一、项目背景及目标

（1）项目背景

党的二十大报告重申“总体国家安全观”这一新时代党治国理政基本方略，为实现更高水平的金融信息安全指明了方向。2023年中国证券业协会发布了《证券公司网络和信息安全三年提升计划》，对证券公司整体信息安全建设提出了明确要求，其中提到加强权限管控和权限设置清晰度。

权限管理指根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源。权限管理是信息安全体系中重要的一部分。由于监管要求和业务品种多等情况，证券公司普遍建设一百多套各类信息系统。如何及时有效管理证券公司信息系统权限，是长期困扰证券行业的难题。证券行业权限管理普遍存在从业人员流动性大权限管理不及时、信息系统异构难以统一管理权限、因权限管理不当导致数据泄露等痛点，给证券公司各项业务经营增加风险、提高经营成本、拉低运作效率。

华福证券主营业务包括财富管理、证券投资、投资咨询、资产管理、机构投行等，客户数量约为数百万户，为客户管理着大量金融资产、代理委托各类金融交易。为保障公司各项业务正常运作，华福证券建有一百多套信息系统。这些信息系统包括，核心交易柜台系统、客户端周边系统、业务经营系统、风险管理系统、合规审计系统、日常办公管理系统、IT（信息技术）管理系统等类型。在这些信息系统中，通常存在业务人员、IT人员、合规审计人员三类用户，根据所在部门、岗位职责授予不同的功能访问权限和数据访问权限。如果公司信息系统权限治理不当，容易发生客户信息泄露、违规执业、影响业务开展等风险，导致经济损失、商誉损失，甚至引发社会性群体事件。

从整个行业角度，信息系统权限治理普遍存在5个方面挑战。

1）整体规划方面

由于各信息系统的权限信息没有集中保存和管理，难以进行统一规划，偶尔发生“A系统角色和B系统角色业务冲突”、“C系统上线设计的权限角色不合理”等情况。

2）申请变更方面

证券公司人员流动频繁、业务品类多。当人员发生离职、调岗、离岗、兼岗或长期休假时，容易出现人员授予的权限变更不及时、遗漏等情况，进而诱发风险。

3）风险管理方面

事前权限管理不当，授予了员工过多的权限；事中人员或岗位变动，存在未能及时更改权限的情况、以及难以鉴别线下签字审批的真实性的情况；事后审计由于信息不一致，可能存在遗漏或者审计结果错误的情况。这些情况容易诱发操作风险、数据安全风险、系统安全生产风险等各类风险。

4）系统异构方面

证券公司的信息系统分别支撑不同业务，或采购或自研，信息系统供应商数量多，这些情况导致了系统异构且差异大。对多套信息系统权限进行统一治理是一项高难度、系统性工程。

5）数据治理方面

各个信息系统间存在权限术语不一致、用户状态描述不一致、员工状态描述不一致、数据权限术语不一致等情况。要推动全司信息系统权限统一治理，需要先进行大量的数据治理工作。

（2）项目目标

本方案主要目标是实现公司信息系统权限的有序治理，将原先分散人为管理模式向智能集中治理模式的转变，逐步实现多套核心系统权限数据和全司员工权限情况数据集中归集管理，加强权限管理工作的风险控制。

目标一：公司信息系统权限信息和员工权限情况归集

通过本方案建设，形成一套公司信息系统权限信息台账、全司员工权限情况台账，将原先分散在各个系统里的权限信息归集保存，避免原先任务管理模式导致的相互冲突、更新不及时、数据不完整的情况。

目标二：公司信息系统权限统一申请和配置

实现全司员工在本方案系统中集中申请公司各套信息系统权限的管理体系，实现多系统权限申请的集中管理和线上化审批，包括查询、检测、权限、审批、配置等各环节。

目标三：公司信息系统权限数据分析和风险控制

根据证监会和行业自律机构规定以及公司相关制度要求，通过分析归集的各系统权限数据和全司员工的岗位职责数据，结合最新的岗位权限匹配规则，实现各种权限治理风险场景的异常信息发现、预紧。同时，结合业务经营，分析有助于业务开展的岗位合理权限模型。

