TVP 网络安全检测项目验收标准
香港科技券计划（Technology Voucher Programme，简称 TVP）是创新科技署推出的资助工具，单一项目最多可获批港币 60 万元，政府配对资助比例一般为 75%，企业自付 25%。网络安全检测是 TVP 申请中需求量大、但验收环节最容易翻车的项目类型之一——不少内地在港企业反映，项目做完了、报告也拿到了，最后却被创新科技署判定”成果未达既定目标”而扣减拨款，甚至整笔款项不获发放。
本文按项目执行时间线，把验收标准的全貌拆给你看。
一、TVP 网络安全项目的两大类别
在写验收标准之前，必须先弄清楚自己做的是哪一类，因为两者的交付物、衡量指标完全不同。
1. 安全检测与评估类（Audit / Assessment）
这是绝大多数中小企业申请的方向，包括：
- 漏洞扫描（Vulnerability Scanning）
- 渗透测试（Penetration Testing）
- 网络架构安全评估
- 主机与服务器基线检查
- 应用程序代码审计
交付物核心：一份第三方独立出具的检测报告，而不是顾问公司自己的报告。如果报告由执行项目的顾问公司自行撰写，极易被审计认定为”利益冲突”，验收风险极高。
2. 安全设备与防护建设类（Implementation）
指采购和部署网络安全设备，例如防火墙、防入侵系统（IPS）、日志审计平台、终端检测响应（EDR）等。
交付物核心：设备清单、安装调测记录、策略配置文档、运行日志以及用户培训记录。
实务提示：不少企业把”买设备”包装成”安全评估”试图过审，但创新科技署在终审阶段会核对报价单与实际交付物的对应关系。一旦发现报价写”渗透测试”、交付物却是一台防火墙，会直接要求解释或扣减资助额。
二、申请阶段就要写清楚的「验收准则」
TVP 项目申请书（项目计划书）中有一栏专门写「Key Deliverables / Expected Outcomes」——这是验收的唯一法定依据。项目开始后再补写、改写，原则上不获接纳。
申请时必须明确的三类指标
| 指标类型 | 内容举例 | 写法建议 |
|---|---|---|
| 数量指标 | 扫描 IP 段不少于 X 个、发现高危漏洞不少于 X 项、覆盖业务系统不少于 X 套 | 数字要可量化、可核对 |
| 质量指标 | 漏洞修复率不低于 90%、高危漏洞 7 天内闭环、修复后复测通过率 100% | 避免”显著降低”“大幅提升”这类不可核验的描述 |
| 文档指标 | 独立第三方报告 1 份、风险评级表 1 份、整改建议清单 1 份、培训签到表 1 份 | 列出具体名称，便于终审对照 |
关键原则：申请时写多少，验收时就看多少。如果只写了”提供安全检测服务”，而无任何数字指标，终审基本会被打回重述。
三、项目执行期的「过程性验收」
TVP 项目并非”做完一次性验收”，而是分阶段审查。
1. 中期报告（Mid-term Review）
通常在项目执行过半时提交。需包含：
- 已完成的工作项（对照申请书的进度表）
- 已产出的阶段交付物（如漏洞扫描初稿、初步渗透测试结果）
- 已使用资金情况（对照预算表）
- 项目执行中遇到的问题与调整方案
如果进度落后超过 30%，或资金使用偏离预算超过 20%，创新科技署会要求书面解释，严重的可能要求冻结后续拨款。
2. 阶段性客户验收（Internal Sign-off）
这是企业自己内部对供应商的验收节点，通常对应一笔中期付款。建议做到：
- 阶段交付物收到后 14 个工作日内完成审阅
- 形成书面的「接收确认函」或「阶段性验收意见」
- 任何不满意见必须书面留底，避免后期扯皮
四、终期验收（Final Assessment）五大核心标准
终期验收是项目能否拿到全部资助的关键节点，审查清单通常围绕以下五个维度。
1. 交付物完整性
对照申请书中的「Key Deliverables」逐项核对：
- 是否每一项交付物都已提交
- 是否每一项都有对应的电子档或书面文件
- 文件命名、版本号、签发日期是否齐全
常见扣分点：顾问公司只交付 PDF 报告，未提供原始扫描数据、漏洞清单（Excel/CSV）、风险评级底稿。原始数据缺失会被视为”成果不完整”。
2. 报告独立性
渗透测试和漏洞扫描必须由独立第三方完成。”独立”的判定标准包括：
- 报告签发机构与项目顾问方不是同一法人主体
- 测试执行人员与报告审核人员不属于同一团队
- 报告封面、加盖印章、签名能体现第三方身份
实务中，部分中小型顾问公司会以”母公司”或”关联实验室”名义出具报告，这种”形式独立、实质关联”的做法在严格审计下并不稳妥。
