中国企事业单位内保业务合规、能力与边界全景图谱

第一章 第一性原理：中国单位内保的底层逻辑与本质重构

如果把企事业单位还原为最基本的经济社会生存单元，其存续的根本前提是关键资产与核心价值创造过程不受非正常中断和毁损。从法理内核与现代企业风险管理的双重维度审视，中国语境下的“单位内部治安保卫（简称内保）”，其底层逻辑建立在以下三项基本命题之上。

1.1 底层风险二分法：Safety 与 Security 的本质区别

威胁单位存续与资产安全的风险，在底层逻辑上分为性质截然不同的两类：

因此，内保工作的第一性原理定义是：针对人为恶意侵害的关键资产全周期防御体系。

1.2 公私双重属性：私权生存本能与公法治理末梢

与西方纯粹基于私有产权和董事会受托责任演化出的企业安保（Corporate Security）不同，中国单位内保制度脱胎于“单位制”传统，天然具备私权与公法双重属性：

1. 私权属性（企业生存与资产保护本能）：

无论是有形的资金、原料、库存、产线设备，还是无形的核心代码、工艺配方、商业秘密，抑或是作为生产力载体的人员（高管、研发与一线员工），企业均需要建立物理与制度边界，防止关键资产因人为恶意行为而灭失、被盗、泄露或停摆。

1. 公法属性（国家立体化社会治安防控体系的“最小作战单元”）：

国家在立体化社会治安防控体系中，将“机关、企事业单位内部安全防控网”确立为五大防控网之一。企事业单位不仅对自身财产负责，还承担维护单位内部公共秩序、防范暴恐袭击与群体性事件、协助公安机关侦查违法犯罪的法定义务。对于关系国计民生的“治安保卫重点单位”（如水电油气、金融、危化品、核心科研医疗机构），其内部安全防范标准直接关系国家安全与公共安全防线。

1.3 历史派生的职能分化：“核心安保”与“消、交、危”的剥离及交叉

计划经济时期，企业保卫处是公安机关在单位内部的全面对口延伸。由于早期消防、交通管理、危爆物品均归口公安管理，《内保条例》第8条第(4)、(8)项将内部消防、厂内交通和危险物品管理制度一并写入内保要求。在现代企业治理中，这三项职能已发生明确的结构性分化：

• 内部消防与厂内交通安全：本质属于防范火灾和交通事故等意外事故的 Safety 范畴，现代企业通常已将其剥离或并入 EHS（环境、健康与安全）部门统筹管理（但在法律层面，421条例第8条仍列有相关制度名称，实际管理中需做好与 EHS 制度的对接索引）。
• 危险物品管理（重点交叉领域）：剧毒化学品、易制爆危险化学品、放射性物质及枪支弹药等特殊管控物品具有双面风险——其“防泄漏、防燃爆、合规储存作业”归属安全生产监管；而其“防盗、防抢、防丢失、防被恶意用于投毒或暴力恐怖袭击”（对应 GA 1002、GA 1511、GA 1016 等公安强制要求），则始终是《内保条例》最严厉的刚性红线，绝不能因设有 EHS 部门而放弃治安保卫管控。

第二章 全景架构总览

本图谱遵循“外部监管与公私协同 ➔ 单位治安保卫责任制中枢 ➔ 风险防控五阶主轴 ➔ 对齐421条例的七大法定业务模块”四级贯通结构。其中：

• 一级模块严格对齐《内保条例》与公安部93号令法定主干，确保法定义务无遗漏；
• 国际标准（ASIS CPP 8大领域、PSP 物理安全方法论、英国 NPSA 5E 安全行为框架、ISO 28000 / 22301 / 31000、联合国脆弱目标与关键基础设施保护指南）作为二级能力进阶方法嵌入各模块内部；
• 业务边界与法律责任（包括421条例外的工伤与民事赔偿责任）作为固有属性贯穿对应模块，避免体系割裂。

