一、总则
（一）编制目的
为提处置网络与信息安全突发事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大程度地预防和减少网络与信息安全突发事件及其造成的损害，保障信息资产安全，特制定本预案。
（二）编制依据
根据《中华人民共和国计算机信息系统安全保护条例》、公安部《计算机病毒防治管理办法》，制定本预案。
（三）分类分级
本预案所称网络与信息安全突发事件，是指本系统信息系统突然遭受不可预知外力的破坏、毁损、故障，发生对国家、社会、公众造成或者可能造成重大危害，危及公共安全的紧急事件。
1、事件分类
根据网络与信息安全突发事件的性质、机理和发生过程，网络与信息安全突发事件主要分为以下三类：
（1）自然灾害。指地震、台风、雷电、火灾、洪水等引起的网络与信息系统的损坏。
（2）事故灾难。指电力中断、网络损坏或是软件、硬件设备故障等引起的网络与信息系统的损坏。
（3）人为破坏。指人为破坏网络线路、通信设施，黑客攻击、病毒攻击、恐怖袭击等引起的网络与信息系统的损坏。
2、事件分级
根据网络与信息安全突发事件的可控性、严重程度和影响范围，县上分类情况。
（1）i级、ⅱ级。重要网络与信息系统发生全局大规模瘫痪，事态发展超出控制能力，需要县级各部门协调解决，对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的信息安全突发事件。
（2）ⅲ级。某一部分的重要网络与信息系统瘫痪，对国家安全、社会秩序、经济建设和公共利益造成一定损害，属县内控制之内的信息安全突发事件。
（3）ⅳ级。重要网络与信息系统使用效率上受到一定程度的损坏，对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益的信息安全突发事件。
（四）适用范围
适用于本系统发生或可能导致发生网络与信息安全突发事件的应急处置工作。
（五）工作原则
1、居安思危，预防为主。立足安全防护，加强预警，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统，从预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑网络与信息安全保障体系。
2、提高素质，快速反应。加强网络与信息安全科学研究和技术开发，采用先进的监测、预测、预警、预防和应急处置技术及设施，充分发挥专业人员的作用，在网络与信息安全突发事件发生时，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。
3、以人为本，减少损害。把保障公共利益以及公民、法人和其他组织的合法权益的安全作为首要任务，及时采取措施，最大限度地避免公共财产、信息资产遭受损失。
4、加强管理，分级负责。按照“条块结合，以条为主”的原则，建立和完善安全责任制及联动工作机制。根据部门职能，各司其职，加强部门间协调与配合，形成合力，共同履行应急处置工作的管理职责。
5、定期演练，常备不懈。积极参与县上组织的演练，规范应急处置措施与操作流程，确保应急预案切实有效，实现网络与信息安全突发事件应急处置的科学化、程序化与规范化。
二、组织指挥机构与职责
（一）组织体系
成立网络安全工作领导小组，组长局党委书记、局长担任，副组长由局分管领导，成员包括：信息全体人员、各通信公司相关负责人。
（二）工作职责
1、研究制订我中心网络与信息安全应急处置工作的规划、计划和政策，协调推进我中心网络与信息安全应急机制和工作体系建设。
2、发生i级、ⅱ级、ⅲ级网络与信息安全突发事件后，决定启动本预案，组织应急处置工作。如网络与信息安全突发事件属于i级、ⅱ级的，向县有关部门通报并协调县有关部门配合处理。
3、研究提出网络与信息安全应急机制建设规划，检查、指导和督促网络与信息安全应急机制建设。指导督促重要信息系统应急预案的修订和完善，检查落实预案执行情况。
4、指导应对网络与信息安全突发事件的科学研究、预案演习、宣传培训，督促应急保障体系建设。
5、及时收集网络与信息安全突发事件相关信息，分析重要信息并提出处置建议。对可能演变为i级、ⅱ级、ⅲ级的网络与信息安全突发事件，应及时向相关领导提出启动本预案的建议。
6、负责提供技术咨询、技术支持，参与重要信息的研判、网络与信息安全突发事件的调查和总结评估工作，进行应急处置工作。
三、监测、预警和先期处置
（一）信息监测与报告
1、要进一步完善各重要信息系统网络与信息安全突发事件监测、预测、预警制度。按照“早发现、早报告、早处置”的原则，加强对各类网络与信息安全突发事件和可能引发网络与信息安全突发事件的有关信息的收集、分析判断和持续监测。当发生网络与信息安全突发事件时，在按规定向有关部门报告的同时，按紧急信息报送的规定及时向领导汇报。初次报告最迟不得超过4小时，较大、重大和特别重大的网络与信息安全突发事件实行态势进程报告和日报告制度。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施等。
2、重要信息系统管理人员应确立2个以上的即时联系方式，避免因信息网络突发事件发生后，必要的信息通报与指挥协调通信渠道中断。
3、及时上报相关网络不安全行为：
（1）恶意人士利用本系统网络从事违法犯罪活动的情况。
（2）网络或信息系统通信和资源使用异常，网络和信息系统瘫痪、应用服务中断或数据篡改、丢失等情况。
（3）网络恐怖活动的嫌疑情况和预警信息。
（4）网络安全状况、安全形势分析预测等信息。
（5）其他影响网络与信息安全的信息。
（二）预警处理与预警
1、对于可能发生或已经发生的网络与信息安全突发事件，系统管理员应立即采取措施控制事态，请求相关职能部门，协作开展风险评估工作，并在2小时内进行风险评估，判定事件等级并预警。必要时应启动相应的预案，同时向信息安全领导小组汇报。
2、领导小组接到汇报后应立即组织现场救援，查明事件状态及原因，技术人员应及时对信息进行技术分析、研判，根据问题的性质、危害程度，提出安全警报级别。
（三）先期处置
1、当发生网络与信息安全突发事件时，及时请技术人员做好先期应急处置工作并立即采取措施控制事态，必要时采用断网、关闭服务器等方式防止事态进一步扩大，同时向上级信息安全领导小组通报。
2、信息安全领导小组在接到网络与信息安全突发事件发生或可能发生的信息后，应加强与有关方面的联系，掌握最新发展态势。对有可能演变为ⅲ级网络与信息安全突发事件，技术人员处置工作提出建议方案，并作好启动本预案的各项准备工作。信息安全领导小组根据网络与信息安全突发事件发展态势，视情况决定现场指导、组织设备厂商或者系统开发商应急支援力量，做好应急处置工作。对有可能演变为ⅱ级或i级的网络与信息安全突发事件，要根据县有关部门的要求，上报县政府有关部门，赶赴现场指挥、组织应急支援力量，积极做好应急处置工作。
四、应急处置
（一）应急指挥
1、本预案启动后，领导小组要迅速建立与现场通讯联系。抓紧收集相关信息，掌握现场处置工作状态，分析事件发展趋势，研究提出处置方案，调集和配置应急处置所需要的人、财、物等资源，统一指挥网络与信息安全应急处置工作。
2、需要成立现场指挥部的，立即在现场开设指挥部，并提供现场指挥运作的相关保障。现场指挥部要根据事件性质迅速组建各类应急工作组，开展应急处置工作。
（二）应急支援
本预案启动后，领导小组可根据事态的发展和处置工作需要，及时申请增派专家小组和应急支援单位，调动必需的物资、设备，支援应急工作。参加现场处置工作的有关人员要在现场指挥部统一指挥下，协助开展处置行动。
（三）信息处理
现场信息收集、分析和上报。技术人员应对事件进行动态监测、评估，及时将事件的性质、危害程度和损失情况及处置工作等情况及时报领导小组，不得隐瞒、缓报、谎报。符合紧急信息报送规定的，属于i级、ⅱ级信息安全事件的，同时报县委、县政府相关网络与信息安全部门。
（四）扩大应急
经应急处置后，事态难以控制或有扩大发展趋势时，应实施扩大应急行动。要迅速召开信息安全工作领导小组会议，根据事态情况，研究采取有利于控制事态的非常措施，并向县政府有关部门请求支援。
（五）应急结束
网络与信息安全突发事件经应急处置后，得到有效控制，将各监测统计数据报信息安全工作领导小组，提出应急结束的建议，经领导批准后实施。
五、相关网络安全处置流程
（一）攻击、篡改类故障
指网站系统遭到网络攻击不能正常运作，或出现非法信息、页面被篡改。现网站出现非法信息或页面被篡改，要第一时间请求相关职能部门取证并对其进行删除，恢复相关信息及页面，同时报告领导，必要时可请求对网站服务器进行关闭，待检测无故障后再开启服务。
（二）病毒木马类故障
指网站服务器感染病毒木马，存在安全隐患。
1)对服务器杀毒安全软件进行系统升级，并进行病毒木马扫描，封堵系统漏洞。
2)发现服务器感染病毒木马，要立即对其进行查杀，报告领导，根据具体情况，酌情上报。
3)由于病毒木马入侵服务器造成系统崩溃的，要第一时间报告领导，并联系相关单位进行数据恢复。
（三）突发性断网
指突然性的内部网络中某个网络段、节点或是整个网络业务中断。
1)查看网络中断现象，判定中断原因。若不能及时恢复，应当开通备用设备和线路。
2)若是设备物理故障，联系相关厂商进行处理。
（四）数据安全与恢复
1.发生业务数据损坏时，运维人员应及时报告领导，检查、备份系统当前数据。
2.强化数据备份，若备份数据损坏，则调用异地光盘备份数据。
3.数据损坏事件较严重无法保证正常工作的，经部门领导同意，及时通知各部门以手工方式开展工作。
4.中心应待数据系统恢复后，检查基础数据的完整性；重新备份数据，并写出故障分析报告。
（五）有害信息大范围传播
系统内发生对互联网电子公告服务、电子邮件、短信息等网上服务中大量出现危害国家安全、影响社会稳定的有害、敏感信息等情况进行分析研判，报经县委、县政府分管领导批准后启动预案；或根据上进部门要求对网上特定有害、敏感信息及时上报，由上级职能部门采取封堵控制措施，按照市上职能部门要求统一部署启动预案。
（六）恶意炒作社会热点、敏感问题
本系统互联网网站、电子公告服务中出现利用社会热点、敏感问题集中、连续、反复消息，制造舆论焦点，夸大、捏造、歪曲事实，煽动网民与政府对立、对党对社会主义制度不满情绪，形成网上热点问题恶意炒作事件时，启动预案。
（七）敏感时期和重要活动、会议期间本地互联网遭到网络攻击
敏感时期和重要活动、会议期间，本系统互联网遭受网络攻击时，启动预案。要加强值班备勤，提高警惕，密切注意本系统网上动态。收到信息后，及时报警，要迅速赶赴案（事）发网站，指导案（事）件单位采取应急处置措施，同时收集、固定网络攻击线索，请求县上技术力量，分析研判，提出技术解决方案，做好现场调查和处置工作记录，协助网站恢复正常运行并做好防范工作。
六、后期处置
（一）善后处置
在应急处置工作结束后，要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作，统计各种数据，查明原因，对事件造成的损失和影响以及恢复重建能力进行分析评估，认真制定恢复重建计划，迅速组织实施。
（二）调查和评估
在应急处置工作结束后，信息安全工作领导小组应立即组织有关人员和专家组成事件调查组，对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失状况和总结经验教训，写出调查评估报告。
七、应急保障
（一）通信与信息保障
领导小组各成员应保证电话24小时开机，以确保发生信息安全事故时能及时联系到位。
（二）应急装备保障
各重要信息系统在建设系统时应事先预留出一定的应急设备，做好信息网络硬件、软件、应急救援设备等应急物资储备工作。在网络与信息安全突发事件发生时，由领导小组负责统一调用。
（三）应急队伍保障
按照一专多能的要求建立网络与信息安全应急保障队伍。选择若干经国家有关部门资质认可的，具有管理规范、服务能力较强的企业作为我县网络与信息安全的社会应急支援单位，提供技术支持与服务；必要时能够有效调动机关团体、企事业单位等的保障力量，进行技术支援。
（四）交通运输保障