二、创新点

通过本方案建设，华福证券实现了对公司各信息系统权限的科学治理。

权限管理系统项目组总结出了如下的创新性经验：

（1）多维权限治理机制行业领先

本方案创新引用系统管理理论和风险管理理论指导系统设计和建设，创造了制度建设、组织架构优化和信息系统建设多维权限治理机制，保障了本方案的顺利建设、效益显著、有效推广。本方案建设中总结的“多维权限治理机制”管理经验行业领先，可供其它证券公司借鉴。

（2) 积累证券行业权限数据资产

通过本方案建设对证券公司各类信息系统权限数据进行深度治理，积累了大量相关数据资产。包括，行业通用异构系统权限管理数据模型、权限数据标准、权限管理流程标准等数据资产。这些数据资产在各证券公司之间具备可复制性和示范性，同时为行业穿透式监管提供了数据基础。

（3) 科技成果可在证券行业复制推广

多套业务信息系统权限难以合理治理是证券行业普遍痛点，且证券公司建设的信息系统基本相似或相同。本方案由华福证券自主研发，已完成1项软件著作权申请，相关专利正在申请中。本方案积累的经验和知识，比如应用混合存储方案加速大量权限规则实时匹配、应用自研流程引擎适配权限管理工作流程等，可以为行业其它证券公司提供参考，帮助提升行业信息系统权限整体治理水平。

另外本方案采用以下关键技术：

（1）大数据平台数据整合：基于分布式大数据平台实现业务系统权限数据采集、清洗和加工，归集各套系统权限相关数据并推送到权限管理数据库中作为核心数据用于管理分析与业务处理。

（2）工作流程快速生成：通过自研流程引擎，灵活配置权限申请单工作流程。

（3）分布式定时任务:采用分布式定时任务进行任务周期管理，自动生成报表与自定义任务。

（4）低代码开发平台：快速完成不同场景审批流程的新增、修改和维护。

（5）主流前后端分离架构：前端采用Vue3框架，后端采用SpringBoot框架进行开发。

（6）安全架构：采用公司统一的防火墙系统加强系统安全性，同时定期进行安全扫描和加固。部署架构上，采用两套设备进行负载均衡，增强系统服务连续性。角色权限管理方案，按照RBAC算法思想设计，管理体系全面可靠。

（7）混合式存储：采用Redis+MinIO+Mysql构建混合式存储方案，实现万级复杂规则实时匹配。

三、项目技术方案

（1）总体思路

本方案引入系统管理理论和风险管理理论指导系统设计，利用SpringBoot软件框架、混合式存储技术、低代码开发、分布式计算、流程引擎等计算机新技术，解决公司业务发展中全司员工信息系统权限难以科学治理的问题，最终顺利完成证券行业企业级权限治理系统项目建设，系统实际运行技术指标满足业务需求、系统架构设计和技术选型可支撑根据业务持续发展。项目上线后显著提高了公司权限治理水平、改善了工作流程和员工体验、节约了大量人力成本，项目研究成果有助于行业信息系统权限治理水平提升、为穿透式监管提供坚实基础。

