基于资金安全管控的智慧密钥一体化平台建设与应用

胡婷婷 王灿 国网安徽省电力有限公司综合服务中心 张莉 国网安徽省电力有限公司

朱宁宁 国网安徽省电力有限公司综合服务中心 杨益伟 国网安徽省电力有限公司

引言

资金是企业发展的血脉，是企业资产管理的重要组成部分。目前企业资金管理中仍然大量使用网上银行支付，虽然网银结算方便快捷，极大提高了财务人员的工作效率，但近年来国内企业的很多重大资金安全事件，金额之大，让人瞠目结舌，诸如某地产公司出纳挪用公司资金近4800万元打赏网络主播；某铁路局出纳通过盗用审核密钥、伪造对账单等方式挪用公司资金1000余万元，等等，这些案例无一例外地暴露出如果企业缺乏对网银支付的操作风险加以控制，就会给一些不法分子留下可钻之洞。

因此，如何加强网银管理，控制网银支付操作风险，是企业不容忽视的问题，也是企业风险控制管理的重要内容。

一、建设背景

国资发监督〔2021〕19号文《关于加强中央企业资金内部控制管理有关事项的通知》[1]中明确要严格银行账户和网银监管，确保账户和网银安全可控。2021年《国资委办公厅关于开展网银U盾等印鉴自查工作的通知》中需要全面开展网银U盾等印鉴管理情况自查。2022年初，国网公司下发《国家电网有限公司司库管理办法》[2]，针对网银支付相关事项，进一步明确各级单位应通过公司统一资金结算平台办理结算业务，原则上不得使用现金、支票、网银等传统结算方式，确需使用的应由本单位财务负责人审批并按月报上级单位备案。

国网安徽电力涉及银行网银支付的账户数量超150个，近350人保管约400个银行网银U盾，开通网银支付的账户数量多，涉及的保管人员分布广。全省平均每年使用网银进行支付的笔数约57万笔，金额约达90亿元，支付笔数多、金额大，如果缺少对网银支付的安全管控，那么资金安全风险难以得到管控。

目前，内网财务信息系统已实现了对集团内部账户资金支付的安全管控，但是对于外网网银U盾缺少一定的监控手段。通过智慧密钥一体化管控体系实现对全省外网网银U盾线上实时管控，真正落实“三密钥三人分开保管”的要求，提高网银支付的安全性；通过授权委托等功能，提升基层财务人员支付便捷性和时效性。

二、管理现状

（一）密钥保管现状

1.三密钥三人分开保管

按照现行资金管理制度要求，银行网银密钥应当由三人分开保管，由录入员、审核员、会计主管三人分别保管各自的网银U盾证书、账号、密码等关键信息（如图1），要做到各司其职、岗位相互牵制，不得兼容[3]。

各单位业务部门相关人员发起支付申请，向本单位财务资产部递交签字审批完备的支付申请单，由本单位网银录入员登录企业网银，完成该笔支付申请单相关收款信息、金额等数据录入，输入支付密码后，提交下一岗位审核员完成一级审核，再由会计主管完成网银支付二级审核。

近年来，发生了多起因出纳或财务部主任利用职务之便，将企业资金转到个人账户，并进行高额消费等违法犯罪活动，给企业蒙受巨大的损失[4][5]。究其原因，都是各单位在对于网银密钥及密码的管理上不严格，让不法分子钻了漏洞，导致公司资金资源流失[6]。

2.保险柜保管

相关文件制度明确要求，财务人员应当妥善保管银行密钥及密码，银行密钥等重要支付工具应当妥善保管于保险柜中；在无支付业务时，应当及时签退支付系统，严禁出现无支付业务或制服人员离开工作岗位时，支付密钥仍然与计算机系统保持连接的情况。

实际工作中，很多单位并未严格遵照资金安全制度中相关要求，如果有不良分子通过非法手段获取密码后，很容易造成一定的资金安全风险。

（二）台账、交接管理现状

1.台账管理

企业应当按照相关管理制度要求，建立完备的台账管理制度并按月对本单位持有的银行密钥进行盘点登记。

在历年内外部检查或自查中都发现，很多单位并未建立一套完整密钥管理制度，未登记银行密钥管理台账，未按月盘点密钥，或者银行密钥盘点登记不齐全、与实际保管情况不一致，这些问题都会带来一定资金安全隐患。