应确定网络与信息安全突发事件应急交通工具，确保应急期间人员、物资、信息传递的需要，并根据应急处置工作需要，由领导小组统一调配。
（五）经费保障
网络与信息系统突发公共事件应急处置资金，应列入年度工作经费预算，切实予以保障。
八、工作要求
（一）高度重视。互联网信息安全突发事件应急处置工作事关国家安全、社会政治稳定和经济发展，要切实增强政治责任感和敏感性，建立应急处置的快速反应机制。
[关键词] 欧盟；药物警戒；指南
药品在基于特定的适应证且目标人群的效益-风险平衡评估为“效益”的前提下才会被批准上市。众所周知，由于上市前临床试验中纳入的受试者相对较少，且对年龄、合并疾病、联合用药等条件作了严格的限制，以及相对较短的用药和随访时间等诸多因素的影响，药品上市前研究所获得的安全性信息相对有限[1]。并非所有实际的或潜在的风险在药品上市批准时均已确定，药品的某些风险在上市后实际使用中才会暴露出来。药物警戒是致力于保护患者和公众健康的活动，其基本目标是：防止上市药品使用或职业暴露所致不良反应的危害；通过向患者、医疗专业人士和公众提供及时的药品安全信息，促进药品使用的安全性和有效性[2]。因此，在药品上市后开展药物警戒活动是非常必要的，成为世界各国药品监管机构的重要工作之一。当前，药物警戒工作在我国日益受到政府的重视和社会的关注，尤其是中药注射剂的安全性问题成为业界关注的热点。
自2012年7月起，欧盟开始实施新的药物警戒法规。为了更好地促进新法规的具体实施，欧盟药品管理局（European medicines agency，EMA）制定了《药物警戒实践指南》（guideline on good pharmacovigilance practices，GVP）（以下简称“GVP指南”）[2]，作为欧盟药物警戒工作的新准则，替换《欧盟药品管理法》（the rules governing medicinal products in the European Union，2007）第9卷A部分《人用医药产品药物警戒指南》（guidelines on pharmacovigilance for medicinal products for human use，以下简称“旧版《指南》”）[3]。本文拟对GVP指南进行初步的解读，以期对我国的药物警戒工作提供相关的法规、技术和方法参考。
1 GVP指南制定的法律依据
在欧盟，由各成员国药品监管机构、欧盟委员会和欧盟药品管理局（EMA）共同组成的监管网络负责上市药品的监督工作，包括开展药物警戒工作。其中，EMA在协调这些工作中具有核心作用。欧盟药物警戒的法律框架是基于（EC）726/2004法规和2001/83/EC指令中涉及人用医药产品的有关条款，这2部法规已被2010年修订的（EU）1235/2010法规和2010/84/EU指令，以及为（EC）726/2004法规和2001/83/EC指令中药物警戒工作开展而制定的（EU）520/2012条例所替代。上述2010年修订的法规及其相关的实施条例和GVP指南，即为欧盟新的药物警戒法规体系的基础。这是目前欧盟委员会对欧盟药物警戒体系进行重大调整的结果，且经欧盟理事会和欧盟议会经正式法律程序制定并颁布，立法的主要目标是加强欧盟药物警戒工作，促进患者的用药安全。
2 GVP指南的内容架构
欧盟的药物警戒由一系列相互衔接的过程组成，各个主要的药物警戒过程在GVP指南中以独立的“模块”（module）形式提出。截止到目前，EMA制定的GVP指南共包括16个模块的内容。其中，10个模块的内容已正式，1个模块的内容处于征求意见中，5个模块的内容正在制定中。16个模块分别涉及的内容见表1。
在每个单独的模块内，均分为A，B，C 3部分内容。其中，A部分介绍该药物警戒过程的法律、相关技术和科学背景；B部分则是根据欧盟的法规提出体现科学方法、遵循国际公认标准的具体技术指导，或在正式的协议或专家共识不存在的情况下提出被认为符合目前在该领域一般思路的方法指导；C部分重在欧盟实施药物警戒的具体方法应用的细节、格式和标准。
3 GVP指南的主要内容
鉴于目前尚有5个模块的内容还正在制定中，这里仅对已正式的和征求意见中的11个模块的内容作简要的介绍。
3.1 药物警戒系统及其质量体系（pharmacovigilance systems and their quality systems）
此模块提供了药品生产企业、成员国药品监管机构和EMA建立和维护有质量保证的药物警戒系统的原则性指导。这些组织和机构如何协调并开展具体的药物警戒过程详见GVP指南的其他模块。主要内容包括：药物警戒系统；质量、质量目标、质量要求和质量体系；质量循环；药物警戒的总体质量目标；药物警戒的原则；组织内部的质量管理体系职责；药物警戒人员培训；药物警戒设施和设备；具体的质量体系程序和流程：分别提出对药品生产企业和各成员国药品监管机构的管理规范；记录管理；质量体系文件；药物警戒系统及其质量体系的性能和效果的监测；突发公共卫生事件的药物警戒防备计划。
3.2 药物警戒系统主文件（pharmacovigilance system master file）
药物警戒系统主文件是药品生产企业上市申请时需要提交的关于药物警戒系统描述的文件。此模块针对药物警戒系统主文件提供了详细的要求，包括药物警戒系统的维护、内容以及给药品监管机构提交的文件。主要内容包括药物警戒系统主文件的目标；药物警戒系统主文件的注册和维护， 涉及申请人的药物警戒系统概要、位置、注册以及药物警戒系统主文件的转让责任；药物警戒系统的代表性；药物警戒系统主文件包含的信息；药物警戒系统主文件变更控制、版本和归档；药物警戒系统主文件的展示。
3.3 药物警戒检查（pharmacovigilance inspections）
模块包含了在欧盟开展药物警戒的计划、实施、报告和追踪检查相关的指导，并规定了参与各方在药物警戒检查中的作用。开展药物警戒检查的主要目的有三：一是确保药品生产企业具备开展药物警戒的人员、系统和设施；二是识别、记录和处理可能对公众健康构成风险的违法行为；三是在必要时使用检查的结果作为采取强制行动的依据。主要内容包括：药物警戒检查的类型；检查计划；需要检查的场所；检查的范围；检查流程；跟踪检查；监管行动和制裁；记录管理和归档；检查人员的资格和培训；药物警戒检查过程中的质量管理。药物警戒检查项目的实施，包括计划好的基于风险方法的例行检查和有因检查，后者主要检查针对特定药品的涉嫌违规或潜在的风险。
3.4 药物警戒监查（pharmacovigilance audits）
此模块提供了法律规定的药物警戒监查计划和实施，欧盟监管网络的作用，药物警戒监查活动的角色、内容和管理操作上的指导；旨在为药物警戒监查工作提供便利，特别是促进协调，并鼓励一致性和简化的监查过程。主要内容包括：①药物警戒监查及其目标；②基于风险方法的药物警戒监查；③质量管理体系和记录管理办法。
3.5 风险管理体系（risk management systems）
风险管理有相互关联且递进的3个阶段：已知和未知的药品安全性特征描述；策划药物警戒活动，识别新的风险和提高在药品安全性方面的总体认识；规划和实施风险最小化行动，评估这些活动的成效。主要内容包括：风险管理的定义；风险管理的原则；组织内的风险管理职责：涉及药品生产企业、上市许可申请人和成员国药品监管机构各自的风险管理职责；风险管理计划（risk management plan，RMP）的目标；RMP的结构；RMP各部分的详细说明；RMP“产品概述”；RMP“安全规范”；RMP“药物警戒计划”； RMP“上市后有效性研究计划”，主要是总结现有的疗效数据； RMP“风险最小化措施”； RMP“药品的风险管理计划”概要； RMP“风险管理附件”；风险管理计划和定期安全性更新报告之间的关系，介绍了定期安全性更新报告和风险管理计划之间的通用模块；风险管理计划评估的原则；质量体系和记录管理。
3.6 药品不良反应的管理和报告（management and reporting of adverse reactions to medicinal products）
此模块提供了药品不良反应管理和报告方面的原则和技术指导，不涉及不会导致可疑不良反应的事件或用药模式（如无症状的超剂量使用、滥用、超说明书使用、误用或用药错误）的收集、管理和报告，或不作为个体病例安全性报告或紧急安全性问题要求上报的报告。然而，这些信息可能需要收集并在药品的安全性数据解释或用于效益-风险评估的定期安全性更新报告中提出。主要内容包括：报告收集分为非强制性报告和强制性报告；报告确认；报告追踪；数据管理；质量管理；特殊情况的报告；个体病例安全性报告；报告的方式。
3.7 定期安全性更新报告（periodic safety update reports，PSURs）
PSURs是药品生产企业在特定的时间点提交的关于上市后药品的效益-风险平衡评估的药物警戒文件。PSURs的主要目标是在考虑新的风险和效益累计信息的前提下全面和深入地分析药品的效益-风险平衡，PSURs是一个在药品上市后生命周期的特定时点的评价工具。此模块为PSURs的准备、提交和评估提供了指导。主要内容包括：PSURs的目标；PSURs范围内的效益-风险平衡的评价原则及其包含的信息；PSURs撰写的原则；参考信息；PSURs 的格式和内容；药品生产企业PSURs的质量体系；PSURs过程中相关工作人员的培训。
3.8 上市后安全性研究（post-authorisation safety studies，PASS）
此模块涉及的PASS是指临床试验或非干预性研究，不涉及上市后要求的非临床安全性研究。包括以下情形：按药品上市批准规定的常规处方用药方式；患者的治疗策略是根据现有的医疗实践，而不是按事先制定好的试验方案分配；没有附加的诊断或监测程序被应用到患者，运用流行病学的方法分析收集到的数据。主要内容包括：PASS范围；PASS定义；一般原则；研究注册；研究方案，涉及研究方案的格式和内容，研究方案的主要修订；向药品监管机构提交的药物警戒数据报告，药品效益-风险平衡评估有关的数据，不良反应/事件的报告，研究报告；研究结果的发表；数据保护；质量体系监查和检查；风险管理体系的影响。
3.9 信号管理（signal management）
虽然Eudra Vigilance数据库是药物警戒信息的主要来源，但是信号管理过程需要覆盖Eudra Vigilance数据库以外或Eudra Vigilance数据库不直接支持的信号。此模块的目标是对信号管理的结构和过程提供总体指导和要求，以及如何在欧盟设置这些结构和过程。主要内容包括：数据和信息的来源；信号监测方法；信号管理过程；质量要求：质量追踪、质量体系文件。
3.10 额外监测（additional monitoring）
自发可疑不良反应数据是药物警戒信号监测的一个重要的信息来源。增强医疗专业人士和患者报告可疑不良反应的意识，并鼓励他们报告，是监测药品使用安全性的一种重要方法。监测的主要目标是尽可能早地收集更多的在临床实践中的药品使用信息，进一步阐明药品的风险状况，提高对特定药品安全性和和有效性认识。主要内容包括：部署药品额外监测的一般原则；交流和透明性；质量体系和记录管理。
3.11 安全信息沟通（safety communication）
此模块提供了药品生产企业、成员国药品监管机构和EMA如何沟通和协调药品安全信息的原理和方法指导。安全信息的沟通对于患者和医护人员是一个公共健康责任，对于促进合理、安全、有效地使用药物，防止不良反应的危害，促进患者安全和公众健康的药物警戒目标是必不可少的。虽然此模块中的一些原则适用于所有类型的安全信息沟通，但更侧重于新出现的安全信息的沟通。主要内容包括：安全信息沟通的目的；安全信息沟通的原理；目标受众；安全信息沟通的内容；安全信息沟通的手段；安全信息沟通的有效性；安全信息沟通的质量体系要求。
4 GVP指南中的关键技术要点
4.1 药物警戒系统主文件的内容
药物警戒系统主文件具体包括合格的药物警戒负责人、药品生产企业的组织结构、安全性数据的来源、电脑系统和数据库、药物警戒过程、药物警戒系统的性能、质量体系、附件等。需要说明的是，药物警戒系统主文件应设置在欧盟的药品生产企业开展主要药物警戒活动的现场，或者负责药物警戒工作的人士在现场可以操作。