本项目核心功能：

业务系统权限申请：支持全公司员工在系统上提交权限申请，查看历史申请、权限审批进度、权限申请工作进展和个人当前权限情况。

业务系统权限审核：审批员工提交的权限申请，对接OA工单系统，回传审批进度，更新员工当前权限情况。

业务系统权限基线查询：管理和查询公司各类业务系统权限数据治理资产，包括权限字典、权限规则配置、权限岗位匹配规则配置、启/停用相关规则基线等。

异常权限查询：定时自动同步业务系统权限，支持根据员工用户角色数据权限范围查询当前各业务里当前生效的权限情况及异常权限情况，结果支持导出。

用户和角色管理：支持创建用户和角色，启用/停用用户和角色，编辑用户和角色信息，删除用户和角色，授权角色菜单权限范围和数据权限范围。

系统管理：支持系统运行情况的可视化运维，支持管理和配置定时调度任务、设置系统基础字典等。

（2）技术路线

1）技术原理

证券行业企业级权限治理系统是华福证券信息系统权限治理的关键平台。项目上线前公司权限集中治理难以开展，存在“各信息系统权限分散管理”、“系统用户合理准确申请权限不便”、“线下审批难以确保真实性”、“总部难以集中治理权限事宜和难以了解各员工权限信息”、“内部检查人力成本投入巨大”、“总部难以分析员工岗位合理权限方案”等情况。基于此我们利用系统管理理论和风险管理理论指导该项目建设，利用分布式计算技术将各个系统的权限数据上收、清洗、入库、建账，利用成熟软件框架和流程引擎技术将权限管理工作各流程线上化，利用大数据和数据可视化技术挖掘公司信息系统权限数据价值，利用混合存储方案加速权限实时匹配进行权限事情、中、后人岗权匹配检查等。最终通过公司制度设计、组织架构优化、本项目系统建设的多维方案，使得华福证券权限治理成为一个有机整体。

2）技术架构

一是系统应用架构。本项目系统应用架构由展现层、应用层、平台层组成。展现层主要支持web登录访问。应用层主要由核心模块与基础模块组成，其中核心模块分为业务系统管理、业务系统权限申请管理和业务系统权限信息管理；基础模块包括用户管理、角色管理、菜单管理、报表管理、字段管理、任务管理。平台层主要包括数据库、调度任务、外部系统对接服务等。

二是系统技术架构。本项目软件技术架构主要由前端、后端、数据、网络组成，为前后端分离项目。前端采用以Vue3为核心的技术框架。后端采用以SpringBoot为核心的技术框架，在数据层面采用Mysql作为业务数据库，采用大数据平台作为大数据处理的功能核心，采用Redis作为非关系型数据库。在物理技术架构上，使用Nginx作为负载均衡组件，Keepalive作为高可用虚拟组件，两台Linux物理设备作为服务器提供服务, Mysql数据库主备架构，搭载MinIO作为文件服务器。

三是系统数据架构。本项目数据架构主要由业务系统数据、大数据化平台数据、系统核心数据、审批流数据、日志数据、文件数据、公共组件数据构成。首先大数据平台从各个业务系统中采集业务系统用户权限数据，其次大数据平台处理业务系统数据后同步到权限治理模块，经用户申请后提交申请单流转到审批流数据，审批流数据回传到权限治理模块，权限系统用户与部门人员数据从公共组件数据中获取。所有模块推送日志数据输出到日志管理模块。权限申请中涉及的文件数据，保存在MinIO文件服务器中。

四是系统安全架构。本项目安全架构主要由角色权限管理、安全产品和安全扫描服务组成。本项目角色权限管理方案，按照RBAC算法思想设计，管理体系全面可靠。安全产品采用公司统一的防火墙产品保障前后端访问必须经过相应安全网关。安全扫描服务上，系统定期进行安全扫描和加固。

五是系统业务架构。本项目业务架构主要由业务场景、核心功能和数据加工组成。业务场景主要集中于各个业务系统的权限治理的事前管理、事中管理和事后管理。核心功能构建本项目系统的核心业务逻辑、权限匹配逻辑、岗位权限检测逻辑等核心模块。数据加工模块包括业务系统基础数据、EHR主数据、权限模型数据和权限加工数据。本项目对员工全生命周期业务系统权限进行集中管理。

（3）主要技术性能指标

本项目上线以来，系统运行稳定、性能情况良好。在硬件资源方面使用了2台Linux服务器作为系统主要的运行主机。Cpu采用Intel(R) Xeon(R) Silver 4214R CPU @ 2.40GHz，内存容量为64G，存储为2T。系统正常运转时Cpu平均利用率为43.7%，内存使用率12%。系统可支持的TPS最高可达到1000左右，QPS最高可达500左右，吞吐量最高可达1000/s左右，系统响应时间1000毫秒以内，系统可承载的在线用户数超过100000人，系统可承载400/s以上并发量。