2.岗位交接管理

相关文件制度明确规定，各级单位应当建立密钥审批权限授权机制，要规范委托授权的办理流程，强化对替岗人员的授权管理，要从根源上对内部替代操作带来的风险严格进行防范。

在实际的内外部监管检查中发现，很多单位对于支付委托授权办理流程不规范，在相关岗位人员离岗后，未履行交接程序，往往直接将支付密钥及密码交接给接交人，无相应的审批流程，如果事后发生支付风险，往往无法进行追溯。

（三）管理者密钥管控现状

管理者对全省网银密钥的分布使用情况无法像内网中国电财支付一样全盘掌握，对网银支付频率、笔数、金额缺乏有效管控。由于内外网的隔离要求，财务人员在外网操作系统发生的网银支付数据往往难以实时传输到内网系统，如果发生例如非工作时间等异常支付情况，管理者无法实时掌控到可能存在的风险。

三、智慧密钥一体化平台构建

智慧密钥一体化平台有助于加强集团外部账户资金支付安全管控，提高外部银行网银U盾保管权限委托的便捷性和灵活性，防范外部银行账户支付风险，实现对外部网银支付情况的有力监控及管理。

（一）应用架构

智慧密钥一体化平台整体有网银密钥管理工具、密钥安全管控应用服务、财务管控资金管理模块三部分构成，详见图1。

网银密钥管理工具基STM32芯片进行嵌入式开发，提供对接入的电机、编码器、传感器、通信IO等硬件部件的接入控制，完成运动部件的控制、硬件状态检测等功能，并提供相关接口供上位机应用程序调用。该工具内部采用微型机械手臂通过磁性编码器自动记忆网银U盾按压确认键位置，实现自动按键按压过程，同时装置上装有微型摄像头，能够让支付用户确认网银U盾支付金额后，再进行支付，保证支付过程的准确性。

密钥安全管控应用服务实现对已接入的密钥管理设备进行权限、状态进行校验；采用人脸识别算法和指纹识别算法提高用户身份认证安全性；支持对密钥证书是否到期、安全操作时间等信息监控预警。

财务管控资金管理模块整通过调用现有的内外网隔离装置，接收网银密钥管理工具使用过程中产生的台账、操作轨迹、异常信息等数据，实现密钥安全管控应用服务与财务管控资金管理模块的内外网数据交互。

（二）建设内容

1.智能安全认证

将网银U盾固定存放在网银密钥管理工具中并锁定，设置好相应使用权限及使用人、匹配电脑之后，盒子即为黑盒，无特殊情况不打开。在特殊情况下，只有通过授权审批的用户才能通过人脸或指纹认证验证身份后解锁打开，同时，开锁操作记录会生成日志。

采用生物识别技术，利用人脸、指纹和账号密码等组合方式，完成密钥的安全登录。严格落实“三密钥三人分开保管”，通过在网银密钥管理工具中为不同岗位配置相应权限，密钥的实际保管人通过验证账号密码、人脸信息无误后，才能通过密钥管理工具控制网银U盾按键，真正地落实不相容岗位相分离的内控要求。

2.台账及留痕管理

依据《国家电网有限公司司库管理办法》中相关要求，各单位应当建立银行密钥管理台账，对密钥的使用管理过程进行完整的记录，包括密钥的使用人、密钥编号、发证机构、发证日期、证书管理户名、证书管理账号、使用权限、有效期限、交接记录等详细信息，每月至少盘点一次，并形成密钥盘点表。

通过智慧密钥一体化管控平台，实现对密钥的操作使用全过程进行详细记录，系统自动出具传统结算方式台账登记表，每月自动出具密钥盘点表，并通过内外网隔离装置实现台账、盘点表信息回传至内网财务信息系统相应模块，提高了每月原先需要手工登记台账的效率，进一步将财务人员从烦琐的机械劳动中解放出来。