2.1 宏观本体与业务全景拓扑图

第三章 外部监管与公私协同角色图谱

长期以来，企业内保实践中最突出的治理失衡之一，是“五大防控网业务杂糅”——有时公安机关替单位承担了本应由单位自负其责的日常防范工作，有时又把本属社会面治安防控的事务（如散装油管理等）简单交由一般单位承担。本图谱将公安机关与行业主管部门的外部行为严格区分为三类，确立清晰的政企协作接口。

3.1 公安机关三类行为模型（法定监管 · 公共支撑 · 公共服务）

3.2 公安机关介入单位内保的 7 个关键业务触点

1. 单位定级与备案阶段：政府确定治安保卫重点单位后，单位向公安机关报备机构设置、专职人员与重要部位清单；自招保安员 30 日内完成公安备案。
2. 标准与规划指导阶段：公安内保部门制定地方安全防范标准，对新建改建重点工程及重要部位技防设施提供建设合规指引（避免建成后再补装）。
3. 日常监督检查阶段：公安机关依据公安部令第 93 号开展定期/随机监督检查，核查八项制度、检查记录与隐患整改台账。
4. 重点岗位背景核查阶段：公安机关为重点目标、重要部位及保安员准入提供犯罪记录等背景审查支撑。
5. 隐患无法消除的主动报告阶段：当单位因客观原因导致治安隐患难以整改并严重威胁人身、财产或公共安全时，单位须主动向主管公安机关和行业主管部门报告（DB11 4.1.4 / 9.7）。
6. 日常驻警联防、特殊勤务与突发接管阶段：在医院/企业驻点警务室协同、中小学幼儿园上下学“高峰勤务（护学岗）”、重点时段巡防中形成内外合围；发现涉暴恐、群体性事件预警或发生现行违法犯罪时立即报警，公安 110 接管处置并指导现场保护。
7. 案件调查移交与事后追责阶段：单位完成内部反舞弊或治安案件初步证据固定后向公安报案移交；若因单位失职引发重大案事件，公安依据 421 第 19 条依法启动行政追责。

3.3 行业主管部门三类行为及典型行业监管映射

依据《内保条例》第4条及行业特别法，行业主管部门在各自职责范围内指导、督促本行业单位做好内部治安保卫工作，同样体现为三类行为：

• 法定监管责任：制定本行业强制性安全防范标准（在民事诉讼中直接界定安全保障义务“合理限度”）；将内保及反恐达标纳入行业许可准入、等级评审与央国企考核。
• 公共支撑义务：在单一单位无力协调跨机构问题时（如医患冲突、涉校涉众矛盾、跨园区危化品流向管控），统筹协调多部门资源联动处置；打通内保与安全生产、保密、网信部门的交叉监管口径。
• 公共服务责任：落实 DB11/T 2552 附录 A.1.2 规定，由业务主管部门牵头组织同类单位开展安全防范风险评估；汇编本行业软/硬目标最佳实践与合规对照指南。

第四章 单位顶层治理中枢：内部治安保卫责任制

《内保条例》第 5 条规定：“单位的主要负责人对本单位的内部治安保卫工作负责。”公安部令第 93 号第 4 条将“治安保卫责任制建立和落实情况”列为必查事项。实务中，很多单位内保责任制流于表面（责任书沿用旧式空泛模板、业务部门认为“安保只是保卫科的事”），必须将其设计为“1 个四级责任中枢 + 贯穿事前/事中/事后的 3 个落地环节”。

4.1 单位内部四级责任链条

4.2 责任制贯穿事前、事中、事后的三个落地环节

第五章 以风险防控为主轴的双向防御体系

单位内保不能停留在“有人站岗、装几个探头”，而应以风险防控（Risk Management）为主轴，清晰区分外部人员发起的侵害与内部人员（及内外串通）引发的风险，走通全周期防控闭环。