四、项目过程管理

本方案建设，主要经历以下两个时期：

（1）规划和设计权限治理机制

加强制度和流程建设。制定公司级核心业务系统的权限管理办法《华福证券核心业务系统权限管理细则》，进一步规范信息系统权限管理的主管部门及职责、权限申请审批流程、权限审计监督检查等。非核心业务系统参照执行。

优化组织架构和明确部门分工。成立公司权限管理审核小组、明确各业务系统主管部门及管理分工、明确权限管理工作后台支持部门及分工。定期组织主管部门梳理业务系统岗位权限信息、互斥岗位规则、权限授予规则等。定期组织系统主管部门对核心业务系统权限设置情况进行自查，借助科技手段对重点风险点进行排查。

推进数字化平台建设。建设权限管理系统，通过系统对权限授权进行集中管控。权限申请统一入口和前端控制，从业务、岗位、角色等方面进行控制，对不符合前端控制条件的员工无法提交权限申请；权限申请流程自动流转，系统对接日常办公系统自动流转审核，根据部门、岗位、角色、机构等维度选择自动流转至相关岗位审核，审核通过后自动流转至权限设置人员进行设置；定期抓取核心业务系统权限管理数据，对权限授权情况进行检查，对存在离职未停用、权限互斥、调动未更新等风险点进行预警。

（2）建设证券行业企业级权限治理系统

成立公司权限管理审核小组。主要职责是对核心业务系统上线前的业务岗位和岗位对应的业务操作权限，相应的互斥岗位规则、岗位授予规则进行审核、评估，并对核心业务系统新增业务岗位或现有业务岗位操作权限扩充进行审核。小组成员：运营管理部、科技部门、合规管理部、风险管理部、相关系统主管部门。

各信息系统梳理权限和确定系统主管部门。科技部门牵头对公司现有的信息系统进行梳理、分类，确定核心业务系统范围及系统主管部门。

各信息系统权限规则梳理及审核。核心业务系统主管部门对主管系统的岗位权限、互斥岗位规则、岗位授予规则和用户特殊权限进行梳理，形成岗位权限分配表，公司权限管理审核小组进行审核。

制定核心业务系统权限管理办法。运营管理部牵头完成核心业务系统的权限管理办法制定，并经科技部门、合规管理部、审计部等会稿审查后提交总办会，并正式发文。

建设信息系统系统。依托科技部门自研权限管理系统，支持权限申请前端控制、权限审批流程自动流转、权限审计监督检查统等功能。建设信息系统时，分为原型系统建设和试运行阶段、正式版本系统建设和推广阶段。

（3）项目实施重大事件表

2022年4月，成立公司权限管理审核小组。

2022年5月，明确各信息系统主管部门。

2022年6月，完成项目可行性论证。

2022年7月，项目立项并下达任务书。

2022年7月，公司制定核心业务系统权限管理办法。

2022年8月，需求分析和设计完成。

2022年11月，系统编码、测试及上线准备完成。

2022年12月，原型系统及首批功能试运行。

2023年5月，试运行情况分析和新增需求设计完成。

2023年7月，正式版本系统编码、测试及上线准备完成。

2023年8月，正式版本系统试点上线，纳管19个信息系统权限，公司下发系统正式上线通知，第一批推广应用。

2023年11月，新增纳管3个信息系统，第二批推广应用。

五、运营情况

华福证券一百多套信息系统的整体权限管理是一项需要科学治理、设计模型、收集数据、试点验证的系统化工程。权限管理系统主要从业务流程和标准实践两个方面推进建设工作。

从业务流程角度，可以划分为事前、事中、事后三个方面的权限管理。事前指权限授予前，管理内容主要为事前人员状态验证、事前角色互斥验证、事前数据范围验证、岗位系统范围验证等；事中指权限授权过程中，管理内容主要为权限申请范围、权限申请审批等；事后指权限使用阶段，管理内容主要包括事后异常检查、经营分析等。