4.2 药物警戒检查的类型和监查的级别
药物警戒检查的类型包括系统的和产品相关的检查、常规的和有因的药物警戒检查、上市前检查、上市后检查、通知和未通知的检查、重新检查和远程检查等不同的方式。基于风险方法的药物警戒监查包括战略级别的监查计划、战术级别的监查计划、操作层面的监查计划和报告、根据监查结果采取的行动以及追踪监查。在监查工作的质量控制方面，须注意监查工作及监查员的独立性和客观性，监查员的资格、技能和经验及持续的专业发展，监查活动的质量评价。
4.3 风险管理体系的核心要点
风险管理体系的核心在于风险管理计划，而风险管理计划的核心内容主要包括以下要点。
4.3.1 安全性说明书 包括适应证和目标人群的流行病学研究；非临床安全性说明书；临床试验暴露；临床试验中尚未研究的人群；上市后临床经验：涉及监管当局和/或药品生产企业为安全起见采取的行动、非研究性的上市后暴露、上市后在上市前临床试验尚未研究人群中的使用、上市后超说明书使用、流行病学研究暴露等方面；安全性说明书的附加要求，包括过量服用的潜在危害、潜在的传染性病原体传播、用于非法目的的潜在误用、潜在的用药错误、潜在的超说明书使用、儿童用药等特殊问题；可识别的和潜在的风险：包括新发现的安全性问题、安全性问题的最新研究报告、从临床开发到上市后临床经验重要的可识别和潜在风险的细节内容、食品与药物以及药物与药物之间可识别和潜在的相互作用、药物类效应等安全性问题概要。
4.3.2 风险最小化措施 主要涉及常规风险最小化活动、附加的风险最小化活动、风险最小化计划的格式、风险最小化活动效果的评价、风险最小化措施概要等方面的内容。在模块V中介绍了风险最小化的基本原则，以及常规的风险最小化措施的细节。附加的风险最小化工具和风险管理效果评价可以参考模块XVI。由于在适应证和卫生保健系统方面的差异，世界各地的目标用药人群可能不同，风险最小化活动需要根据特定的国家或地区进行调整。
4.3.3 风险管理计划 主要包括疾病流行病学概述、现有的疗效数据总结、安全性问题概要、安全性问题的风险最小化活动总结、上市后发展规划计划、随着时间推移变化的风险管理计划概要。
4.4 药品不良反应报告的来源和特殊情况
药品不良反应报告的收集来源主要有：自发报告、文献报道、其他来源的报告、互联网或数字媒体的疑似不良反应信息等。需要注意的是，妊娠或哺乳期用药，儿童或老年人群用药，超剂量、滥用、超说明书用药、误用、用药错误或职业暴露报告，缺乏疗效等特殊情况下用药的安全性信息是上市前临床试验无法获取的，需要在上市后药物警戒中给予特别关注和报告。
4.5 PSURs的格式和内容
PSURs是药品生产企业开展药物警戒工作中极其重要的一个环节，需要按照规范的格式，且详细报告药品上市后的安全性和有效性信息。主要内容有：PSURs简介；全球市场授权状态；为安全起见在报告间期所采取的行动；引用安全信息变更；估计的暴露情况和使用模式，在临床试验中累积的受试者暴露、上市后临床经验的患者累积暴露；数据汇总表格：包括参考信息、临床试验累积的严重不良事件汇总表、从上市后的临床数据累积的总结表；报告间期的临床试验重要发现的报告摘要：包括已完成的临床试验、正在进行的临床试验、长期随访、药品的其他治疗用途、固定组合疗法相关的新的安全性数据；非干预性研究结果；其他临床试验和来源的资料；非临床研究数据；文献；其他定期报告；对照临床试验中的缺乏疗效；最新信息；新的、进展中的或已结束的PSURs信号概述；信号与风险评估包括安全性问题概要、信号评价、风险评估和新的信息、风险特征描述、风险最小化的效果； PSURs效益评估包括重要的疗效和效果信息、新发现的疗效和效果信息、利益的特征描述等；适应证的综合效益-风险分析；结论和行动；附录。
4.6 上市后安全性研究的设计类型
上市后安全性研究的设计类型主要包括①主动监测：旨在通过持续的监测过程完全确定在某个特定用药人群中发生不良事件的数目。分为集中监测、处方事件监测、登记注册。②观察性研究：大量的观察性研究用于验证来自自发报告、主动监测或案例系列的药物风险信号。常见的观察性研究设计有横断面研究（调查）、队列研究、病例-对照研究等。③临床试验：当在上市前临床试验中有重大风险被识别，需要开展进一步的临床试验，以评估不良反应的作用机制。上市后安全性研究尤其要重视以下几种研究类型。
4.6.1 非干预性研究 与临床试验相对而言，包括数据库研究或所有已经发生的目标事件记录的综合分析，这可能包括病例-对照研究、横断面研究、队列研究或数据二次利用研究，也包括相关的数据收集（如前瞻性观察研究，来自于日常的临床医疗数据登记）。
4.6.2 大型简单试验 大型简单试验（large simple trials）是大量的患者被随机分配治疗的临床试验的一种特殊形式，进行与研究目的保持一致的最低限度的数据采集和监控。这种设计可用于阐明在正式或传统的临床试验条件以外的药品效益-风险的药物警戒，或者用于重要但罕见的不良事件风险的量化研究。这里所谓的“简单”是指数据结构简单，而不是数据收集。
4.6.3 药物利用研究 药物利用研究（drug utilization studies，DUS）描述在日常临床实践中大量用药人群（包括老年患者、儿童、妊娠期妇女或肝肾功能不全患者）中药品的处方和使用。按年龄、性别、合并用药等特点分层，综合描述治疗患者人群的特征，以及这些因素对临床、社会和经济效果的可能影响。这些研究中的数据可能会被用来确定不良反应发生率。DUS已被用来描述药品监管行动和媒体关注的效果，以及估算不良反应的经济负担。这些研究可能有助于监测在日常医疗实践和医疗事故中的用药情况，并通过检查患者是否不断增加用药剂量，或是否有证据证明不恰当的重复处方，来确定药品是否有潜在的滥用风险。
4.7 信号管理过程和沟通方式
信号管理过程包括信号监测、信号验证、信号分析和确定优先次序、信号评估、行动建议、信息沟通等。其中，信号监测涉及个体病例安全性报告的综述、统计分析、统计方法和个体病例安全性报告综述的结合等。药物警戒的沟通方式可能有：直接医疗专业沟通、通俗的语言文件、新闻通讯、网站、其他基于Web的沟通、公告和通讯、机构内的沟通、公众查询的回应、其他通讯方式，所以非常有必要采取相应的措施保证沟通的安全性。
5 与旧版《指南》的比较分析
与旧版《指南》相比较，GVP指南在药物警戒系统、质量体系、主文件、检查和监查方面提出了更全面系统的要求，在风险管理系统、药品不良反应的管理和报告、定期安全性更新报告、上市后安全性研究、信号管理等技术方面提出更具体和全面的要求。
5.1 强化EMA的药物警戒职能
旧版《指南》中药物警戒体系的机构组织主要包括药品生产企业、药物警戒报告起草人、药物警戒技术委员会和成员国药品监管机构4个方面；GVP指南中规定药品生产企业、成员国药品监管机构和EMA是建立和维护药物警戒系统的主体，其中，EMA在协调这些工作中具有核心作用，进一步强化了EMA在整个药物警戒体系中的协调和监管作用，而且整体的药物警戒工作更加流程化和规范化。
5.2 药物警戒检查的覆盖范围更全面
旧版《指南》中检查制度包括例行检查、目标性检查、药物警戒体系检查和特殊药品检查等；GVP指南中检查的类型包括系统的和产品相关的检查、常规的和有因的药物警戒检查、上市前检查、上市后检查、通知和未通知的检查、重新检查和远程检查等不同的方式。同时，加强了药物警戒监查的作用。
5.3 PSURs制度更健全
GVP指南在原有基础上，关注药品的全球市场授权状态；更加重视上市后临床累积的患者暴露和用药模式以及相关数据汇总；而且需要提供报告间期的临床试验重要发现的报告摘要，非干预性研究、非临床研究数据结果，以及对照临床试验中的缺乏疗效；在信号与风险评估的基础上，开展效益评估，全面地综合分析效益-风险。
5.4 更重视药品上市后安全性研究
GVP指南更加重视药品上市后在真实临床用药环境下的安全性，鼓励开展非干预性研究、大型简单试验和DUS研究，分析在日常临床实践中广大人群（包括老年患者、儿童、妊娠期妇女或肝肾功能不全患者）中药品的处方和使用情况，确定不良反应发生率，用于重要但罕见的不良反应风险的量化研究，明确治疗患者的人群特征，以及这些因素对临床、社会和经济效果的可能影响。
5.5 重视药品上市后非临床安全性研究
GVP指南中的风险管理计划（RMP）指出：根据适应证和目标特殊人群，应考虑到是否需要开展特定的非临床安全性研究。需要在上市后总结重要的非临床安全性研究结果。需要开展上市后非临床安全性研究的情况：毒性的重要方面（靶器官系统）以及使用于人体的相关结果；质量方面，活性物质或杂质（如基因毒性杂质）相关的重要安全性信息；在育龄妇女中使用药品的生殖/发育毒性数据。研究的内容包括：毒性（如新发现的重复剂量毒性、生殖/发育毒性、肾毒性、肝毒性、遗传毒性、致癌性等方面）；一般药理学（如心血管疾病，包括QT间期延长；神经系统）；药物相互作用；其他毒性有关的信息或数据。
6 欧盟药物警戒的工作机制
GVP指南为欧盟建构了一个更加完整规范的药物警戒体系，药品生产企业、成员国药品监管机构和EMA等方面各司其职，相互协调和沟通，共同保证药物警戒工作的顺利开展。在欧盟药物警戒体系中，药品生产企业负有非常重要的职责，要求其建立完善的药物警戒系统和质量体系，实行药物警戒检查制度，制定并执行药品风险管理计划，建立个人病例安全性报告机制，实行PSURs制度，积极开展药品上市后安全性临床研究，在必要的情况下采取风险最小化措施等等，注重药物警戒和效益-风险评估的持续性，可以说药物警戒的大部分具体工作都是由药品生产企业来承担和负责。成员国药品监管机构和EMA更多的是担当监督与管理角色，GVP指南强调EMA在协调这些工作中具有核心作用，进一步强化了EMA在整个药物警戒体系中的协调和监管作用，而且整体的药物警戒工作更加流程化和规范化。更注重药物警戒和效益-风险评估的持续性，以及进一步鼓励公众参与和沟通，而且需要更密切的国际合作，同时也强调交流安全的重要性。
7 GVP指南对我国药物警戒工作的启示
7.1 我国药物警戒法规体系不健全
总体来说，我国的药物警戒相关法规尚不健全，缺乏配套的技术规范与指南，尚未建立起完善的药品上市后监测、预警、应急、撤市、淘汰的风险管理长效机制。由于完整的药物警戒法规体系还没有形成，政府药品监管机构、企业、研究机构等各方职责不甚明确，药物警戒的内容、实施方式、工作程序等也没有明确规定，建立和完善我国药物警戒相关法规，并制定配套的技术规范和指南，是更好地开展药物警戒的必要条件。
7.2 完善我国药物警戒法规体系的思路
GVP指南中的基本原则、工作机制、关键技术和方法为笔者开展药物警戒工作（尤其是中药注射剂安全性监测）提供了有益的借鉴，值得认真地去学习和参考。建立和完善我国药物警戒相关法规体系可以从以下3个方面开展：①应该充分借鉴欧盟相关法规和技术指南的先进理念，在我国现有法规和技术指南的基础上，制定药物警戒的基本原则和管理程序，对药物警戒的形式、目的、内容、方法、结果的处理及相关权利与处罚做出清晰的界定，这样才能完善我国药物警戒的相关法规体系。②药物警戒相关法规的制定，必须符合我国的实际国情。需要充分调研当前药物警戒工作中存在的法律和技术问题，广泛征求药政管理人员、制药企业、临床专家、科研人员等多方意见，逐步建立相关法规和技术指南，以切实解决药物警戒工作中的实际问题为出发点。③企业是药物警戒的主体，应时刻跟踪和评价本企业上市药品在广泛人群中应用的安全性和疗效，并及时将信息传递给临床医生和公众，这有助于增进临床合理用药和公众健康。因此，需要政府管理部门、制药企业、研究机构、行业专家、临床医生、药师等通力协作，群策群力，才能使药物警戒法规体系完善，为药品安全合理使用提供法律制度保障。
综上所述，我国药物警戒法规体系建设任重道远，先进的、符合国情的法规和技术指南，将为加速药物警戒的规范化、国际化进程提供法律支撑。这必然促进上市药品（尤其是中药注射剂）更安全、疗效更可靠，使用更合理，更好地为公众健康服务，促进整个社会的进步。
[参考文献]
[1] 郭晓昕，颜敏，吴晔.如何认识中药上市后的再评价[J].中国新药杂志，2000，9（8）：513.