5.1 阶段一：保护对象识别与单位目标定性

1. 四大关键资产谱系（突破“只管有形财物”的传统观念）

2. 单位等级与软硬目标定性（国内分级 × 国际 CIP/脆弱目标经验）

结合 DB11/T 2552-2026“三个维度（实体层面、逻辑层面、时态层面）”与国际反恐/基础设施保护标准，单位在设防前必须先完成目标定性：

5.2 阶段二：人为恶意威胁三维分解与风险评估

传统安防常把“盗窃、尾随、破坏、暴恐、群体事件”混在一起罗列。在风险工程建模中，应从三个互不交叉的维度解构威胁，以精准匹配防线：

1. 维度一 · 行为主体（谁发起侵害）：
   • 外部人员（Outsider）：外部盗抢人员、商业间谍、竞争对手雇佣人员、暴恐或极端行凶人员、外部闹事群体。
   • 内部人员（Insider）：监守自盗员工、违规拷贝核心技术的研发人员、因劳资或晋升纠纷蓄意报复破坏或实施职场暴力的人员。
   • 内外串通人员（Collusion）：内部多部门掌权人员（如仓储、质检、物流、门卫）与外部供应商、废料回收商、承运商串通作案——隐蔽性最高、单案损失往往最大。
2. 维度二 · 侵害意图与损失性质（造成什么后果）：
   • 非法占有与窃取型：盗窃、抢劫、职务侵占、商业秘密与知识产权窃取；
   • 物理毁损与破坏型：故意毁坏设备、损毁技防设施、恶意污染产品或投放危险物；
   • 人身伤害与暴力威慑型：故意伤害、职场暴力、个人极端行凶、绑架勒索及恐怖袭击；
   • 秩序瘫痪与胁迫施压型：聚众围堵大门、非法占据办公区、阻断生产物流等群体性事件。
3. 维度三 · 作案路径（如何突破防线）：
   • 物理突破：翻越周界、尾随闯入、暴力破拆门窗、夹带违禁品进入；
   • 技防对抗：遮挡破坏摄像头、干扰报警器、伪造/借用门禁凭证、利用夜间或监控盲区；
   • 业务流程绕行：伪造篡改审批单据、利用地磅计量漏洞“少报多出”、多部门联合签批表面合规放行、离职未注销权限越权取数。

风险评估方法：按照 DB11/T 2552 附录 A（准备 ➔ 识别 ➔ 从发生可能性、后果严重程度、可控性三维度分析 ➔ 评价分级 ➔ 报告报备与年度动态复查），并借鉴 ASIS PSP 风险评估公式（风险 = 威胁 × 脆弱性 × 后果）与现场勘查/情景分析法，形成可控性排序清单。

5.3 阶段三：事前分向防范（外部侵害防线 × 内部风险与舞弊防线）

路径 A：外部侵害事前防范（围绕“规划前置 + 环境设计 + 物理技防纵深”）

1. 建设规划前置与变更评估：

依据 GB 50348、GB 55029 及 DB11 第 4.5.1 条，新建、改建、扩建项目的安防系统应纳入总体规划同步建设、同步验收、同步运行；租赁或使用既有办公建筑时（借鉴美国 ISC 政府设施评估思路），在入驻前即评估周界防冲撞条件、出入口分流与建筑薄弱结构，避免建成后无法补救。

1. 犯罪预防环境设计（CPTED 一/二代）：

改变“一搞安防就加探头、加铁丝网”的做法，运用第一代 CPTED（自然监视、出入口控制、领域强化、环境维护）和第二代 CPTED（社会凝聚、社区联结、活动支持），通过合理灯光、通透绿化（净空区）、清晰导向标识和访客动线设计，低成本压缩犯罪机会。

1. 探测—延迟—响应（PSP D-D-R）纵深配置：

遵循安全工程基本时间原则——延迟时间必须大于响应时间（<i>T</i>_delay > <i>T</i>_response）。通过周界入侵报警/高清视频/AI行为分析实现早期探测（Detection），利用实体屏障、防车辆冲撞设施、防盗安全门（GB 17565）、防砸玻璃、重要部位防盗保险柜及通道互锁门实现物理延迟（Delay），最终确保在岗保卫力量、巡查队伍与应急单元能够及时完成响应（Response），并对照 DB11 附录 D、F 落地人防/物防/技防配置标准。