图1 事前、事中、事后权限管理

从标准实践角度，需要对各个信息系统权限管理中使用的数据、流程、规则进行标准化定义。项目创新引入数据资产管理思路、集中治理模型。数据资产管理思路，要求将各个信息系统的数据模型、规则模型、用户状态等信息进行抽象定义和统一标准，并按资产层级将权限资产挂入“员工-系统用户-角色和数据”三层权限模型。集中治理模型，要求将各个信息系统权限申请流程按统一标准和流程，进行线上新增、变更、作废管理，以确保整体权限管理的数据有效性、完备性和整体性。

公司权限管理审核小组根据方案思路共梳理出数千项各类业务信息系统开展规则、权限规则、人员状态管理规则等各类逻辑规则，数万项权限管理相关的数据字典。最终，根据公司权限管理规划，建成权限管理系统。

2023年8月正式版试点上线，纳管19个信息系统权限，公司下发系统正式上线通知。2023年11月新增纳管3个信息系统，进一步扩大推广范围。截至2024年5月，系统已承载11,933条权限任务申请/变更管理流程，日均处理60.6条；全司全体员工约5,000名使用该系统，覆盖全部50家分工、171家营业部、全部总部部门。

图2 华福证券权限管理系统架构

图3 华福证券权限管理系统界面

六、项目成效

权限管理系统于2022年11月份完成原型系统上线试运行，2023年7月完成正式版本上线投产。权限管理系统运行以来取得明显经济效益和社会效益。

1.经济效益

权限管理系统在企业降本增效方面发挥了重大作用。

（1）直接经济效益

已纳管公司22套核心业务系统数万项关键权限，实现申请、审批、配置的全流程线上化。系统投产16个月，已节省人力成本14,627.83人日，折合节约资金约726.58万元。测算依据如下：

该项目上线前后每笔权限申请节省的人力成本包括：申请权限投入0.5人日、一级审核投入0.3人日、二级审核投入0.3人日、配置复核投入0.3人日、审查返工投入0.014人日。审查返工比例约为1%，因此平均审查返工投入0.014人日，测算公式：（0.5人日+0.3人日+0.3人日+0.3人日）×1%=0.014人日。

该项目2022年处理权限申请58笔、2023年处理权限申请8171笔、2024年（截至3月13日）处理2116笔。

近三年证券公司工作日：2022年共有242日交易日、2023年共有242个交易日、2024年共有240个交易日。

公司员工按照12万元平均年薪测算。

2023年节约人力成本为：1.414人日/笔×8171笔×12万元/242个工作日=约572.92万元。同理，2022年节约人力成本约4.07万元、2024年（截至3月13日）节约人力成本约149.60万元。

（2）间接经济效益

项目上线后公司权限综合治理水平显著提升，进一步解放了员工生产力。解放生产力既来自于员工更高效获知和更充分使用公司平台可提供的功能提高对客服务质量、更快速准确完成权限申请工作节约精力，也来自于权限要素集中治理后挖掘出的数据价值。

同时，随着公司权限综合治理水平提升，因权限管理引发的各类风险得到了有效控制，进而节约了内部检查、收集、整改、重新申请等工作的成本投入。

2.社会效益

证券行业企业级权限治理系统建设项目上线后，华福证券权限综合治理水平显著提升、权限管理中操作风险等得到有效控制、员工权限申请和总部权限管理体验明显增强、有助于培育权限要素的改良研究和专岗人才；项目研究成果可帮助改善行业痛点、促进行业健康有序发展、可服务于穿透式监管降低行业整体风险，对保障国家和金融安全有一定贡献。

（1）公司权限综合治理水平显著提升

项目实现了公司企业级信息系统权限的集中治理，完成了多系统权限数据治理和标准入库，沉淀出多项权限统一管理模型和岗位匹配检测模型等成果，挖掘出部分岗位科学的权限模型等管理方案，项目显著提升了公司权限综合治理水平。