[2] European Medicines Agency. Guidelines on good pharmacovigilance practices[EB/OL]. [2012-06-25]. http：//ema.europa.eu/ema/index.jsp？curl=pages/regulation/document_listing/document_listing_000345.jsp.
[3] European Commission. Volume 9A of the rules governing medicinal products in the European union： guidelines on pharmacovigilance for medicinal products for human use[EB/OL]. [2007-10-01]. http：//ec.europa.eu/health/files/eudralex/vol-9/pdf/vol9a_09-2008_en.pdf.
Interpretation of Guidelines on Good Pharmacovigilance
Practices for European Union
XIE Yan-ming1， TIAN Feng2*
（1.Institute of Basic Research in Clinical Medicine， China Academy of Chinese Medical Sciences， Beijing 100700， China；
2. Post-Doctoral Station of China Academy of Chinese Medical Sciences， Beijing 100700， China）
[Abstract] Due to the limitations of pre-authorization clinical trials， the safety information obtained from them is relatively limited. Therefore， it is very necessary to carry out pharmacovigilance activities on drugs post-marketing. In order to promote the specific implementation of the new pharmacovigilance regulations， the European medicines agency （EMA） developed the Guideline on Good Pharmacovigilance Practices （GVP）， as the new criteria for pharmacovigilance in the European Union （EU）. Compared with the previously published， Guidelines on Pharmacovigilance for Medicinal Products for Human Use （2007）， the GVP proposed more comprehensive and systematic provisions of pharmacovigilance systems， quality control systems， judgements， pharmacovigilance inspections and audits. In addition， it set more specific and comprehensive requirements on risk management systems， the management and reporting of adverse reactions to medicinal products， periodic safety update reports， post-authorization safety studies， signal management， and so on. Interpreting the basic principles， working mechanisms， key technologies and methods of the GVP provides a useful reference for us to carry out pharmacovigilance （especially regarding safety monitoring of parenterally administered Chinese medicine）.
在产品质量监督工作中，通过加强重点产品质量安全风险信息（以下简称风险信息）的收集、分析、研判工作，及时开展风险预警和处置，努力做到重点产品质量安全问题早发现、早研判、早预警、早处置，着力提高风险监控工作的针对性和有效性，力争避免出现区域性、行业性重大产品质量安全问题，或力争减轻产品质量安全问题造成的危害。
二、工作要求
（一）风险信息收集
1、建立完善的工作机制，加强风险信息收集工作。一要明确各级质监部门和技术机构收集风险信息工作的要求和职责；二要建立相关业务部门风险信息沟通协调机制；三要积极探索与现有监管制度的有机整合，充分利用监督抽查、生产许可、区域监管、缺陷产品召回等现有监管措施收集风险信息；四要及时处理风险信息，需要采取必要处置措施的要同时实施，以防止和控制事态进一步扩大。
2、结合产品质量监督工作实际，风险信息来源主要有：各级质监部门组织开展的监督抽查过程及结果信息；生产许可现场审查、产品检验和证后监管工作信息；各级检验机构日常检验工作信息；各级质监部门开展的年审、巡查、回访和执法打假等日常监管信息；有关部门、机构、行业协会、社会组织、消费者等反映的信息；消费者和行业内人士的投诉举报信息；企业质量信用不良记录信息；涉及产品质量问题的事故调查结论等相关信息；各类媒体网络有关产品质量的负面报导信息。
（二）风险信息分级规范
1、符合下列情形之一的，确定为一级风险信息
已经造成人员伤亡的违法添加物、不明化学物质、危险零部件或其他物质、特殊工艺等产品质量安全问题，严重危及公众健康、生命、财产安全的；
危害特别严重的突发产品质量安全事件，没有人员伤亡，但影响地域广泛，波及范围超出省级行政区域，受到境内外广泛关注的；
可能造成巨大经济损失，影响产业发展安全，甚至危及经济社会发展安全或社会安定的；
社会敏感，引发政治关注或外交事件的；
需要总局或者省级政府统一协调组织处置的。
2、符合以下情形之一的，确定为二级风险信息
发现有违法添加物、不明化学物质、危险零部件或其他物质、特殊工艺等产品质量安全问题，危及公众健康、生命、财产安全的；
地域性突发产品质量安全事件，并呈扩大态势的；
可能对产业安全和发展造成影响的；
社会关注，有可能引发政治关注或政治事件的；
需要总局或省级政府关注的。
3、符合以下情形之一的，确定为三级风险信息
有可能引发二级风险信息所列情形的；
尚不构成一、二级风险信息的；
属于局部、区域性，需要进一步研判的风险信息；
需要引起质监部门关注的信息。
（三）风险信息筛查和报送
对发现的风险信息要做好核准信息、分析原因、确定等级、及时报送等工作。
属于一般性产品质量安全信息的按照工作职能依法处理；属于重要的产品质量安全风险信息应开展研判分析并上报；属于食品（包括食品相关产品、化妆品）、特种设备、计量器具等情况的风险信息，要及时转相关科室处理。
1、核准风险信息。对收集到的风险信息确定信息来源、主要内容、危害对象、产生原因、风险危害程度、社会影响等相关信息。
2、分析风险原因。结合产品质量安全监管工作实际，风险产生原因主要有：违反国家法律法规或标准规定非法添加有毒有害物质、原材料质量问题、企业偷工减料、生产技术和工艺缺陷等。
3、确定风险信息等级。根据掌握的相关情况，及时对收集到的风险信息做出分析筛查结论，提出风险信息分级等初步处理意见。
4、及时报送风险信息。各级监督部门负责将本辖区内发现并核准、筛查的风险信息和相关处理情况及时上报（附件1）市局监督科。
一、二级风险信息，以书面、电话等方式立即报送市局监督科。对三级风险信息，要在24小时内通过书面、电话等方式报送。需要保密或暂时不宜公开的，要遵守保密规定。
（四）风险监测
结合监督抽查、证后监管等日常监管工作和本辖区内的实际情况，积极建立重点产品质量安全风险监测制度。根据风险隐患程度和影响范围，确定年度或季度需要重点监测的产品、区域、行业，针对潜在的风险问题开展主动监测，尽可能提前发现和预防产品质量安全问题。
在风险监测过程中，发现重大变化或重要情况导致风险信息等级上升时，各级监督部门和技术机构要以书面、电话等方式立即报送市局监督科。
（五）风险信息研判
各级监督部门对收集到的风险信息应及时研判，分析风险的类型、程度、发生的概率、可能的危害等，形成书面研判结论并提出处置意见，及时上报市局监督科。
市局监督科对二级及以上风险信息，应及时上报省局。
（六）风险信息处置
各级监督部门要及时对风险信息进行处置。原则上，能处理的要立即处理，并及时上报处理结果。风险处置工作中，需要请示地方政府的，要及时报告，并积极建议政府采取相应措施。需要商请有关部门共同处置的，要及时协调，沟通一致后再作处置。
依据风险信息研判结果，区分不同情况可以采取以下处置措施：
（1）对明确的风险对象，依法开展监督检查，及时封存、召回有风险隐患的产品，并通报当地政府和有关部门。
（2）对确认有风险的涉及面较广的重点产品和相关领域，组织开展专项整治和执法检查，并及时报告地方政府，建议政府采取相应措施。
（七）风险信息管理工作报告与公布
1、各级监督部门要及时向市局监督科报送《重点产品质量安全风险信息管理工作报告》（附件2），主要包括：风险信息收集、研判、处置工作情况。并于每季度第一个月的5日前，报送上一季度工作情况；每年12月10日前，报送全年工作总结。
2、需要对外公布风险信息研判、处置情况的，应按照相关规定程序公布，不得擅自对外风险信息及处置情况。
一些研究结果表明，绩效数据的报告会刺激医院内的质量改进活动［19］。另外，侵权法和医事法学界普遍主张：通过立法对被视为诉讼证据使用的医生的信息披露和道歉进行保护；制定病人安全立法，为报告给指定的病人安全机构的信息的提供法律保护［20］。1.4澳大利亚病人安全立法见于南澳大利亚保健法（HealthCareAct2008（SA））第7-8部分，2008年卫生保健条例（HealthCareRegulations2008（SA））第2部分［21］。根据这些法例，澳洲病人安全基金会（AustralianPatientSafetyFoundation，APSF），建立了西澳洲临故报告和管理系统（ClinicalIncidentReportingandMan-agementSystem），设置了覆盖全州的“哨兵事件”（SentinelEvent）报告程序，对（病人安全事件）公开披露（OpenDisclosure）程序进行试点并扩展到全洲［22］。以上4国病人安全立法的经验说明，好的病人安全立法，应建立一套鼓励为病人和医疗服务提供者的权利提供公正待遇的法律制度和实施机制；应建立独立的（第三方）协调或实施病人安全风险信息采集、分析、评估和监测的机构，如病人安全组织；应有一套关于病人安全事件的报告程序和奖励（包括对主动报告者免责）或问责制度；应建立一个鼓励从显性和隐性病人安全事件或医疗差错中学习的风险（因素）交流制度；应建设一个能迅速通报所有利益相关者的反馈和风险处理情况的跟踪机制。