路径 B：内部风险与内外串通事前防范（围绕“人员管控 + 5E 行为 + 安防业务联动”）

面对内部作案和内外串通，“只靠大门保安”与“只靠纸面多部门联签”均极易失效——保安可能被买通或只认签字放行，纸面联签在利益共同体串通下依然可以“账面合规、实物多出”。必须构建三道防线：

1. 重点岗位准入核验与权限全生命周期管理（DB11 4.2.8–4.2.9）：
   • 识别五类重要岗位（安全决策管理岗位、易发案事件/高损失岗位、保卫执勤/访问控制/安防运维岗位、行业要求岗位、评估确定岗位）；
   • 上岗前完成与风险相适应的背景和资质核验；
   • 建立 HR 与保卫、IT 的联动机制：员工离职或调岗当天，同步取消或调整其门禁卡、生物识别、物理钥匙及安防/业务系统管理权限。
2. 人员安全意识与行为培育（引入英国 NPSA《5E 框架》）：

物防和技防措施如果脱离员工的正确配合就会大幅衰减；把普通员工培养成日常环境中的主动发现者与协助防护者，是成本最低、覆盖最广的防线。5E 框架核心落地路径如下：

• Educate why（阐明缘由）：用贴近岗位的真实案例（如尾随失窃、工牌外戴暴露身份、越权拷数后果），让员工理解面临的威胁及为何与自身和业务核心目标相关；
• Enable how（实现方法）：发放简单明了的现场行为清单、漫画指引与随身举报卡，明确告知“什么是合规行为、发现可疑人物或异常打架怎么处置、打哪个电话报告”；
• Shape the Environment（塑造环境）：优化物理工作流（如高峰期增设足够闸机减少拥堵导致的被迫尾随），并将安全行为嵌入入职培训与绩效考核，培育“互相提醒不尴尬”的团队风气；
• Encourage the action（鼓励行动）：对主动发现治安隐患、制止尾随、上报可疑情况的员工给予保卫负责人书面致谢或激励（DB11 9.6）；对屡次违规出借门禁卡、故意尾随或遮挡设备者执行明确的纪律惩戒；
• Evaluate the impact（评估影响）+ Endorsed by credible sources（权威信源背书）：设定量化 KPI（如员工佩戴证件率、隐患主动上报数、门禁异常率）开展干预前后对比评估，并由企业高层（CEO/主要负责人）、保卫负责人及外部专家公开背书支持。同时使用 APEASE 六项准则（可负担性、可实施性、有效性、可接受性、副作用/安全性、公平性）筛选干预措施，防止扰民和形式主义。

1. 安防设施与业务内控审批联动控制（治理内外串通的核心）：

将内保的硬件防线嵌入业务 ERP/WMS 审批流，消除人工篡改与单边放行盲区：

• 计量与单据直连：大宗原料、成品或高价值边角料出厂时，地磅称重数据加密直连 ERP 生成电子出门单，杜绝人工改数“少报多出”；
• 道闸与电子审批联动：厂区出入口门禁道闸系统与电子《出库申请单》闭环指令直接挂钩，无系统有效放行指令，门卫无法手动抬杆；
• 技防在线状态作为作业前置条件：装卸月台、废料仓、核心机房、现金交接区等重点部位的视频监控在线状态与业务审批联动，摄像头一旦异常离线或被恶意遮挡，系统自动触发安防告警并暂停相关出库或作业放行。