岗位交接涉及密钥交接时，只需要网银U盾保管人发起交接申请单，经审批通过后，原网银U盾的使用权限便能自动转移至接交人，接交人可完成人脸等生物信息录入后可直接登录进行操作，申请及审批操作过程在网银密钥管理工具中保留日志，密钥安全管控应用服务通过调用网银密钥管理工具中的记录，将详细的交接记录回传至内网财务信息系统中。

通过在密钥安全管控应用服务中设置超级管理员的权限，对基层单位网银U盾的数量分布、网银支付情况进行详细展示，并回传信息至内网，通过图表等方式对网银使用情况进行横向或纵向对比，省公司管理者可以登录财务信息系统查看网银使用情况，实现所有支付人员、所有支付记录在线掌握。

3.异常告警及支付跟踪管理

通过在密钥管理工具中设置网银U盾正常工作时间，在非工作时间内锁定盒子中内置的U盾，不允许使用网银U盾，特殊情况下，可通过申请的方式，得到审批人的同意后才能解锁网银U盾，通过日志管理记录申请及审批过程中的操作记录。

通过密钥安全管控应用服务对网银密钥管理工具设置密码定期更换时间，系统自动提醒到期更换密码信息，用户依据提醒按时修改网银密码，提高密钥使用的安全性。

将外网网银操作记录与内网支付申请单据相匹配，真正落实“无预算不开支，有预算不超支”。在外网网银密钥操作时，通过在密钥管理盒子中输入内网单据的支付申请单编号后，系统自动弹出该单位支付申请单据的详细信息，用户可手动选择本次支付明细数据，确认无误后方能提交支付指令，实现了内网支付流程与外网网银支付信息的连接，网银支付更安全。密钥管理工具记录本次操作的时间、操作单位、操作人、单据编号、金额、证书信息等，回传至内网财务信息系统相应模块，实现网银支付可跟踪、可追溯。

4.在线委托及审批

在实际工作中，如果财务人员因出差等原因临时离岗时，往往只能直接将密钥及口令移交接替人员处理，存在事后无法追溯某一业务具体经办人，移交人返岗后也无法确认是否及时收回密钥等风险。

智慧密钥一体化平台通过发送手机验证码的方式，被授权人可使用审批人提供的验证码登录密钥管理工具，实现密钥的实际保管人出差后，在需要紧急支付的情况下，被授权人仍然可以操作密钥，不会影响正常支付。同时，通过日志管理记录授权审批的日志，便于日后移交人进行稽核检查。

四、智慧密钥一体化平台建设成效

（一）提升资金安全防控水平，守住资金安全管理底线

强化企业资金内部控制体系建设，进一步防范资金安全风险。按照不相容岗位相分离原则，在启动使用U盾之前增加人脸验证，通过系统控制密钥的使用人与实际保管人保持一致，能够真正地落实“三密钥三人分开保管”，为外网网银支付增加了一道安全防护锁。

实现外网网银支付可控、可追溯，在内网支付安全通过人脸识别、流程控制等措施得到保障的基础之上，全面实现对全公司所有内外部账户的安全管控。

（二）创新财务信息化管理思路，提高支付便捷性和灵活性

为加强对资金支付关键控制点的管理，通过梳理企业日常资金支付中潜在的风险点，研究应对解决措施，提出建设智慧密钥一体化平台，采用信息化手段解决日常资金支付中的难点和堵点，针对人员临时离岗后，无法追溯管控密钥使用问题，开发在线授权委托功能，提升了支付操作的效率水平，有力地支撑了财务集约化的创新发展。

结语

深入应用智慧密钥一体化管控平台，不断提高资金精益化管理，深化“1233”司库管理体系建设。以保障外网网银支付安全为着力点，持续优化完善资金管理制度、标准、规则及流程，由内网资金支付安全监控转变为内外网资金支付安全监控相结合的方式，打通资金安全监控的断层点，形成“事前——事中——事后”的安全管控体系，提高了资金安全监控的效率和效益，资金安全管控水平得到进一步提升，有效保障了全量资金收支业务的安全，推动公司“1233”司库管理体系建设在基层单位提升与应用。