我国病人安全立法的基本目的是为培育病人安全文化提供一种法律环境。病人安全文化强调病人安全和/或医疗差错信息的采集、公开、透明度、交流和利用。为此，必须公正对待“犯错”的医务人员，对主动报告病人安全事件的医务人员进行保护，鼓励匿名报告，实行报告者隐私保护，禁止攻击性地利用报告的信息，对非故意和非严重医疗损害的报告者免除行政处罚、行政处分和纪律惩戒之责［6］。简言之，培育病人安全文化需要摒弃侵权责任法強调行为人个人责任的传统思维，厘清我国病人安全立法与《侵权责任法》、《安全生产法》及其实施的关系，以及我国病人安全法立法与其他法律、法规，如《保险法》、《执业医师法》、《医疗事故处理条例》的关系，并在立法上有所突破。此外，域外经验说明，病人安全目标的实现离不开政府的全面支持。这一点立法上也应当有所体现。因此，我国病人安全法的目的、适用范围和内容，如规范病人安全事件、病人安全活动、患者安全评估系统等相关术语；病人安全事件自愿报告；自愿报告者的权利和保密保护；病人安全（网络）数据库建立的法律支撑；病人安全组织的认证和活动；政府支持等，是立法应考虑的主要方面。
病人安全事件的定义病人安全立法的目的是为在全国（或规定）范围内报告、收集、分析和反馈病人安全事件，防范病人安全事件提供必要的法律框架和制度安排。因此，准确定义病人安全事件等概念，对于病人安全立法十分重要。病人安全事件，根据南澳洲医院“事故管理系统”的定义，可分为17大类百余种［22］。①药物或静脉注射液差错，如处方、管理、配药、标签、输送问题，错误的给药路径、用药剂量不足等。②医疗器械、设备或用品差错，设计不当、不安全、不正确、很难使用等。③褥疮。④攻击行为，口头或身体攻击、威胁、咒骂、暴力等。⑤个人行为，自我伤害、潜逃、自杀等。⑥建筑物和附属设备、装置及周围区域，如功能不足、不安全的地板、淋浴水压力/温度过高等。⑦营养问题，如饮食没有要求、食物准备或交付等差错。⑧（医疗）文档，太潦草、条文含糊不清等。⑨临床管理问题，如诊疗程序中的意外受伤、不足移交、延迟诊断等。⑩医院获得性感染，如葡萄球菌、肠球菌、寄生虫等。輥輯訛跌倒。輰訛輥氧气/气体/蒸气输送差错，如不正确的速度、频率、路线、浓度等。輥輱訛污染危害，如生物、化学、辐射污染等。輥輲訛组织管理/服务，如床的分配、人员配备不足、监管不足等。輥輳訛安全，如违反保密、盗窃、没有足够的保安人员、没有ID徽章等。輴訛輥事故，病人泄漏热饮等。輵訛輥哨兵事件（又称“警戒事件”，概念上类似于我国的医疗事故），包括：诊疗对象或身体部位错；自杀；手术器物遗留体内，需要进一步手术；血管内气体栓塞、严重的神经损伤造成的损害或死亡；溶血性输血反应；用药错误导致死亡；产妇死亡或严重并发症；婴儿遭绑架或被移交给错误的家庭，等等［22］。我国病人安全立法，客观上需要统一当前混乱不堪的术语、分类、标准和分析指标等。例如，传统上我国涉及病人安全事件的术语有：医疗事故、医疗纠纷、医疗过失、医疗过误、医疗差错、医疗错误、医疗不良事件，等等，给病人安全事件的统一报告和分析造成了混乱。此外，病人安全活动、患者安全评估系统等术语也应规范、统一。
建立病人安全事件网络报告制度病人安全事件网络报告制度的核心是建设一个规范的报告网络，使医务人员、病人和利益相关人知道报什么和如何报。标准化的报告信息也为网络报告分析系统所必须。建立这样一种报告制度，使病人安全风险（因素）信息的釆集、分析、评估和反馈能用于防范病人安全事件，客观上需要全面地总结当前国内各种病人安全事件报告制度存在的问题，统一术语、分类、标准和分析指标，从临床风险（因素）监测和预警、建设一个更安全的医疗系统的高度，解决报什么和如何报的规范性问题。为此，建议厘清当前国内医药不良事件报告制度和相关法律、法规及执行情况现状，包括现行5种强制报告制度：①医疗事故和重大医疗过失报告制度；②医院感染事件报告制度；③药物不良事件报告制度；④医疗器械临床应用不良事件报告制度；⑤血液制品和疫苗不良事件报告制度等。还应进行效果和原因分析，如人员、报告内容、报告方法和信息反馈情况，以及对于促进病人安全的实效。重点弄清现行各种报告系统与病人安全立法中的病人安全事件报告—分析—反馈系统的相互关系，包括如何实现各系统间的对接、资源互补与共享等。在此基础上，建设我国规范的病人安全事件报告制度：什么情况下应强制报告，哪些情况可自愿报告，如何鼓励自愿报告，报告表应如何设计，如何实现报告和分析指标的标准化，等等。总之，要解决谁该报、向谁报、报什么，如何报才能实现病人安全目标这一实际问题。解决这一问题，可借鉴：①美国志愿和机密性的病人安全事件报告（VoluntaryandConfidentialRe-porting）制度；②英国病人安全“事件报告和学习系统”（NationalIncidentReportingandLearningSystem）和按临床科室分类统一报告和分析指标的做法［23］；③澳大利亚“不良事件报告制度”等。例如，前述南澳洲医院“事故管理系统”设计的病人安全事件报告范围涉及17大类百余种报告事项，对于设计出我国医疗安全事件报告制度、报告模型和分析模型，极具借鉴价值。2.3建立病人安全事件自愿报告制度病人安全事件自愿报告制度之所以必要，是因为“一般来说，强制性报告系统是在鼓励那些玩数字游戏的个人和机构。如果此类报告工作变成与惩罚性措施或不当的公开透露联系在一起，那么就存在驱使报告工作成为‘地下活动’以及强化缄默与责备氛围的高度危险，而许多人都认为此类氛围正是医疗差错问题的核心所在。”［24］这就是为什么美国麻醉病人安全基金会（AnesthesiaPatientSafetyFounda-tion）之类的专业组织，对国立医学研究院（IOM）1999年关于建立“一个全国范围的强制报告系统（Manda-toryReportingSystem），规定由州政府负责采集那些造成死亡或严重伤害的不良事件的标准化信息”的报告，作出的是负面反应［25］。有鉴于此，到2005年，美国尽管已有23个州建立了对于严重病人损伤的强制报告系统，同年国会通过的病人安全与质量改进法案，仍然规定了建立一个以自愿报告为基础的联邦病人安全数据库（PatientSafetyDatabase）［26］。根据这一规定，医院对于严重病人伤害事件的报告属于自愿性，并在遵循有关分析差错和建议改进措施的合约的情况下，由病人安全组织负责收集此类报告。我国现行法律、法规规定了对医疗事故和重大医疗过失、医疗缺陷产品等医疗侵权事件，分别实行5种强制报告制度，鼓励的同样是“那些玩数字游戏”的人，强化的同样是“缄默与责备氛围”。而且，这5种强制报告制度覆盖的范围零散，远不及病人安全事件报告制度那样周详。因此，除现行5种强制报告制度以外，有必要建立我国统一的病人安全事件自愿报告制度。
建立报告者匿名报告与隐私保护制度美国病人安全立法确立了“志愿和机密性的病人安全事件报告（VoluntaryandConfidentialReporting）制度”，旨在借助于自愿性的保密报告来监控病人安全。为此，该法规定这些病人安全事件报告将维持保密状态，且不能用于责任案件，从而免除了医务人员对于不断增长的医疗侵权责任案件的担心和恐惧［27］。报告者匿名报告与隐私保护制度的核心，在于必须公正对待“犯错”的医务人员，对主动报告病人安全事件的医务人员进行保护，鼓励匿名报告，实行报告者隐私保护；禁止医疗机构与病人（家属）之间的“机密和解”（ConfidentialSettlements），禁止签订所谓的“保密条款”（GagClauses）。研究证明“机密和解”和“保密条款”妨碍从导致诉讼的不良事件中学习，不利于重新设计卫生服务系统的各种要素［28］。因此，解决我国医疗侵权争议案中“机密和解”和“保密条款”等“捂盖子”做法带来的问题，也是我国病人安全立法中的待决事项。
建立病人安全数据库法律制度支持病人安全（网络）数据库的建设，是病人安全立法的核心任务。该数据库的建设应力求凸现其科技与人文的双重特征。在医学科技方面，一个有关病人安全事件和／或医疗差错分类报告与评估的病人安全数据库，针对报告进行科学分析的病人安全风险专家团队，安全事件和/或医疗差错信息统一的采集、分析和评估方法，以及快速的反馈和预警技术是必须的。在医学人文方面，应着力通过侵权法改革和法律制度创新，着力培育病人安全文化，包括病人安全技术文化。国际经验显示，一个理想的病人安全数据库应满足10个条件（即构成要件），除上文述及的以外，还包括：①应有政府、行业协会、医疗机构、医务人员、社区和患者等共同参与的法律机制；②应有一套统一的关于医疗安全风险的术语、分类、标准和评价指标，并且，这些标准和评价指标的选萃，充分考虑了临床各领域的特征［23，29］；③国家、地方或医疗机构应有一个涵盖所有信息来源（含匿名报告）的关于病人安全风险（因素）的数据库，其中，国家数据库应涵盖医疗保健的所有领域；④应有一个在医疗机构、地方、国家和国际四个层面设置的关于病人安全风险控制优先事项（即因地制宜决定风险控制轻重缓急）的机制；⑤应有一个快速、准确的病人安全风险分析、评估机制，每一个医务人员应掌握各自专业领域内常用的病人安全风险分析、评估和处理的方法与工具。因此，我国建立病人安全数据库法律制度，还应主要围绕这5个方面作出立法安排。与此同时，要有计划地发展我国病人安全科技，特别是发展卫生信息技术和医药风险评估技术促进病人安全，为病人安全法的运作提供科技支持。需要说明的是，这些构成要件的提出，综合参考了已有的研究成果。除以上各种国际文献外，还包括中国医院协会、中国医师协会同类研究的初步成果。
建立病人安全组织法律制度发达国家病人安全政策、法律的一个共同特点，就是（立法）支持建立病人安全组织，将其作为医患关系之外的独立第三方从事病人安全活动。例如，澳大利亚病人安全基金会（AustralianPatientSafetyFoundation，APSF）的病人安全组织，英国建立国家病人安全机构（NationalPatientSafetyAgency），美国建立病人安全中心（CenterforPatientSafety），扩大对于不良事件的报告、分析与处理。从事病人安全活动，是病人安全组织的核心使命。病人安全活动，除了报告、收集、分析和反馈病人安全事件这一基本任务外，还包括培育、传播病人安全文化，制定、推广病人安全最佳的做法，推动病人安全科技创新，就病人安全相关政策、法律、文化、科技和财稅等问题提供意见和建议，等等。因此，相关立法围绕病人安全组织开展的病人安全活动提供支持与规范，也是病人安全立法的重要制度安排。我国病人安全组织尚未建立，病人安全活动尚处于起步阶段。通过立法，组建病人安全组织，规范病人安全组织的建立、认证和活动。为此，应开展有关我国病人安全组织、病人安全顾问设立、资质要求、注册管理和运作模式的前瞻性研究，开展病人安全风险法律、保险和技术等综合性解决方案与绩效评估的研究。
第四十四条 中央国家安全领导机构实行统分结合、协调高效的国家安全制度与工作机制。
第四十五条 国家建立国家安全重点领域工作协调机制，统筹协调中央有关职能部门推进相关工作。
第四十六条 国家建立国家安全工作督促检查和责任追究机制，确保国家安全战略和重大部署贯彻落实。
第四十七条 各部门、各地区应当采取有效措施，贯彻实施国家安全战略。
第四十八条 国家根据维护国家安全工作需要，建立跨部门会商工作机制，就维护国家安全工作的重大事项进行会商研判，提出意见和建议。
第四十九条 国家建立中央与地方之间、部门之间、军地之间以及地区之间关于国家安全的协同联动机制。
第五十条 国家建立国家安全决策咨询机制，组织专家和有关方面开展对国家安全形势的分析研判，推进国家安全的科学决策。
二、情报信息
第五十一条 国家健全统一归口、反应灵敏、准确高效、运转顺畅的情报信息收集、研判和使用制度，建立情报信息工作协调机制，实现情报信息的及时收集、准确研判、有效使用和共享。
第五十二条 国家安全机关、公安机关、有关军事机关根据职责分工，依法搜集涉及国家安全的情报信息。国家机关各部门在履行职责过程中，对于获取的涉及国家安全的有关信息应当及时上报。
第五十三条 开展情报信息工作，应当充分运用现代科学技术手段，加强对情报信息的鉴别、筛选、综合和研判分析。
第五十四条 情报信息的报送应当及时、准确、客观，不得迟报、漏报、瞒报和谎报。
三、风险预防、评估和预警
第五十五条 国家制定完善应对各领域国家安全风险预案。
