科技券网络安全项目预算编制
科技券计划（Technology Vap Programme，简称 TVP）自2016年推出以来，已成为香港中小企最多人申请的政府资助之一。2025年底，TVP 把每间企业的累计资助上限由 60 万元提升至 100 万元，每项目上限维持 50 万元，政府最高资助比例为 75%（即企业最少要自付 25%）。
网络安全是近年科技券的热门方向之一——但很多企业 IT 负责人在准备预算时都会发现：HackerOne 这类漏洞奖励平台、Splunk Enterprise Security 这类 SIEM 系统、第三方 SRC 安全顾问服务，似乎都很难直接对应到科技券的预算模板。如果预算编排不当，项目组评审环节很容易被扣分甚至被退回修改。本文专门面向计划申请科技券的中小企业，拆解网络安全项目的预算编制要点。
⚠️ 文中所有金额、比例、名额以官方最新公布为准。
一、先认清科技券的预算”游戏规则”
1.1 资助上限与自付比例
| 项目维度 | 现行安排 |
|---|---|
| 每项目最高资助额 | 港币 50 万元 |
| 每间企业累计资助上限 | 港币 100 万元 |
| 政府资助比例 | 最高 75%（即自付最少 25%） |
| 自付部分可否由企业出资承担 | 可以；不得接受其他公帑资助 |
| 项目周期 | 一般不多于 12 个月 |
常见误区：把”项目总额”理解为政府会全数承担。事实上，企业必须先垫付并保留完整单据，完成审核后再实报实销。
1.2 四个官方认可的预算科目
科技券采用统一的预算模板，申请时必须将费用归入以下 4 个类别：
- 科技顾问服务费——第三方顾问提供的咨询、培训、实施服务
- 设备/硬件——服务器、防火墙、硬件令牌等
- 软件/云端服务——订阅制或买断制软件、SaaS 服务
- 项目人员薪金——企业自有人力产生的内部成本
不在这 4 类之内的费用（例如差旅、装修、文具、营销）原则上不获资助。
二、网络安全常见开支如何”翻译”成官方科目
网络安全项目里常见的支出场景，常常并不天然对应到官方科目。下面的对照表帮你厘清：
| 企业实际想做的工作 | 常见工具/服务举例 | 科技券对应科目 | 是否通常获批 |
|---|---|---|---|
| 漏洞扫描与渗透测试 | Nessus、Burp Suite 专业版、第三方渗透测试服务 | 科技顾问服务费 / 软件 | 视乎范围与合理性 |
| 部署 SIEM 日志平台 | Splunk Enterprise Security、Elastic SIEM | 软件/云端服务（订阅） | 通常可以 |
| 终端防护 EDR | CrowdStrike、SentinelOne | 软件/云端服务 | 通常可以 |
| 防火墙/UTM 升级 | FortiGate、Palo Alto 硬件 | 设备/硬件 | 可以 |
| 多因子认证 MFA | YubiKey、Okta、Duo | 设备/硬件 + 软件 | 可以 |
| 安全意识培训 | 第三方培训课程、钓鱼演练服务 | 科技顾问服务费 | 可以（须为顾问交付） |
| ISO 27001 / 等保咨询 | 合规顾问公司辅导 | 科技顾问服务费 | 可以 |
| 漏洞奖励计划 | HackerOne、Bugcrowd 平台费 | 软件/云端服务 | 通常可以（须有顾问统筹） |
| 数据备份与灾备 | Veeam、AWS Backup | 软件/云端服务 | 可以 |
| 员工自修网络安全课程 | Coursera / Udemy 订阅 | 通常不获资助 | — |
关键原则：科技券看的是”做什么”和”由谁做”，而非品牌名称。任何支出都必须能清楚映射到顾问交付、设备采购或软件订阅三类之一。
三、自付 25% 的实务安排
3.1 自付部分的支付时点
科技券并非先发钱再做事，而是 项目完成后实报实销。换言之，企业在项目执行期间需自行承担 100% 的开支，再于最终审核后按 75:25 比例获政府发还资助部分。这意味着：
- 50 万元的项目，企业实际现金流支出仍是 50 万元
- 审核通过后，企业可取回最高 37.5 万元
- 实际净成本 = 50 万 − 37.5 万 = 12.5 万元（即 25% 自付）
提示：部分顾问公司愿意配合企业分期收款或先收部分定金，可在签约时协商。
3.2 自付资金可否”找数”？
企业自付部分必须由企业自身资金承担，不可使用其他政府资助计划（如 BUD 专项基金、工业贸易署)同时填账。如被发现重复资助，企业须退还资助款并可能被列入监察名单。
