TVP网络安全项目范围认定与预算合理性
科技券（Technology Voucher Programme，简称 TVP）是香港特区政府创新科技署为支持本地中小企业升级转型而设的资助计划。网络安全类项目长期是 TVP 资助占比靠前的类别之一，但也是申请材料被打回次数最多的类别之一。问题往往不在「要不要做网络安全」，而在「做哪一块、做多久、预算合不合理」——这就是项目范围认定与预算合理性的核心命题。
本文从中小企业最关心的实务角度出发，系统说明 TVP 在评审网络安全项目时如何判断范围、如何核算预算，以及申请时应当如何主动对齐评审口径，避免在材料阶段就被筛掉。
一、为什么网络安全项目容易被「卡」在范围上？
TVP 的资助定位是「为业务带来切实效益的科技方案升级」，因此评审过程中重点看三件事：项目目标与业务痛点是否对应、所采购或开发的方案是否构成完整的技术项目、以及预算是否与项目范围相称。
网络安全项目容易在第二、第三件事上出问题，原因有三：
- 「安全」覆盖范围极广——从终端防病毒、防火墙规则梳理，到 SOC（安全运营中心）建设、渗透测试、等保合规、员工培训、上云后 IAM 重构，每一项都自成体系。如果申请材料把多个体系混在一起描述，评审无法判断项目边界，也难以衡量预算合理性。
- 「咨询服务」与「采购产品」容易混淆——TVP 不接受纯咨询、纯培训、纯运维托管类支出。如果申请材料把项目写成「请顾问来给建议书」，即便金额很小，也会被认为不符合资助对象。
- 「一次性整改」与「持续服务」难以切割——TVP 资助的是项目而不是服务订阅。年度订阅、按月付费的 SaaS 续费、人员驻场等持续性支出不属于项目范围。
企业要想提高获批概率，必须在材料准备阶段就把这三类边界讲清楚。
三、项目范围认定：评审看哪几条红线？
企业在准备申请材料时，可以从以下五个维度自查项目范围是否符合 TVP 框架：
- 业务痛点对齐——必须写明因某项具体业务风险（例如数据泄露、客户合规要求、上云后权限管理缺失）才启动这个项目，不能写成「公司觉得应该重视安全」。
- 项目目标可量化——例如「实施 MFA 多因素认证覆盖全部核心业务系统」「通过 ISO 27001 认证」「完成一次红队渗透测试并修复 N 个高危项」。
- 交付物清单清晰——最终交付应当是技术方案本身或可验证的整改报告，而不是一份《安全建议书》。
- 时间线明确——TVP 项目通常在 12 个月内完成，网络安全项目一般建议 3–9 个月，避免拖延。
- 与现有 IT 投入能区分——已有安全防护基础上的增量升级，比「从零开始重做一遍」更易获评审理解。
四、预算合理性：评审内部如何核算？
TVP 对网络安全项目的预算合理性会从四个角度交叉核验：
- 金额结构是否清晰——预算应按「人力成本、外购软硬件、外部顾问服务、测试费用、培训费用」等大类分项列出，每一项附说明。含糊的「项目总费用 HKD XXX,000」会被视为高风险信号。
- 单价是否与市场价相符——评审通常会以公开市场报价、行业常见标准做参考。明显偏离市场行情的预算条目（例如某类安全咨询日费远高于行业平均），会被要求补充报价依据。
- 预算与项目范围匹配——做一次漏洞扫描的预算不应包含 SOC 全年运营费用；做员工安全意识培训不应附加大额硬件采购。
- 是否存在可由内部完成的工作混入——内部员工本可以承担的内容（例如内部部署、配置工作）不应作为外部支出申报。
五、可申报与不可申报的常见支出对比
| 支出类型 | 典型示例 | TVP 处理 |
|---|---|---|
| 外购安全软件授权（一次性） | EDR、漏洞扫描、防火墙授权买断 | 视项目范围可申报 |
| 安全软件年度订阅 | SaaS 安全平台年费 | 通常不纳入项目范围 |
| 外部顾问实施服务 | 顾问驻场完成方案部署 | 可申报，须与范围挂钩 |
| 渗透测试 / 红队测试 | 第三方安全测试服务 | 可申报 |
| 认证咨询 | ISO 27001、NIST CSF 等体系建设咨询 | 可申报（与交付物挂钩时） |
| 纯咨询 / 建议书撰写 | 仅产出报告，不含实施 | 不符合资助对象 |
| 内部员工薪资 | 内部 IT 人员工作时间 | 不纳入资助范围 |
| 员工安全意识培训 | 讲座、培训日 | 部分可申报，需与项目挂钩 |
| 安全设备硬件采购 | 防火墙设备、服务器 | 可申报，须解释必要性 |
说明：上述分类为常见情形，具体口径以官方最新公布为准。
六、申请材料的常见被拒原因
为帮助企业避坑，整理了网络安全项目申请中较为常见被打回的原因：
- 范围描述过于笼统：「提升公司整体网络安全水平」——评审无法判断项目边界。
- 预算与目标不对应：申请 HKD 40 万做漏洞扫描，但漏洞扫描市场价远低于此金额。
- 写成了「合规咨询」「顾问报告」：交付物只是文档而非技术项目。
- 混入了年度订阅、持续运维：TVP 不资助持续性服务。
- 未说明与现有 IT 资产的关系：评审无法判断这是新增项目还是重复投入。
- 预算条目缺说明：列出多笔支出但无任何单价或依据。
- 交付物不可验证：项目结束无法验收，例如「提升安全意识」缺乏可量化指标。
七、准备网络安全类 TVP 申请的建议清单
企业在正式启动申请前，可按以下顺序准备：
- 先写痛点，再写方案——把业务风险写在前面，把技术方案放在后面，让评审第一眼就看到「为什么必须做」。
- 范围尽量单点突破——一次申请聚焦一类问题（如终端防护、IAM、渗透测试、认证合规），不要试图「全部做完」。
- 预算表与项目里程碑一一对应——预算表的每一项支出，对应项目时间线上的一个里程碑，让评审一眼能看懂钱的去处。
- 附报价单或市场参考——大额支出附上供应商报价单，可显著降低被质疑的概率。
- 交付物用可验证方式描述——「覆盖率」「高危项关闭率」「认证通过」「报告出具」等可验收指标优于「提升能力」。
- 避免使用持续性服务话术——例如「年度服务」「订阅」「长期运维」等措辞容易触发负面判断。
八、写在最后
TVP 对网络安全项目的评审逻辑其实并不复杂：范围清晰、目标可量化、预算与范围匹配、交付物可验证。企业只要把材料按这四个标准打磨，获批概率会显著高于「通用模板 + 套话」式的写法。
需要特别提醒的是，TVP 的具体资助比例、累计上限、可申报支出类别等细节会定期调整，企业在正式提交前应以创新科技署官方最新公布为准，避免引用过时数字导致材料无效。
如果还想了解 TVP 之外的其他政府资助计划（如 BUD 专项基金、企业支援计划等），hkguide.org 整理了更多香港相关指南，涵盖申请流程、范围认定、预算规划与常见被拒原因的实务拆解，值得在准备下一份申请前系统翻阅一遍。