第五十六条 国家建立国家安全风险评估机制，定期开展各领域国家安全风险调查评估。有关部门应当定期向中央国家安全领导机构提交国家安全风险评估报告。
第五十七条 国家健全国家安全风险监测预警制度，根据国家安全风险程度，及时相应风险预警，
第五十八条 对可能即将发生或者已经发生的危害国家安全的事件，县级以上地方人民政府及其有关主管部门应当立即按照规定向上一级人民政府及其有关主管部门报告，必要时可以越级上报。
四、审查监管
第五十九条 国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的外商投资、特定物项和关键技术、网络信息技术产品和服务、涉及国家安全事项的建设项目，以及其他重大事项和活动，进行国家安全审查，有效预防和化解国家安全风险。
第六十条 中央国家机关各部门依照法律、行政法规行使国家安全审查职责，依法作出国家安全审查决定或者提出安全审查意见并监督执行。
第六十一条 省、自治区、直辖市依法负责本行政区域内有关国家安全审查和监管工作。
五、危机管控
第六十二条 国家建立统一领导、协同联动、有序高效的国家安全危机管控制度。
第六十三条 发生危及国家安全的重大事件，中央有关部门和有关地方根据中央国家安全领导机构的统一部署，依法启动应急预案，采取管控处置措施。
第六十四条 发生危及国家安全的特别重大事件，需要进入紧急状态、战争状态或者进行全国总动员、局部动员的，由全国人民代表大会、全国人民代表大会常务委员会或者国务院依照宪法和有关法律规定的权限和程序决定。
第六十五条 国家决定进入紧急状态、战争状态或者实施国防动员后，履行国家安全危机管控职责的有关机关依照法律规定或者全国人民代表大会常务委员会规定，有权采取限制公民和组织权利、增加公民和组织义务的特别措施。
第六十六条 履行国家安全危机管控职责的有关机关依法采取处置国家安全危机的管控措施，应当与国家安全危机可能造成的危害的性质、程度和范围相适应;有多种措施可供选择的，应当选择有利于最大程度保护公民、组织权益的措施。
第六十七条 国家健全国家安全危机的信息报告和机制。国家安全危机事件发生后，履行国家安全危机管控职责的有关机关，应当按照规定准确、及时报告，并依法将有关国家安全危机事件发生、发展、管控处置及善后情况统一向社会。
第六十八条 国家安全威胁和危害得到控制或者消除后，应当及时解除管控处置措施，做好善后工作。
关键词：信息系统；威胁；文件；云架构；分级
中图分类号：TP393 文献标识码：A 文章编号：2095-1302（2014）03-0054-03
0 引 言
随着网络技术的普及和社会发展对信息系统的依赖程度不断增强，保证信息系统安全、可靠、稳定运行对确保社会各组成部分的正常运转具有越来越重要的意义。信息系统所可能面临的威胁可以分为针对系统本身及针对其内部信息两类，针对内部信息的威胁包括对数据以及对处理这些数据的信息系统应用的威胁，对这类威胁进行自动检测和防御已经成为网络安全研究的重点[1-3]。
威胁检测通过在系统中若干关键点收集信息，并对这些信息进行分析，与已知的威胁特征或与正常模型进行比较，从而发现威胁迹象。现在大多数的威胁检测都是在主机上对系统调用序列以机器学习的方式进行建模[4，5]，但是单个主机的计算能力有限，监控所有的系统调用序列会造成较高的负荷，且系统调用产生的信息繁杂，威胁检测与防御较为困难而且易引起较高的误报[6]。
通过对企业及政府部门内部信息系统的威胁行为分析发现，大多数威胁都是通过对文件系统的访问实现其非法访问信息的目的[7]，因此，文件系统可以成为威胁检测监控的较好选择；而由于不同终端在信息系统内部承担功能以及存储文件安全级别的不同，针对不同终端应该采用不同的威胁防御策略[8]。基于此，本文从一个新的角度提出了一个基于云架构的分级威胁防御机制，在客户端监控与记录进程对文件系统的访问行为，将可疑行为传递给云端，在云端按照主机的信息安全级别建立不同行为模型，按照行为特征分析客户端系统中存在的威胁，同时，云端对不同终端提供的报告信息进行融合，进而判断出系统薄弱环节，并将处理策略发放给相关客户端群。该机制为信息系统内部不同安全级别终端的威胁检测与防御提供了有效的解决方法，并通过云架构提供了更多的存储空间和更快速的处理能力，使得系统资源服务得到充分利用同时减少了客户端负荷。
1 基于云架构的威胁防御机制总体设计
基于云架构的威胁防御机制依靠网络服务实现信息系统内部不同信息安全级别用户终端威胁的实时防御。在结构上可分为用户终端与服务器端[9，10]，用户终端完成文件访问行为的监控、异常行为的发现和威胁的处理；服务器端即云端主要完成异常行为报告的融合、威胁行为判定、和系统薄弱环节发现等。其结构示意图如图1 所示。
图1 基于云架构的信息系统分级威胁防御机制结构示意图
在功能上主要分为文件访问行为监控、文件访问行为建模、威胁行为报告融合与威胁发现、威胁处理几个模块。其工作流程如下：
文件访问行为监控模块对用户终端的文件访问行为进行监控，并与本地保存的常用文件访问行为模型进行比较，将不符合该模型的行为视为文件访问异常行为，将相关信息生成可疑行为报告提供给云端服务器；云端服务器在逻辑隔离的不同虚拟环境下处理不同安全级别终端提交的信息，将异常行为与不同安全级别的完整的文件正常访问行为模型和威胁行为模型进行比较判断终端是否存在安全威胁，若仍不符合该模型则生成威胁行为报告；当云端服务器收到来自不同用户终端的大量威胁行为报告时，通过对威胁报告关联融合进一步察觉出系统中存在的严重威胁、薄弱环节及可疑节点；同时，云端会将威胁的解决方法分发至用户终端同时可以协助甚至代替客户端防御威胁；其中，文件访问行为模型由云端逻辑隔离的不同虚拟环境中的文件访问行为建模功能模块针对不同安全级别终端文件访问行为特征建立，新的威胁行为及安全行为的发现将实现模型库的增量增长。威胁防御机制流程示意图如图2 所示。
图2 基于云架构的信息系统分级威胁防御机制工作流程图
2 威胁防御机制主要功能模块设计
2.1 文件访问行为监控
在操作系统中，对于每一个文件访问请求，I/O管理器都会构造一个相应的I/O请求包向文件系统提出请求，文件系统驱动组件则会有相应的处理。文件访问行为系统监控位于I/O管理器之下，文件系统之上，通过截获I/O请求包监视所有程序的文件访问行为。与程序行为不同，正常的文件访问行为显示出多态性，许多威胁活动不会影响到进程的系统调用序列，却可以通过文件、进程、用户和操作的关系表现出异常的文件访问。这些关系在用户安全级别、文件安全级别、安全策略的影响下呈现出一定的规律性。文件访问行为监控通过发现小概率的行为，发现异常行为的发生。
文件访问行为序列格式定义如表1所列，包括序列号（ID），访问的用户（USER）及用户组（GROUP）、进程名（PROCESS）、操作（OPERATION）、文件本身的属性（PROPERTY）、访问行为的源IP（SRCIP）及文件所在的主机地址（DSTIP）。其中，操作包括操作的类型、执行的结果，属性包括文件安全级别。
文件访问行为监控模块将截获I/O请求包序列化；分析比较工具将该序列与本地模型库中的行为模型进行比较，存在不一致则生成如图3所示的可疑行为报告提交至服务器。
可疑行为报告生成算法
输入：文件访问行为序列VS，常用文件访问模型库{CLi}
输出：威胁行为报告IR
步骤：
1.对于VS，检查是否满足VS. PROPERTY =CLi.PROPERTY且VS.OPERATION= CLi.OPERATION且VS.GROUP=CLi.GROUP；若不满足，则IR=VS；若满足，将这样的VS提交给服务器中的文件访问行为建模模块。
2.对于IR，在提交至云端服务器同时在本机保存副本。
图3 可疑行为报告生成算法
2.2 威胁行为报告融合与威胁发现
云端服务器为不同安全级别用户终端建立了不同的文件访问行为模型、黑名单和白名单；并通过虚拟化和逻辑分配实现服务器资源的使用，云端服务器安全级别不能低于其所保障的最高安全等级用户终端的级别。威胁行为报告提交至云端服务器后，首先采用与终端同样的方法与完整的行为模型库进行比较，若不符合模型，则将可疑行为报告生成威胁行为报告进一步处理。对威胁行为报告进行关联、融合可疑发现系统中存在的威胁以及系统自身的薄弱环节和恶意节点。
（1）威胁行为报告聚合
威胁行为的发生一般具有持续性，如果是真正的攻击行为，其往往需要重复多次，这类行为的报告往往具有相同的操作、源IP、文件所在的主机地址等特征信息，利用这一特点，将其关联聚合到一起，形成新的威胁行为报告信息，这一信息可能是具有同一目标的某次威胁，或者多步威胁的某一步骤重复进行而产生的信息，当这些报告来自大量不同的节点时，表明威胁在网络中传播并影响了大量的用户节点，要引起重视，采取相应措施。图4所示就是威胁行为报告聚合算法。
（2）威胁路径绘制
威胁行为的产生往往是针对系统中的薄弱环节进行的，对于有预谋窃取某些重要文件的威胁行为，其往往是通过对具有弱点的目标对象进行攻击，获取相应权限，再从已攻陷的主机向其他目标发起的攻击，如此循环往复，直到达到最终目标。对待这类攻击，在进行威胁清除，病毒库升级同时，对威胁信息进行融合，绘制威胁发生的路径可以帮助管理员发现系统本身存在的薄弱环节进而采取相应措施进行防御。图5所示是威胁路径绘制算法。
威胁行为报告聚合算法
输入：聚合前的威胁行为报告集{IRi}，时间间隔阈值t
输出：聚合后的威胁行为报告集{TRi}
步骤：
1.初始临时队列L，存放聚合过程中的威胁行为报告；
2.对于服务器收到的IRj，检查L中的每一报告TRj，是否满足TRj.SRCIP=IRj.SRCIP
或TRj.DSTIP=IRj.DSTIP
或TRj.OPERATION =IRj. OPERATION，将这样的IRj归入该TRj中；若不存在TRj，将该IRj存入L中；
3.对于L中的TRj，若在时间t内没有收到新的可归并的威胁报告，则输出聚合后的威胁行为报告。
图4 威胁行为报告聚合算法
威胁路径绘制算法
输入：威胁报告集{Ri}
输出：威胁路径图G=（V，E）
步骤：
1.对Ri.SRCIPV，将Ri.SRCIP添加入G；
2.对Ri.DSTIPV，将Ri.DSTIP添加入G；
3.添加边（Ri.SRCIP，Ri.DSTIP）；
4.设置边的权重为该边的威胁数量和威胁类型的度量，表征为，其中N为告警总数，n为这条边上的告警总数，M为告警类型的总数，m为这条边上的告警类型数。
图5 威胁路径绘制算法
（3）恶意节点发现
恶意节点是指系统内部已被威胁控制的节点。如果系统中存在着恶意的终端节点，其很可能通过持续向服务器发送虚假威胁行为报告来干扰服务器端分析和处理有价值的行为报告。在进行信息融合时，需要分辨出这类节点，排除这类报告的干扰，优先处理有价值的威胁行为报告。其恶意节点发现算法如图6所示。
3 结 语
针对信息系统内部信息的安全威胁多是通过对文件的异常访问来进行的，针对此，本文设计了一个基于云架构的信息系统分级威胁防御机制，发挥网络中服务器和用户终端节点的各自优势，从全局的角度构成一个整体来对抗威胁攻击。用户端主动收集并向服务器端提供文件访问异常行为报告；服务器端针对不同安全级别用户终端建立各类正常行为模型和黑白名单，使系统快速对威胁行为作出正确反应；并从全局角度对威胁报告信息进行整合，在发现威胁的同时发现系统自身薄弱环节，有效促进了系统整体防御性能的提升。
恶意节点发现算法
输入：节点提交报告数量集{Si}，节点提交恶意报告数量集{VSi}，时间间隔阈值t，恶意节点阈值σ
输出：恶意节点集合{Dm}
步骤：
1.对于系统中的每一个终端，计算时间间隔t内节点的可信度；
2.对于可信度低于σ的节点，认为它为恶意节点。
图6 恶意节点发现算法
参 考 文 献
[1] WU Ying， JIANG Jian-hui. Frequency weighted hamming distance based system call anomaly detection [C]// Proceedings of CSIE 2009. Los Angeles， California： IEEE， 2009： 105-109.