5.4 阶段四：事中突发案事件应急处置与内部协同调查

1. 突发案事件应急处置（常态转非常态 × 合理限度下限）

• 常态与非常态切换（DB11 第 7 章）：在重大会议、敏感节假日、接到涉暴恐/群体性事件/治安预警或突发案事件时，立即启动非常态机制——单位负责人或授权人 24 小时带班、减少周界出入口数量、车辆阻截设施置为阻截状态、全面安检、加密巡查频次并检查救援物资。
• 最小应急单元先期处置（DB11 4.1.9 / 4.4.4）：重点单位由固定人员和标准装备组建最小应急单元，一旦发生突发案事件第一时间到达现场，承担组织人员疏散、重要部位保护、损失控制、现场情况反馈四项先期任务。
• 法庭抗辩的“合理限度”五项最低处置动作（司法判例实务总结）：法律不要求保安徒手对抗持械歹徒，但绝不接受在场零作为。事发时最低限度必须做到：① 立即报警；② 呼救并启动预案；③ 隔离风险或锁定重点通道；④ 开展基础急救并呼叫 120；⑤ 保护现场与封存完整录像。
• 业务连续性管理（ISO 22301 / CPP 领域 07）：建立应急指挥、员工关怀安置、媒体沟通、损失评估、抢救清理与核心业务恢复机制（BCP），缩短中断时间。

2. 内部违规与舞弊协同调查（业务单据核查 + 现场取证 + 合法红线）

传统内部案事件调查中，公检法背景的保卫人员擅长外围摸排、调看监控与访谈突破，但往往不熟悉企业内部单据流转和权限漏洞；内审/风控人员精通穿行测试，却在监控损毁、人员攻守同盟或需要现场取证时难以推进。实务中应打通两者协同：

• 第一步：以业务内控单据为排查蓝图：在无法直接盘库或监控受损时，依据业务内控流程推演出必然留痕的法定审批单据（如物资处置申请单、异常放行审批单、地磅日志），快速确定利益链条与签批嫌疑人。
• 第二步：以安保现场手段固定客观实证：调取门禁日志（DB11 要求存储 ≥ 180 天）、报警记录（≥ 90 天）、高清视频回放（≥ 30 天，反恐重点目标 ≥ 90 天）及合法外围核查，将“纸面申报 5 吨的签字单据（书证）”与“实际装车出库 10 吨的客观现场画面（视听资料/物证）”合并成严密证据链，满足公安治安或经侦刑事立案门槛。
• 第三步：严守调查合法性红线：依据《内保条例》第 10、11 条及《保安服务管理条例》规定，单位保卫机构和保安人员不具备侦查强制权，严禁限制员工或访客人身自由、严禁非法搜身、严禁侮辱殴打或扣押个人证件财物。内部访谈须遵循自愿与合法程序，涉嫌违法犯罪的应保护现场、妥善保全证据链并及时向公安机关报案移交。

5.5 阶段五：事后整改治本与法律责任闭环（421条例内 × 421条例外）

1. 持续检查、效能评估与业务流程改造

• 分级内部检查（DB11 第 9 章及附录 H）：
  • 日常治安保卫巡查（重点单位每日巡查并开展夜间巡查，三级间隔 ≤ 24h 且不少于 2 人、二级 ≤ 12h、一级 ≤ 6h）；
  • 定期全面检查（重点单位每季度至少开展 1 次治安保卫检查，逐项核查体系、人防、物防、技防）；
  • 5 类情形触发即时检查：责任制重大变化、机构或管理人员重大调整、重要部位或制度变更后 15 日内、进入非常态前、发生突发案事件后。
• 安全防范系统效能评估与流程治本：结合巡查与隐患整改定期开展安防系统效能评估，淘汰失效设备。针对反舞弊调查暴露的管理漏洞，使用业务部门通行的内控语言（如不相容职务分离、称重与开单拆权、关键岗位强制轮换）结合《内保条例》关于消除治安隐患和第一责任制的法定要求，破除部门推诿阻力，把整改方案真正落入业务流程。

2. 421条例内与421条例外的法律责任全景闭环

中国虽没有英美法系名为“雇主 Duty of Care”的单一诉因专条，但《内保条例》之外的多部法律法规与强制标准已经构成严密的责任网络。核心判断是：421 条例解决“单位必须做安保”，421 条例之外解决“不做或做了但出事之后，谁给钱、给哪一种钱”。报警、公安立案乃至刑事判决，都不会自动消灭单位的工伤与民事赔付责任。

