重要數據傳輸過程中應當采用加密技術，保護傳輸安全。
第十三條 審計工作底稿和相關數據的加密設備應當設置在境內并由境內團隊負責運行維護，密鑰應當存儲在境內。
第十四條 會計師事務所應當建立數據備份制度。會計師事務所應當確保在審計相關應用系統停止使用、被限制使用等情況下，仍能訪問、調取、使用相關審計工作底稿。
第十五條 會計師事務所不得在業務約定書或類似合同中包含會計師事務所向境外監管機構提供境內項目資料數據等類似條款。
第十六條 會計師事務所應當采用網絡隔離、用戶認證、訪問控制、數據加密、病毒防范、非法入侵檢測等技術手段，及時識別、阻斷和溯源相關網絡攻擊和非法訪問，保障數據安全。
第十七條 會計師事務所應當建立數據安全應急處置機制，加強數據安全風險監測。發現數據外泄、安全漏洞等風險的，應當立即采取補救、處置措施。發生重大數據安全事件的，應當及時向省級以上財政部門報告。
第十八條 會計師事務所在境內形成的審計工作底稿應當存放在境內。需要出境的，按照國家有關規定辦理審批手續。
第十九條 會計師事務所對于審計工作底稿出境事項應
當建立逐級復核機制，采取必要措施嚴格落實審計工作底稿涉密敏感信息管控責任。
第三章 網絡管理
第二十條 會計師事務所應當建立完善的網絡管理治理架構，建立健全內部網絡管理制度體系，建立內部決策、管理、執行和監督機制，確保網絡管理能力與提供的專業服務相適應，為數據安全管理工作提供安全的網絡環境。
第二十一條 會計師事務所應當按照業務活動規模及復雜程度配置具備相關職業技能水平的網絡管理技術人員，確保合理的網絡資源投入和資金投入。
第二十二條 會計師事務所應當做好信息系統安全管理和技術防護，根據存儲、處理數據的級別采取相應的網絡物理隔離或者邏輯隔離等措施，設置嚴格的訪問控制策略，防范未經授權的訪問行為。
第二十三條 會計師事務所應當擁有其使用的審計業務系統中網絡設備、網絡安全設備的配置和管理的最高權限，統一管理、維護系統管理員賬戶和工作人員賬戶，不得設置不受限制的超級賬戶。
加入國際網絡的會計師事務所使用所在國際網絡的信息系統的，應當采取用戶隔離和數據隔離等措施。
第四章 監督檢查
第二十四條 省級以上財政部門與同級網信部門加強會計師事務所數據安全監管信息共享。
第二十五條 省級以上財政部門、省級以上網信部門（以下簡稱相關部門）對會計師事務所數據安全情況開展監督檢查。
在監督檢查過程中，相關部門可以委托國家、行業有關專業機構采用滲透測試、漏洞掃描及信息技術風險評估等方式，協助對會計師事務所開展監督檢查。
相關部門和機構工作人員對監督檢查中知悉的核心數據、重要數據、個人隱私等數據應當依法嚴格保護，不得泄露或者非法向他人提供。
第二十六條 對于承接金融、能源、通信、交通、科技、國防科工等重要領域審計業務的會計師事務所，相關部門應當開展全覆蓋監督檢查，并持續加強日常監管。
第二十七條 會計師事務所對于相關部門依法實施的數據安全檢查，應當予以配合，提供符合要求的相關數據資料和工作便利，不得拒絕、拖延、阻撓。
第二十八條 承接關系國計民生、重要領域審計業務的會計師事務所開展數據處理活動，影響或者可能影響國家安全的，按照網絡安全審查相關機制進行網絡安全審查。
第二十九條 相關部門在履行數據安全監管職責中，發現會計師事務所開展數據處理活動存在較大安全風險的，可以
對會計師事務所及其責任人采取約談、責令限期整改等監管措施，消除隱患。
第三十條 會計師事務所及其從業人員違反本辦法規定的，由相關部門依照《中華人民共和國數據安全法》、《中華人民共和國網絡安全法》、《中華人民共和國注冊會計師法》等法律、行政法規的規定進行處理處罰。
第三十一條 對會計師事務所及其從業人員違反本辦法規定，涉及其他部門職責權限的，依法移送有關主管部門處理；構成犯罪的，移送司法機關依法追究刑事責任。
第五章 附則
第三十二條 會計師事務所及其從業人員開展涉及國家秘密的數據處理活動，適用《中華人民共和國保守國家秘密法》等法律、行政法規的規定。
第三十三條 會計師事務所開展涉及個人信息的數據處理活動，應當遵守有關法律、行政法規的規定。
第三十四條 會計師事務所的非審計業務數據管理可參照本辦法執行。
第三十五條 本辦法由財政部、國家網信辦負責解釋。
第三十六條 本辦法自 年 月 日起施行。