（2）权限管理中操作风险等得到有效控制

项目上线后，权限管理从大部分线下笔头管理升级为线上全流程数字化管理，有效控制因流程遗失、审批不规范、配置遗漏、数据泄露等风险。项目上线以来已有效识别和控制几百项潜在风险，显著增强公司经营健壮性、确保经营合规、保护业务和客户信息安全，提升了安全生产水平。

（3）员工权限申请和总部权限管理体验明显增强

原先员工申请权限需要先了解系统权限情况、提交纸质申请签字审批、联系配置人员获取权限、线下复核反馈结果。现在通过权限管理系统实现一站式线上申请，极大降低了员工的学习成本，改善员工工作体验。同时，总部权限管理工作也实现了全流程线上化，极大降低了相关岗位人员的工作量、操作风险，改善了工作环境。

（4）有助于培育权限要素的改良研究和专岗人才

项目使得公司管理体系和岗位分工得到优化，责任边界更加清晰。在此背景下，有助于进一步培育权限领域管理人才和改良项目，如提炼管理模型加强新设网点和团队的培育进度等。同时，华福证券权限管理系统由华福证券自主研发，已完成1项软件著作权申请，相关专利正在申请中。自主研发积累的经验和知识，既可以培育公司相关科技人才、沉淀知识产权，也可以为同业其它证券公司提供参考。

（5）项目成果可帮助改善行业痛点、促进行业健康有序发展

证券公司建有大量异构系统，将系统权限统一管理既符合行业监管要求、也符合生产力发展趋势。大量异构系统的权限难以科学治理是证券行业的普遍痛点。同时，证券公司需要进行权限管理的信息系统基本相似或相同。因此，本方案的成功经验可快速复制到其它证券公司，改善行业痛点、促进行业健康有序发展。

（6）项目成果可服务于穿透式监管降低行业整体风险

项目以华福证券为样本，研究积累了相关数据资产和标准原型，为进一步推广研究成果服务行业穿透式监管夯实基础，对国家和行业做出一些贡献。

项目对证券公司各类信息系统权限数据进行深度治理，积累了大量相关数据资产。包括，行业通用异构系统权限管理数据模型、权限数据标准、权限管理流程标准等数据资产。这些数据资产在各证券公司之间具备可复制性和示范性，同时为行业监管提供了数据基础。

同时，华福证券于2024年1月16日申报成功证标委证券行业标准课题《证券公司信息系统权限集中管理规范研究》（课题编号：BZKT2024019），将协助团体标准或行业标准设计，进一步扩大项目成效，为证券行业做出一些贡献。当前课题已立项成功，正在研究阶段。

七、经验总结

公司证券行业企业级权限治理系统建设项目，采用自主研发+敏捷迭代建设方式，项目结合业务实际应用不断迭代升级改善体验，整体历时20个月分为原型系统和完整版本系统两个大版本。项目投入200万元，服务器及存储设备投入约50万元，人力成本投入约150万元。项目上线后公司信息系统权限治理水平显著提高，产生直接经济效益约726万元，取得突出社会效益。项目在系统管理理论和风险管理理论指导下开展分析和设计工作，配套方案包括权限管理系统、制度建设设计、组织结构设计、工作流程设计等方面，适用于国内证券公司信息系统权限统一管理，方案符合中国证券行业相关监管机构的监管要求。其中，权限管理系统，包含权限申请、权限变更、权限数据资产管理、权限潜在风险监测、跨系统权限冲突监测等功能。

本方案有效解决了行业内证券公司多套异构信息系统权限难以统一管理、容易诱发合规风险和操作风险的痛点。同时，由于各家证券公司建设的信息系统或相似或相同。因此，本方案具备行业领先性、可在证券行业大面积推广。

证券行业业务系统权限集中治理创新方案已取得信通院“金信通”金融科技创新应用优秀案例将、中国企业报全国企业数字化建设优秀案例奖、中关村互研院应用场景创新优秀案例等荣誉，同时相关信息系统我司已成功立项中国证监会证标委《证券公司信息系统权限集中管理规范研究》课题。