[2]王辉，贾宗璞，申自浩，等.基于信息流的多级安全策略模型研究[J]. 计算机科学，2010，37（1）：75-78.
[3] PRAMANIK S， SANKARANARAYANAN V， UPADHYAYA S. Security policies to mitigate insider threat in the document control domain [C]// Proceedings of the 20th Annual Computer Security Applications Conference. Tucson， Arizona， USA： IEEE， 2004： 304-313.
[4]陶芬，尹芷仪，傅建明. 基于系统调用的软件行为模型[J]. 计算机科学，2010，37（4） ：151-157.
[5] GAO D， REITER M K， SONG D. Behavioral distance measurement using hidden Markov models [C]// Proceedings of the 9th International Symposium on Recent Advances in Intrusion Detection. Hamburg， Germany： RAID， 2006： 19-40.
[6]吴瀛，江建慧，张蕊. 基于系统调用的入侵检测研究进展[J]. 计算机科学，2011，38（1）：20-24，47.
[7]陈兰香. 一种基于会话的安全Web 文件服务模型[J]. 计算机工程， 2011， 37（18）： 127-130.
[8]赵宝磊. 浅谈信息系统分级保护工作的实施[J]. 网络与信息安全，2010（3）：80-83.
【关键词】互联网财务报告披露调查
一、导言
1993年以来，随着互联网商务性应用的急剧高涨，Internet的用户呈几何级数迅速膨胀。1998年初Internet用户突破1亿，1995年5拢澜缟贤耸汛?.7亿多。1999年12月31日，中国上网用户达890万，WWW站点数约15153个……不久前，在法国巴黎召开的《财富》论坛第六届会议将2000年的会议主题聚焦于“网络经济”，与会的500强企业巨子们纷纷表示要把整个企业都搬到网上，有些还拟出了精确的时间表。许多国际企业开始对自己在线和非在线客户有所区别，对前者实行各种优惠倾斜政策。这些制定未来市场游戏规则的巨头们的行动，以及各国政府加速出台的网络化进程计划预示着网络经济的全面启动。使用Internet为工具来交流公司信息正变得越来越普及。Internet的迅速发展对会计也形成前所未有的挑战，其中，最让信息使用者们感受到的影响和变革之一是财务信息披露方式的改变。
在国外，1995年美国证监会就要求上市公司用磁盘、光盘或计算机网络接口向SEC的EDGAR系统提交通用财务报告。EDGAR系统与Internet连接，为进入Internet的用户能便捷地获取信息创造条件。之后许多国家也先后采取措施加快这方面的动作。网上披露财务信息发展很快。一项受国际会计准则委员会之托进行的网上财务报告研究，在检验了欧洲、亚太地区、北美和南美22个国家，660个公司在Internet上的企业报告后证实有86%的企业上网，近三分之二的公司在他们的网站上以某种形式其财务报告。为能很好地适应网上报告的发展和实施必要的监管，国际会计准则委员会高度关注这方面的发展动态，它委托有关学术团体专门进行的网上财务报告研究及其的研究报告，被认为是IASC进行网上财务报告准则研究的先导。
在中国，强制要求上市公司进行网上财务披露的工作始于2000年。中国证监会要求所有上市公司在互联网上公开披露其1999年度的财务报告。据报道，上海证券交易所和深圳证券交易所已在2000年4月30日首次成功地实现了959家上市公司1999年报的网上披露……，上网浏览1999年报的投资者达9000万人次，累计下载年报共566万份，平均每家年报下载5000次。2000年6月27日，沪深两地证券交易所又联合通知，要求上市公司中期报告全文上网。这一切标志着中国企业在应用Internet进行财务信息披露方面的工作又向前迈进了一大步。另外，沪深两所网站的访问人次和年报的点击数激增，也反映了信息使用者对网上披露方式的关注和认可。可以预见，通过Internet披露财务信息将会得到更快的发展。
我们所处的是一个变革的时代，经济和技术正发生着巨大的变化。这些变化既影响企业提供信息的能力，也影响用户对企业信息的需求和利用信息的能力。目前，中国企业需要加快发展和进一步完善使用Internet提供信息，以此吸引投资，拓展业务和改进经营；信息使用者急需更及时、便捷地获取企业信息，支持其决策。因而，了解网上财务信息披露现状，查明已发生和即将发生的技术进步可能导致财务报告乃至财务会计发生怎样变化的任务已现实而急迫地摆在我们的面前。
本文的主要目的在于提供我国上市公司网上财务信息披露情况的调查结果，并作分析。我们希望通过网上典型调查，对目前中国企业网上披露财务信息的现实情况有一个基本的了解。同时，希望能够揭示当前网上财务披露存在的问题，也力求能为未来会计的相关研究和财务报告的改革探索提供有益的启示。
二、调查对象、调查问题和数据收集
调查对象
为使调查结果更具有代表性，我们选择在有关上市公司排行和财务信息披露方面较有代表性的上市公司作为调查对象，按网上搜索与观测渠道的不同分为三组：
1.上海证券交易所2000年6月27日公布的上交所36家最佳信息披露公司，以下简称“沪市最佳”。
2.上海证券交易所30指数公司，简称“上证30指”。
3.中国大陆上市公司100强，简称“大陆百强”。
调查问题
本次调查主要涉及六个方面：
1.使用条件与水平。了解调查对象中有多少公司已经具备使用互联网披露财务信息的基本条件及其使用水平。
2.重视程度。了解调查对象对在各自网站中披露财务信息重要性的认识程度。
3.披露财务信息的形式和数量。公司利用各自网站以何种方式、披露哪些财务信息和相关信息。
4.披露财务信息的内容和质量。网上披露财务信息的内容及可理解性、相关性、可靠性。
5.审计信息的披露。了解调查对象如何进行审计信息的披露，财务信息的可信性。
6.信息利用。主要调查利用网上财务信息的便捷程度。
数据收集方法
主要采用网上测试和观察方法进行。
1.分别采用搜索引擎Sohu、YahooChina和《2000年中国上市公司速查手册》提供的网址，对调查对象在线网站进行检测。
2.通过28项指标对上述六方面调查内容进行分项检测，指标设计见文中调查表。
3.本次调查网上测试时间截至2000年7月25日，之后的情况可能发生变化。
三、调查结果及分析
我们将调查结果汇总于“网上财务信息披露情况调查表”，并分析如下：
基本条件
在网络环境下，网址是信息提供者与使用者联接、沟通最基本的前提。所以，我们首先通过“网址”与“进入网站”两项指标的测试，说明公司使用互联网的条件与水平。
1.网址。采用中国证券报《2000年上市公司速查手册》中提供的网址，发现沪市最佳36家信息披露公司中，有同址的公司仅为30家，占83.33%；通过Sohu进入“中国上市公司”网站，发现上证30指网页中有网址公司仅11家，占36.67%；通过YahooChina进入大陆百强网页，有网址公司仅24家，占24%。从总体上说，我国上市公司使用Internet的水平低于西方发达国家前23年的水平。如美国95%、英国92%，除沪市36家最佳信息披露公司外，其他两组调查对象还低于爱尔兰37%。
2.进入网址。根据调查对象网址，测试能否顺利进入各公司网站。结果发现：部分公司有网址，但无法进入；部分公司有网址，却无法找到公司网站；能够顺利进入的比例三组分别是：沪市最佳组75%；上证30指组33.33%;大陆百强组20%。
重视程度
我们通过设置“网上信息的主要类型”、“财务信息披露的醒目程度”两类指标，目的是要了解调查对象在自己的网站中主要披露了哪些信息?财务信息居于何地位?以反映公司对在互联网上自愿披露财务信息的认识和重视程度。调查结果显示：
1.各公司网站中提供了多种多样的信息，如公司简介。产品与服务、新闻、股票与投资、电子商务、市场动态、信息反馈、企业文化、人才招聘、网站图、娱乐天地等等。比例最高的是公司背景、产品或服务介绍，位居第三或第四位的网上信息即为财务信息。已有半数以上的公司披露了财务信息，具体比例是：沪市最佳组55.56%，上证30指组80%，大陆百强组50%。
2.财务信息披露的醒目程度。网络经济是一种注意力经济，在信息极大丰富甚至泛滥的情况下，注意力成为稀缺资源。因而，醒目程度关系财务信息在“争夺眼球”之战中，能否有效地吸引人们注意力的关键之一。本次调查将在公司网站首页中有独立财务信息链接或经1-2次点击即可发现财务信息标识的列为醒目。结果发现：沪市最佳组为29.63%，上证30指组为30%，大陆百强组为30%。而不易发现或很难查找的多为网页中没有单独体现财务链接，如海尔公司将所提供的有关财务指标放在股票信息栏中，还有的公司包含在投资栏或新闻栏中。
披露财务信息的形式和数量
我们发现三组调查对象中，部分公司按现行会计规范要求全文披露财务报告，全文披露的比例：沪市最佳组7家，占46.67%；上证30指组4家，占50%；大陆百强组5家，占50%。其他公司则大大缩减披露信息的数量，对信息披露形式也进行了重新选择：一部分公司采用文字形式摘要说明财务状况；有的公司则重新选取部分主要财务指标进行披露，如前述海尔公司仅在股票信息区列出主要财务指标表，报告公司“主营业务收入”、“净利润”、“股东权益”“股本”、“每股收益”、“净资产收益率”。“存货周转率”“应收帐款周转率”。虽以往的研究均说明财务报表的地位十分重要，它是企业财务报告的核心。但本次调查未见有公司单独提供资产负债表，利润表和现金流量表来反映公司财务情况。许多采取摘要披露策略的公司反将报表略去，仅以文字摘要形式披露公司财务信息。这种在无强制要求和监控状况下进行的网上报露，反映了企业披露财务信息的“自然心态”，但大大简化或省略的做法究竟出于避免导致竞争劣势的考虑，或单纯简化或便于下载之目的则有待进一步研究。另外，还有不少公司同时提供中英文两种版本的财务报告。
网上财务信息的内容和质量。
对现有网上财务信息的可理解性、相关性、可靠性和可比性，我们主要通过“披露是否充分”、“有否披露审计信息”、“有无信息安全说明”。“是否可比”等指标进行检测。首先，披露信息的充分程度以会计规范要求为准，我们认为，大大简化和省略的财务披露将有可能对用户准确理解和分析利用财务信息形成阻碍，导致理解上的误差，或发生潜在问题。第二，“有否披露审计信息”和“有无信息安全说明”主要针对网上信息的可靠性而言。检测结果，渡蠹菩畔⒌墓驹?3%以上，其中：沪市最佳组11家，占73.33%；上证30指组6家，占75%；大陆百强组8家，占80%。信息安全说明在三组调查对象中均为零。这说明网上财务信息的可信度仍无保障，存在应用财务信息的风险。第三，有些公司提供了往年的财务信息，有的则没有提供。总的看来，前者提供信息的口径基本一致，后者则部分地出于各公司建网时间不一之故，新建网站公司有些没有以前年度信息。
审计信息披露的方式
本项检测旨在了解公司提供审计信息的形式。分“全文披露审计报告”、“简要说明”等指标进行检测。结果发现多数公司采用全文披露审计报告的方式来披露审计信息，其中：沪市最佳组有7家，占63.64%；上证30指组有4家，占66.67%；大陆百强组有7家，占87.5%。其余公司则采用简要说明或提示的方式说明所被露信息已经经过审计。另外，各组均未见有任何提示提请读者关注信息传送安全问题。
利用情况
网上财务信息的有用性可以从多方面进行考察。在此主要从用户能否方便地利用信息的角度考察。我们采用“便于浏览”、“便于分析”、“便于下载”、“便于反馈”等指标进行检测：1.便于浏览。主要观察财务信息有无明显标识、必要的链接、是否能在网上打开浏览等。从实际观测看，三组中有60%-75%的公司所提供的财务信息基本便于浏览，但也还不同程度地存在这样或那样的技术性问题，如无醒目的路标或网站图；许多公司报告中缺乏必要的链接，因而在浏览报表时可能发生不便察看有关报表附注的情况；不能灵活地链接到相关站点；还有一些公司的财务报告须下载后方可打开阅读等。2.便于分析。主要观察信息披露的充分程度、有无在线分析工具、能否下载等。调查结果各组的比例是：沪市最佳组为40%；上证30指组为50%；大陆百强组为50%。那些不完整或经过大量简化的财务信息加上没有提供任何在线分析工具，或不便下载，这样的信息对使用者有多少价值值得探讨。3.方便下载。我们发现调查对象的财务披露一般均能较方便地下载，只是全文披露公司的财务报告文件较大时，若不采用pdf文件，则须花费较长下载时间。4.便于反馈。沪市最佳组为60%，上证30指为62.5%，大陆百强组为90%。
四、总结、启示与建议
本研究提供了中国部分上市公司财务信息网上披露现状的实地研究结果。文中就调查内容所实施的检测揽括了财务信息网上披露的主要影响因素。调查表明：
1.目前许多中国上市公司已经积极、大胆地在自己的网站中自愿披露财务信息。这使财务信息跨越地理限制，在一个更广阔的空间中得以更迅捷、广泛地传播，使公司财务信息真正成为全球范围的公共产品。Internet上的财务披露对改善信息提供者和信息消费者之间的信息流动，加强公司与信息使用者之间的信息交流，改变传统纸质报告仅限于在已要求和被要求收到财务信息各方中流动的状况，进一步拓宽财务信息的披露面，提高信息披露的及时性和大大降低财务信息的传播成本等方面发挥着积极的作用。但是，从调查总体看，我国上市公司使用Internet的比例仍然偏低。