3. 项目目标达成度
将最终成果与申请书中的「Expected Outcomes」对照：
- 漏洞修复率是否达到承诺值
- 高危漏洞是否在承诺期限内闭环
- 培训是否完成、签到记录是否齐全
- 系统加固是否落地、有无配置变更记录佐证
4. 资金使用合规性
- 实际支出金额与预算表偏差通常不超过 ±15%
- 大额支出（单项超过港币 5 万元）需附报价单、合同、发票、银行流水
- 所有支出必须发生在项目核准日期之后、完工日期之前
5. 客户满意度与后续建议
创新科技署可能通过电话或问卷向申请人核实：
- 是否真正使用了该服务
- 顾问公司是否按合同履约
- 是否收到整改建议并落实
如果申请人对自家项目的描述与顾问公司提交的报告口径不一致，极易触发审计问询。
五、项目结案后的「成果公开」义务
这是 TVP 经常被忽视的一条要求：项目完成 5 年内，创新科技署有权要求企业将项目成果对外公开，用于宣传或政策研究。 这意味着：
- 检测报告的关键发现可能被引用
- 整改后的安全架构信息可能被概述
- 企业需要做好脱敏准备，敏感业务系统名称、客户名称不应出现在对外公开版本中
实务中很多企业忽略了这一点，等到被要求公开时才回头修改报告，耗时耗力。
六、降低验收风险的六条实操建议
- 申请书阶段就把验收准则写死——数字、文档名称、责任人、交付日期，越具体越好
- 预算和报价要合理——同一份检测报告如果只报 2 万港元，可能被认定为”金额过低、质量可疑”
- 保留所有过程文档——邮件、签到表、会议纪要、付款凭证，至少保存 7 年
- 第三方报告务必单独签发——不要让执行顾问以”项目组”名义直接出报告
- 收到阶段交付物及时验收——拖过 30 天再提异议，顾问公司可援引”已默认接收”
- 项目期内不要做重大范围变更——如需调整，须在变更前向创新科技署书面备案
七、不确定信息的免责说明
本文涉及的资助金额、资助比例、合资格顾问名单、报告独立性判定等具体规则，均以创新科技署官网最新公布为准。TVP 政策近年持续调整，包括资助比例、配对资金上限、申请资格等条款都有可能更新，强烈建议在递交申请前到官网查阅最新版「科技券计划申请指南」，并视需要咨询专业的项目顾问或会计师。
在港经营企业，从注册、做账、银行开户，到申请政府资助、对接本地服务商，每一步都有不少”内地默认规则”在香港并不适用的情况。香港大全 整理了更多香港公司运营、政府资助申请、生活配套方面的实操指南，欢迎延伸阅读。
常见问答
TVP 网络安全检测项目最高能拿到多少资助？资助比例怎么算？
TVP 单一项目最多可获批港币 60 万元，政府配对资助比例一般为 75%，企业自付 25%。需要注意的是，TVP 政策近年持续调整，具体资助金额、比例及配对资金上限以创新科技署官网最新公布的「科技券计划申请指南」为准。
申请 TVP 做渗透测试，报告必须由独立第三方出具吗？自家顾问公司出报告可以吗？
文章明确指出，安全检测与评估类项目的核心交付物是一份第三方独立出具的检测报告，而非顾问公司自己的报告。若报告由执行项目的顾问公司自行撰写，极易被审计认定为「利益冲突」，验收风险很高。文中还特别提示，部分中小型顾问公司以「母公司」或「关联实验室」名义出具报告的做法，在严格审计下并不稳妥。
TVP 项目申请书里的「Key Deliverables」可以等项目开始后再修改吗？
文章强调，TVP 申请书中的「Key Deliverables / Expected Outcomes」是验收的法定依据，项目开始后再补写、改写原则上不获接纳。申请书阶段就应把数量指标、质量指标、文档指标三类内容写清楚，数字要可量化、可核对，避免「显著降低」「大幅提升」这类不可核验的表述。
TVP 中期报告进度落后多少会被冻结拨款？项目期内的支出有什么限制？
文章提到，若中期项目进度落后超过 30%，或资金使用偏离预算超过 20%，创新科技署会要求书面解释，严重情况下可能冻结后续拨款。所有支出必须发生在项目核准日期之后、完工日期之前，实际支出与预算表的偏差通常不超过 ±15%，单项超过港币 5 万元的大额支出需附报价单、合同、发票、银行流水等证明文件。
TVP 网络安全项目做完后，报告内容会被公开吗？敏感信息怎么处理？
文章指出，TVP 项目完成后 5 年内，创新科技署有权要求企业将项目成果对外公开，用于宣传或政策研究。这意味着检测报告的关键发现、整改后的安全架构信息都可能被引用或概述。企业应在项目执行阶段就做好脱敏准备，敏感业务系统名称、客户名称不应出现在对外公开版本中，避免结案后被要求公开时才回头修改报告。