第六章 单位内保七大法定业务模块全景矩阵

为确保图谱既能直接用于对照公安机关监督检查（不遗漏《内保条例》与 93 号令的任何法定要求），又能为专业人员提供清晰的能力建设阶梯与边界指引，以下将全部业务收敛为 7 大法定模块，按 L1 法定底线 → L2 地方高标 → L3 国际先进做法 分层呈现。

模块一：治安保卫责任制与组织队伍（对齐 CPP 领域01/02 + 421第5–6、13–14条）

模块二：保护对象、重要部位与重要/危险物品管控（对齐 CPP 领域05/06 + 421第3、7、8条）

模块三：门卫值班、巡逻检查与物防技防建设（对齐 PSP 全域 + 421第7、8(1)、11条）

模块四：人员背景审查、宣传教育与安全行为培育（对齐 CPP 领域04 + NPSA 5E + 421第8(5)、9条）

模块五：风险评估、治安隐患排查整改与监督考核（对齐 CPP 01 / PSP 领域1 + 421第7、8(7)、11(4)条）

模块六：内部矛盾排查、违规舞弊调查与案件报告移交（对齐 CPP 领域08 + 421第8(6)、10、11(5)条）

模块七：突发事件应急预案、非常态防范与事后法律责任（对齐 CPP 领域03/07 + 421第15、18、19条）

第七章 公开参考依据与标准文献索引

1. 国家法律法规、司法解释与部门规章（公开文本）：
   • 《企业事业单位内部治安保卫条例》（国务院令第421号）
   • 《公安机关监督检查企业事业单位内部治安保卫工作规定》（公安部令第93号）
   • 《保安服务管理条例》（国务院令第564号）
   • 《中华人民共和国反恐怖主义法》（第31–33条重点目标管理规定）
   • 《中华人民共和国突发事件应对法》《中华人民共和国民法典》（第1165、1191、1198条）
   • 《工伤保险条例》（第14条第3项、第5项）及最高人民法院 (2020)最高法行再68号 裁判口径、最高法安全保障义务与用人单位责任相关司法实践
   • 《中华人民共和国劳动合同法》（第26条）、《中华人民共和国妇女权益保障法》、《中华人民共和国安全生产法》
2. 国家、地方与行业标准（公开标准）：
   • 北京市地方标准 DB11/T 2552—2026《单位内部安全防范通用要求》（2026-06-30发布，2026-10-01实施）
   • GB 55029—2022《安全防范工程通用规范》、GB 50348—2018《安全防范工程技术标准》、GB 55037《建筑防火通用规范》
   • GA 38《银行安全防范要求》、GB/T 29315《中小学、幼儿园安全防范要求》、GA 1002（剧毒化学品/放射源）、GA 1511（易制爆危险化学品）、GA 1016（枪支弹药库室）、GB 15603、GA/T 1127—2025、GB 17565、GB/T 22239
   • GB/T 45259—2025《差旅风险管理 组织指南》（MOD ISO 31030:2021）
   • 地方安全防范标准参考：DB4401/T 105（广州）、DB11/T 855（北京安防系统维护）及国家《保卫管理员国家职业技能标准（2020年版）》
3. 国际公开标准与方法论指南：
   • ASIS International：《Certified Protection Professional (CPP)》知识体系（8大领域）及《Physical Security Professional (PSP)》物理安全知识体系
   • 英国国家防护安全局（UK NPSA）：《Embedding Security Behaviours: using the 5Es》（2023，5E 安全行为框架与 APEASE 准则）
   • 联合国（UNOCT / 联合机构）：《保护脆弱目标全球方案（Global Programme on Countering Terrorist Threats against Vulnerable Targets）》《保护关键基础设施免受袭击最佳实践》
   • 美国国土安全部（DHS / CISA / ISC）：《DHS BIPS-06》及联邦机构协调委员会（ISC）联邦设施安全标准与选址评估指南
   • 国际标准化组织与供应链规范：ISO 31000 风险管理、ISO 22301 业务连续性管理、ISO 28000 供应链安全管理及美国海关商贸反恐联盟 C-TPAT 准则