2.互联网的特性导致网上财务报告产生了许多在传统传播媒体下不可能产生的问题，如网上财务信息的有用性不仅受所披露会计信息质量本身的影响，还受到发现网址和进入难易、披露信息的数量、信息传送安全，以及使用者能否下载和分析数据等因素的制约。当然，也受信息消费者“网上冲浪”知识与技能水平的影响。据观察，各调查对象的网站状况、披露策略和披露结果很不一致。鉴于目前尚缺乏网上报告准则，我们应该提醒信息提供者，他们的网上仍应遵守现存的会计准则和制度，以免误导读者或发生潜在问题。同时，在衡量和评判网上报告优劣之时还应结合考虑网上报告的特殊性，对此英国伦敦证券交易所和投资者事务协会的《“最佳互联网年度报告”指南及简要说明》中列示的最佳实务要求值得借鉴。这份最佳实务的要点包括：年度报告要能独立且巧妙地集成于公司网站。提供及时的信息。能发挥电子媒体的杠杆作用，而不仅仅是复制报告的印刷版本。应考虑电脑的屏面效果，而非页面效果。灵活地使用pdf文件，使报告易于下载。规定醒目的标志和网站图。适当的提示能有效地导航。保存历史记录，增加透明度，便于使用者对财务数据进行纵向对比。具有反馈机制。与其他相关领域相结合，如投资者协会。使用多币种和多语言，增加财务信息的使用价值。提供价格信息，反映当前和过去的趋势。灵活地链接到相关站点。另外，西方发达国家一些公司的网上报告实践也为我们作了较好的示范：英特尔、微软等在网站中留给使用者公司财务部分的清晰的提示；他们的网址中提供各种可下载的格式、采用各种不同语言的报告、反映以不同国家公认会计准则表述的财务报表，并均给予明示；还有丰富的在线分析工具。
3.关于网上财务信息的完整与安全。由于目前网上财务信息的本实施管制者监控，且网址中的内容又可以经常变换。信息提供者似有可能偏离会计准则要求的信息，或增减原按法定要求进行的披露。因而，对信息者应进一步明确其提供信息的责任；使用者应关注所读信息的可靠性；监管者应考虑可能的控制措施，如开展网上审计；建立一个可在监管部门控制下的服务性财务报告网站，这是一个带有强制性质的存档性财务信息网点，以牵制公司网站中的财务披露。我们的目的是要使信息使用者在分享技术进步带来的好处时不致于承担太大的牺牲财务信息可靠性的风险。
4.关于网络会计研究。网上财务报告实践发展很快，已经给我们提出了一系列的问题。看来网络会计的研究和对网上财务披露管理的研究已滞后于实务，现应大力鼓励开展相关研究，以有效地引导和促进实务健康发展。
参考文献
1中国互联网信息中心.中国互联网发展状况统计报告.2000年
2《电子发展与决策》第1期第5页
3JFigg.StudyUrgesOnlineReportingStandards,TheInternalAnditor,Feb.2000
4中国证监会.关于做好上市公司1999年年度报告的通告.1999.12.28
5上海证券报.2000.6.29
一、信息系统审计的内涵
信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。
1.信息系统审计的定义
由于信息系统审计的发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。（1）日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。（2）信息系统审计领域的着名专家威伯教授的定义（1999）是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。（3）信息系统审计影响最大的国际组织——国际信息系统审计和控制协会（ISACA）的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。
通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计（计算机审计）包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等；而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。
2.信息系统审计的目标
审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。（1）真实性。信息系统中的数据要真实的反映企业的生产经营活动。要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等管理手段确保数据的真实性。（2）完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。（3）合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。（4）安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等；内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。（5）可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对软件和硬件的破坏等。可靠性也是真实性的基础之一闭。（6）效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提供产品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。
3.信息系统审计的类型
根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：（l）信息系统的真实性审计是对传统审计的补充，防止“错”账真审。（2）信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。（3）信息系统的绩效审计是对信息系统投入产出比的审核。
二、信息系统审计的特点
信息系统审计具有其独特的特点，具体特点
1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。
2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向（生命周期）看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向（信息系统构成）看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。
3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。
4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。
5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。
6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。
三、信息系统审计的过程
审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为计划阶段、实施阶段和报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。
1.计划阶段
计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制；初步评价审计风险；确定重要性水平；制定审计计划。（1）调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。（2）调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。（3）评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。（4）编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。
2.实施阶段
实施阶段是根据计划阶段确定的范围、重点、步骤和方法，进行有针对性的取评价，并形成审计结论的过程。主要由符合性测试和实质性测试两个阶段构成。（1）实施符合性测试。符合性测试的目的是检查内部控制措施是否健全有效。计人员需要对被审单位的控制系统进行识别、测试和评价。测试的性质、范围和程度。为了达到这个目的，审从而确定后续的实质性控制系统识别。审计人员通过与相关人员面谈、调查问卷以及查阅信息系统和控制系统说明文件等方，识别被审单位的控制系统以及控制环境，并将调查情况记录在审计工作底稿中。（2）实施实质性测试。实质性测试是对信息系统控制进行的详细测试，以获得这些控制在审计期间是否真实存在并合法有效的审计证据。实质性测试主要通过测试必要的数据，对信息系统达到特定的控制目标的程度进行评价。
一、工作制度
（一）沂城街道食品安全协调委员会职责
统一领导、统筹协调食品安全监管工作；研究审议食品安全监管政策和发展规划；审议食品安全监管工作计划和措施；组织开展食品安全重要活动和专项整治；协调解决食品安全中的重大问题；督促检查辖区以及有关职能部门履行食品安全监管职责、落实食品安全监管责任制和责任追究制等情况。
（二）沂城街道食品安全协调委员会办公室职责
负责食品安全协调委员会日常工作，承办、督办食品安全协调委员会决定事项；指导各食品安全协调委员会成员单位工作；组织有关部门开展食品安全重大问题的专项督查；协调有关跨地区、跨部门食品安全重要事项；筹备组织食品安全协调委员会各类会议；组织协调有关部门依法对食品安全重大事故进行查处。
二、会议制度
（一）协调委员会会议制度
1、原则上每半年召开一次协调委员会全体成员会议，其他参加会议的人员根据会议内容和工作需要确定，特殊情况可由主任或副主任决定随时召开。
2、会议内容：贯彻落实上级有关食品安全的法律法规和方针政策；统筹协调食品安全监管工作，讨论审议有关食品安全监管政策和工作计划，协调解决食品安全监管工作中的重大问题；部署食品放心工程和食品安全专项整治、督查工作；各成员单位汇报食品安全监管情况，提出存在问题及建议；检查会议确定事项的落实情况。
3、根据食品安全工作的需要，不定期召开部分成员单位工作协调会，研究协调专项工作。
（二）协调委员会联络员会议制度
1、原则上每半年召开一次协调委员会联络员会议（联络员为协调委员会成员单位食品安全监管有关科室负责人），由协调委员会办公室主任或副主任召集。特殊情况可由办公室主任或副主任决定随时召开。
2、会议内容：研究落实协调委员会交办的工作任务和日常监管中的协调工作，讨论决定需要上报委员会会议审议的有关事项。
上述两种会议均须有专人做好记录，形成会议纪要。会议纪要由会议主持人签发，会议纪要发送范围根据会议内容和工作需要确定。
三、案件举报受理与查处制度
各成员单位要按照各自工作职责，加强食品安全案件举报受理工作，设立举报电话，确定专人认真记录，按照首接负责的原则，及时处理投诉举报的案件。对涉及其他部门或多个部门职责的案件和重大食品安全事故，成员单位接报后要及时报告协调委员会办公室，由协调委员会办公室组织协调处理。对重大食品安全事故，协调委员会办公室接报后应立即报告协调委员会主任、副主任，并及时做好组织和查处工作。
四、信息收集、及报告制度
（一）协调委员会办公室负责收集、汇总和分析整理食品安全信息及时向成员单位传递。
（二）协调委员会成员单位都要确定一名专职食品安全信息员（信息员由本单位指定），负责本系统食品安全信息的收集、汇总、整理和报送工作。信息实行审核报送制，由成员单位领导审核签字、单位盖章后报送协调委员会办公室。
（三）食品安全信息报送的内容包括：各成员单位食品安全监管工作规划、工作计划，制订出台的食品安全监管政策和重要监管措施，专项整治方案和实施情况，工作总结，重大食品安全事故查处情况和质量抽验计划及结果等。上述有关内容各成员单位要按规定及时报送，各成员单位每季度末必须单独报送一条综合性的食品安全工作动态信息。
（四）协调委员会办公室不定期重大食品安全信息。内容主要包括：全街道食品安全监管政策、监管措施、专项整治方案的实施情况，重大食品安全事故的查处情况，重大节日和活动期间的食品安全状况、全辖区范围内食品安全检测结果和预警信息，各成员单位食品安全工作情况、经验做法和抽验结果等，信息报送街道党工委、办事处领导成员、协调委员会各成员单位及有关单位。
五、宣传培训制度
（一）协调委员会统一协调开展食品安全宣传活动。各成员单位要按照各自职责分工，相互配合，采取多种形式，动员社会参与，营造良好的舆论氛围。
（二）在协调委员会统一领导下，各成员单位根据实际工作需要，开展食品安全工作培训，不断提高食品安全监管人员业务素质和工作水平。
沂城街道食品安全委员会
主 任： 刘洪达
副主任： 程 悦
委 员： 刘宝军 张在营 段希运
牛 雍 马继艳 吴琳璘
郝长城 杜正磊 牛庆军
石立宝 韩 国 窦伟谭
刘 洋 张玉霞 张 波
于然龙 孟海鹏 铁新泉
王 磊 王 迪 田成友
段培公 公丽萍 王文田
王 伟 闵祥东 孔令军
韩 燕 武玉波 李秀杰
庄宿顺 江海洋 武善勇
购物车(0)