四、预算编制的 5 个实操步骤
步骤 1：把”安全目标”翻译成”科技动作”
科技券评审最看重业务痛点 → 科技方案的逻辑。避免写成”提升安全等级”这种空泛目标，而应落到具体可验证的结果，例如：
- 把网络钓鱼邮件点击率从 25% 降低到 10% 以下
- 在 30 个端点上部署 EDR，并接入统一管理平台
- 取得 ISO/IEC 27001 认证准备度评估报告
步骤 2：列出每项交付物对应的”科目归属”
把第 2 节的对照表复制成工作表，逐项填入支出 → 科目 → 是否需要报价单。例如第三方渗透测试，应归入”科技顾问服务费”，并附上顾问公司的报价。
步骤 3：核对官方”参考市价”
科技券评审会以市价为基准审核报价，过高过低都会引起问询。建议：
- 软件订阅：以官方授权代理报价为准，避开灰色渠道
- 顾问服务：参考至少 2 家供应商报价作对比
- 硬件：以原厂或授权分销商报价为准
步骤 4：把”内部人力成本”独立成项
如果 IT 团队会全程参与项目，可把内部人员薪金计入 “项目人员薪金”，但：
- 须按实际投入工时计算（不可全月薪金计入）
- 须备存考勤记录、薪酬证明
- 通常仍受 25% 自付比例覆盖，不能单独再获资助
步骤 5：预留 10% 缓冲
项目执行期间，汇率、关税、订阅升级、人员加班均可能推高成本。建议在编制预算时预留 10% 弹性空间，但 不要写入正式申请书——否则会被视为虚增预算。
五、预算审核的常见”扣分项”
科技券秘书处与项目委员会审核预算时，常会就以下情况提出澄清要求：
- 顾问费用过高或无明细——必须列明顾问日费、人日数、交付物
- 软件订阅年期超出项目周期——只能资助项目期内的订阅费用
- 设备规格过度——例如只为 20 人公司采购 200 用户授权
- 内部人员薪金按全月计入——必须按实际投入工时折算
- 未提供报价单或报价单日期过期——建议提交 3 个月内有效报价
实务经验：一份准备充分的申请书，可让首轮通过率明显提升。
六、写在最后
把网络安全项目塞进科技券 50 万港元的框架并非不可能——关键在于懂得把”攻防动作”翻译成官方认可的预算科目，并控制好 25% 自付部分的现金流。预算编制只是申请流程的一环，从立项书、报价单到交付报告，每一份文件都需要与企业日常运营记录互相印证。
更多关于香港政府资助、签证、创业与生活的实用指南，欢迎浏览 hkguide.org。
常见问答
科技券网络安全项目可以包含哪些类型的开支？
科技券采用统一的预算模板，所有费用必须归入四个官方认可科目：科技顾问服务费、设备/硬件、软件/云端服务、项目人员薪金。差旅、装修、文具、营销等不在四类之内的开支，原则上不获资助。因此像漏洞扫描、SIEM 平台订阅、防火墙硬件、MFA 令牌等网络安全常见支出，都需要先”翻译”到对应科目，再附上报价单等证明文件。
漏洞奖励平台（例如 HackerOne）和员工自修网课，能否放入科技券预算？
漏洞奖励平台费通常可以申报，归入”软件/云端服务”科目，但须有顾问统筹并说明交付物；而员工自行订阅 Coursera、Udemy 等自学课程，按现行规则通常不获资助，因为缺少”顾问交付”或”项目期内可验证产出”这一要素。建议在申请前以官方最新公布为准，并尽量让第三方顾问主导培训环节。
科技券是申请通过后就先拿到资助款吗？现金流压力如何？
并非如此。科技券采用实报实销方式，企业在项目执行期间需先行垫付 100% 开支，完成审核后再按 75:25 比例获政府发还。以一个 50 万元的项目为例，企业实际现金流支出仍是 50 万元，审核通过后可取回最高 37.5 万元，净成本约为 12.5 万元。部分顾问公司愿意配合分期收款或先收定金，可在签约时协商。
自付的 25% 部分能否用其他政府资助一起”找数”？
不可以。企业自付部分必须由企业自身资金承担，不能同时使用其他政府资助计划（例如 BUD 专项基金、工业贸易署相关计划等）填账。如被发现重复资助，企业须退还已发还的资助款，并可能被列入监察名单。具体适用范围以官方最新公布为准。
编制网络安全预算时，哪些”扣分项”最容易导致被退回修改？
根据文章整理，常见扣分项包括：顾问费用过高或缺乏明细、软件订阅年期超出项目周期、设备规格与企业规模明显不匹配（如 20 人公司采购 200 用户授权）、内部人员薪金按全月计入而非按实际工时折算、报价单缺失或日期过期。建议每项开支都列明顾问日费、人日数、交付物，并提供三个月内的有效报价单，留存考勤与薪酬记录，以便与申请书互相印证。